近日，由知名研究機構IMDEA網絡和美國東北大學領導的國際研究團隊與多家高校和科研機構合作發布新的研究成果，公布了關于智能家居中不透明和技術復雜的物聯網設備日(ri)益普及所帶來的安全和隱(yin)私(si)挑戰的突(tu)破性(xing)發現。
研究(jiu)表明，物(wu)聯(lian)網(wang)設備使(shi)(shi)用(yong)的本地網(wang)絡協(xie)議沒有得(de)到充分(fen)保護，暴露了家庭和使(shi)(shi)用(yong)設備的敏感信息。目前，智能家居已(yi)滲透(tou)到中國8000多(duo)萬家庭中，到2028年(nian)預計近2億家庭擁有智能家居產品(pin)，安全問題無小(xiao)事，而本地網(wang)絡的安全隱(yin)(yin)患以更隱(yin)(yin)蔽(bi)的方式發生，需要(yao)業界提前重視并采取相應措施。
在家庭中(zhong)不斷(duan)增長的(de)滲(shen)透率(lv)，智能家居安全問題至關(guan)重要(yao)
對于(yu)(yu)很多(duo)家庭來說，智(zhi)能家居(ju)已不是(shi)陌(mo)生(sheng)產(chan)品，日常生(sheng)活中家庭很多(duo)智(zhi)能產(chan)品持續帶(dai)來便(bian)利，甚至在一(yi)(yi)定程度上(shang)改變了人們(men)的生(sheng)活習慣。不過，由(you)于(yu)(yu)智(zhi)能家居(ju)需(xu)要(yao)使(shi)用各類連接方式接入互聯網，安全和(he)隱(yin)私問題(ti)成(cheng)為不可避(bi)免(mian)的一(yi)(yi)個(ge)話(hua)題(ti)，尤(you)其(qi)是(shi)智(zhi)能家居(ju)使(shi)用的場景(jing)正是(shi)比較私密的家庭空間(jian)，保(bao)護安全和(he)隱(yin)私是(shi)業(ye)界(jie)的重要(yao)責(ze)任(ren)。
近年來，隨(sui)著人(ren)們生活水平提升，消費(fei)結構的(de)(de)(de)升級以及(ji)新的(de)(de)(de)消費(fei)理念不斷(duan)出(chu)現，智(zhi)能家居產業(ye)得到快速(su)發展，目前(qian)已形成一個(ge)不可忽視的(de)(de)(de)規模(mo)化(hua)市場(chang)。
根據(ju)市場(chang)調研機構Statista統計數據(ju)，2022年(nian)(nian)中(zhong)(zhong)國(guo)智能家(jia)(jia)(jia)居(ju)市場(chang)規模已達到(dao)(dao)233億(yi)美(mei)元(yuan)，2022-2028年(nian)(nian)期間(jian)這一(yi)市場(chang)預計保持13.47%的年(nian)(nian)復(fu)合增速，到(dao)(dao)2028年(nian)(nian)最終將達到(dao)(dao)520億(yi)美(mei)元(yuan)的市場(chang)規模。在(zai)家(jia)(jia)(jia)庭(ting)(ting)應用(yong)方面，2022年(nian)(nian)智能家(jia)(jia)(jia)居(ju)在(zai)中(zhong)(zhong)國(guo)家(jia)(jia)(jia)庭(ting)(ting)的滲(shen)透率為16.6%，即(ji)有8000多萬(wan)戶家(jia)(jia)(jia)庭(ting)(ting)采用(yong)了(le)智能家(jia)(jia)(jia)居(ju)產品，Statista預計到(dao)(dao)2028年(nian)(nian)中(zhong)(zhong)國(guo)智能家(jia)(jia)(jia)居(ju)的活躍(yue)用(yong)戶數將達到(dao)(dao)1.91億(yi)戶，這意味著有1.91億(yi)戶家(jia)(jia)(jia)庭(ting)(ting)在(zai)日(ri)常生活中(zhong)(zhong)都(dou)將高(gao)頻率使用(yong)智能家(jia)(jia)(jia)居(ju)產品，占所有家(jia)(jia)(jia)庭(ting)(ting)戶的比例達到(dao)(dao)39.2%，滲(shen)透率已接(jie)近4成。
美國(guo)智(zhi)(zhi)能家(jia)(jia)居(ju)市(shi)場位居(ju)全球首位，Statista統計數(shu)據顯示，2022年(nian)美國(guo)智(zhi)(zhi)能家(jia)(jia)居(ju)市(shi)場規模(mo)為309億美元(yuan)，到(dao)2028年(nian)這(zhe)一數(shu)據預計將(jiang)達(da)到(dao)550億美元(yuan)。2022年(nian)美國(guo)智(zhi)(zhi)能家(jia)(jia)居(ju)在家(jia)(jia)庭中的滲透(tou)率(lv)已達(da)到(dao)43.8%，到(dao)2028年(nian)這(zhe)一滲透(tou)率(lv)將(jiang)高達(da)75.1%，屆(jie)時有1.03億戶美國(guo)家(jia)(jia)庭將(jiang)高頻使用(yong)智(zhi)(zhi)能家(jia)(jia)居(ju)產品。
相(xiang)比美(mei)國，中國的(de)(de)智能家(jia)(jia)(jia)居(ju)市(shi)(shi)場目前的(de)(de)規(gui)模和(he)單家(jia)(jia)(jia)庭貢(gong)獻率還不高，2022年中國已使(shi)用智能家(jia)(jia)(jia)居(ju)的(de)(de)家(jia)(jia)(jia)庭中，在智能家(jia)(jia)(jia)居(ju)產品(pin)方面(mian)的(de)(de)支出(chu)為297.5美(mei)元，而美(mei)國這一數據為536.2美(mei)元。不過，未來幾年中美(mei)智能家(jia)(jia)(jia)居(ju)市(shi)(shi)場規(gui)模差距不斷縮(suo)小，中國的(de)(de)智能家(jia)(jia)(jia)居(ju)家(jia)(jia)(jia)庭用戶(hu)的(de)(de)戶(hu)均支出(chu)持續提升，顯(xian)示了巨大的(de)(de)發展(zhan)潛力。
隨著技術的(de)不斷進步，以及家(jia)庭用戶對于便(bian)利性、能(neng)源效率等方面(mian)的(de)需求，智能(neng)家(jia)居(ju)(ju)市場(chang)會持續增長。從(cong)Statista的(de)預測(ce)數據可以看出，未來5年(nian)中國智能(neng)家(jia)電、家(jia)庭安防(fang)、家(jia)庭娛樂、家(jia)庭控制和連(lian)接(jie)等方面(mian)的(de)智能(neng)家(jia)居(ju)(ju)產品市場(chang)規模較大，尤其是智能(neng)家(jia)電一直(zhi)占據近一半(ban)的(de)市場(chang)份(fen)額(e)。
當然，智(zhi)(zhi)能家居(ju)普(pu)及的(de)(de)(de)(de)背后(hou)，是不斷升級的(de)(de)(de)(de)網絡安(an)全和(he)(he)數(shu)據(ju)安(an)全技術廣(guang)泛采用(yong)。在家庭生活中，這些(xie)設備(bei)(bei)有攝像頭、麥克風和(he)(he)其(qi)他方式來感知(zhi)我們家里私密的(de)(de)(de)(de)空間(jian)和(he)(he)家中成(cheng)員正在發生的(de)(de)(de)(de)事情，我們能相信(xin)我們家中的(de)(de)(de)(de)這些(xie)設備(bei)(bei)正在安(an)全地處理和(he)(he)保(bao)護它們可(ke)以(yi)訪(fang)問的(de)(de)(de)(de)敏感數(shu)據(ju)嗎?換一(yi)個角度，對于設備(bei)(bei)廠(chang)商(shang)和(he)(he)智(zhi)(zhi)能化接近(jin)方案廠(chang)商(shang)來說，未(wei)來數(shu)以(yi)億計的(de)(de)(de)(de)家庭使用(yong)智(zhi)(zhi)能家居(ju)產品(pin)，廠(chang)商(shang)們必(bi)須確(que)保(bao)給家庭用(yong)戶(hu)提(ti)供(gong)的(de)(de)(de)(de)是一(yi)個可(ke)信(xin)和(he)(he)安(an)全的(de)(de)(de)(de)環境(jing)，否則這一(yi)行業就沒有存在的(de)(de)(de)(de)基礎。
房(fang)間內的數據安全和隱私威脅：智能家居面臨的新(xin)挑戰
針對智能家居安全(quan)隱私的(de)研究(jiu)，此(ci)前更多(duo)集中(zhong)在這些(xie)物(wu)聯(lian)(lian)網設備如何與云服務之(zhi)間(jian)的(de)安全(quan)性，識別兩者交互過程中(zhong)的(de)漏洞(dong)，揭示了大(da)量智能家居終端和(he)云端交互中(zhong)信息泄露的(de)實例，并持續檢測暴露于互聯(lian)(lian)網的(de)、易受(shou)攻擊的(de)物(wu)聯(lian)(lian)網設備，這方面已有(you)很多(duo)有(you)效成果。
然而，在(zai)家(jia)庭(ting)之(zhi)內，同一本地(di)(di)網絡(luo)上的(de)物聯網設備之(zhi)間(jian)(jian)的(de)通信對(dui)(dui)于平臺(tai)和設備的(de)互(hu)操作性、安全性、隱私性也具有(you)重要意義，針對(dui)(dui)家(jia)庭(ting)本地(di)(di)網絡(luo)中(zhong)物聯網設備之(zhi)間(jian)(jian)以及設備和APP之(zhi)間(jian)(jian)持續(xu)無縫交(jiao)互(hu)造成的(de)安全和隱私威脅(xie)研究較少。
IMDEA網絡本次新的(de)研究(jiu)成果就是專(zhuan)門針對智能家居(ju)本地網絡安全隱私的(de)方向。研究(jiu)團隊(dui)在近期舉行的(de)ACM IMC’23學術(shu)大會上發(fa)表的(de)一篇名為(wei)《In the Room Where It Happens: Characterizing Local Communication and Threats in Smart Homes》的(de)論文，首次深入研究(jiu)93種家庭物聯(lian)網設(she)備和移動應(ying)用(yong)之間在本地網絡交(jiao)互的(de)復雜(za)性，揭示(shi)了(le)大量以(yi)前未公(gong)開的(de)具有實(shi)(shi)際現實(shi)(shi)意義的(de)安全和隱私問題。
物(wu)聯網(wang)設(she)(she)備(bei)不僅通(tong)過外部互(hu)聯網(wang)進行通(tong)信(xin)，還(huan)可以與本地(di)網(wang)絡上運行的(de)(de)其他設(she)(she)備(bei)和軟(ruan)件服務進行通(tong)信(xin)。目前，一些(xie)大(da)型(xing)企業發布的(de)(de)智(zhi)能(neng)家居平臺包(bao)括了為(wei)發現、連接和管理物(wu)聯網(wang)設(she)(she)備(bei)提(ti)供(gong)的(de)(de)支持和協議，從(cong)而(er)實現物(wu)聯網(wang)供(gong)應商、設(she)(she)備(bei)和平臺之(zhi)間的(de)(de)互(hu)操(cao)作(zuo)性。通(tong)用的(de)(de)互(hu)操(cao)作(zuo)協議如(ru)UPnP、mDNS等(deng)已被廣泛應用于智(zhi)能(neng)家居，可以即(ji)插即(ji)用地(di)實現智(zhi)能(neng)家居設(she)(she)備(bei)地(di)網(wang)絡發現和協同工(gong)作(zuo)，還(huan)有一些(xie)專(zhuan)有的(de)(de)互(hu)操(cao)作(zuo)協議如(ru)Matter。
雖然大多(duo)數用戶(hu)通(tong)常將本地(di)網(wang)(wang)絡視(shi)為可信和安(an)全的(de)(de)環境(jing)，但IMDEA的(de)(de)研究發現揭(jie)示新(xin)威(wei)(wei)脅，即本地(di)網(wang)(wang)絡中(zhong)的(de)(de)物(wu)聯網(wang)(wang)設(she)備(bei)使用標準協議也(ye)可能暴露敏感數據，如UPnP或mDNS等協議，這(zhe)些(xie)新(xin)的(de)(de)威(wei)(wei)脅此前(qian)被忽(hu)視(shi)，包括暴露唯(wei)一的(de)(de)設(she)備(bei)名稱、UUIDs以及(ji)家(jia)庭地(di)理位置數據，所有這(zhe)些(xie)都可以在用戶(hu)不(bu)知情(qing)的(de)(de)情(qing)況下被參與(yu)監控的(de)(de)公(gong)司獲取(qu)。
研究(jiu)人員搭(da)建的(de)威脅(xie)模型中(zhong)，考慮的(de)是家(jia)(jia)庭本地(di)網(wang)絡中(zhong)的(de)物聯(lian)網(wang)設(she)備(bei)(bei)或軟(ruan)件，可(ke)以(yi)利用設(she)備(bei)(bei)漏洞或網(wang)絡協(xie)議，從同一本地(di)網(wang)絡中(zhong)的(de)其他設(she)備(bei)(bei)收(shou)集隱私和敏(min)感(gan)數據，這(zhe)種(zhong)攻擊在(zai)互聯(lian)網(wang)上(shang)是不(bu)可(ke)能實現，然而(er)在(zai)一個家(jia)(jia)庭之內的(de)設(she)備(bei)(bei)之間可(ke)以(yi)實現，這(zhe)一潛在(zai)的(de)安全隱患(huan)值得(de)高度重視。
研究(jiu)團隊的(de)(de)一(yi)(yi)位(wei)專家(jia)表示，他(ta)們(men)發現了(le)物聯網設(she)備無(wu)意中(zhong)(zhong)會暴露至少一(yi)(yi)個(ge)(ge)PII(個(ge)(ge)人可(ke)識(shi)別(bie)信息)的(de)(de)證據(ju)，包括如在(zai)成千上萬(wan)個(ge)(ge)真實世界(jie)的(de)(de)智能家(jia)居設(she)備的(de)(de)唯(wei)一(yi)(yi)硬件地址(MAC)、UUID或(huo)唯(wei)一(yi)(yi)設(she)備名稱(cheng)。任何一(yi)(yi)個(ge)(ge)單獨的(de)(de)PII都有助于識(shi)別(bie)一(yi)(yi)個(ge)(ge)家(jia)庭(ting)(ting)，雖(sui)然無(wu)法精準識(shi)別(bie)，但(dan)是將這三者結合在(zai)一(yi)(yi)起會使一(yi)(yi)個(ge)(ge)家(jia)庭(ting)(ting)描述非常獨特，很容易直(zhi)接(jie)識(shi)別(bie)到家(jia)庭(ting)(ting)的(de)(de)重要(yao)信息。該專家(jia)指出，如果一(yi)(yi)個(ge)(ge)智能家(jia)居擁有所有這三種類型的(de)(de)標識(shi)符，至少可(ke)以在(zai)112萬(wan)個(ge)(ge)家(jia)庭(ting)(ting)中(zhong)(zhong)精準找到一(yi)(yi)個(ge)(ge)家(jia)庭(ting)(ting)。
因此，這些(xie)本(ben)地網(wang)絡協(xie)議(yi)可(ke)(ke)以(yi)作為訪(fang)問家庭物(wu)聯網(wang)設(she)備(bei)數(shu)(shu)據(ju)(ju)的(de)輔助(zhu)渠(qu)道，而這些(xie)物(wu)聯網(wang)數(shu)(shu)據(ju)(ju)本(ben)應受(shou)到移動APP權限保護。不過，研究(jiu)人員發現，某些(xie)間(jian)諜(die)軟件、應用(yong)程序和廣告(gao)公司確實在(zai)濫用(yong)本(ben)地網(wang)絡協(xie)議(yi)，在(zai)用(yong)戶毫(hao)無察覺的(de)情況下悄悄訪(fang)問此類敏感(gan)信息(xi)。這些(xie)威脅是真實存在(zai)的(de)，例如華爾(er)街日報曾報道過谷(gu)歌(ge)禁用(yong)的(de)一個(ge)(ge)隱藏獲取數(shu)(shu)據(ju)(ju)的(de)APP，這個(ge)(ge)應用(yong)有一個(ge)(ge)嵌(qian)入的(de)間(jian)諜(die)軟件SDK，可(ke)(ke)以(yi)向很多(duo)局(ju)域網(wang)發送廣播(bo)消息(xi)，對其他設(she)備(bei)進行指紋識別，將設(she)備(bei)的(de)標識符(fu)和位置數(shu)(shu)據(ju)(ju)過濾至(zhi)云端。
該團隊的(de)研(yan)究(jiu)表明，物聯網(wang)設備(bei)使用的(de)本地(di)網(wang)絡協(xie)議(yi)存在一定(ding)風(feng)險，會暴露關于家(jia)(jia)庭(ting)和(he)家(jia)(jia)庭(ting)成員對設備(bei)的(de)使用的(de)敏(min)感信息(xi)(xi)，這(zhe)些(xie)信息(xi)(xi)是以一種不透明的(de)方式收集(ji)的(de)。在這(zhe)一情(qing)況(kuang)下，物聯網(wang)產品(pin)制(zhi)造商、軟件(jian)開發者(zhe)、平臺(tai)企(qi)業等(deng)需要采(cai)取(qu)相應的(de)措(cuo)施來保(bao)護(hu)智能(neng)(neng)家(jia)(jia)居設備(bei)的(de)安全和(he)隱私，保(bao)障(zhang)家(jia)(jia)庭(ting)用戶的(de)權益。同時，政策制(zhi)定(ding)者(zhe)未來可以考慮針對智能(neng)(neng)家(jia)(jia)居本地(di)網(wang)絡協(xie)議(yi)安全性制(zhi)定(ding)相應制(zhi)度。
