智能家居普及背後的隱形危機
智能門鎖、燈泡、馬桶、溫控器、攝像頭……ABI Research 數據顯示，2013 年全球約 100 億台聯網設備，預計 2020 年達 300 億，增量主力將是廉價傳感器類 IoT 設備。然而，Trustwave 安全研究員 Bryan 與 Crowley 的測試結果令人不寒而慄：幾乎所有測試產品均存在嚴重安全漏洞，且幾乎未採取任何防護措施。
典型漏洞案例
- Veralight 中心控制器：默認無需用戶名/密碼即可進入控制系統；啟用安全功能後仍可多種方式繞過認證。
- Satis 智能馬桶：任意 Android 手機可無配對直接控制，強制沖水、大聲播放音樂。
- Lockitron 智能門鎖：上市前即被發現認證繞過漏洞，新版雖加入非主人使用郵件告警，但仍可被破解。
- 兒童玩具攝像頭：可被遠程啟動偷拍 (華大 Yoshi Kohno 發現)。
- 汽車、醫療設備：同樣存在遠程控制風險。
核心問題：零認證、無加密、無更新機制
- 無認證機制：設備出廠默認開放，無強制密碼策略。
- 通訊明文傳輸：數據未加密，易被竊聽、篡改、重放。
- 固件無法更新：漏洞發現後無 OTA 升級路徑，設備永久暴露。
- 供應鏈安全缺失：第三方庫、舊版內核、硬編碼密鑰普遍存在。
規模化攻擊風險：單點失效引發整體淪陷
同一樓宇/小區常部署同品牌/同型號設備。一旦某型號門鎖存在漏洞被利用，攻擊者可批量入侵整棟樓/整個小區，物理安全防線徹底瓦解。Kamin Whitehouse (弗吉尼亞大學) 指出：即使加密傳輸，攻擊者仍可通過流量分析推斷用戶生活習慣 (作息、在家時長、設備使用模式)，隱私洩露難以根治。
廠商回應冷淡：推卸責任、輕視風險
- Veralight 稱「安全係數與市面產品持平或更高」。
- Lixel (日本智能馬桶) 稱「屬特殊情況，需配對才能使用」——實測證偽。
- 多數廠商拒絕承認錯誤，更無主動召回/修補計畫。
專家呼籲：安全左移、建立 IoT 安全基線
- 法規強制：推動 IoT 安全認證強制標準 (如加州 SB-327、歐盟網絡安全法案)。
- 安全開發生命周期 (SDL)：威脅建模、代碼審計、滲透測試、發布前認證。
- 最小權限原則：默認拒絕、強制認證、角色訪問控制 (RBAC)。
- 全生命週期管理：強制 OTA 更新能力、漏洞響應 SLA、設備壽命結束公告。
- 用戶教育：修改默認密碼、隔離 IoT 網段 (VLAN)、關閉不必要服務、定期檢查固件版本。
結語
物聯網賦予萬物互聯的便利，卻也將攻擊面擴展至物理世界的每個角落。「別等到出了事再後悔」 (Yoshi Kohno 語) —— 廠商必須將安全視為產品核心質量屬性而非可選附件；監管機構需建立強制基線；用戶應養成基本安全衛生習慣。唯有多方共治，才能讓智能生活不淪為「透明生活」。