飛利浦hue發(fā)展歷史

最近幾年市面上涌出現(xiàn)了不少此類產(chǎn)品，如飛利浦Hue、三星Smart-Bulb、小米Yeelight和魅族X-Light等。這些智能照明系通過無線技術(shù)將燈泡連接在一起，以用于、酒店和工業(yè)等領(lǐng)域。

然而，深受詬病的安全問題正在成為智能照明進一步發(fā)展的掣肘。外媒報道，來自德國埃爾朗根-紐倫堡大學的一份研究論文《您所有的燈泡屬于我們：智能照明系統(tǒng)當前安全狀態(tài)調(diào)查》顯示，智能照明通信標準之一的ZigBee-Light-Link(小編：以下簡稱ZLL)存在安全缺陷，該協(xié)議一旦被攻破就會導致整個照明系統(tǒng)被接管。

ZLL是ZigBee聯(lián)盟針對照明行業(yè)開發(fā)的一種低功耗網(wǎng)狀網(wǎng)無線通信技術(shù)，旨在為照明行業(yè)提供可互操作和易于使用的消費照明和控制產(chǎn)品的標準，允許消費者獲得對其所有LED燈具、燈泡、計時器、遙控器等設(shè)備的無線控制。目前，這項標準已被不少企業(yè)用于智能照明設(shè)備的連接。

一定程度上來看，ZLL解決了一些智能照明設(shè)備的兼容性問題，并且能實現(xiàn)設(shè)備的快速添加和刪除，但是它的安全性顯然被高估。埃爾朗根-紐倫堡大學三名專業(yè)人士的這份研究結(jié)果就是很好的說明。

為了調(diào)查照明系統(tǒng)的安全狀態(tài)，埃爾朗根-紐倫堡大學的三名專業(yè)人士以飛利浦的Hue、歐司朗的Lightify以及通用電氣的GE-Link為對象進行了深入研究。但是結(jié)果表明，基于ZLL協(xié)議的智能照明系統(tǒng)安全性差強人意，而問題就出在協(xié)議本身設(shè)計存在安全缺陷，并且攻擊距離也不是問題，最受歡迎的Hue距36米處也能被攻破。

論文還詳細交代了攻破ZLL協(xié)議的兩類方法——在無需密鑰信息支持情況下利用所謂的跨框架(inter-pan)中安全漏洞概念和通過獲取主密鑰信息實現(xiàn)對ZLL設(shè)備的控制。

論文中描述到，每個經(jīng)過認證的ZLL支持傳統(tǒng)和Touchline兩種調(diào)試(小編注：調(diào)試，即建立新的ZLL網(wǎng)絡(luò)或使新的ZLL設(shè)備入網(wǎng)的過程)，區(qū)別在于密鑰管理和傳輸?shù)膮f(xié)議，但問題是，沒有密鑰信息設(shè)備可以通過瞬間攻擊、重置攻擊、拒絕服務(wù)攻擊等手段進行攻破，而加了密鑰的可以通過攔截或網(wǎng)絡(luò)密鑰提取的方式，獲取主密鑰。

顯而易見，無論采取哪種方法，都能最終實現(xiàn)對ZigBee Light Link設(shè)備的控制。簡單來說，照明系統(tǒng)，都有可能被黑客破解，然后受到非法控制，屆時你的智能燈泡也就不再是你的智能燈泡了。

去年8月，曾有安全人員指出，由于制造商為了生產(chǎn)出方便易用、可與其它聯(lián)網(wǎng)設(shè)備無縫協(xié)作的設(shè)備，同時又要最大化地壓低設(shè)備成本，而不顧及在安全層面上采用必要的安全性考量，從而造成ZigBee網(wǎng)絡(luò)存在安全風險，引廣了廣泛關(guān)注，即便結(jié)論也強調(diào)了ZigBee標準本身設(shè)計尚未發(fā)現(xiàn)問題。

當然，并不否認，對硬件廠商來說，通信標準還有其它比較穩(wěn)妥的選擇，如ZigBee中已成功廣泛應(yīng)用于家庭自動化。不過，物聯(lián)網(wǎng)安全問題絕不容掉以輕心，ZLL被證存在安全缺陷無疑就是一次響亮的警鐘。

伴隨著物聯(lián)網(wǎng)產(chǎn)業(yè)的快速發(fā)展，與大眾家庭生活緊密相關(guān)的智能照明受了不少廠商的青睞，最近幾年市面上涌出現(xiàn)了不少此類產(chǎn)品，如飛利浦Hue、三星Smart Bulb、小米Yeelight和魅族X-Light等。這些智能照明系通過無線技術(shù)將燈泡連接在一起，以用于家庭、酒店和工業(yè)等領(lǐng)域。

然而，深受詬病的物聯(lián)網(wǎng)安全問題正在成為智能照明進一步發(fā)展的掣肘。早前，來自德國埃爾朗根-紐倫堡大學的一份研究論文《您所有的燈泡屬于我們：智能照明系統(tǒng)當前安全狀態(tài)調(diào)查》顯示，智能照明通信標準之一的ZigBee Light Link（ZLL）存在安全缺陷，該協(xié)議一旦被攻破就會導致整個照明系統(tǒng)被接管。

ZigBee Light Link是ZigBee聯(lián)盟針對照明行業(yè)開發(fā)的一種低功耗網(wǎng)狀網(wǎng)無線通信技術(shù)，旨在為照明行業(yè)提供可互操作和易于使用的消費照明和控制產(chǎn)品的標準，允許消費者獲得對其所有LED燈具、燈泡、計時器、遙控器等設(shè)備的無線控制。目前，這項標準已被不少企業(yè)用于智能照明設(shè)備的連接。

一定程度上來看，ZigBee Light Link解決了一些智能照明設(shè)備的兼容性問題，并且能實現(xiàn)設(shè)備的快速添加和刪除，但是它的安全性顯然被高估。埃爾朗根-紐倫堡大學三名專業(yè)人士的這份研究結(jié)果就是很好的說明。

為了調(diào)查照明系統(tǒng)的安全狀態(tài)，埃爾朗根-紐倫堡大學的三名專業(yè)人士以飛利浦的Hue、歐司朗的Lightify以及通用電氣的GE Link為對象進行了深入研究。但是結(jié)果表明，基于ZigBee Light Link協(xié)議的智能照明系統(tǒng)安全性差強人意，而問題就出在協(xié)議本身設(shè)計存在安全缺陷，并且攻擊距離也不是問題，最受歡迎的Hue距36米處也能被攻破。

論文還詳細交代了攻破ZigBee Light Link協(xié)議的兩類方法——在無需密鑰信息支持情況下利用所謂的跨框架（inter-pan）中安全漏洞概念和通過獲取主密鑰信息實現(xiàn)對ZigBee Light Link設(shè)備的控制。

論文中描述到，每個經(jīng)過認證的ZigBee Light Link支持傳統(tǒng)和Touchline兩種調(diào)試（調(diào)試，即建立新的ZLL網(wǎng)絡(luò)或使新的ZLL設(shè)備入網(wǎng)的過程），區(qū)別在于密鑰管理和傳輸?shù)膮f(xié)議，但問題是，沒有密鑰信息設(shè)備可以通過瞬間攻擊、重置攻擊、拒絕服務(wù)攻擊等手段進行攻破，而加了密鑰的可以通過攔截或網(wǎng)絡(luò)密鑰提取的方式，獲取主密鑰。

顯而易見，無論采取哪種方法，都能最終實現(xiàn)對ZigBee Light Link設(shè)備的控制。簡單來說，你的ZigBee Light Link照明系統(tǒng)，都有可能被黑客破解，然后受到非法控制，屆時你的智能燈泡也就不再是你的智能燈泡了。

去年8月，曾有安全人員指出，由于制造商為了生產(chǎn)出方便易用、可與其它聯(lián)網(wǎng)設(shè)備無縫協(xié)作的設(shè)備，同時又要最大化地壓低設(shè)備成本，而不顧及在安全層面上采用必要的安全性考量，從而造成ZigBee網(wǎng)絡(luò)存在安全風險，引廣了廣泛關(guān)注，即便結(jié)論也強調(diào)了ZigBee標準本身設(shè)計尚未發(fā)現(xiàn)問題。

當然，并不否認，對硬件廠商來說，智能照明通信標準還有其它比較穩(wěn)妥的選擇，如ZigBee中已成功廣泛應(yīng)用于家庭自動化（智能家居）的ZigBee Home Automation（ZigBee-HA）。不過，物聯(lián)網(wǎng)安全問題絕不容掉以輕心，ZigBee Light Link被證存在安全缺陷無疑就是一次響亮的警鐘。