安全問(wèn)題一直大家對(duì)智能硬件關(guān)注的焦點(diǎn)，聯(lián)網(wǎng)通訊與數(shù)據(jù)交換讓它們更容易成為網(wǎng)絡(luò)大盜鎖定攻擊的目標(biāo)，特別是貼身的智能手機(jī)和智能穿戴設(shè)備，似乎成為個(gè)人隱私泄露的新缺口？而比較近有研究機(jī)構(gòu)指出穿戴式設(shè)備個(gè)人信息泄露風(fēng)險(xiǎn)大，又再次將它們推到了風(fēng)口浪尖。不少擔(dān)心自己腕上的手環(huán)成為被人監(jiān)控的“臥底”。
近日，加拿大非盈利機(jī)構(gòu)Open Effect研究人員對(duì)8家廠商的健身追蹤設(shè)備和配套應(yīng)用進(jìn)行研究后得出的結(jié)論。除Apple Watch外，其他設(shè)備都傳輸一個(gè)具有永久性、性的藍(lán)牙標(biāo)識(shí)符，使它們能被商場(chǎng)中的信標(biāo)追蹤，商場(chǎng)可以借此識(shí)別用戶(hù)、收集用戶(hù)信息。
研究人員在測(cè)試過(guò)程中發(fā)現(xiàn)，即使不與智能手機(jī)連接，Basis Peak、Fitbit Charge HR、Garmin Vivosmart、Jawbone Up 2、Mio Fuse、Withings Pulse O2和小米手環(huán)也可能使用戶(hù)被跟蹤，只有Apple Watch利用藍(lán)牙LE標(biāo)準(zhǔn)的一項(xiàng)特性能生成不斷變化的MAC(媒體訪問(wèn)控制)地址，防止用戶(hù)被跟蹤。
在報(bào)告中還指出：這些可穿戴設(shè)備的配套App也會(huì)不同程度地泄露登錄信息，以不安全的方式傳輸活動(dòng)追蹤信息，或允許用戶(hù)提交虛假活動(dòng)追蹤信息。App從智能穿戴設(shè)備收集數(shù)據(jù)，并上傳到云端服務(wù)器，用戶(hù)可以分析自己的表現(xiàn)，并與其他用戶(hù)進(jìn)行比較。
研究人員都通過(guò)“中間人攻擊”方式截獲其他應(yīng)用和服務(wù)器之間傳輸?shù)臄?shù)據(jù)，查看通過(guò)HTTPS協(xié)議傳輸?shù)臄?shù)據(jù)，甚至是加密數(shù)據(jù)。從截獲的傳輸數(shù)據(jù)分析，從測(cè)試情況看，除蘋(píng)果Watch OS 2.1和英特爾Basis Peak 1.14.0外，其他產(chǎn)品都無(wú)一例外中招，研究人員認(rèn)為這是因?yàn)檫@是因?yàn)槎肌白C書(shū)鎖定”技術(shù)，使App不會(huì)被研究人員提供的虛假安全信息所欺騙。其中Garmin App只在注冊(cè)和登錄過(guò)程中使用HTTPS協(xié)議，其他數(shù)據(jù)則采用明碼傳輸，因此第三方能對(duì)數(shù)據(jù)進(jìn)行讀、寫(xiě)、刪除操作。而Jawbone和Withings App用戶(hù)可以篡改健身數(shù)據(jù)，使他們能刪除疾病的證據(jù)或篡改體育活動(dòng)成績(jī)。這對(duì)醫(yī)療保險(xiǎn)公司和法院來(lái)說(shuō)是個(gè)壞消息，因?yàn)樵跉W美國(guó)家醫(yī)療保險(xiǎn)公司在決定用戶(hù)保費(fèi)時(shí)開(kāi)始參考健身追蹤器數(shù)據(jù)，法院在許多案件中采用健身追蹤器數(shù)據(jù)作為證據(jù)。
Open Effect對(duì)于穿戴式設(shè)備目前存在的安全問(wèn)題分析得很透徹，那么用戶(hù)真的應(yīng)該擔(dān)心個(gè)人隱私泄露嗎？
事實(shí)上，基于MAC表示追蹤位置的不止智能穿戴設(shè)備，任何含有藍(lán)牙功能的設(shè)備都有可能被追中，而智能手機(jī)自然也在其中，廠商學(xué)習(xí)Apple Watch利用藍(lán)牙LE標(biāo)準(zhǔn)生成隨機(jī)MAC并非難事。即使被追蹤用戶(hù)也不用過(guò)分擔(dān)心，只有個(gè)人信息與設(shè)備MAC匹配信息泄露后才追蹤到你個(gè)人行蹤，否則在大量用戶(hù)行為大數(shù)據(jù)中讓你對(duì)號(hào)入座的難度加大，這一點(diǎn)智能手機(jī)更容易被追蹤。
對(duì)于設(shè)備與云端主機(jī)的數(shù)據(jù)交互的安全問(wèn)題，之前我們智嗨推出兒童手表以及智能插座專(zhuān)題中也重點(diǎn)做了安全說(shuō)明，在智能硬件傳輸層是比較容易出現(xiàn)問(wèn)題，除了“證書(shū)鎖定”認(rèn)證技術(shù)外，數(shù)據(jù)傳輸加密也是非常重要的。
Ablecloud作為國(guó)內(nèi)專(zhuān)注服務(wù)智能硬件的PAAS平臺(tái)，對(duì)于智能硬件安全做了一套完整的安全機(jī)制，杜絕設(shè)備信息和用戶(hù)信息的泄露。他們對(duì)設(shè)備安全性也分為兩層保護(hù)措施：一個(gè)是通信內(nèi)容的安全，即要求通信內(nèi)容一定要使用密文；一個(gè)是設(shè)備和云端的互相認(rèn)證，特別是要能防止云端偽造。設(shè)備和云端的認(rèn)證采用雙向認(rèn)證，并采用RSA非對(duì)稱(chēng)加密認(rèn)證方式和AES密匙數(shù)據(jù)傳輸。設(shè)備預(yù)存云端的公鑰，這樣設(shè)備只有收到使用云端私鑰加密的信息解析出來(lái)的才是有意義的，從而可以完成云端認(rèn)證。對(duì)于偽造的云端，設(shè)備使用預(yù)存的公鑰進(jìn)行解密時(shí)，會(huì)到導(dǎo)致解密出來(lái)的信息是亂碼，進(jìn)而無(wú)法完成云端認(rèn)證。
對(duì)于Open Effect提到智能穿戴產(chǎn)品安全問(wèn)題是目前技術(shù)完全可以解決的，只是相關(guān)智能穿戴廠商對(duì)產(chǎn)品安全性以及用戶(hù)隱私保護(hù)策略認(rèn)知不夠重視，讓別有用心的人有了可趁之機(jī)。亡羊補(bǔ)牢 未為晚也！
本文推薦智能穿戴設(shè)備讓你更容易被追蹤嗎？?jī)H代表作者觀點(diǎn)，不代表本網(wǎng)站立場(chǎng)。本站對(duì)作者上傳的所有內(nèi)容將盡可能審核來(lái)源及出處，但對(duì)內(nèi)容不作任何保證或承諾。請(qǐng)讀者僅作參考并自行核實(shí)其真實(shí)性及合法性。如您發(fā)現(xiàn)圖文視頻內(nèi)容來(lái)源標(biāo)注有誤或侵犯了您的權(quán)益請(qǐng)告知，本站將及時(shí)予以修改或刪除。
