365体育备用网址

信息安全领域专家何淇丹如何让可穿戴设备更安全?

随着可穿戴设备市场走热,可穿戴设备追求市场定位分层的同时,针对不同消费者,将开发越来越丰富的功能性产品。

但因为可穿戴设备产生的数据涉及诸多个人隐私,厂商应如何突破新兴领域的安全问题成为关注焦点。

国内互联网安全漏洞平台乌云网一位网络工程师告诉21世纪经济报道记者,可穿戴领域目前还没有相关网络安全的技术标准。作为新兴产物,可穿戴设备产生的数据,介于个人网络数据与医疗数据之间。但它模糊了两者的边界,医疗数据属于强监管行业,有许多规范限制着;网络数据则是弱监管领域,不同厂商保障数据的能力良莠不齐,即使以最低要求,对数据进行加密,可能有些厂商也做得不好。

而从可穿戴设备的数据流来看,从设备到传输网络、控制端以及云端,整个过程较以往更为复杂。所以,端到端的保护也必不可少,比如整个传输过程的加密、用户端的增强型认证(生物特征识别、多因子认证等)、云端更强的权限控制和隔离等等。

就可穿戴设备的信息安全问题,21世纪经济报道记者专访了国内顶级安全团队——世界顶级黑客大赛Pwn2Own上连获三届冠军的keen team成员,高级安全员何淇丹。

《21世纪》:有厂商反映,自己掌握的一些数据被相关公司,如保险、医疗单位等盯上,如今可穿戴设备产生的数据是否已经进入黑产的关注领域?此类数据如果发生泄露会出现怎样的影响?

何淇丹:是的。至少从以往来看,黑客受利益或竞争对手驱动入侵医院、药物机构窃取数据的案例并不罕见,可穿戴设备作为新出现的热门领域自然也早已受到黑产关注。由于可穿戴设备的天然属性,其与用户个人信息具有更强的绑定程度,一旦泄露对用户隐私会造成毁灭性打击,甚至威胁到用户的人身健康和安全。

《21世纪》:是否发生过可穿戴设备厂商或相关生产企业信息泄露的案例?该泄露是由什么原因造成?该事件是如何解决的?

何淇丹:发生过。国内有可穿戴设备厂商在去年被报告存在越权漏洞,导致攻击者可以通过接口枚举其他手环持有者的云端信息。后经过与报告者沟通,修复了该云端接口的鉴权问题。

此外,2014年国外研究者曾携带蓝牙嗅探设备前往某马拉松比赛现场,在起跑线和终点线共记录到了563个不同设备的信息,其中,大部分都没有对信息做加密,导致研究人员可以轻易获取设备对外传输的健康信息,并通过MAC地址和广播的设备名定位到具体的设备和佩戴者。该攻击演示了可穿戴数据未加密所带来的隐私风险。

《21世纪》:可穿戴设备的平台中,如Apple Watch中含有大量第三方应用,这些应用是否会同样获得用户在手表应用时产生的隐私数据?这些应用是否增加Apple Watch等设备被攻破的可能性?为什么?

何淇丹:Apple对Apple watch的设计在架构上力图避免这个问题,第三方应用在watch上并不以独立的形式存在,而是以iPhone应用的附属形式存在。Watchkit App在访问数据时需要获得用户权限许可,包括健康、位置请求在内。但是由于Apple watch提供了单独联网和蓝牙通讯的功能,这些是自然的攻击面。虽然苹果在架构上力图避免,但并不能保证这种隔离是万无一失的。所以这个答案是有可能的。

《21世纪》:一般可穿戴设备都要与手机设备连接使用,这是否为攻击者增加了一个突破口?是否会降低手机的安全性?手机厂商应如何保证可穿戴设备接入的安全性?

何淇丹:理论上是可能的。因为可穿戴设备与手机间通过蓝牙通讯,如果手机对设备端考虑不严密,是有可能导致问题的出现。厂商在设计时应遵循最小攻击面、最大防范的原则,对设备和数据访问做好隔离。

《21世纪》:在可穿戴设备的信息保护上,对硬件厂商有什么要求呢?

何淇丹:厂商应对数据严格进行符合工业标准的高强度加密,例如密钥长度达到至少256位的AES加密。根据数据使用场景的不同,有更详细的要求:在征得用户允许后进行大数据挖掘时,应严格遵循匿名原则。对数据进行模糊化处理,应去除具有识别度的用户信息,防止泄露用户个人隐私。在单纯作为云端数据管理工具时,应使用用户生成或指定的密钥对数据进行不对称加密,密钥可存储于用户自身设备上,达到对用户透明而对厂商不透明。

厂商在设备与云端和终端通讯过程中应严格使用加密传输技术,并严格校验对端身份。例如,传输过程中使用的RSA公钥应至少有1024-2048位长。

 

同时厂商应加强对IT设备、相关服务器和员工办公设备的安全加固、日志审计和入侵检测工作,防止遭到APT形式的入侵。

《21世纪》:国际上是否有一些经验可以参考?若发生此类泄露事件,又是如何惩处的?

何淇丹:苹果在这方面是一个典范,其公开的相关信息可供相关企业参考。可穿戴设备收集的数据在美国属于Personally identifiable information (PII),为联邦法律所明确要求持有机构须加以保护并具有保密义务。企业对于报告漏洞的安全研究者也应持有欢迎和合作的态度,与安全社区共建安全。

监督机关应对相关企业实施数据保护的监督,并对违反守则、泄露数据的企业予以行政处罚,严重者追究相关责任人的刑事责任。

 

 

 

 

 

 

 


www.caoyuanheniu.com,www.bjyuhantang.com,www.hbqingye.com,www.jsjsdjn.com,www.gdzhibo.cn,www.jx422.com,www.zhiruidm.com,www.eyplay.com,www.jxqingzhu.com,www.qqlrc.com
友情链接:365体育备用网址