2019互联网设备-智能音箱安全白皮书_38页_1mb

《2019年互联网设备-智能音箱安全白皮书》总结

核心内容概述

《2019年互联网设备-智能音箱安全白皮书》由中国信息通信研究院中国泰尔实验室发布，旨在分析智能音箱产业的安全现状、存在的主要安全风险及应对建议，推动行业健康发展，保障用户合法权益。

主要观点与关键信息

一、智能音箱产业安全现状

• 智能音箱作为智能家居的核心设备，其广泛应用带来便利的同时，也暴露了诸多信息安全问题。
• 安全事件频发，包括隐私泄露、设备被远程控制、数据污染等。
• 安全威胁呈现多样化趋势，包括数据攻击、拒绝服务攻击、会话劫持、恶意应用静默安装等。

二、2019智能音箱安全评测报告

（一）智能音箱安全行业标准

• 中国信息通信研究院牵头制定《智能音箱产品安全能力技术要求和测试方法》（征求意见稿），涵盖安全能力框架、技术要求、分级和测试方法。
• 标准旨在为产品厂商、采购者、评估机构提供通用的安全要求和测试依据。

（二）硬件安全评测

• 评测内容：检查主板和物理接口是否存在调试入口或未加密存储数据。
• 评测结论：
  • 70%的设备保留调试接口（如JTAG、UART等）。
  • 90%的设备使用未加密的存储芯片，存在固件和敏感信息泄露风险。
• 典型问题：
  • 调试接口暴露，攻击者可通过物理接触获取Root权限。
  • 固件未加密，存在被篡改和恶意程序植入的风险。

（三）操作系统安全评测

• 评测内容：分析操作系统漏洞及固件更新机制。
• 评测结论：
  • 90%以上的固件更新机制不安全，存在更新包被篡改或替换的风险。
  • 系统漏洞修复比例低，存在被攻击获取Root权限的隐患。
• 典型问题：
  • 系统未进行加固，存在代码注入和远程代码执行漏洞。
  • 未对更新包进行签名校验，可能导致恶意程序安装。

（四）应用安全评测

• 评测内容：检查移动应用的安全性，包括安装、运行、更新等环节。
• 评测结论：
  • 80%的应用未进行安全加固，存在被反编译和恶意代码植入风险。
• 典型问题：
  • 应用逆向后可篡改运行逻辑，植入恶意代码。
  • 更新包未校验，存在被篡改的可能性。

（五）无线通信安全评测

• 评测内容：测试音箱与移动端、服务端之间的通信安全。
• 评测结论：
  • 60%的音箱使用不安全传输协议，存在明文传输和数据泄露风险。
• 典型问题：
  • OTA升级包地址明文传输，存在被篡改和恶意程序下发的风险。
  • 通信链路未采用强认证，存在中间人攻击和数据篡改风险。

（六）用户个人信息安全评测

• 评测内容：检查个人信息的收集、传输、存储、删除等环节。
• 评测结论：
  • 70%以上产品存在Root权限获取风险，可被用于窃听用户。
  • 个人信息明文传输，存在被非法获取和篡改的可能。
• 典型问题：
  • 通过抓取通信数据获取用户隐私信息。
  • 通过Root权限静默安装录音工具，实施窃听。

2019智能音箱十大安全风险

1. 个人信息收集处理规则模糊，存在过度收集和使用风险
2. 个人信息明文传输，存在数据泄露风险
3. 个人信息不安全存储，存在未授权访问风险
4. 设备硬件调试接口暴露，存在固件及敏感信息提取风险
5. 设备系统更新不及时，存在高危漏洞利用风险
6. 设备系统更新机制不安全，存在更新包篡改或替换风险
7. 设备系统防护不足，存在恶意应用静默安装风险
8. 身份认证机制缺陷，存在会话劫持风险
9. 移动应用安全防护不足，存在恶意代码植入风险
10. 设备漏洞引发跳板攻击，影响互联设备安全

智能音箱用户个人信息保护建议

• 规范个人信息收集使用规则：明确收集内容、目的、方式和范围，确保用户知情权和选择权。
• 落实告知同意原则：用户应主动确认信息收集行为，提供语音或按键确认方式。
• 加强音频等敏感信息全生命周期安全防护：包括加密存储、传输、删除等环节，防止信息泄露。
• 明确预置应用信息收集规则及责任归属：预置应用应单独明示收集规则，确保用户可控。
• 加强预置应用权限调用可知可控力度：用户应能清楚了解权限调用情况并自主选择是否授权。

智能音箱网络安全防护建议

• 设备出厂前关闭调试接口：采用TESTPIN方式，避免敏感信息泄露。
• 采用最新操作系统及代码库：提升系统安全性和用户隐私保护能力。
• 对系统及应用进行安全加固：包括代码混淆、数据加密、完整性校验等。
• 采用安全存储技术：集成安全芯片或采用软安全区存储关键信息。
• 完善身份认证机制：建立端到端双向身份认证，采用安全证书防止中间人攻击。

产业安全防护行动倡议

• 加强行业自律：明确企业主体责任，推动产业健康发展。
• 推进标准规范制定：制定统一的安全标准，提升行业整体安全防护水平。
• 依托社会公众监督：建立便捷的用户举报机制，加强安全监管。
• 鼓励各方合作共享：推动产业链协作，共享技术经验，提升安全能力。

总结

本白皮书全面分析了智能音箱在安全方面的现状与风险，提出了一系列切实可行的建议和倡议，涵盖个人信息保护、系统安全加固、通信安全优化等多个方面。通过行业自律、标准制定、技术共享等手段，旨在构建更加安全、可信的智能音箱生态系统，保障用户隐私与数据安全。