生活在数字时代意味着我们日常中的大多数“物件”均由计算机操作和/或控制。从家用电器到汽车，从生产工厂和发电厂到港口和船舶几乎无所不包，铁路和火车也当然不例外。
一般来说，铁路行业使用的计算机系统包括：列车上的计算机系统；轨道交通控制系统；位于车站和交叉口基于联锁和信号的计算机；远程测量系统、乘客信息和娱乐系统；售票系统；以及常规用途的办公室工作站和网络基础设施。但你可曾想过，仅仅通过一个使用默认管理凭证的脆弱WiFi，黑客就能够访问到这些重要的关键系统，严重威胁铁路安全，甚至可能危及无数人命。而近日，这种假设就实实在在地发生在了英国铁路运营商身上。
在过去8-10年间，Ken Munro及其渗透测试伙伴一直在对各种铁路网络进行研究，并协助铁路运营商解决发现的安全问题。
但是令人惊讶的现实是，Munro及其团队仍然能够轻松地访问客户的信用卡数据，以及火车上的一些关键系统——甚至包括火车刹车系统等。而这一切，仅需要通过一个不安全的WiFi就能轻松实现。
据研究人员介绍，实现这一过程是如此简单，你只需要输入IP地址，查看你的网关地址是什么，然后再看看它是否可路由即可。是的，我们都知道不能使用默认凭证，但现实是，他们确实这么做了，然后，你就可以利用这一漏洞查看很多其他网络。
据悉，乘客、工作人员以及列车控制网络之间没有任何隔离措施，仅仅凭借默认凭证，乘客就可以轻松地篡改无线票务，以及查看客户的支付数据等。
具有讽刺意味的是，头等舱的乘客往往能够获得免费的Wi-Fi接入，因此攻击者能够访问到的支付卡/信用卡数据大多来自该车厢用户。
对于此次安全意外的成因，研究人员认为，火车Wi-Fi网络的责任可能已经外包给了专业的第三方。但是有人忘记了锁定这些路由器，因此，此事可能并非有人刻意为之，很大可能只是源于人员疏忽。但是问题是，疏忽往往是大多数安全漏洞的根源。
根据Munro的说法，这是一个完全标准的跨企业网络。你作为一名标准用户，不应该能够访问管理内容，你应该无法访问管理网页才对。
大多数发生在现实世界中的攻击都是源自经济动机，但是也存在一些令人不安的意外场景，能够触动攻击者做出威胁人身安全的行为。
如今，我们已经可以看到很多威胁火车系统的实例，而更令人担忧的是，攻击者已经有能力触及火车上的工业控制系统以及运营技术（OT），当然这一点也是最令安全专家困扰的问题。
事实上，锁定这个界面并不复杂，只需要置入一些管理良好的强大证书，就能轻松解决该安全问题，操作方面可以说根本不存在技术问题。
研究人员在深入探究这些假设之后认为，理论上来说，攻击者可以访问火车的工业控制系统，在该网络中，车辆的各个组件之间会发生大量的消息传递，这就意味着，攻击者有能力篡改功率控制或制定控制管理。
当大多数火车以每小时70英里（约112.65千米）的速度运行时，不可能施以最大的制动力，因为这可能会锁死车轮，所以火车上通常会有一种可控制的防抱死制动。
目前，一些铁路机构确实会为这种“防抱死制动”控制部署一定程度的电子监控，但是试想一下，如果你忽略了这一点，留给了攻击者可乘之机，让其篡改了制动系统，接下来会发生什么不可想象的后果。当然，这只是一种假设场景，并不是说所有的制动系统都可能会被黑客攻击，但是如果缺乏合适的控制措施，相信这种假设场景不久也会照进现实。
我们之前曾经介绍过飞机和航海行业的网络防御系统，像客机和游轮这样的消费者旅行常选工具，必须设置高度严格的网络安全控制措施，并利用最新的网络分割技术来隔离任何潜在的攻击者。
那么为什么火车会有所不同呢？答案可能在于火车旅行通常历时较长、乘客较多，涉及各种日常琐事，分散了员工的部分工作重点，也就更容易造成这种忽略行为。
我认为人们并没有真正地考虑过这个问题，并将其视为与大多数安全漏洞一样重要。试想一下，有人在Wi-Fi采购时会记得询问有关安全性的问题吗？通常都要在一个项目进入市场，并且发生安全意外后，安全团队的人员才能发现这些问题的存在。在项目设计规范期间，安全团队有及早询问过有关项目安全性的问题吗？也许他们更擅长说，一切都会好起来的！
对于大多数项目而言——无论它们是Wi-Fi安装、web应用程序还是移动设备——安全性即便是考虑在内，也通常会留到最后一刻，更不用说，有些项目根本不曾考虑过安全问题。
针对此次安全事故，英国铁路运营商已经做出了回应，并且还加强了他们的物理安全性，例如将路由器锁定在无法用简单的方形或三角形钥匙打开的机柜中。
虽然，此次英国铁路公司做出了很好地响应行动，但是不可否认，未来还有很大可能会再次出现脆弱的Wi-Fi网络问题，所以大家要能够看到这种安全缺陷的危害性。为了应对此类威胁，最重要的还是要学会提出问题：询问供应商有关安全性方面的问题，并要求他们能够证明自己的系统是安全的。
最后一点，无论你选择的供应商或第三方服务商有多么响亮的声誉，多么值得信赖，请记得自己检查一遍所有设备及其相关设置，以防其因忽略了某些安全问题而造成的安全意外。
原文发布时间为：2018-05-27
本文作者：Jasmine
