苹果的架构也不能完全避免攻击
发布时间：2015-05-13随着可穿戴设备市场走热，可穿戴设备追求市场定位分层的同时，针对不同消费者，将开发越来越丰富的功能性产品。
但因为可穿戴设备产生的数据涉及诸多个人隐私，厂商应如何突破新兴领域的安全问题成为关注焦点。
国内互联网安全漏洞平台乌云网一位网络工程师告诉21世纪经济报道记者，可穿戴领域目前还没有相关网络安全的技术标准。作为新兴产物，可穿戴设备产生的数据，介于个人网络数据与医疗数据之间。但它模糊了两者的边界，医疗数据属于强监管行业，有许多规范限制着；网络数据则是弱监管领域，不同厂商保障数据的能力良莠不齐，即使以最低要求，对数据进行加密，可能有些厂商也做得不好。
而从可穿戴设备的数据流来看，从设备到传输网络、控制端以及云端，整个过程较以往更为复杂。所以，端到端的保护也必不可少，比如整个传输过程的加密、用户端的增强型认证（生物特征识别、多因子认证等）、云端更强的权限控制和隔离等等。
就可穿戴设备的信息安全问题，21世纪经济报道记者专访了国内顶级安全团队――世界顶级黑客大赛pwn2own上连获三届冠军的keen team成员，高级安全员何淇丹。
《21世纪》：有厂商反映，自己掌握的一些数据被相关公司，如保险、医疗单位等盯上，如今可穿戴设备产生的数据是否已经进入黑产的关注领域？此类数据如果发生泄露会出现怎样的影响？
何淇丹：是的。至少从以往来看，黑客受利益或竞争对手驱动入侵医院、药物机构窃取数据的案例并不罕见，可穿戴设备作为新出现的热门领域自然也早已受到黑产关注。由于可穿戴设备的天然属性，其与用户个人信息具有更强的绑定程度，一旦泄露对用户隐私会造成毁灭性打击，甚至威胁到用户的人身健康和安全。
《21世纪》：是否发生过可穿戴设备厂商或相关生产企业信息泄露的案例？该泄露是由什么原因造成？该事件是如何解决的？
何淇丹：发生过。国内有可穿戴设备厂商在去年被报告存在越权漏洞，导致攻击者可以通过接口枚举其他手环持有者的云端信息。后经过与报告者沟通，修复了该云端接口的鉴权问题。
此外，2014年国外研究者曾携带蓝牙嗅探设备前往某马拉松比赛现场，在起跑线和终点线共记录到了563个不同设备的信息，其中，大部分都没有对信息做加密，导致研究人员可以轻易获取设备对外传输的健康信息，并通过mac地址和广播的设备名定位到具体的设备和佩戴者。该攻击演示了可穿戴数据未加密所带来的隐私风险。
《21世纪》：可穿戴设备的平台中，如apple watch中含有大量第三方应用，这些应用是否会同样获得用户在手表应用时产生的隐私数据？这些应用是否增加apple watch等设备被攻破的可能性？为什么？
何淇丹：apple对apple watch的设计在架构上力图避免这个问题，第三方应用在watch上并不以独立的形式存在，而是以iphone应用的附属形式存在。watchkit app在访问数据时需要获得用户权限许可，包括健康、位置请求在内。但是由于apple watch提供了单独联网和蓝牙通讯的功能，这些是自然的攻击面。虽然苹果在架构上力图避免，但并不能保证这种隔离是万无一失的。所以这个答案是有可能的。
《21世纪》：一般可穿戴设备都要与手机设备连接使用，这是否为攻击者增加了一个突破口？是否会降低手机的安全性？手机厂商应如何保证可穿戴设备接入的安全性？
何淇丹：理论上是可能的。因为可穿戴设备与手机间通过蓝牙通讯，如果手机对设备端考虑不严密，是有可能导致问题的出现。厂商在设计时应遵循最小攻击面、最大防范的原则，对设备和数据访问做好隔离。
《21世纪》：在可穿戴设备的信息保护上，对硬件厂商有什么要求呢？
何淇丹：厂商应对数据严格进行符合工业标准的高强度加密，例如密钥长度达到至少256位的aes加密。根据数据使用场景的不同，有更详细的要求：在征得用户允许后进行大数据挖掘时，应严格遵循匿名原则。对数据进行模糊化处理，应去除具有识别度的用户信息，防止泄露用户个人隐私。在单纯作为云端数据管理工具时，应使用用户生成或指定的密钥对数据进行不对称加密，密钥可存储于用户自身设备上，达到对用户透明而对厂商不透明。
厂商在设备与云端和终端通讯过程中应严格使用加密传输技术，并严格校验对端身份。例如，传输过程中使用的rsa公钥应至少有1024-2048位长。
同时厂商应加强对it设备、相关服务器和员工办公设备的安全加固、日志审计和入侵检测工作，防止遭到apt形式的入侵。
《21世纪》：国际上是否有一些经验可以参考？若发生此类泄露事件，又是如何惩处的？
何淇丹：苹果在这方面是一个典范，其公开的相关信息可供相关企业参考。可穿戴设备收集的数据在美国属于personally identifiable information （pii），为联邦法律所明确要求持有机构须加以保护并具有保密义务。企业对于报告漏洞的安全研究者也应持有欢迎和合作的态度，与安全社区共建安全。
监督机关应对相关企业实施数据保护的监督，并对违反守则、泄露数据的企业予以行政处罚，严重者追究相关责任人的刑事责任。
