<mark id="oztn4"></mark>
0
小米 CSO （首席安全官）陳洋家中有 74 個小米智能設備，小米生態(tài)鏈中有 2000 多個智能設備。
雷鋒網報道過可以被黑客花式吊打的電子產品有攝像頭、智能音箱、電視、空調、智能門鎖等，還有一個“藍牙肛塞被黑，全世界的菊花一緊”這種看上去無節(jié)操的黑操作。
所以，在小米做安全應該挺難的，因為小米以及小米生態(tài)鏈的消費級 IoT 產品足夠多，用戶足夠廣，這就面臨一個天然的疑問：你們搞的這么多產品，到底安不安全？
小米除了要回答這個問題，它遇到的問題可能更難一些，一方面外界對小米的各類硬軟件安全很關注，一方面小米還是個“國際米”，現在數據安全與隱私受到的關注越來越多，法律法規(guī)的要求越來越嚴格。
對2000多款IoT產品做安全
整體來看，小米分三步來保障自有產品、生態(tài)產品以及供應鏈的安全。
每一款小米的 IoT 產品在上市前要經歷一套完整的安全流程，比如在需求設計、產品開發(fā)與質量檢測階段，都要通過一系列安全規(guī)范要求和嚴格的安全測試通過后才允許量產。
這是把發(fā)現安全隱患的機會前置的思路，這樣在產品設計、開發(fā)階段就可以規(guī)避很多安全和隱私問題。一款產品只有通過安全測試后才允許進入生產環(huán)節(jié)，經過小米內部一群資深用戶的測評后才能發(fā)布，最后上市。
對于生態(tài)伙伴的產品，小米安全的整體思路是減少這些產品的攻擊面，降低“小米的朋友們”做安全工作的成本。
雷鋒網采訪過曾經做過 IoT 安全產品的安全廠商，之所以說是“曾經”，是因為受訪者當時是開了一家做IoT 安全產品的創(chuàng)業(yè)公司，但他“以為的客戶”都告訴他，消費級 IoT 產品本來就很難賺錢，做安全更是拿不出預算，碰壁太多，這個創(chuàng)業(yè)者只好轉型。
小米碰到了一樣的問題，它還要說服“盟友”。
陳洋提出的思路是，生態(tài)伙伴的產品接入越簡單，就越能降低做安全的成本。
小米的 IoT 平臺是開放平臺，他們他們把安全能力封裝在模組中，以“米家”安全認證的方式提供給小米的合作伙伴。一款生態(tài)產品花不到十塊錢的成本，就可以接入集成安全通訊等安全能力的智能模組，變成智能家電。
在小米把安全的門檻降低了的情況下，開發(fā)者只需關注自身的業(yè)務和功能。
還有供應鏈的安全。因為小米有上下游的元器件、第三方的 SDK 等供應商，除了對“隊友”的每一款產品、第三方 SDK與服務進行控制流程和安全評估。在最容易泄露用戶數據和隱私的物流、工廠環(huán)節(jié)上，小米做了“中間隱私號”的產品，在小米商城的物流體系中使用。
所謂“中間隱私號”，是指用戶到這些倉儲物流的手機號是臨時手機號。如果你使用過外賣及叫車服務，會發(fā)現外賣小哥和司機師傅打過來的電話都是以一串“非真實”號碼顯示，而你打過去的電話號碼也是以非真實號碼的方式顯示。
既然提到數據與隱私，那就離不開隱私合規(guī)。
小米集團副總裁崔寶秋首次披露，在安全與隱私委員會里，小米成立了一個隱私團隊，這個隱私團隊抽調了專職律師和安全人員，專門梳理與解讀國內外的法律法規(guī)。
在過去一年中，安全與隱私委員會做的最重要的一項工作就是 GDPR 合規(guī)，這對小米在國外市場開拓的重要性不言而喻。
現在，小米及生態(tài)鏈有 2000 多款產品，能預想到的是，這個盤子會越來越大。
盡管小米安全部有很多安全研究員，但要想讓這些可能不停迭代和冒出的新產品接受時刻安全人員的檢閱，是一個非常難完成的任務。
為了解決這個矛盾，小米采取了兩種做法。
第一，請“外援”。小米在 2013 年上線了自己的 SRC（安全應急響應中心），并采用現金獎勵。
給不熟悉安全行業(yè)的同學科普一下，成立SRC 的好處在于，白帽子可以為平臺提交發(fā)現的漏洞，眾人拾柴火焰高，這樣做的目的就是盡可能的吸引更多有安全能力的“外援”發(fā)現自家的安全隱患。不過，SRC 這種模式基本也是由一些“有預算”的廠商創(chuàng)立，在一些沒有安全預算的公司，很可能存在“一個人的安全部”的情況。
今年，小米請的“外援”對象已經拓寬到全球的白帽子。不過，不知道它對全球白帽子發(fā)的是人民幣還是美元。
第二，讓智能程序上馬，這個智能程序也就是雷鋒網之前提到的“MiEye”，把 IoT 產品引入這個平臺之后，可以實現模擬不同國家、區(qū)域的法律、法規(guī)要求進行評估以及自動化調試。
“MiEye”的特點之一是可以進行大規(guī)模、分布式、不間斷的檢測。因為 IoT 設備非常特殊，可能會有一些低頻操作，比如在一些特殊場景與狀態(tài)下才會產生的聯動行為，這是傳統(tǒng)人工測試容易疏忽的地方。“MiEye”的作用就是 24 小時盯著這些“檢測對象”的網絡行為，及時處理。
一開始，陳洋他們沒想做“MiEye”，因為大多數設備都是通過無線路由器連接互聯網的，他們做了一個路由器，在路由器上做一些抓包、分析、檢測、掃描等，通過 WiFi 鏈路通訊做一些自動化的檢測。緊接著，他們發(fā)現光做路由器不夠，小米還有很多基于藍牙通訊的產品，于是他們又做了一個針對藍牙通信安全的自動化檢測平臺 BlueEye。
后來，他們又做了基于手機端的檢測引擎，也就是“APKScan”。
最后，這個 AIoT 安全與隱私自動化檢測平臺成型時，囊括了云端引擎、多國節(jié)點、路由引擎、BlueEye、手機引擎、APKScan、FirmwareScan。
【小米首席安全官陳洋】
陳洋：現在我們有兩個重點實驗室，每個實驗室有10多人，一個是 AIoT 實驗室，一個是移動安全實驗室，后者負責手機端的軟件產品。
實驗室首先是保障自己產品的需求，然后在業(yè)余時間做一些其他研究。它還會承接滲透測試藍軍的工作，我會設想哪些地方可能有風險，設置一個攻擊目標，然后由他們完成。其實，我們最早就是以攻防的方式在做安全，去年，藍軍的成立把攻防的難度加大，以前可能不會設計過高的目標，現在可以設置更專業(yè)化的攻擊目標。
陳洋：我們認為做安全不是“在某一個地方擋住”就行，以一個酒店為例，如果會議室是我們重點要保護的區(qū)域，在酒店大堂設一道安檢肯定不夠，酒店的門特別多，要守的出口越多，縱深防御的理念就是在每一個可以防御的地方設防，因為我們要假設每一層防御都可能被繞過、被攻破，但是后面的還有一些防御體系能夠把之前漏掉的攻擊再防住。
因此，我們要對這些威脅進行分析，構建攻擊鏈，假定黑客攻擊成功，需要滿足什么樣的攻擊鏈，先把攻擊路徑先找出來，在這個攻擊路徑上層層設防。
陳洋：現在有很多危害很巨大的一些風險因為人盡皆知，反倒沒人提起。
比如釣魚郵件，這種形式已經出現幾十年，到目前也沒有解決由釣魚郵件引發(fā)的問題。我們做了一些釣魚測試，不管怎么測，總會有百分之二三十的人會把密碼交出來。
我跟蹤過一些很賺錢的黑產，他們用的技術手段是非常落后的，比如群發(fā)郵件，有人中招之后，黑產設置郵箱自動轉發(fā)，天天看著郵件，如果涉及公司合同、投資往來等，他就偽造那家公司，把別人郵件里的付款方賬號改掉，他就能賺很多錢。
陳洋：第一，個人消費設備產品，看起來它越來越安全，實際上關注的人也越來越多。第二，To B 的行業(yè)的解決方案，因為它相對是比較封閉的，普通的安全研究人員接觸不到。
陳洋：在我看來，5G 最大的風險是速度太快了，速度太快導致一些流氓軟件可以更快地偷用戶的數據。
以前，我們遇到的攻擊是黑站，在網站上掛一個黑頁。2008 年以后，流行的是拖庫，為什么九幾年、零幾年很少有拖庫的現象？因為網速慢，硬盤貴，拖庫要很久，要花很多錢買硬盤存拖下來的數據。
比如，每個人手機相冊里有很多照片，在網絡速度有限的情況下，很少有流氓應用一下把手機里所有的照片偷走，不是它沒有能力偷，而是傳輸這些照片需要很長時間，手機耗電很快，會發(fā)燙。但 5G 傳得快，幾秒鐘、幾分鐘就能把幾 G 的照片都偷走。偷走以后，攻擊者再在云端去通過 AI 分析哪是你的家，哪是你的身份證，哪是你的銀行卡。
雷峰網原創(chuàng)文章，未經授權禁止轉載。詳情見轉載須知。
