可穿戴网络安全技术无标准，设备安全如何防？
责任编辑：盈高科技 时间：2015-05-11 浏览次数：3834
随着可穿戴设备市场走热，可穿戴设备产生了大量涉及诸多个人隐私的数据，厂商应如何突破新兴领域的安全问题成为关注焦点。
国内互联网安全漏洞平台乌云网一位网络工程师告诉21世纪经济报道记者，可穿戴领域目前还没有相关网络安全的技术标准。作为新兴产物，可穿戴设备产生的数据，介于个人网络数据与医疗数据之间。但它模糊了两者的边界，医疗数据属于强监管行业，有许多规范限制着；网络数据则是弱监管领域，不同厂商保障数据的能力良莠不齐，即使以最低要求，对数据进行加密，可能有些厂商也做得不好。
就可穿戴设备的信息安全问题，21世纪经济报道记者专访了世界顶级黑客大赛Pwn2Own上连获三届冠军的keen team成员，高级安全员何淇丹，得到以下信息。
可穿戴设备产生的数据已被黑产的关注，已有可穿戴设备厂商或相关企业信息被窃取。
黑客受利益或竞争对手驱动入侵医院、药物机构窃取数据的案例并不罕见，可穿戴设备作为新出现的热门领域自然也早已受到黑产关注。而国内有可穿戴设备厂商在去年被报告存在越权漏洞，导致攻击者可以通过接口枚举其他手环持有者的云端信息。由于可穿戴设备的天然属性，其与用户个人信息具有更强的绑定程度，一旦泄露对用户隐私会造成毁灭性打击，甚至威胁到用户的人身健康和安全。
可穿戴设备的平台中，如Apple Watch中含有大量第三方应用产生的隐私数据有可能增加Apple Watch等设备被攻破的可能性。
Apple对Apple watch的设计在架构上力图避免这个问题，第三方应用在watch上并不以独立的形式存在，而是以iPhone应用的附属形式存在。Watchkit App在访问数据时需要获得用户权限许可，包括健康、位置请求在内。但是由于Apple watch提供了单独联网和蓝牙通讯的功能，这些是自然的攻击面。虽然苹果在架构上力图避免，但并不能保证这种隔离是万无一失的，有可能会增加Apple Watch等设备被攻破的可能性。
可穿戴设备与手机设备连接使用可能为攻击者增加了一个突破口。
因为可穿戴设备与手机间通过蓝牙通讯，如果手机对设备端考虑不严密，是有可能导致问题的出现。厂商在设计时应遵循最小攻击面、最大防范的原则，对设备和数据访问做好隔离。
在可穿戴设备的信息保护上，厂商应对数据严格进行符合工业标准的高强度加密。
厂商应对数据严格进行符合工业标准的高强度加密，例如密钥长度达到至少256位的AES加密。根据数据使用场景的不同，有更详细的要求：在征得用户允许后进行大数据挖掘时，应严格遵循匿名原则。对数据进行模糊化处理，应去除具有识别度的用户信息，防止泄露用户个人隐私。在单纯作为云端数据管理工具时，应使用用户生成或指定的密钥对数据进行不对称加密，密钥可存储于用户自身设备上，达到对用户透明而对厂商不透明。
厂商在设备与云端和终端通讯过程中应严格使用加密传输技术，并严格校验对端身份。例如，传输过程中使用的RSA公钥应至少有1024-2048位长。
同时厂商应加强对IT设备、相关服务器和员工办公设备的安全加固、日志审计和入侵检测工作，防止遭到APT形式的入侵。
若发生可穿戴设备信息泄露事件，国际上苹果公司的经验可以做参考。
苹果在这方面是一个典范，其公开的相关信息可供相关企业参考。可穿戴设备收集的数据在美国属于Personally identifiable information （PII），为联邦法律所明确要求持有机构须加以保护。企业对于报告漏洞的安全研究者也应持有欢迎和合作的态度，与安全社区共建安全。
监督机关应对相关企业实施数据保护的监督，并对违反守则、泄露数据的企业予以行政处罚，严重者追究相关责任人的刑事责任。