加州州長早前簽署新法，自2020年起，所有在該州出售而連接網路（或透過藍牙連接）的裝置，出廠時均不能再使用「password」「123456」等不安全的預設密碼。

新法規定，有關裝置出廠時不能使用統一密碼，廠商須為每個裝置設置獨特的密碼，或者強迫使用者產生新密碼。受規管的裝置包括路由器、網路鏡頭、智能喇叭以至各種智能家居電器等，這條法例讓加州為未來物聯網（Internet of Things, IoT）的安全邁進了一小步。

草擬法案的州參議員積臣（Hannah-Beth Jackson）指出，連接網路的裝置缺乏基本安全功能，會損害加州人的私隱及安全，此法案確保科技為加州人民服務，而且安全是設計過程中的關鍵部分，而非事後補救。

殭屍網路攻擊

規定物聯網裝置設定更安全的密碼，除了保障使用者外，亦有助降低網際網路出現大規模攻擊的風險。

黑客會透過入侵保安設定不佳的裝置，組成一個「殭屍網路」（botnet），當有需要的時候，便會控制這些裝置發動「分散式阻斷服務攻擊」（DDoS attack），同時發送大量流量至目標，使其不勝負荷。

如果裝置在出廠時使用統一設定的密碼，黑客便容易取得這個密碼，並在使用者不知情下騎劫裝置。當然，使用者會自行更改密碼的話，黑客就需要用其他更精密的方法入侵裝置，或者換一個目標。問題是，大多數人都避免麻煩，保留原廠設定——你有沒有為自己的路由器改密碼？（留意不是指Wi-Fi密碼，而是裝置本身的管理員密碼。）

Photo Credit: Negative Space

英國提供比較寬頻服務的公司Broadband Genie的一項調查發現，逾二千位受訪者當中僅得18%會更改路由器的密碼，換言之超過8成人會保留原來密碼。調查亦有問受訪者為何不更改路由器設定，例如更新韌體（firmware）和設置密碼等，有近半人表示因為他們不知道為何需要更改，另外有34%人則回應指不確定如何更改。

錯失機會

近年DDoS的攻擊規模越來越龐大，兩年前一個名為「未來」（Mirai）的惡意軟體在網路流傳，不斷入侵各種裝置使其成為殭屍網路的一部分。在2016年10月21日，域名系統（DNS）供應商Dyn遭受「未來」控制的殭屍網路攻擊，令大量網站及網路服務受影響，包括Airbnb、亞馬遜、CNN、Reddit、Spotify、Paypal及Netflix等等。該次攻擊的規模在高峰達到每秒150GB。

「未來」記錄了超過60款裝置出廠時的預設管理帳戶名稱及密碼，然後直接登入及感染沒有更改密碼的裝置。更精密的殭屍網路會利用已知的IoT裝置漏洞入侵，毋須靠猜對密碼。

雖然大公司如亞馬遜、蘋果和Google等在發現漏洞時，會提供更新修補，但加州今次的新法例並無規定廠商在發現漏洞時必須提供更新、通知用戶。因此不少安全專家認為，今次通過的新法錯過了更進一步保障民眾的機會。

相關文章︰

資料來源︰

參考來源