智能音箱存安全隐患，生产者使用者同堵漏洞

发布于：2022/3/16 9:48:26 | 506 次阅读

[转载]原文链接：http://m.cena.com.cn/smartt/20220315/115483.html

近年来，智能音箱等智能家居产品逐渐走入千家万户，为人们的居家生活增添了便利和乐趣。IDC发布的《中国智能音箱零售市场月度追踪》通知显示，2021年中国智能音箱市场销量为3654万台，同比增长20.1%，预计2022年市场销量将达到3725万台。
智能音箱正在向有屏、无屏音箱持续分化：一种是在传统智能音箱上进一步升级，通过增加屏幕、摄像头逐渐向家用平板、智慧屏靠近。另一种则是进一步轻量化、无线化和模块化，主要定位智能家居的智能音频控制、交互入口，未来智能音箱将继续渗透，嵌入到更多家居、家电内。随着智能音箱功能逐渐多元化，信息技术手段愈发复杂，其安全风险也渐渐浮出水面。
智能音箱安全风险不容小觑
智能音箱安全风险主要分为以下两个方面。
一是因为智能音箱所集成的功能多样化，交互接口数量增长，可能被攻击的入口逐渐增多，安全风险不断扩大。2019年，Google Home被攻破，攻击者可以通过远程指令操控目标设备。如果事件一旦升级，可能导致数百万用户个人信息泄露，轻则导致用户遭受诈骗、资金被盗用，重则导致用户的人身安全受到威胁，影响社会稳定。
二是智能音箱产品定位及个性化功能产生的需求，导致其收集了大量用户隐私信息及交互数据，由此可能产生违规收集用户个人数据的安全隐患。2019年，有媒体披露亚马逊雇佣数千员工监听旗下智能音箱Amazon Echo用户的日常录音，甚至将1700余用户的语音数据违规泄露，导致用户在不知不觉间受到了电商骚扰、电信诈骗等一系列影响。
中国软件评测中心选取了市面chang销的多台有屏智能音箱和无屏智能音箱，从网络安全、数据安全和个人信息安全等多个角度进行测评。
1.智能音箱网络安全与数据安全
智能音箱APP安全。测评行家测试了智能音箱APP安全方面，包括组件安全检测、Manifest文件检测、Webview安全检测、网络通信安全检测、弱加密风险检测、数据安全检测、系统漏洞检测、so文件风险检测、隐私权限检测、隐私行为检测等测试项。在测试过程中，行家通过对.apk文件进行反编译，采用自动化扫描与人工渗透相结合的技术手段以发现其存在的安全问题。
经测评，测评范围内的智能音箱APP均未检测出严重漏洞，能够有效避免用户信息泄露。
智能音箱通信数据传输安全。测评行家在智能音箱系统与服务器端的通信过程中,动态采集传输的网络数据。针对智能音箱联网通信和连接维护全过程的加密算法方面，使用Wireshark工具和人工审计的方式，进行了安全分析和评估。
经测评，某智能音箱设备在与服务器端进行通信过程中，存在日志文件明文传输，导致用户敏感信息泄露等问题。传输的日志中包含设备信息、日志信息和语音转换出的文本信息，造成了信息泄露。智能音箱系统与固件升级安全。测评行家首先对智能音箱系统与固件做了降级风险测试，发现大部分设备采取了“升级检测”和“固件签名”的措施，锁定了串口和USB接口，用户无法自行降级，保护了智能音箱的安全。其次，行家对智能音箱固件更新请求通信过程进行了分析，通过分析更新请求数据包，发现部分设备通过HTTP协议明文传输固件升级请求。从数据包中可以获取固件加载地址，引发固件泄露风险。同时，使用不安全的通信协议可能面临中间人攻击的风险。
经测评，部分智能音箱固件升级通信过程存在URL暴露风险，可能发生固件泄露事件。
2.智能音箱用户个人信息安全
个人信息收集使用规则。为了给用户提供更加明确的定制化服务，智能音箱会收集用户的个人信息，包括位置信息、通信录信息、音视频信息等敏感数据。中国软件评测中心对多款音箱的个人信息收集使用规则进行了合规性检测。
在对个人信息收集使用规则进行检测的过程中，测评行家主要对各智能音箱产品的隐私政策进行了详细解读，并对其中存在的一些疑问与企业进行了访谈。参与测评的智能音响产品都拥有完整的个人信息保护政策，并且能够在实际应用中付诸实践。
但智能音箱在收集使用个人信息的过程中，仍存在过度收集用户个人信息的情况。例如，在进入智能音箱APP之后，会自动收集用户语音数据用于模型训练,但未对用户进行明显提示。部分产品的隐私声明未对个人信息的采集频率以及存储时间进行明确说明。
个人信息主体注销账户。用户对智能音箱存储的个人用户信息应该完全可控，在用户要求进行账户注销或用户数据销毁时，智能音箱、控制端APP或云端服务应向用户提供简单便捷的操作方式，并且在注销过程中不应设置不合理的条件或提出额外要求增加个人信息主体义务，如注销单个功能视同注销主体账号，要求个人信息主体填写jing确的历史操作记录作为注销的必要条件等。
经过对参与测评的智能音箱产品进行检测，部分智能音箱账户注销及用户数据销毁仍存在难题。当用户注销智能音箱账户时，会将此账户下所有产品及服务注销，使用户管理个人信息增加了诸多不便。

智能音箱生产企业和使用者双管齐下

中国软件评测中心针对以上测评内容，从企业和用户的角度出发为智能音箱安全建设提出以下建议。

1.对智能音箱生产企业的建议
首先，加强产品网络和数据安全合规建设。在网络安全层面，可以从以下三个方面加强产品的安全保障。一是对于智能音箱操作系统的漏洞及时进行修复，加强系统配置安全和端口安全管理；二是对系统固件和移动应用进行安全加固，包括但不限于签名校验、加壳、防内存修改等手段；三是在服务器端和智能音箱APP引入并重视安全测试，定期开展渗透测试和风险评估。
在数据安全层面，应落实《数据安全法》《个人信息保护法》的相关规定，进行数据全生命周期安全防护，做到收集信息应授权、传输存储应加密、加工使用应脱敏、删除数据应彻底、提供公开应合法。
其次，规范对用户个人信息的收集使用规则。产品在收集用户个人信息等方面应不具备强制性，根据功能将用户信息收集模块化，不因某信息用户未授权而拒绝提供服务。
在收集、使用用户个人信息过程中，应对收集信息的内容、方式、范围、目的、频次、明确度等进行详细说明，其中，对于用户敏感信息的收集，应有明显提示；对于个人信息的使用，如是否会向第三方、境外提供数据应进行详细说明；对于个人信息的撤销授权、申请删除、投诉举报的渠道和方法，应提供全面且便于理解的操作说明。
2.对智能音箱用户的建议
首先，关注产品收集使用个人信息规则。关注产品收集和使用个人信息规则，可以从以下两个方面进行：一是关注注册信息，在隐私协议中详细查阅产品收集的内容、目的、频次、jing确度等内容，并明确其加工、使用、第三方共享的条款内容，保障自身利益；二是注册并登录后，进入设置或用户授权管理等页面，查看产品授权信息，并依据需求关闭敏感信息的授权。如遇强制收集或违法使用个人信息的情况，应及时向监管部门进行举报。
其次，关注账号信息安全。智能音箱控制端账号通常为多APP、多产品共用。而智能音箱作为智能家居的控制入口之一，具备控制其他设备的功能，其账号一旦泄露或被窃取，登录了其他智能音箱设备，安全风险会通过智能音箱放大，造成更大威胁。账号密码应具备一定复杂度并定期更换，避免与其他账户公用密码，不要点击他人发送的可疑链接。
很后，关注废旧设备个人信息处理。智能音箱设备即便已经丢弃，但存在里面的数据仍有泄露的风险。经测评发现多个品牌智能音箱，在离开主人并接入新的网络环境后，未经验证即可正常控制原账号下绑定的设备，甚至部分有屏音箱，可以直接查看其绑定的摄像头。建议用户在丢弃产品前应退出个人账号、删除设备信息或重置设备，同时选取较为安全的丢弃方式，如选择可靠的废旧电子设备回收机构。

参与讨论

登录后参与讨论

//评论区

推荐阅读

智能网联汽车国际标准法规协调专家组（HEAG）召开工作会议

近年来智能网联汽车快速发展，新技术不断涌现，与相关产业融合度持续提升，正在推动全球汽车产业发生深刻变革。为应对此种形势，欧、美、日等汽车工业发达国家和地区都加大了智能网联汽车的国际标准法规协调的参与力度，在联合国世界车辆法规论坛(UN/WP.29)和国际标准化组织(ISO)层面，智能网联汽车相关国际标准法规协调活动正快速推进。为更有效地支撑上述组织的国际标准法规协调活动，2017年全国汽车标准

0215jiejie | 发布于：2022-12-01 0评论 0赞

苹果推出搭载M2芯片的新款iPad Pro 799美元起售

据苹果官网，苹果推出搭载M2芯片的新款iPadPro。 11英寸wifi版起售价为799美元，wifi+蜂窝网络版起售价为999美元；12.9英寸wifi版起售价为1099美元，wifi+蜂窝网络版起售价为1299美元。

0215jiejie | 发布于：2022-10-19 0评论 0赞

新能源汽车领衔 “中国智造”加速登陆欧洲市场

全球五大车展之一巴黎车展时隔四年再度启幕。在这场被视为“全球汽车行业风向标”的盛会上，国内外汽车品牌云集，长城汽车、比亚迪等再次领衔中国汽车出海。长城汽车欧洲区域总裁孟祥军表示：“欧洲是长城汽车最重要的海外市场之一，巴黎车展是长城汽车向欧洲市场展示GWM品牌和产品的最佳机会。长城汽车正在研究汽车行业碳排放的整个生命周期，到2025年，将推出50多款新能源产品，全力支持可再生能源使用，为全球用户

0215jiejie | 发布于：2022-10-19 0评论 0赞

严监管时代来临，电子烟“通配”大战走向何方？

针对通配烟弹厂商的一系列诉讼的结果，将对生产通配烟弹的品牌未来在电子烟行业的发展产生深远影响。 10月1日，《电子烟强制性国家标准》正式实施，中国电子烟监管全面生效。而在电子烟行业进入规范化、法治化阶段前夕，一场围绕着通配烟弹的争论在行业里发酵。 “通配”是电子烟从业者约定俗成的概念。换弹式电子烟由烟杆和烟弹组成，“通配”烟弹指的是非品牌商生产、可与品牌烟杆匹配使用的烟弹。多位业内人士表示，被

0215jiejie | 发布于：2022-10-19 0评论 0赞

Bourns 全新大功率分流电阻器

采用金属感应引脚，专用于大电流应用中进行精确测量全新分流电阻器专为电池管理系统、大电流工业控制和电动汽车充电站提供高可靠性、高成本效益的解决方案美国柏恩Bourns全球知名电子组件领导制造供货商，宣布新增12款CSM2F系列功率分流电阻器，扩展其产品组合。全新系列采用铆接通孔金属传感引脚，可满足大电流应用中对电压测试点精确定位日益增长的需求。最新型Bourns?CSM2F系列分流电阻器

0215jiejie | 发布于：2022-10-18 0评论 0赞

请尊重元宇宙“这个筐”

元宇宙是个筐，啥都往里装，但区别在于有的像聚宝盆，有的像垃圾桶。国庆假期刚结束，中青宝“90后”董事长李逸伦便亲自上阵，玩起了元宇宙婚礼。靠着老板首秀和代言，中青宝顺势推出“MetaLove元囍”App，正式进军元宇宙婚礼赛道。就产品而言，如同其他元宇宙产品，李逸伦的元宇宙婚礼“新奇与吐槽齐飞”：有人说是有趣的尝试，有人则认为像QQ炫舞结婚系统。要知道，QQ炫舞是一款推出了十余年的老游戏。

0215jiejie | 发布于：2022-10-13 0评论 0赞

边缘计算：突围商业模式痛点

截至8月末，中国5G基站总数达210.2万个，中国5G发展已经进入下半场。随着5G加速融入千行百业，互动直播、vCDN、安防监控等场景率先大规模落地，车联网、云游戏、工业互联网、智慧园区、智慧物流等场景也快速走向成熟，这些更大流量、更低时延、更高性能的场景涌现，对边缘计算的刚性需求势必爆发。 GrandViewResearch预测，即使在新型冠状病毒肺炎疫情肆虐全球的背景下，边缘计算和5G网络市

0215jiejie | 发布于：2022-10-13 0评论 0赞

商务部回应美商务部升级半导体等领域对华出口管制并调整出口管制“未经验证清单”

商务部新闻发言人10日就美商务部升级半导体等领域对华出口管制并调整出口管制“未经验证清单”应询答记者问。有记者问：近日，美国商务部在半导体制造和先进计算等领域对华升级出口管制措施。同时，在将9家中国实体移出“未经验证清单”过程中，又将31家中国实体列入，请问中方对此有何回应？对此，商务部新闻发言人回应称，中方注意到相关情况。首先，通过中美双方前一阶段共同努力，9家中国实体zui终

0215jiejie | 发布于：2022-10-13 0评论 0赞

TCL华星官宣与奔驰合作：推出全球首款横贯A柱的车载显示屏

今年1月，奔驰带来了VISIONEQSS概念车，其中控台采用了一块完全无缝的47.5英寸曲面显示屏，横贯整个A柱，令人印象深刻。今天，TCL华星正式官宣与奔驰达成合作，并认领了VISIONEQSS上这块全球首款横贯整个A柱曲面的车载显示屏。根据TCL介绍，这款显示屏采用了完全无缝的超薄一体化设计，将仪表盘、中控与副驾娱乐显示融为一体，并能够与3D实时导航系统相辅相成。同时，这块显示屏还采用

0215jiejie | 发布于：2022-10-12 0评论 0赞

半导体板块暴跌谁最受伤

国庆假期后首日开盘，上证综指时隔5个月再次失守3000点，与此同时，半导体板块也再度走低，其中，北方华创、雅克科技等个股跌停。10月11日早盘期间，半导体板块持续下挫，北方华创、雅克科技再度跌停。截至下午收盘，北方华创、雅克科技维持跌停状态，华海清科、拓荆科技-U、盛美上海、清溢光电、海光信息的跌幅则超10%。同日，半导体板块中的119只个股中超五成呈现下跌趋势。在半导体板块遭遇下挫的同时，北

0215jiejie | 发布于：2022-10-12 0评论 0赞

holle

外面的声音太嘈杂，听自己的心就好

关注