信通院-2019互联网设备-智能音箱安全白皮书38页_1mb

《2019年互联网设备-智能音箱安全白皮书》总结

核心内容

《2019年互联网设备-智能音箱安全白皮书》由中国信息通信研究院中国泰尔实验室发布，旨在分析智能音箱产业的安全现状、主要风险及应对措施，推动行业自律与安全防护体系建设，保护用户隐私与数据安全。

主要观点

• 智能音箱作为智能家居的核心设备，具备语音交互、互联网服务、设备扩展等能力，其广泛应用也带来了严重的安全风险。
• 智能音箱面临的主要安全威胁包括用户隐私泄露、设备远程控制、系统漏洞利用、恶意软件植入、跳板攻击等。
• 当前智能音箱的安全问题主要体现在硬件、操作系统、应用、通信协议和用户信息处理等多个层面。

关键信息

一、智能音箱产业安全现状

• 智能音箱设备在快速普及过程中，信息安全问题日益突出，成为制约其发展的关键因素。
• 智能音箱在语音交互中会收集大量用户音频数据，包括声纹、指纹、人脸等敏感信息，但相关规则常模糊不清，存在过度收集与使用风险。
• 2017年，亚马逊、谷歌等智能音箱被指控存在“偷听”行为，引发对用户隐私保护的广泛担忧。
• 2018年DEFCON大会上，研究人员仅用26秒即破解Amazon Echo，展示了智能音箱易受攻击的特性。
• 2019年，研究人员通过激光操控设备实现远程控制，进一步揭示了智能音箱在物理层和通信层的脆弱性。

二、2019智能音箱安全评测报告

• 中国泰尔实验室依据《智能音箱产品安全能力技术要求和测试方法》（征求意见稿）对11个品牌的智能音箱进行安全评测。
• 硬件安全：70%的设备保留调试接口，暴露Test PIN，存在固件和敏感信息被提取的风险；90%的设备使用未加密存储芯片。
• 操作系统安全：系统更新机制不安全，90%以上固件升级未进行签名校验或加密，存在恶意程序植入风险。
• 应用安全：80%的APP未进行安全加固，存在反编译、代码注入、恶意更新等风险。
• 无线通信安全：60%的设备使用不安全传输协议，存在明文传输、中间人攻击、地址篡改等风险。
• 用户个人信息安全：70%以上设备存在Root权限获取漏洞，可被用于窃听用户隐私；部分设备存在明文传输用户信息的问题。

三、2019智能音箱十大安全风险

1. 个人信息收集处理规则模糊：存在过度收集和使用风险，未明确告知用户收集方式与目的。
2. 个人信息明文传输：未加密传输用户信息，易被窃取。
3. 个人信息不安全存储：未加密存储用户数据，存在未授权访问风险。
4. 设备硬件调试接口暴露：调试接口未关闭，存在固件及敏感信息提取风险。
5. 设备系统更新不及时：未及时修复漏洞，存在高危漏洞利用风险。
6. 设备系统更新机制不安全：固件未进行签名校验或加密，存在更新包篡改或替换风险。
7. 设备系统防护不足：存在恶意应用静默安装风险，用户隐私易被窃取。
8. 身份认证机制缺陷：存在会话劫持风险，攻击者可伪造身份获取用户数据。
9. 移动应用安全防护不足：存在恶意代码植入风险，影响音箱系统安全。
10. 设备漏洞引发跳板攻击：通过音箱控制其他互联设备，形成攻击链。

四、用户个人信息保护建议

1. 规范个人信息收集使用规则：明确收集内容、目的、方式、范围等，包括音频、位置、生物识别等敏感信息。
2. 落实告知同意原则：通过弹窗、语音提示等方式告知用户，确保用户知情权与选择权。
3. 加强敏感信息全生命周期防护：包括收集、存储、传输、删除等环节，采用加密存储和传输技术。
4. 明确预置应用个人信息规则：预置应用应单独明示个人信息收集使用规则，避免用户信息被随意收集。
5. 加强预置应用权限调用控制：提升用户对权限调用的知情权与控制权，防止信息泄露。

五、网络安全防护建议

1. 关闭调试接口：设备出厂前关闭调试接口，采用TESTPIN等方式进行安全控制。
2. 采用最新操作系统及代码库：确保系统安全，适配新版本操作系统与第三方代码库。
3. 对系统及应用进行安全加固：包括代码混淆、数据加密、签名校验等手段。
4. 采用安全存储技术：使用硬安全区或软安全区存储敏感信息，防止密钥等关键数据泄露。
5. 完善身份认证机制：建立双向身份认证，采用安全证书，防止中间人攻击和会话劫持。

六、安全防护行动倡议

1. 加强行业自律：明确企业主体责任，推动行业安全发展。
2. 推进标准规范制定：制定统一的安全标准，促进行业健康发展。
3. 依托社会公众监督：建立便捷的用户举报渠道，强化安全监管。
4. 鼓励多方协作：推动芯片厂商、设备厂商、应用厂商、安全厂商等共同提升安全水平。

结论

智能音箱产业在快速发展的同时，也面临严峻的安全挑战。为保障用户隐私和数据安全，需从技术、管理、法律等多方面入手，完善安全防护体系，推动行业标准制定与行业自律，提升整体安全水平，为用户提供更加安全可靠的智能音箱服务。