近日，由知名研究機構IMDEA網絡和美國東北大學領導的國際研究團隊與多家高校和科研機構合作發布新的研究成果，公布了關于智能家居中不透明和技術復雜的物聯網設備日益普及所(suo)帶來的(de)安(an)全(quan)和隱(yin)私挑戰的(de)突破(po)性發現。
研究表明，物聯網設備使(shi)用的本地網絡(luo)(luo)協(xie)議沒有(you)得到(dao)(dao)充分(fen)保護，暴露了(le)家(jia)(jia)庭和使(shi)用設備的敏(min)感信息。目前，智能(neng)家(jia)(jia)居已滲透到(dao)(dao)中(zhong)國8000多萬家(jia)(jia)庭中(zhong)，到(dao)(dao)2028年預計近2億家(jia)(jia)庭擁有(you)智能(neng)家(jia)(jia)居產品，安(an)全問題無小事，而本地網絡(luo)(luo)的安(an)全隱患以更隱蔽的方式(shi)發生，需要業(ye)界提前重視并采取相應措施。
在家庭中不(bu)斷增長的滲透率，智能家居安(an)全問(wen)題至關重(zhong)要
對于很多家庭(ting)來(lai)說，智能家居已不(bu)是陌(mo)生產(chan)品(pin)，日常生活中家庭(ting)很多智能產(chan)品(pin)持續帶來(lai)便利(li)，甚(shen)至在一(yi)定程度上改變了人們的(de)生活習慣。不(bu)過，由(you)于智能家居需要使用(yong)各類連接方式接入互聯網，安(an)全和(he)隱私問題(ti)成為不(bu)可(ke)避免的(de)一(yi)個話題(ti)，尤(you)其是智能家居使用(yong)的(de)場景正是比較私密的(de)家庭(ting)空間，保護安(an)全和(he)隱私是業界(jie)的(de)重要責(ze)任。
近年來，隨著人們生活水平(ping)提(ti)升，消費結構的(de)升級以及(ji)新的(de)消費理念不斷出現，智能家居(ju)產業(ye)得到快速發展(zhan)，目前已形成一個不可(ke)忽視的(de)規模化市場。
根據市場調研機(ji)構Statista統計數(shu)據，2022年(nian)(nian)(nian)中(zhong)國(guo)智(zhi)能(neng)家(jia)(jia)(jia)(jia)居市場規(gui)模已(yi)達(da)到(dao)233億(yi)美元，2022-2028年(nian)(nian)(nian)期(qi)間這(zhe)一市場預計保持13.47%的(de)(de)年(nian)(nian)(nian)復(fu)合(he)增速(su)，到(dao)2028年(nian)(nian)(nian)最終(zhong)將(jiang)達(da)到(dao)520億(yi)美元的(de)(de)市場規(gui)模。在(zai)家(jia)(jia)(jia)(jia)庭(ting)應用方面，2022年(nian)(nian)(nian)智(zhi)能(neng)家(jia)(jia)(jia)(jia)居在(zai)中(zhong)國(guo)家(jia)(jia)(jia)(jia)庭(ting)的(de)(de)滲透率為(wei)16.6%，即有8000多(duo)萬戶(hu)家(jia)(jia)(jia)(jia)庭(ting)采用了智(zhi)能(neng)家(jia)(jia)(jia)(jia)居產品，Statista預計到(dao)2028年(nian)(nian)(nian)中(zhong)國(guo)智(zhi)能(neng)家(jia)(jia)(jia)(jia)居的(de)(de)活躍用戶(hu)數(shu)將(jiang)達(da)到(dao)1.91億(yi)戶(hu)，這(zhe)意(yi)味著有1.91億(yi)戶(hu)家(jia)(jia)(jia)(jia)庭(ting)在(zai)日常(chang)生活中(zhong)都將(jiang)高(gao)頻率使(shi)用智(zhi)能(neng)家(jia)(jia)(jia)(jia)居產品，占(zhan)所有家(jia)(jia)(jia)(jia)庭(ting)戶(hu)的(de)(de)比(bi)例達(da)到(dao)39.2%，滲透率已(yi)接(jie)近4成。
美國(guo)(guo)智能(neng)(neng)家(jia)居(ju)(ju)市(shi)場(chang)位(wei)居(ju)(ju)全球首位(wei)，Statista統計數據(ju)顯示，2022年美國(guo)(guo)智能(neng)(neng)家(jia)居(ju)(ju)市(shi)場(chang)規(gui)模為309億(yi)美元，到2028年這一數據(ju)預計將達到550億(yi)美元。2022年美國(guo)(guo)智能(neng)(neng)家(jia)居(ju)(ju)在家(jia)庭中(zhong)的滲(shen)透(tou)(tou)率(lv)已達到43.8%，到2028年這一滲(shen)透(tou)(tou)率(lv)將高達75.1%，屆時有(you)1.03億(yi)戶美國(guo)(guo)家(jia)庭將高頻使用智能(neng)(neng)家(jia)居(ju)(ju)產(chan)品。
相比(bi)美(mei)國(guo)，中(zhong)國(guo)的(de)智能(neng)家(jia)居(ju)(ju)市(shi)場(chang)目(mu)前的(de)規模(mo)和單家(jia)庭貢獻(xian)率還不高，2022年中(zhong)國(guo)已使用智能(neng)家(jia)居(ju)(ju)的(de)家(jia)庭中(zhong)，在智能(neng)家(jia)居(ju)(ju)產品(pin)方面的(de)支出為297.5美(mei)元，而美(mei)國(guo)這一(yi)數據(ju)為536.2美(mei)元。不過，未來幾年中(zhong)美(mei)智能(neng)家(jia)居(ju)(ju)市(shi)場(chang)規模(mo)差距不斷縮小，中(zhong)國(guo)的(de)智能(neng)家(jia)居(ju)(ju)家(jia)庭用戶(hu)的(de)戶(hu)均支出持續提升，顯(xian)示(shi)了(le)巨大(da)的(de)發(fa)展潛力。
隨著(zhu)技術(shu)的(de)(de)不斷進(jin)步，以及家(jia)(jia)庭用戶(hu)對于(yu)便(bian)利性、能(neng)(neng)源(yuan)效率(lv)等方面的(de)(de)需求，智(zhi)能(neng)(neng)家(jia)(jia)居(ju)市(shi)(shi)場會持(chi)續增(zeng)長。從Statista的(de)(de)預測(ce)數(shu)據可(ke)以看出，未來5年中國智(zhi)能(neng)(neng)家(jia)(jia)電、家(jia)(jia)庭安防、家(jia)(jia)庭娛樂、家(jia)(jia)庭控制和(he)連接等方面的(de)(de)智(zhi)能(neng)(neng)家(jia)(jia)居(ju)產品市(shi)(shi)場規模(mo)較大(da)，尤其是智(zhi)能(neng)(neng)家(jia)(jia)電一(yi)直占據近一(yi)半的(de)(de)市(shi)(shi)場份額(e)。
當(dang)然，智(zhi)能(neng)家(jia)(jia)(jia)居普及(ji)的(de)(de)背(bei)后，是不斷升級(ji)的(de)(de)網絡安(an)(an)全和(he)(he)數(shu)據安(an)(an)全技術(shu)廣泛采用。在家(jia)(jia)(jia)庭生(sheng)活中(zhong)，這(zhe)些設備有攝像頭、麥克風和(he)(he)其(qi)他方(fang)(fang)式來(lai)感知我們家(jia)(jia)(jia)里私密的(de)(de)空間和(he)(he)家(jia)(jia)(jia)中(zhong)成(cheng)員(yuan)正在發生(sheng)的(de)(de)事情，我們能(neng)相信我們家(jia)(jia)(jia)中(zhong)的(de)(de)這(zhe)些設備正在安(an)(an)全地處理(li)和(he)(he)保(bao)護它們可以訪(fang)問的(de)(de)敏感數(shu)據嗎?換(huan)一(yi)(yi)個角度(du)，對(dui)于設備廠(chang)商(shang)和(he)(he)智(zhi)能(neng)化(hua)接(jie)近方(fang)(fang)案廠(chang)商(shang)來(lai)說(shuo)，未來(lai)數(shu)以億計的(de)(de)家(jia)(jia)(jia)庭使用智(zhi)能(neng)家(jia)(jia)(jia)居產品，廠(chang)商(shang)們必(bi)須確保(bao)給(gei)家(jia)(jia)(jia)庭用戶提供(gong)的(de)(de)是一(yi)(yi)個可信和(he)(he)安(an)(an)全的(de)(de)環(huan)境，否則(ze)這(zhe)一(yi)(yi)行業就沒(mei)有存在的(de)(de)基(ji)礎。
房間內的(de)數據安全和隱私(si)威脅：智能家居面(mian)臨的(de)新挑戰
針對智能家(jia)(jia)居(ju)安全隱(yin)私(si)的研究，此前更多(duo)集中(zhong)(zhong)在這(zhe)(zhe)些物聯(lian)(lian)網設備如(ru)何與云服(fu)務之間的安全性，識(shi)別兩者(zhe)交互過程(cheng)中(zhong)(zhong)的漏洞(dong)，揭示了大量智能家(jia)(jia)居(ju)終端和云端交互中(zhong)(zhong)信息(xi)泄露的實例，并持續檢測暴露于(yu)互聯(lian)(lian)網的、易受攻擊的物聯(lian)(lian)網設備，這(zhe)(zhe)方面已有(you)很(hen)多(duo)有(you)效成(cheng)果(guo)。
然而，在家(jia)庭之(zhi)內，同一本地網(wang)絡上的物聯網(wang)設(she)(she)備(bei)之(zhi)間(jian)的通信(xin)對于平臺和設(she)(she)備(bei)的互操作性、安全性、隱私性也(ye)具有重(zhong)要意義(yi)，針(zhen)對家(jia)庭本地網(wang)絡中物聯網(wang)設(she)(she)備(bei)之(zhi)間(jian)以及設(she)(she)備(bei)和APP之(zhi)間(jian)持續無縫交互造成的安全和隱私威脅研究較(jiao)少。
IMDEA網(wang)絡(luo)本次(ci)新(xin)的(de)(de)研(yan)(yan)究(jiu)成果就(jiu)是(shi)專門針對智能家居本地網(wang)絡(luo)安全(quan)隱私的(de)(de)方(fang)向(xiang)。研(yan)(yan)究(jiu)團隊(dui)在近期舉行的(de)(de)ACM IMC’23學術大(da)會上發表的(de)(de)一篇(pian)名為(wei)《In the Room Where It Happens: Characterizing Local Communication and Threats in Smart Homes》的(de)(de)論文(wen)，首(shou)次(ci)深入研(yan)(yan)究(jiu)93種家庭(ting)物聯網(wang)設備(bei)和(he)移動應用(yong)之間在本地網(wang)絡(luo)交(jiao)互的(de)(de)復雜性(xing)，揭(jie)示了(le)大(da)量以前未公開(kai)的(de)(de)具有實(shi)際現實(shi)意義的(de)(de)安全(quan)和(he)隱私問(wen)題。
物(wu)聯網(wang)設備不僅通(tong)過外(wai)部(bu)互聯網(wang)進(jin)(jin)行(xing)通(tong)信，還可(ke)以與本地(di)網(wang)絡上運行(xing)的其他設備和(he)軟(ruan)件服務進(jin)(jin)行(xing)通(tong)信。目前，一(yi)些大(da)型企業發(fa)(fa)布的智能(neng)家(jia)居(ju)平臺包(bao)括了為(wei)發(fa)(fa)現(xian)、連接和(he)管理物(wu)聯網(wang)設備提(ti)供的支(zhi)持和(he)協(xie)議(yi)，從而實現(xian)物(wu)聯網(wang)供應商、設備和(he)平臺之間(jian)的互操(cao)(cao)作(zuo)性。通(tong)用(yong)的互操(cao)(cao)作(zuo)協(xie)議(yi)如UPnP、mDNS等(deng)已被廣(guang)泛應用(yong)于(yu)智能(neng)家(jia)居(ju)，可(ke)以即插即用(yong)地(di)實現(xian)智能(neng)家(jia)居(ju)設備地(di)網(wang)絡發(fa)(fa)現(xian)和(he)協(xie)同工(gong)作(zuo)，還有一(yi)些專有的互操(cao)(cao)作(zuo)協(xie)議(yi)如Matter。
雖然大多數(shu)用戶(hu)通常將本地(di)網絡視為可(ke)信和(he)安全的環境，但IMDEA的研(yan)究發(fa)現揭示(shi)新(xin)威脅，即本地(di)網絡中的物聯網設(she)備使用標準協議(yi)也可(ke)能暴露敏感(gan)數(shu)據(ju)，如UPnP或mDNS等協議(yi)，這(zhe)些(xie)新(xin)的威脅此前被忽(hu)視，包括暴露唯(wei)一的設(she)備名稱、UUIDs以及(ji)家庭(ting)地(di)理(li)位(wei)置數(shu)據(ju)，所有這(zhe)些(xie)都可(ke)以在用戶(hu)不知(zhi)情的情況下被參與監控的公司獲取。
研究人(ren)員搭建(jian)的(de)(de)威脅模型中(zhong)，考慮的(de)(de)是(shi)家(jia)庭本(ben)地(di)網(wang)(wang)(wang)絡(luo)中(zhong)的(de)(de)物聯網(wang)(wang)(wang)設備或軟件，可(ke)以(yi)利用(yong)設備漏洞或網(wang)(wang)(wang)絡(luo)協(xie)議，從同一(yi)本(ben)地(di)網(wang)(wang)(wang)絡(luo)中(zhong)的(de)(de)其(qi)他設備收集隱(yin)私和(he)敏感數據，這種攻(gong)擊在(zai)互聯網(wang)(wang)(wang)上(shang)是(shi)不可(ke)能(neng)實現(xian)，然而在(zai)一(yi)個家(jia)庭之內的(de)(de)設備之間可(ke)以(yi)實現(xian)，這一(yi)潛(qian)在(zai)的(de)(de)安全(quan)隱(yin)患值(zhi)得高度重視。
研究團(tuan)隊的(de)(de)一(yi)(yi)位專家(jia)(jia)(jia)表示(shi)，他們發現了(le)物聯網(wang)設備無意中會(hui)暴(bao)露至少一(yi)(yi)個PII(個人可識別信息(xi))的(de)(de)證據，包括(kuo)如在(zai)成千上萬個真實世界的(de)(de)智能(neng)家(jia)(jia)(jia)居(ju)設備的(de)(de)唯(wei)一(yi)(yi)硬件地址(MAC)、UUID或唯(wei)一(yi)(yi)設備名稱。任何(he)一(yi)(yi)個單獨(du)的(de)(de)PII都(dou)有(you)助于識別一(yi)(yi)個家(jia)(jia)(jia)庭(ting)，雖然無法精(jing)準識別，但是將這三者結(jie)合(he)在(zai)一(yi)(yi)起會(hui)使一(yi)(yi)個家(jia)(jia)(jia)庭(ting)描述非常獨(du)特，很(hen)容易直(zhi)接識別到(dao)家(jia)(jia)(jia)庭(ting)的(de)(de)重要信息(xi)。該專家(jia)(jia)(jia)指(zhi)出，如果一(yi)(yi)個智能(neng)家(jia)(jia)(jia)居(ju)擁有(you)所有(you)這三種類型的(de)(de)標識符，至少可以在(zai)112萬個家(jia)(jia)(jia)庭(ting)中精(jing)準找到(dao)一(yi)(yi)個家(jia)(jia)(jia)庭(ting)。
因此，這些(xie)本地網(wang)(wang)(wang)(wang)絡(luo)協議(yi)(yi)可(ke)以作為訪(fang)問(wen)家(jia)庭物聯網(wang)(wang)(wang)(wang)設(she)備(bei)數據(ju)的(de)輔助(zhu)渠道，而這些(xie)物聯網(wang)(wang)(wang)(wang)數據(ju)本應(ying)(ying)受(shou)到移(yi)動APP權限保護。不過(guo)，研究(jiu)人(ren)員發(fa)現，某些(xie)間(jian)諜(die)軟件、應(ying)(ying)用(yong)(yong)(yong)(yong)程序和廣告公司(si)確實在(zai)濫用(yong)(yong)(yong)(yong)本地網(wang)(wang)(wang)(wang)絡(luo)協議(yi)(yi)，在(zai)用(yong)(yong)(yong)(yong)戶毫無察(cha)覺的(de)情況下悄悄訪(fang)問(wen)此類敏感(gan)信息。這些(xie)威脅是真實存(cun)在(zai)的(de)，例如(ru)華爾(er)街日報曾報道過(guo)谷歌禁用(yong)(yong)(yong)(yong)的(de)一(yi)個(ge)隱藏獲取數據(ju)的(de)APP，這個(ge)應(ying)(ying)用(yong)(yong)(yong)(yong)有一(yi)個(ge)嵌入的(de)間(jian)諜(die)軟件SDK，可(ke)以向很多局域網(wang)(wang)(wang)(wang)發(fa)送廣播消息，對其他設(she)備(bei)進行指紋識別，將設(she)備(bei)的(de)標識符和位置(zhi)數據(ju)過(guo)濾至云(yun)端。
該團(tuan)隊的(de)(de)研究表(biao)明(ming)，物聯網設備使用(yong)(yong)(yong)的(de)(de)本地網絡協議存在一(yi)定(ding)風(feng)險(xian)，會暴露關于家(jia)(jia)庭和家(jia)(jia)庭成員對設備的(de)(de)使用(yong)(yong)(yong)的(de)(de)敏感信息(xi)，這些信息(xi)是以一(yi)種不透明(ming)的(de)(de)方式收集的(de)(de)。在這一(yi)情況下，物聯網產品制造商、軟件開發者(zhe)、平臺(tai)企業等需(xu)要采取(qu)相應(ying)的(de)(de)措施來(lai)保(bao)護智能(neng)家(jia)(jia)居(ju)設備的(de)(de)安(an)全(quan)和隱私，保(bao)障(zhang)家(jia)(jia)庭用(yong)(yong)(yong)戶的(de)(de)權益。同時，政(zheng)策制定(ding)者(zhe)未來(lai)可以考(kao)慮針對智能(neng)家(jia)(jia)居(ju)本地網絡協議安(an)全(quan)性制定(ding)相應(ying)制度。
