ioXt 聯盟成員快照： IBM X 部隊紅查爾斯亨德森
ioXt 聯盟成員快照：
IBM X 部隊紅查爾斯亨德森
在本期中，我們很高興地歡迎 IBM X-Force Red 的新 ioXt 聯盟貢獻者成員查理斯·亨德森。貢獻者通過與聯盟所有成員合作並參與聯盟工作組，説明定義和領導聯盟安全標準。他們還在 ioXt 聯盟貿易展會上展出（當全球大流行沒有發生時）和認證設備。
Charles 花時間為我們回答了一些問題，包括他做什麼以及為什麼為 IBM 工作，以及為什麼他重視成為 ioXt 聯盟的一部分。以下是他分享的內容。
問：什麼是 X-強制紅色？
X-Force®瑞德是IBM安全駭客團隊。組織僱用我們來發現其網路、應用程式、硬體、設備和人員中的風險漏洞，犯罪攻擊者可能利用這些漏洞獲取個人利益。X-Force Red 提供滲透測試、對手類比和漏洞管理計劃，説明安全領導者識別和修復覆蓋其整個數位和物理生態系統的安全漏洞。
X-Force Red 可以做任何犯罪駭客可以做的事情，但目的是説明安全領導者加強防禦，保護他們最重要的資產。
我們在全球有200多名駭客，其中許多人發現了零日漏洞，建立了他們最先的攻擊工具，在頂級網路安全會議上提出，為高調的媒體提供思想領導，在國會作證，並一直駭客，因為他們是兒童。我們的使命宣言總結最好 - "我們的使命： 駭客任何東西， 以確保一切。
問：您為 IBM 做什麼？
作為全球管理合作夥伴和 X-Force Red 負責人，我領導 X-Force Red 提供的服務策略，以及這些服務如何補充 IBM Security 的產品群組。我還從零開始建立了由200多名駭客參加的團隊，並負責確保他們擁有充實的職業生涯，並不斷為客戶提供價值。我的日子通常包括接受新聞記者的採訪（我經常就所有與網路安全相關的話題提供思想領導力評論），向IBM的領導和客戶介紹，與世界各地的團隊成員接觸基礎，確保我們的客戶工作順利進行，以及召開關鍵會議。考慮到我的職業生涯始於駭客，後來發展成為業務領袖和發言人，我帶來了全面的安全對話視角。
問:你為什麼參與 ioXt 聯盟?
作為技術迷和物聯網消費者，我們對 ioXt 非常興奮。該組織提供了一種結構化的方法，可以帶來更安全的產品，其中包括我們許多人在自己家中使用的產品。
問：IoT 設備中最常見的漏洞是什麼？
顯然，有許多嚴重的漏洞不在"常見"清單中，這些漏洞也很重要。畢竟，只有一個漏洞會導致嚴重的妥協。然而，當我們談論我們發現的常見 IoT 漏洞時，我會說硬編碼或默認密碼是清單的頂部。對許多製造商來說，保持基本的安全衛生是一個長期存在的問題。以下是我們發現的其他常見漏洞的清單：
解鎖程式設計介面，允許韌體提取
公開除錯介面，允許資訊公開 - 即啟動過程、正在安裝的設備、正在啟用的介面等。
暴露的測試點，允許訪問單個晶元引腳 - 即讀取 GPIO 狀態或翻轉它們以啟用引導載入器等。
晶片向晶片通訊的暴露晶片 – 即用於內部數據機的 UART 或用於 SOC 元件的 RF/NFC/BLE 配置的 SPI/I2C。
公開外殼/登錄介面 - 即串行 UART 控制台
包含已知的易受攻擊的庫
包含已知的易受攻擊/舊軟體，如 DHCP、SSH 等。
無法輕鬆更新韌體
包含具有未知漏洞的第三方模組 – 即 wifi/3g/ble 模組
不禁用未使用功能的多功能設備 - 即用作快閃記憶體的記憶體也有 SD 介面，默認情況下打開單獨的鎖定配置
在易於閱讀的快閃記憶體晶片中儲存純文本憑據 - 即缺乏加密
易受高級攻擊（如故障）的「安全」元件
不安全的網路通訊（基本上，沒有 TLS 或未正確實現的 TLS）
不安全的固件更新過程
每台設備上相同的弱預設憑據
問：從您看來，從今年到近年來，影響最大的駭客（徹底改變了形勢的駭客）是什麼？
在頂級網路安全會議上（如黑帽和 Def Con）上提出的集體漏洞研究指出，各種物聯網設備和平臺存在嚴重漏洞，其中許多設備和平臺已成為全球主流新聞。所有這些會議會談都顯示了物聯網攻擊的影響和日益普及。
問：您認為該行業還可以改進其他方面嗎？
我們必須對物聯網產品的最終消費者更加透明地了解他們購買的設備的安全性。這是建立消費者信任的最佳方法。我們可以將安全顧慮和保證與消費者可能購買的其他產品進行類似的處理。許多產品都配有安全等級和保證，確認產品安全使用。我們需要同樣級別的IoT設備安全性保證。消費者應有聲明性證明其設備是安全的。
問:您希望會員瞭解您什麼?
我是一名業務主管、駭客和漏洞研究員，利用我獨特的視角為客戶構建有價值的安全計劃。我在這個行業已經領導了20多年的駭客和漏洞研究團隊。由於我擁有豐富的駭客經驗和將技術概念轉化為所有受眾（安全和非安全）可以理解的語言的能力，我定期接受CNN、福克斯商業、NBC和其他主要電視和印刷媒體的採訪。