近日，知名網絡安全企業Dark3發布了一份針對物聯網安全的報告。報告顯示，越來越多的物聯網設備遭受威脅，大部分正在進行零售的物聯網設備正在收集、傳遞甚至是分析使用者的隱私，一些設備的信息傳遞不設加密過程。使用這些物聯網設備的用戶個人信息和數據存在極大的向全球傳播的風險。報告也指出，測試的設備中仍然有一部分程序和固件都比較安全，價格也并不更昂貴的設備。但是由于廠商和零售商缺乏對于安全問題的關注，消費者很難區分哪些是安全風險小的設備。

在我國，IoT、AI+IoT等話題備受關注，而愈演愈烈的物聯網商業競爭吸引了更多的企業加入之余，也出現了關于物聯網安全的質疑聲，“安全”是每一次重大物聯網行業峰會都會被提及的詞匯。

“安全”也成為物聯網生態創建至今最容易被“主動忽略”的關鍵詞。

“主動忽略”是物聯網快速增長的市場選擇：一方面碎片化的物聯網產業并沒有形成成熟的行業規則，這就導致一些企業受到較少的約束，為了追趕快速增長的市場以得到戰略優勢，“不得不”在做決策的時候更多地向“效益”妥協而更少關注安全。另一方面，安全應該作為一種基因需要整個行業共同努力，單獨企業的修補行為并不能解決整個行業包括制造和零售的系統性問題，任何一個環節的“單打獨斗”無法從根本上解決問題，總會有新的安全問題冒出來。

報告總結了產生物聯網安全問題的原因：

受審查的一些較安全設備實際上把第三方通信保持很低的限度，只遵循基本的安全原則。而一些設備部署在第三方云平臺上，這些云平臺不完全加密的傳輸導致加密審核可以被旁路。例如，一些安卓App SDK未對數據進行加密，導致他人可以用一部電腦知道用戶房間內插座、燈或者其他設備的打開或關閉狀態，甚至可以發出指令操控用戶的設備，而房間主人除了斷電之外沒有其他辦法阻止這樣的操控。

安卓程序漏洞非常多。為了控制設備用戶需要下載安卓程序并連接設備，這些應用程序本身需要大量權限，僅僅調暗燈泡這一個動作都能泄露用戶的隱私，其他巨大的、待挖掘數據是用戶無法想象的。

提供設備和服務的企業對安全的漠視讓安全問題更加嚴重。一些公司的設備從硬件到應用程序都存在安全問題，此外，一些設備為了更好的用戶體驗與第三方進行了交互和關聯，這使設備、數據通信和應用程序綁定，同時也擴大了隱私數據的擴散范圍。

不是使用了云基礎架構就一定安全。一些第三方云平臺公司聲稱他們的云平臺是部署在AWS或者其他云平臺上，因此云平臺是安全的，這是完全不成立的。即使平臺部署在AWS上，不能做到宣傳那樣的加密，安全漏洞就永遠存在。

任何公司或生產環節個體的補丁和挽救無法解決整個行業的系統性問題。一些企業的確可以通過修補設備來解決發現的問題，但是如果想重拾消費者對于物聯網產品的信心，需要整個行業意識到根本問題并通過行業規范和行業承諾來進行約束。制造商受到法律和道德的約束，零售商把安全作為采購決策中重要的組成部分，從上到下形成安全維護意識，才能讓整個行業健康規范前行。

該安全企業也發出了建議：消費者的安全必須得到保護。在社會新技術面前，不知情的消費者處于弱勢地位，因為他們沒有能力做決策，但是消費者有權要求零售商保護他們遠離不安全的物聯網設備。

零售商必須為所有不安全設備負責任。一些制造工廠和平臺對安全問題的漠視導致了安全問題，但是零售商有責任對供貨商提出安全要求或者形成有安全保障的供應鏈。關注安全問題并不會增加成本反而會增加消費者的信任，減少風險成本。在這個過程中，選擇安全可靠并且符合當地法規的平臺公司是非常必要的，一些權威機構的獨立第三方認證也可以提供指導，如服務組織控制報告SOC認證。

政府的參與很必要。政府法律法規的出臺在一定程度上能夠減小安全風險，只有政府才有能力和權力要求公民得到保護。令人欣慰的是，一些權威的對于平臺安全性的評估已經發布，例如MachNation2019發布了云平臺的實際使用測試報告，包括Ayla平臺在內的20家云平臺均通過了該機構的安全評估測試。

不過，消費者無須對物聯網技術產生恐慌，因為有更多的企業正在為了保護用戶數據而努力。他們不光幫助企業保護終端用戶的隱私，還引導企業在保護數據的同時正確規避法律風險，努力促進行業規范的形成。

責任編輯：ct