智能家居越来越普及 安全问题怎么破？

　　近年来，随着相关技术和产业链快速发展，应用场景持续丰富，智能家居在日常生活中越发普及。随之而来的是设备安全性问题。

　　2021年11月至2022年2月，上海市消保委联合第三方专业机构，在主流电商平台选取6款搜索排名靠前的智能门铃和门禁产品，开展智能家居设备安全性能测试。

　　A、B、C品牌为智能门铃，有App以及Web后台。D、E、F品牌为智能门禁，有小程序以及Web后台。经过测试，发现有三个主要安全漏洞需要关注：

　　第一，攻击者可以通过抓包软件绕过认证，获取服务端或客户端大量信息。

　　如D、F品牌产品，攻击者可以抓取提交到服务端的验证数据包，对其暴力破解，绕开认证并查看服务端存储的大量用户信息，也可以在客户端进行抓包并修改回应包，看到用户个人信息。

　　第二，攻击者可以通过简单粗暴的“抓包”加暴力破解弱密码，利用漏洞组合获取用户的账号和密码，登录后获得他人摄像头、麦克风等权限，自由调取录像，甚至听取房间家庭成员间的交谈。

　　测试B品牌时，攻击者先通过“抓包”，挖掘出用户手机号码。如果该用户密码设置过于简单，比如是默认密码或是简单的数字密码，攻击者对密码逐个推算，反复试错，得到相应的密码，登录后窃取用户隐私。

　　第三，攻击者可以利用应用程序传参验证过滤不严，在后台不知情的条件下实现非法授权和操作，导致攻击者构造的数据库代码被后台执行。攻击者可以未经授权访问数据库，结合其他漏洞实现远程开电子门锁等功能，消费者居家安全面临风险。

　　此外，这些设备还存在中间人攻击、文件上传等漏洞，而且不少产品属于相同设备代工生产，同质化情况较严重。

　　值得注意的是，虽然本次模拟黑客攻击的测试针对的是智能门铃和智能门禁类产品，但智能化家电家居设备在底层技术、通用硬件、数据后台等方面有高度类同性。专家组判断，市场上相当比例的智能家居产品信息安全水平普遍较低，消费者隐私存在较大风险。

　　上海市消保委建议，消费者可尽量选购大品牌智能家居产品，以及具有输入错误报警和防破坏报警功能的产品。日常使用过程中提高数字密码安全系数，强化网络安全防范意识，及时更新系统、升级固件；智能家居厂商应该不断提升终端设备安全性能等级，加强云端数据安全管理，把重心从营销转移到技术研发上；相关部门要尽快开展智能家居产品安全性能调研，排摸相关风险，针对技术、系统漏洞带来的危害和风险出台相关的安全标准和规范。

　　（责任编辑 叶佳琪）