为何消费级物联网安全亟需全球标准

随物联网（IoT）扩张，家庭日常物品日益联网，创造网络攻击新入口和潜在隐私泄露。

ETSI网络安全技术委员会（TC CYBER）主席Alex Leadbeater指出近年消费级物联网事件上升。例如，安全研究者发现智能家居中枢ZipaMicro全机型复用同一私钥、硬编码密码，允许攻击者解锁本被认为安全的设备。

风险超越家庭中枢。联网玩具可内置摄像头麦克风被远程访问；许多现依赖蓝牙——已知漏洞。亚马逊Echo等智能音箱也暴露私人对话于潜在窃听。

厂商通常快速修补新设备，但延迟可留现有设备暴露，召回做法不一。政府以立法介入：英国咨询新法可强制产品标签和最低安全标准，加州已禁通用默认密码。数据保护法规——如欧盟GDPR——亦适用于任何存储个人信息。

对制造商而言，在快速变化市场协调不一国际要求极具挑战。统一、结果导向框架将精简合规、促进创新。

ETSI发布TS 103 645，首个专门针对消费级物联网安全的全球标准。而非规定确切方法，标准定义安全结果，给公司灵活性选最有效方案。

覆盖广泛设备——联网玩具、可穿戴健身追踪器、智能助手、电视、门锁、家庭自动化系统——设定共同保护基线。

• 独特、非默认密码，不可重置为出厂设置。
• 设备及关联云服务中所有敏感数据安全存储。
• 无易被提取的硬编码凭证。
• 用户友好数据删除说明（按要求）。
• 安装和日常使用的全面文档。
• 所有传输数据端到端加密，含抗加密攻击保障。

额外工程实践包括：关闭未用端口和软件、验证所有输入防范越界值利用、实施硬件基安全启动、确保电源或网络中断优雅处理。

制造商须主动识别修复漏洞、促进设备固件和软件安全空中下载更新。

遵循ETSI TS 103 645，厂商可展示专业度、保护客户隐私、规避昂贵违规和声誉损害。标准让消费者放心：其连接设备满足严格安全隐私标准。

您可在此阅读ETSI标准

作者：Alex Leadbeater，ETSI网络安全技术委员会（TC CYBER）主席。

物联网技术