今天,Cabl亚博yabo888vip网页版eLabs®已公开发布的一组最常见的做法(BCP)来提高电缆调制解调器的安全,集成的访问点,和家庭路由器(集体,被称为“网关设备”)对恶意行为和其他网络威胁。这项工作建立在延伸CableLabs”和电缆行业的长期领导网络安亚博yabo888vip网页版全,确保一致的和健壮的网关设备安全的底线,增加规模经济,为简化通信和本体和采购网络运营商和设备制造商之间。

BCP工作组从CableLabs由安全技术专家,来自世界各地的网络运营商,和网关设备制造,包括代表亚博yabo888vip网页版CableOne,宪章,思科,Cogeco,康卡斯特公司,Commscope,考克斯,自由的全球,MaxLinear,慷慨陈词,肖和鲜艳的色彩。在发展中BCP,工作组就相当重视的和被广泛接受的安全控制,由行业和政府安全专家广泛认可。

电缆行业一直使用广泛的网络安全措施确保机密性、完整性和可用性的宽带服务,包括网关设备。BCP扩大和规范这些网关设备和网络安全实践补充有线电视运营商更多的安全实践。例如,DOCSIS®安全测试是所有网关设备上执行,以确保DOCSIS协议的一致性,包括验证公钥基础设施(PKI)的正确实现身份验证和身份管理,BPI +加密和运算单元(早期的身份验证和加密)安全配置要求。

BCP文档超越DOCSIS安全需求和提供了一个框架的全面安全注意事项适用于网关设备,包括硬件和生产考虑,默认安全设置,配置程序,安全的引导,根的信任,软件/固件开发和验证,数据在传输和数据加密要求休息,和人身安全等。为了进一步确保BCP的健壮性,并映射BCP相比工作组NIST的一般指导联邦政府使用的连接设备,以帮助确认适用的范围完全综合安全方面的考虑。

BCP代表行业围绕一组通用的安全基线要求进一步以下关键的目标:

1. 提供一个通用的框架元素和控制在安全网关设备,包括电缆调制解调器、集成的无线接入点,和家庭路由器,使各种方法设备安全整个行业。
2. 创建一个社区的制造商和网络运营商合作,加强安全网关设备。
3. 利用成熟的和严格的审查安全控制和实践不知不觉地介绍了漏洞的风险降到最低或其他安全漏洞。
4. 协调跨网络运营商开车安全需求增加的规模经济,降低成本的宽带部署。
5. 进一步保护网络资源和宽带服务不受恶意攻击。亚博全球最大投注平台
6. 为网络运营商保证提供了一个框架,使测试实践的验证和配置。
7. 使一致性标准、监管和合规制度通过一套透明和开放的最好的普遍做法。
8. 建立一个安全网关设备,构建框架的灵活性和敏捷性,所以制造商和网络运营商可以解决和适应新的威胁和网络风险格局的变化。

虽然最初的版本是一个重要的成就,这一努力是全面的安全网关设备的姿态,我们都认识到这一领域的不断发展和进步。我们看到了BCP作为一个框架,必须将作为网络技术更新和维护,设备安全,不幸的是,对手技术继续发展。为此,我们邀请并欢迎更多的网关和调制解调器制造商以及其他网络运营商加入工作组继续进步。

2021年10月13日,美国东部时间下午3时,我们邀请你加入我们的虚拟面板会话SCTE Cable-Tec世博会进一步讨论和探索网关设备安全和我们的工作发展BCP。

经验证据显示出敌意的相信blockchains和分布式分类技术(dlt)本质上是安全的,因为他们使用加密,采用哈希算法和公共/私人keypairs-in短,相信这些系统中的数据极不可能成为暴露。评估需求后,决定利用一个区块链解决方案从一开始,安全是很重要的考虑。

在过去的几年中,CableLabs的安全技术部门的研究和开发组织一直跟踪区块链攻击和妥协。亚博yabo888vip网页版从这个工作,危险分组几件物品已经被确认。下面的列表是为了作为一个援助的架构,设计和实现工作周围的企业项目,使用这些技术。

聪明的合同注入

聪明的合同引擎是一个解释器(有时小说)编程语言和数据解析器引擎需要做出相关决策。危害在这种情况下,当可执行代码出现在聪明的合同为了破坏合同语言或数据。实现者需要考虑消毒输入智能合同,适当的解析和错误处理。

重播攻击

不仅有威胁在事务处理和验证,而且在节点行为,认证,并获得的机密消息。添加过的nonce之前核对交易是至关重要的。

历史修正攻击

Blockchains依靠容错共识模型做得很好,当有很多参与节点处理、竞争和合作在下一个街区。当节点的数目下降,或如果有可以预见循环行为,哄骗了可以利用历史修订攻击,创建一个新的分支,有效地删除之前接受交易。设计师应该考虑如何最好地保证最低支持和节点的多样性。

永久中毒

由于blockchains的持久性和叉,成本有可能破坏甚至声称的链非法内容监管机构和执法的愤怒。

机密信息泄漏

永久增加数据的风险被接链。甚至加密数据是未来的风险威胁这些算法或者穷举式攻击。设计师需要确保他们理解的数据存储,它是如何保护,谁拥有它,以及它如何可以与任何pseudonymized re-associated用户。

参与者的身份验证失败

事务创造者密码签署他们的交易吗?签名验证了协议吗?是事务的收据确认(不可抵赖性)?会话管理?架构师需要考虑拥有私钥的证明的验证和验证的参与者。

节点的欺骗

节点的实体创建和同意下一个新块链。节点应像其他认证用户或系统,必须验证和认证,与多个投票禁止。设计师无法寻找投票违规开放实施风险。

节点的不当行为

节点的行为不正确,故意绕过容错机制,或木马节点(节点在公共链条,遵循标准的协议,但非标准实现)是有问题的。事务传播不符合是另一个concern-where节点不传达事务迅速其他节点,节点始终反对其他节点,或验证小领域内始终一致。此外,建筑师需要考虑链式操作链时,会发生什么变化的节点或节点的一个子集的拒绝服务攻击。

靠不住的Node-Chain缝

的密码区别参与者的目的是什么,在节点发生了什么,发生了什么链都必须是一致的。架构师应该执行设计,节点无法修改事务(签名和哈希验证),跳过一个事务(不可抵赖性)或添加新的事务(源验证)。

一般安全危害

通用安全问题的危害属于这meta-category区块链/ DLT有特定含义的领域。架构师、设计人员和实现人员都需要留心这些实践和工作,以确保一个完整的解决方案:

• 未经证实的加密:寻找最佳实践和证明加密密码套件,哈希算法、密钥长度,使用椭圆曲线,等等。
• 非扩展性密码学:应链的基本算法方面成为妥协,链容易迁移到另一个套件/散列/密钥对吗?有一种机制和流程节点运营商之间的同意和部署这快?
• 安全错误配置:注意所有的代码库使用,熟悉最新的安全部署技术,如码头工人的信息,并确保默认出现在测试系统没有可用的生产系统。问如果有任何组件与已知的漏洞,决定是否开放端口或文件系统权限可能面临风险,并理解为私钥保护机制。
• 足够的日志和警报:如果出现错误,有足够的方法来捕捉行动发生(投票,聪明的合同、身份验证、授权)?项目经理必须确保警报已经被添加到代码中,在部署时添加了正确的接受者,而且不断的监测和更新程序的接受者。
• 弱边界防御:开发团队需要意识到,和支撑,防御,这样在客户机代码中没有可利用的漏洞或节点软件,智能合同引擎,移动应用程序、web应用程序中,链观众或管理工具。

显然,这个列表不包含所有区块链或DLT应用程序必须审查,但目标是提供一些关键领域关注和提供的深入了解,在您自己的应用程序中是很有意义的。Blockchains可以帮助桥信任差距在一个生态系统,但安全是信任的基础。

想要了解更多关于安全未来区块链和分布式帐?订阅我们的博客点击下面。

这个博客发表的版本标普全球市场情报。

在物联网的安全,一个常见的观点是“安全”给定设备需求(如克)如果我们可以测量的。典型的例子是通常一个灯泡。问这样的目标通常是空出的部分或全部的安全需求类的设备;然而,真正的问题我们关心的是可用的安全保护网络,而不是设备。

灯泡的问题技巧我们认为错误的帧,它侧重于设备而不是网络。

• 为什么会有人攻击呢?
• 他们会怎么做如果他们妥协,打开和关闭我的光?

如果攻击者能够妥协的灯泡,他们可能最初试图测试妥协改变命令,回来,但是他们可能不会做什么,他们已经得到了控制,信号设备。可能的目标从来没有灯泡,这只是达到目的的一种手段,和攻击载体的一部分。

灯泡是一个有趣的初始攻击目标有几个原因。最相关的一个方面是这一事实灯泡恒功率。光可能,但灯泡的“智能”元素是醒着,听网络流量。灯泡也有网络堆栈,这是它与智能灯的开关,规则引擎,家庭中心,或业主的电话;这个灯泡不只是倾听,也是网络上传输。

做这项工作,灯泡也有一个处理器;自定义硬件是昂贵的,处理器可以执行许多功能(这样它就可以被包含在其他物联网设备)如果不是地址一般。灯泡也有存储为维护状态、审核和沟通、内存运行操作系统和网络堆栈。此外,灯泡还包括司机丝,led、着色和调光的灯泡。最重要的是,当我们灯泡的网络,使我们能够控制灯泡,我们提供设备与网络凭据。

结合上述方面的智能球,结合非常不可能发现的机会或潜在的可能性机会,固件和操作系统将被更新由用户,使这一个优秀的第一攻击网络。一旦妥协,攻击者可以谨慎看网络,可能与其他设备在同一网络(包括摄像机和传感器),恶搞其他设备,甚至执行一些物理操作,可以妥协的居民家里的安全(例如建议前门开启或关烤箱)。

几乎不可能有人——除了一个顽皮的人或者你的邻居的房子你坚持停车前,想把你的光。其他恶意攻击的可能性,能够获得您的网络和其他设备在家里使灯泡一个完美的攻击的第一步。一个著名的网络安全攻击原则是横向运动。敌人妥协的保护较少的目标网络然后使用该设备或系统作为一个枢轴点执行侦察、横向移动的网络,升级特权,最后达到他们的目标。

能够找到设备,如一个灯泡和攻击他们从来都不是一件容易的事;对手可以使用设备标识工具(如shodan.io)来查找这些灯泡(包括在线和地图上的标记),然后攻击他们。这些灯泡提供发现和反省的信息可能使简单交互在家里但也允许攻击者查找特定攻击基于已知的漏洞,灯泡的设备和固件版本。这些攻击进行本地的电台在攻击者的车,或者来自世界各地,如果它们联网。

灯泡被破坏后,他们可以横向攻击其他网络,尝试升级特权,与其他设备交互,甚至使用其他合法设备恶搞与外部的交互设备,其他互联网连接服务,或者在家里其他架桥设备。低估了所有设备的安全的重要性,导致网络安全的漏洞,是通往风险敞口(金融、隐私、安全、诉讼和幸福)。这不仅仅是一个灯泡,这是网络,这个网络需要有强壮的安全。

在Ca亚博yabo888vip网页版bleLabs,我们与制造商合作和努力保护消费者和他们的网络;要做到这一点,我们提供设备安全技术物联网标准组织OCF和开源项目IoTivity。请加入我们在这些举措,作为创造和工程过程的一部分,或利用这项工作在你的设备。

写作的一些最大的分布式拒绝服务(DDoS)攻击正在积极干扰主要服务和内容提供商。许多攻击被报告为利用物联网设备(如IP摄像机。有趣的是,这些引人注目的袭击发生在网络安全宣传月。

如何影响安全的变化

对许多人来说,物联网打开门;对于我们这些需要电子关键任务的援助,这对于日常生活来说是非常重要的;估计有200亿台设备在线从现在开始的四年,这是一个重要的安全需求。亚博yabo888vip网页版CableLabs专注于特定的目标在确保物联网(物联网)设备有三个具体的原因:1)我们希望保护用户的隐私和安全;2)使信任在我们生活的科技自动化环境;和3)需要保护网络基础设施支持用户服务。我们的技术团队正在积极努力解决方案来处理现有的异构安全模型设备在未来通过先进的网络技术和设备通过指导标准机构和产业联盟在安全方面的考虑。

寻找你的隐私是谁?

用户隐私超越个人匿名;它包括保护信息,可以用来识别人,或者他们的设备。考虑移动设备,例如蓝牙健身带,广播其惟一标识符时要求(如在任何握手对各种网络设备进行身份验证)。,可以利用广播标识符没有设备所有者的知识来识别和跟踪购物者在购物中心,抗议者,或游客在医疗诊所等问题。网络保护始于设备身份,有趣的是,尽管许多反对把这个用户隐私,它不需要。新员工培训设备到网络之前,包括身份验证和授权以及交换凭证和网络配置细节,设备可以为新的新员工培训请求提供临时随机标识符。后新员工培训成一个网络,设备需要一个不可变的,attestable和独特的标识符,这样网络运营商可以跟踪恶意行为。不安全的设备,可以逃避识别、恶搞自己的网络地址或歪曲,同时参与僵尸网络对每个人都是一种威胁。能够快速跟踪攻击回到冒犯设备允许运营商更有效地协调与设备所有者手术跟踪和隔离这些威胁。

安全——在那里,何时以及如何

用户安全与隐私和不同看起来,确保可用性、机密性和完整性。可用性是关键的原因需要在网络中不变的标识符。当网络设备破坏参与DDoS攻击,跟踪车辆损坏设备的能力是关键。加密的数据(使用的,静止的,在运输过程中)的主要手段是保证机密性。因为很多物联网设备处理能力限制,它已成为制造商容易忽视需要保密(数据保护),认为加工、存储和电力成本对传统PKI超过设备的能力。今天,甚至一次性物联网设备能够使用PKI由于椭圆曲线密码(ECC)。ECC需要较小的钥匙,使速度比传统方法允许加密,同时保持相同的水平和传统(RSA)加密安全保证。这不仅允许保密,但也可以用来提供完整性通过不可抵赖性(设备不能否认它收到一个命令/消息)和消息来源保证(通过签名或凭据交换)。然而,良好的ECC曲线选择是非常重要的。最后一个元素的安全性是这些设备的能力安全地更新他们的操作系统、固件、驱动程序和协议栈。 No system is perfect, and when a potential vulnerability is discovered, updating those devices already deployed will be a key part of the success of the IoT and how we interact with these tools.

形成信任

上述元素,可用性、隐私、机密性、完整性,所有共同发展信任。这种信任来自个人和共同的经历。积极与设备的安全经验的消费者越多,获得更多的信任。消极经历恶化这种信任,这可能发生不均衡地事件,建立信任,这经常发生而不是个人经验来做的。例如,一个用户对个人安全摄像头读取已经看到别人在互联网上,可能会放弃购买,或类似的设备。总体目标是改善消费者在未来的设备和经验限制不仅有多少设备受损,但也限制的范围和影响任何个人漏洞通过利用多层次的防御。

合作网络保护

当物联网设备可以使用集体利用攻击目标DNS服务器,当消费者市场激励不执行主要关心的是安全问题,行业标准组织和联盟通常呼吁开发解决方案。开放连接基金会(OCF)是全球领先的物联网影响集团拥有超过200的全球领先制造商和软件开发商(英特尔、高通、三星、伊莱克斯、微软等)加入部队,以确保安全、可互操作的物联网解决方案。其他生态系统正汇聚在OCF,像“,AllSeen联盟,OneM2M并入OCF的组织。亚博yabo888vip网页版CableLabs和网络运营商包括康卡斯特和肖是这个运动的一部分,贡献代码,时间和技术安全专家、领导、规范,使物联网对每个人来说都更安全。亚博苹果版怎么下载IoTivity Linux基金会项目,正在作为一个平台,使设备制造商建造更多的经济在其产品中包括安全性和互操作性。OCF正在驾驶支持物联网设备用户隐私,安全,和信任。

标准组织倾向于关注未来的设备,但帮助管理现有的设备是另一个领域的研究和探索。物联网的安全社区积极参与不仅在未来,而是现在,制造商和运营商,如何提高消费者体验。一个关键的工具来支持现有的物联网系统将把设备/网络连接和提供生态系统的互操作性的想法之间的桥梁在使用先进的网络技术来帮助管理设备。

收敛

这些不同的需求、隐私、安全、信任和网络保护,结合创建一个积极的角度对物联网环境。想象设备高可用性、信任做他们需要做的事情,当他们需要时,只为了他们,和在通信网络安全,同时保持隐私。这是焦点的组件和设备制造商、网络运营商、集成商,学者和实践者。我们现在看到的收敛标准和开放源码项目对我们所有人来说都是好消息。

对学习更感兴趣吗?加入布莱恩和其他几个人通知(ED)™会议在纽约,2017年4月12日。

布莱恩·a .划线器(@brianscriber首席架构师)、安全、CableLabs是安全工作组主席,开放(OCF亚博yabo888vip网页版)(@连接的基础OpenConnOrg)。

在大斋节的季节在我成长意味着我要放弃一些东西。今年,而不是放弃一些东西,我决定帮助那些我周围清理他们的安全,建议你帮助一个朋友。统计数据显示,你可能知道的人可以用一只手修改他们的最严重的电子安全习惯,也许我们应该项“不习惯”。None of us are perfect but these three initial steps will help your friend.

1。密码

我最喜欢的开始!

• 停止为每个网站和应用程序使用相同的密码。是的,这是2016年,但是最近我有一个网站把明文密码还给我当我试图重置它。这意味着网站不是存储散列形式,这意味着他们很容易违反——以及每一个帐户在他们的网站上。应该黑客获取你的密码,他们将可以访问多个网站。

• 使用密码管理器。你的朋友要记住一个质量密码,但就是这样。建议你的朋友,他们选择一个可以安装在智能手机和强加密(例如AES 256)。保密信息在这个工具——不要让你的护照和社会安全号码在notes中因为这些记录需要是安全的。通常的密码管理器有几个额外的字段为每个帐户,这些可以用来存储的挑战问题的答案像“你母亲的婚前姓是什么?”

• 使用强密码。很容易记住,而是密码和其他类似的运行密码饼干时很容易达到。现在你的朋友有一个密码管理器,它生成密码——这实际上的自动化任务需要一步舞的密码。

• 坚持两因素身份验证。当你的朋友使用关键账户,包括电子邮件,(你认为银行发送密码重置链接?),他们应该需要一个代码编辑短信发送到他们的手机。如果他们有一个文本没有登录帐户时,他们会知道他们受到攻击,如果不是妥协。

2。移动设备

十年前的这个笔记本电脑和掌上电脑,现在这意味着更多。你朋友的健康表,即使配对后,可能仍然在其通信广播其身份——这是有趣的,因为它意味着你的朋友可以追踪他穿过商场,甚至在一个杂货店,聚合来自多个数据源的数据进一步资料。我们不能停止一切,但这里有你的朋友可以采取几个步骤。

• 询问采购设备时安全。这有几个目的。首先,它告诉你什么制造商声称,这是重要的是你的朋友现在的教育,在未来,他或她可能需要证明索赔的安全是一种沟通清楚。第二个目的是我们推动市场。通过询问销售人员安全特性,它提供了反馈,他们反过来用来通知批发代表并提供零售重新排序的标准。这个信息绝对是营销部门,进而帮助基金工程保护我们所有人的努力。

• 设备上的操作系统和固件更新。这是比大多数人意识到的更加重要。当一个设备有一个旧版本的固件,特别是可以确定,设备是有针对性的。有套房的工具,可以用来攻击一旦操作系统或固件。你的朋友可能会认为“我要隐藏什么?”但事实是他们的身份,他们的设备,访问他们的通信、访问他们的家庭在人身安全的情况下设备和访问他们的金融机构都处于危险之中,他们不知道什么可以伤害他们。

• 不要直接插入USB充电端口。USB电缆携带能力和数据;是后者需要关心你的朋友。看起来方便插入墙上的USB端口,或在您前面的座椅靠背控制台在飞机上,但是你将变成一个黑盒,可以妥协或端口可以访问其他网络设备。一旦你直接代入你的设备,蛮力攻击是容易得多。使用墙壁插座的电源适配器,或者找到一个让你的设备的USB插入适配器带USB接口的数据行,只允许通过。

• 设置一个强大的访问代码。上面就像密码,密码你朋友的设备不应该像1234年或1111年。说服他们使用一个字母数字代码或复杂的手势。特别是如果他们的设备有一个生物读者像指纹扫描仪,没有理由让他们没有密码更难猜测。

3所示。警惕

这看起来像是常识,但我可以保证你和你的朋友,我继续遇到的例子简单的社会惯性(“这是我们一直在做它”)扮演一个重要的角色在我们如何相互作用。传真机作为一个例子。传真不安全。卫生保健提供者需要停止使用技术从1990年代转移我们的“受保护的”健康信息。

• 发邮件重要文件。2015年,我经历了再融资的我的家。在这个过程中关键的文件发邮件给我在纯文本或未加密的附件。期望是我检查它们,完整,签字,扫描,发送通过电子邮件。当我指出这个问题,我被告知,他们以这种方式获得成千上万的文档,IT部门说这是好的。这不是好的。底层协议的邮件可以让你朋友的电子邮件的副本在服务器上沿途和这些副本可以落入错误的人手中。另外,如果你朋友的电子邮件帐户被泄漏,这些文件在发送文件夹将被扫描寻找财务数据。发邮件,而是有你的朋友问对方为一个安全的门户,您可以上传文件。

• 社会工程和钓鱼。令人失望的是,我们用这些可爱的条款到底发生了什么:欺诈。提醒你的朋友提醒呼吁电话时不透露机密信息,如是否在家里或下属的名字。当你的朋友收到电子邮件的链接,尤其是银行,没有点击链接。相反,你的朋友应该去银行直接从书签网站或输入导航栏(即使电子邮件链接出现安全,它可能有一个URL字母,类似于我们的字母,但实际上使用替代语言/编码有效)。你的朋友应该知道他们提供什么信息,以及他们如何知道他们是谁。

• 存储信用卡。简单地说,强烈建议你的朋友不会这样做。超级方便不是类型,但你的朋友需要知道,如果他们的帐户与商人被泄漏,攻击者可以改变送货地址和秩序与存储支付商品或服务的信息。如果你的朋友没有听从你的建议,并保持着相同的密码,多个网站,它们也可能是脆弱的,当一个站点被妥协

• 问题需要共享数据。这最后一步是认识的事情我们都可能受到质疑,但是我们需要做的更多。我买运动衫的公司不需要我创建一个帐户的交易。如果我创建一个帐户,我当然不会提供挑战的所有问题的答案。他们不需要知道他们问的大部分信息。鼓励你的朋友尽可能推迟或提供答案,不妥协的机密性。这超越在线表单和包括商人,想知道你朋友的邮政编码,电话号码或电子邮件地址。数据需要被共享只有如果你的朋友想要和商家交流。

现在你已经看到这些建议你的朋友,也许有几个事情困为你。别忘了这些建议转发给你的朋友,这样你可以帮助他们。

布莱恩的用具安全架构师,CableLabs专注于密码学和安全物联网——亚博yabo888vip网页版他研究恒温器之类的东西,可以说服冰箱使用共享数据和加入他们的僵尸网络。遵循布莱恩在推特上。