行业动态
您当前位置:首页 > 新闻动态 > 行业动态

可穿戴网络安全技术无标准,设备安全如何防?

责任编辑:盈高科技    时间:2015-05-11    浏览次数:3295

随着可穿戴设备市场走热,可穿戴设备产生了大量涉及诸多个人隐私的数据,厂商应如何突破新兴领域的安全问题成为关注焦点。
   
     国内互联网安全漏洞平台乌云网一位网络工程师告诉21世纪经济报道记者,可穿戴领域目前还没有相关网络安全的技术标准。作为新兴产物,可穿戴设备产生的数据,介于个人网络数据与医疗数据之间。但它模糊了两者的边界,医疗数据属于强监管行业,有许多规范限制着;网络数据则是弱监管领域,不同厂商保障数据的能力良莠不齐,即使以最低要求,对数据进行加密,可能有些厂商也做得不好。

     就可穿戴设备的信息安全问题,21世纪经济报道记者专访了世界顶级黑客大赛Pwn2Own上连获三届冠军的keen team成员,高级安全员何淇丹,得到以下信息。
 
     可穿戴设备产生的数据已被黑产的关注,已有可穿戴设备厂商或相关企业信息被窃取。
     黑客受利益或竞争对手驱动入侵医院、药物机构窃取数据的案例并不罕见,可穿戴设备作为新出现的热门领域自然也早已受到黑产关注。而国内有可穿戴设备厂商在去年被报告存在越权漏洞,导致攻击者可以通过接口枚举其他手环持有者的云端信息。由于可穿戴设备的天然属性,其与用户个人信息具有更强的绑定程度,一旦泄露对用户隐私会造成毁灭性打击,甚至威胁到用户的人身健康和安全。

     可穿戴设备的平台中,如Apple Watch中含有大量第三方应用产生的隐私数据有可能增加Apple Watch等设备被攻破的可能性。
     Apple对Apple watch的设计在架构上力图避免这个问题,第三方应用在watch上并不以独立的形式存在,而是以iPhone应用的附属形式存在。Watchkit App在访问数据时需要获得用户权限许可,包括健康、位置请求在内。但是由于Apple watch提供了单独联网和蓝牙通讯的功能,这些是自然的攻击面。虽然苹果在架构上力图避免,但并不能保证这种隔离是万无一失的,有可能会增加Apple Watch等设备被攻破的可能性。

    可穿戴设备与手机设备连接使用可能为攻击者增加了一个突破口。
    因为可穿戴设备与手机间通过蓝牙通讯,如果手机对设备端考虑不严密,是有可能导致问题的出现。厂商在设计时应遵循最小攻击面、最大防范的原则,对设备和数据访问做好隔离。

    在可穿戴设备的信息保护上,厂商应对数据严格进行符合工业标准的高强度加密。
    厂商应对数据严格进行符合工业标准的高强度加密,例如密钥长度达到至少256位的AES加密。根据数据使用场景的不同,有更详细的要求:在征得用户允许后进行大数据挖掘时,应严格遵循匿名原则。对数据进行模糊化处理,应去除具有识别度的用户信息,防止泄露用户个人隐私。在单纯作为云端数据管理工具时,应使用用户生成或指定的密钥对数据进行不对称加密,密钥可存储于用户自身设备上,达到对用户透明而对厂商不透明。
    厂商在设备与云端和终端通讯过程中应严格使用加密传输技术,并严格校验对端身份。例如,传输过程中使用的RSA公钥应至少有1024-2048位长。
    同时厂商应加强对IT设备、相关服务器和员工办公设备的安全加固、日志审计和入侵检测工作,防止遭到APT形式的入侵。

    若发生可穿戴设备信息泄露事件,国际上苹果公司的经验可以做参考。
    苹果在这方面是一个典范,其公开的相关信息可供相关企业参考。可穿戴设备收集的数据在美国属于Personally identifiable information (PII),为联邦法律所明确要求持有机构须加以保护。企业对于报告漏洞的安全研究者也应持有欢迎和合作的态度,与安全社区共建安全。

    监督机关应对相关企业实施数据保护的监督,并对违反守则、泄露数据的企业予以行政处罚,严重者追究相关责任人的刑事责任。