物聯(lián)網(wǎng)安全威脅并沒(méi)有聽(tīng)上去那么遙遠(yuǎn)，它就像個(gè)火藥桶靜靜地躺在我們每個(gè)人的身邊，一個(gè)不小心輕則隱私泄露，重則性命攸關(guān)。一個(gè)最淺顯的例子就是我們每個(gè)家庭客廳玄關(guān)上的，安全協(xié)議和密碼脆弱、固件漏洞百出的WiFi路由器。
事實(shí)上，智能門(mén)鎖、智能玩具、電動(dòng)汽車(chē)、智能水表、智能工廠，還有醫(yī)院貴重的醫(yī)療設(shè)備，都是物聯(lián)網(wǎng)設(shè)備，它們的共同特點(diǎn)就是安全漏洞很多而且往往不能得到及時(shí)修補(bǔ)，而安全漏洞導(dǎo)致的后果則往往更加嚴(yán)重：輕則泄露隱私、停工停產(chǎn)，重則危及生命和財(cái)產(chǎn)安全。這甚至不是一個(gè)笑話(huà)。
從亞馬遜開(kāi)刀
物聯(lián)網(wǎng)安全是幾乎從零開(kāi)始的安全領(lǐng)域，無(wú)論是汽車(chē)CAN總線(xiàn)還是化工廠傳感器，都是近年來(lái)隨著數(shù)字化進(jìn)程的深入才開(kāi)始面臨嚴(yán)峻的網(wǎng)絡(luò)安全問(wèn)題。從芯片、協(xié)議、組件、軟件、到終端設(shè)備和網(wǎng)絡(luò)設(shè)備，無(wú)論是（網(wǎng)絡(luò)）安全設(shè)計(jì)、安全標(biāo)準(zhǔn)、安全技術(shù)、安全管理和安全法規(guī)方面都在不斷完善中，但這些工作似乎絲毫也沒(méi)有減輕人們對(duì)物聯(lián)網(wǎng)安全的擔(dān)憂(yōu)，事實(shí)上，事情可能比我們想象得更加糟糕。
市場(chǎng)的高度碎片化，產(chǎn)品的大規(guī)模低成本制造和快速迭代、供應(yīng)鏈的全球化，監(jiān)管的區(qū)域化、廠商安全能力的先天不足，用戶(hù)安全意識(shí)的缺失，都讓物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)的統(tǒng)一和實(shí)施變得異常艱難和遲緩。
任何一個(gè)國(guó)家，包括科技領(lǐng)先的美國(guó)，都無(wú)法觸及更別提掌控整個(gè)物聯(lián)網(wǎng)供應(yīng)鏈的安全性。這導(dǎo)致物聯(lián)網(wǎng)安全成為全球性難題。
但是，有一位安全大咖——布魯斯·施耐爾（Bruce Schneier），近日在大西洋理事會(huì)的一份報(bào)告中提出了一個(gè)清奇的方案：通過(guò)頭部電商平臺(tái)（例如亞馬遜）監(jiān)管上游供應(yīng)商生產(chǎn)安全的IoT設(shè)備和組件。大西洋理事會(huì)將該方法稱(chēng)為“反向級(jí)聯(lián)”，通俗點(diǎn)說(shuō)就是“倒逼”。
說(shuō)白了，就是要求頭部電商平臺(tái)對(duì)物聯(lián)網(wǎng)產(chǎn)品的安全性負(fù)責(zé)！
Schneier的建議可以總結(jié)為：
既然讓全球各地成千上萬(wàn)的廠商和零件供應(yīng)商合規(guī)對(duì)各國(guó)政府管理部門(mén)來(lái)說(shuō)難度太大，那么就發(fā)動(dòng)市場(chǎng)渠道的力量，讓亞馬遜這種頭部電商平臺(tái)，包括電信運(yùn)營(yíng)商來(lái)承擔(dān)起一部分監(jiān)管和推動(dòng)物聯(lián)網(wǎng)產(chǎn)品達(dá)到更高的（本地）安全標(biāo)準(zhǔn)和要求。
換而言之，來(lái)自國(guó)外廠商（供應(yīng)鏈）的物聯(lián)網(wǎng)產(chǎn)品或者組件，即使沒(méi)有對(duì)應(yīng)的強(qiáng)制標(biāo)準(zhǔn)或法規(guī)禁止你銷(xiāo)售，但是在頭部電商平臺(tái)卻無(wú)法上架，變相地把電商環(huán)節(jié)的監(jiān)管變成了“強(qiáng)制性標(biāo)準(zhǔn)”。
沒(méi)有無(wú)辜的雪花
對(duì)于物聯(lián)網(wǎng)安全問(wèn)題來(lái)說(shuō)，沒(méi)有無(wú)辜的雪花。因?yàn)槲锫?lián)網(wǎng)設(shè)備不是一種單一產(chǎn)品，它是由世界各地制造商在不同地方制造的各種組件的組合，任何一個(gè)組件都可能導(dǎo)致安全問(wèn)題。
雖然全球各國(guó)、標(biāo)準(zhǔn)組織和企業(yè)正在努力通過(guò)自愿標(biāo)準(zhǔn)來(lái)改善物聯(lián)網(wǎng)安全狀態(tài)，但是產(chǎn)品依然存在一系列問(wèn)題，包括出售時(shí)默認(rèn)配置不安全以及供應(yīng)商提供補(bǔ)丁程序的能力參差不齊。
問(wèn)題是如何在政府監(jiān)管機(jī)構(gòu)無(wú)法觸及的地方要求物聯(lián)網(wǎng)供應(yīng)商實(shí)施良好的安全實(shí)踐。大西洋理事會(huì)報(bào)告給出的解決方案正是：緊緊抓住美國(guó)的產(chǎn)品零售商和分銷(xiāo)商，他們反過(guò)來(lái)會(huì)要求其供應(yīng)商達(dá)到更高的標(biāo)準(zhǔn)。
大西洋理事會(huì)報(bào)告的合著者之一，安全專(zhuān)家布魯斯·施耐爾（Bruce Schneier）表示，對(duì)物聯(lián)網(wǎng)產(chǎn)品安全，應(yīng)當(dāng)像對(duì)嬰兒食品的營(yíng)養(yǎng)成分或兒童睡衣的耐火性一樣進(jìn)行監(jiān)管。
Schneier的說(shuō)法絕非危言聳聽(tīng)，隨著全社會(huì)的數(shù)字化程度不斷提高，越來(lái)越多的人擔(dān)心，無(wú)論是接入網(wǎng)絡(luò)的（自動(dòng)駕駛）汽車(chē)、智能家電、醫(yī)療設(shè)備還是關(guān)鍵基礎(chǔ)設(shè)施，設(shè)備安全性問(wèn)題可能會(huì)造成災(zāi)難。報(bào)告警告說(shuō)，后果可能是致命的。
Schneier說(shuō)：
如果我們想確保美國(guó)的最低限度的安全標(biāo)準(zhǔn)，我們就必須對(duì)某些美國(guó)實(shí)體施加限制。最佳切入點(diǎn)就是那些出售產(chǎn)品給消費(fèi)者的公司，包括是亞馬遜、沃爾瑪以及某些分銷(xiāo)商。
該報(bào)告由納撒尼爾·金（Nathaniel Kim）和特雷·赫爾（Trey Herr）共同撰寫(xiě)，他說(shuō)：
恒溫器不足會(huì)造成財(cái)產(chǎn)損失，但缺少恒溫器的發(fā)電機(jī)可能會(huì)導(dǎo)致停電。恒溫器損壞的汽車(chē)、交通信號(hào)燈和醫(yī)療設(shè)備可能導(dǎo)致死亡。
反推與倒逼
該委員會(huì)寫(xiě)道，美國(guó)沒(méi)有針對(duì)物聯(lián)網(wǎng)的強(qiáng)制性標(biāo)準(zhǔn)。即使物聯(lián)網(wǎng)法律更為普遍，但對(duì)于生產(chǎn)大量物聯(lián)網(wǎng)設(shè)備的中國(guó)制造商而言，這些法律將無(wú)法執(zhí)行。
但是，美國(guó)一些州今年初已經(jīng)開(kāi)始制定甚至實(shí)施標(biāo)準(zhǔn)。例如，加利福尼亞州的物聯(lián)網(wǎng)法規(guī)SB-327（于1月生效）禁止銷(xiāo)售沒(méi)有達(dá)到基準(zhǔn)安全措施的設(shè)備。俄勒岡州的物聯(lián)網(wǎng)法律也于1月生效，與加利福尼亞州的法律類(lèi)似。
大西洋理事會(huì)的報(bào)告認(rèn)為，法規(guī)應(yīng)當(dāng)推動(dòng)零售商和分銷(xiāo)商要求其上游供應(yīng)商生產(chǎn)安全的IoT設(shè)備和組件。
從銷(xiāo)售渠道倒逼供應(yīng)鏈的例子已經(jīng)存在。例如，大西洋理事會(huì)的報(bào)告中提到，加拿大民間社會(huì)組織向美國(guó)零售商家得寶（Home Depot）和西爾斯（Sears）施加壓力，要求其對(duì)加拿大伐木公司實(shí)施伐木標(biāo)準(zhǔn)和保護(hù)措施。此外，美國(guó)國(guó)防部要求供應(yīng)商對(duì)供應(yīng)商的良好供應(yīng)鏈做法負(fù)責(zé)。
該委員會(huì)指出，百思買(mǎi)、沃爾瑪和亞馬遜在美國(guó)銷(xiāo)售大多數(shù)消費(fèi)電子產(chǎn)品。百思買(mǎi)（Best Buy）在其2019財(cái)年企業(yè)責(zé)任報(bào)告中指出，它已經(jīng)“致力于建立有關(guān)物聯(lián)網(wǎng)設(shè)備的安全性和隱私性方面的客戶(hù)期望基準(zhǔn)”。
值得重點(diǎn)關(guān)注的是Wi-Fi路由器產(chǎn)品，現(xiàn)代數(shù)字家庭中最重要的物聯(lián)網(wǎng)（網(wǎng)關(guān)）設(shè)備，同時(shí)也是安全性最糟糕的產(chǎn)品之一。報(bào)告指出，就WiFi路由器而言，物聯(lián)網(wǎng)法規(guī)對(duì)電商平臺(tái)的監(jiān)管同樣適用于寬帶提供商，通過(guò)寬帶提供商來(lái)倒逼路由器設(shè)備的安全合規(guī)。理事會(huì)寫(xiě)道：“只有不到十二家寬帶提供商，包括Comcast、Charter、AT＆T、Verizon和CenturyLink等名稱(chēng)，為所有聯(lián)網(wǎng)的美國(guó)家庭提供服務(wù)，而排名前三的提供商則擁有超過(guò)一半的市場(chǎng)。”
缺乏監(jiān)管就是扼殺創(chuàng)新，不作為就是胡作非為
Schneier表示，如果“亞馬遜不出售安全性較差的路由器，那么用戶(hù)將不會(huì)采購(gòu)到這些路由器，這意味著制造這些路由器的公司將失去美國(guó)市場(chǎng)，除非他們遵守該法規(guī)。”
Schneier承認(rèn)，制造安全性更好的物聯(lián)網(wǎng)設(shè)備意味著成本和售價(jià)的上升。但他認(rèn)為，如果沒(méi)有監(jiān)管，任由安全性較差的設(shè)備繼續(xù)出售將導(dǎo)致“劣品驅(qū)逐良品”，因?yàn)榫桶踩远裕M(fèi)者不僅不了解產(chǎn)品區(qū)別，而且對(duì)安全的價(jià)值認(rèn)知也很有限，自由市場(chǎng)機(jī)制在這里是失靈的。
事實(shí)上，由于各國(guó)缺乏有效監(jiān)管，安全性較差的WiFi路由器已經(jīng)成為全球網(wǎng)絡(luò)空間的重大安全隱患，這些路由器不但會(huì)泄露用戶(hù)家庭網(wǎng)絡(luò)上的數(shù)據(jù)，而且被僵尸網(wǎng)絡(luò)控制后能夠發(fā)動(dòng)毀滅性的物聯(lián)網(wǎng)DDoS攻擊。2016年導(dǎo)致半個(gè)美國(guó)癱瘓的僵尸網(wǎng)絡(luò)DDoS的流量就來(lái)自海量的民間物聯(lián)網(wǎng)設(shè)備（包括路由器、攝像頭甚至聯(lián)網(wǎng)冰箱）。日本政府曾在原定的東京奧運(yùn)會(huì)舉辦之前，對(duì)全日本2億臺(tái)家庭WiFi路由器進(jìn)行了安全普查。過(guò)去二十年WiFi路由器供應(yīng)鏈上游累積和擴(kuò)散到全社會(huì)的安全性問(wèn)題，在終端市場(chǎng)的補(bǔ)救不但勞民傷財(cái)且收效甚微。
為了打造公平競(jìng)爭(zhēng)環(huán)境，你需要制定一項(xiàng)法規(guī)，否則一定會(huì)有人鉆空子。監(jiān)管對(duì)于公平競(jìng)爭(zhēng)，實(shí)現(xiàn)創(chuàng)新和安全至關(guān)重要，缺乏監(jiān)管是扼殺網(wǎng)絡(luò)安全創(chuàng)新的原因。
