1.智能门锁发展产业现状
2020年11月18日，为贯彻中共中央“十四五规划和二〇三五远景目标建议”精神，落实构建以国内大循环为主体、国内国际双循环相互促进的新发展格局的战略指导方针，推动制锁行业高质量发展，中国五金制品协会和中国日用五金技术开发中心发布《关于召开全国智能锁行业质量提升行动发布会暨全国制锁行业第二十九次信息交流会的通知》。交流会与发布会分别于2020年12月15日上午和下午召开，会议由国家市场监管总局质量发展局、中国五金制品协会指导。
20多年来，智能门锁作为传统制造业与新兴电子信息产业结合而衍生出的新兴产品类别，逐渐进入消费者的视野。尤其是2015年以来，随着智能家居、移动互联网的高速发展，智能门锁作为智能家居入口级产品受到了消费者的高度青睐。据中国日用五金技术开发中心2020年发布的《智能门锁产业现状及展望》，截止至2019年，智能门锁全国的产销量近1500万套，五年间翻了超过十倍，是锁具行业转型升级发展绝对意义上的主力军。
国内智能门锁的产品类别基本涵盖了锁具产品的全部类别，成为了引领我国传统锁具行业转型升级的主流产品。消费者以期通过智能门锁加强其生命财产的安全，改变其生活方式。在国外市场也不例外，智能门锁逐步成为国外门锁市场的主流产品。据制锁行业信息中心数据显示，2019年，欧美智能门锁的市场渗透率已接近50%，韩国高达近80%，日本近40%。
互联网、家电、智能家居、安防产业、专业智能门锁、机械锁转型、装饰五金等都依据自身优势进入智能门锁产业当中，且随着人工智能的快速发展、消费者消费水平的提高及智能家居概念的日益普及，智能门锁的发展也呈现出百花齐放的发展局面。但智能门锁产业的品牌发展仍然处于初期阶段，虽然智能门锁领域的品牌数量超过了3000家，单品牌格局相对较为分散，尚未有哪个品牌占据绝对意义上的优势，但在产品外观设计和功能上却出现了高度同质化的现象，在没有研发创新的情况下，一些品牌开始选择拼成本和价格来扩大其市场竞争力，严重阻碍智能门锁产业的健康发展。随着发展进程的不断推进，为促进产业的可持续发展，“安全智能 品质消费”的理念被提出，智能门锁产业进入品牌盘整期，其中，产品的安全性成为主要考量因素，对品牌发展至关重要。
2.智能门锁安全事件
智能门锁功能的多样化大大方便了人们的生活，出门不再担心忘带钥匙，不用担心遇到钥匙丢失就得砸锁开门的窘境，其附带的开门短信提醒、智能猫眼、紧急报警等功能也深得用户青睐。但与此同时，也给智能门锁带来了新的安全威胁和隐患，引起了业界与安全界的高度关注。
一、特斯拉线圈“三秒开智能锁”事件
特斯拉线圈“三秒开智能锁”事件也被称为小黑盒秒开智能锁事件，始于2018年5月举办的第九届中国国际门业博览会上，湖南金丽方科技有限公司的董事长王海丽使用一个“小黑盒”连开国内外品牌智能门锁，最快用时只有三秒。这段开锁视频通过电视媒体、微博、微信等平台快速传播，让一众智能门锁用户胆战心惊，也让智能门锁厂商经受了一场公关危机，引起了大众对于“智能门锁是否安全”的思考。
二、UItraLoq智能门锁安全漏洞
UItraLoq智能门锁是U-Tec生产的一款热门智能门锁，在亚马逊、家得宝和沃尔玛等大型平台上销售。2019年，渗透测试专家Craig Young对该款智能门锁进行测试后，发现该锁存在严重的安全问题：攻击者可以通过技术手段物理定位甚至远程控制连接到智能门锁供应商云平台的任何锁。其中利用MQTT协议可以窃取关联的U-Tec用户身份信息，包括IP地址、无线MAC地址和电子邮件地址等。攻击者还可以截取用户令牌，进行远程解锁，也可通过发送欺骗信息来阻止用户开锁，对U-Tec云服务用户的人身和财力造成了巨大的安全威胁。
三、Hickory智能门锁被披露存在多个安全漏洞
2019年5月，Rapid7安全团队在对Hickory智能门锁安全性的研究中发现了多个漏洞，包括安卓移动应用程序中的数据不安全存储 (CVE-2019-5632)、明文凭据信息传输 (CVE-2019-5635)、安卓移动应用程序中开启了日志调试记录（CVE-2019-5634)等。这些漏洞一旦被利用，就会造成用户敏感信息泄露，智能门锁被操控等情况，令人不寒而栗。
3.智能门锁信息安全形势
2019年5月5日，中国消费者协会、四川省保护消费者权益委员会、深圳市消费者委员会、佛山市消费者委会联合发布《智能生活从开门开始 智能门从安全了解》，比较试验了29款智能门锁样品。
信息安全测试结果
机械安全测试结果
电源电池、包装标识测试结果
2019年8月11日，北京市消费者协会发布《京津冀消费者协会智能门锁比较试验结果》，比较试验样品由消费者协会工作人员以消费者的身份通过京东商城、天猫商城、苏宁易购、1号店、三星官网等电商平台随机购买。试验内容包括电磁兼容性试验、环境试验、IC卡解锁试验、指纹解锁试验、密码逻辑安全试验和电路非正常等。
在以上的比较试验中揭露了智能门锁存在的多种安全风险与威胁，也引起了智能门锁厂商、相关政府部门、科技界等多方关注，并促使各方采取相应措施。部分智能门锁厂商被约谈，产品的安全性成为了企业是否被淘汰的考量准则。
4.智能门锁信息安全相关实践
（1）标准方面
2019年8月14日，中国网络安全审查技术与认证中心（CCRC）为推动智能门锁信息安全认证业务，召开了智能门锁信息安全标准研讨会，主要围绕智能门锁信息安全风险，就其牵头编写的智能门锁产品信息安全标准展开研究讨论，国内多家检测机构、科研机构专家及企业代表参加本次会议。
目前，国家标准方面，全国信息安全标准化技术委员会官网信息显示，2018年立项标准《信息安全技术 智能家居安全通用技术要求》，2019年立项标准《信息安全技术 智能门锁安全技术要求和测试评价方法》，均已进入征求意见稿阶段，智能门锁相关国家标准正在制定中。此外，过呢锁具行业最顶层的国家标准GB_21556《锁具安全通用技术标准》修订版已提交，现行版本为2008版。
行业标准方面，目前实施的智能门锁相关行业标准如下：
公安部 GA 374-2019 《电子防盗锁》；
公安部 GA 701-2007 《指纹防盗锁通用技术条件》；
工信部 YD/T 2407-2013《移动智能终端安全能力技术要求》
团体标准方面，2016年国家发改委、工信部印发《智能硬件产业创新发展专项行动（2016-2018年）》，推进智能硬件技术标准及应用规范体系的制定，包括研制关键控制接口协议规范，推动设备间的数据格式和标准协议的开放共享，推进产品和系统间的互联互通等方面。现行的智能门锁团体标准如下。
电信终端产业协会方面，包括：
T/TAF 071.1-2020《智能家居终端设备 通用安全能力技术要求》
T/TAF 030-2019《智能门锁信息安全技术要求与测试方法 》
T/CSHIA 001-2018《智能家居网络系统安全技术要求》
ICA联盟方面，包括：
《智能门锁终端信息安全技术要求》
《智能门锁信息安全风险导则》
《智能门锁身份认证模块信息安全技术要求》
（2）技术实践方面
智能门锁主要包括智能门锁锁体、智能门锁接入网关、智能门锁移动应用（APP）和智能门锁管理平台（云端服务）等组件。
根据智能门锁的组网体系架构，其信息安全风险可以划分为智能门锁锁体安全风险、移动应用APP安全风险、近场通信安全风险、网络安全风险和管理平台安全风险五个方面，各类常见风险及防范措施如下表所示：
（3）行业管理方面
针对智能门锁的信息安全风险问题，监管单位、行业联盟以及头牌厂商共同努力，旨在制定安全规范、统一安全标准，为智能门锁厂商提供安全指南，推动智能门锁产业朝向更加良好的方向发展。
2018年8月30日到31日，由全国智能建筑及居住区数字化标准化委员会和城市物联网技术研究院共同主办的智能门锁领域安全标准的高峰论坛在深圳市举办，此论坛旨在订立智能门锁行业新的安全标准，除传统的物理安全和电子安全外，智能锁接网后的网络安全也纳入谈论范围，旨在提高整个行业的规范和质量。
2018年10月30日，由阿里巴巴发起成立的ICA联盟（IoT Connectivity Alliance，下称ICA），即IoT合作伙伴计划联盟，在深圳举行了物联网万亿生态伙伴聚合峰会。阿里巴巴集团标准化相关人士在峰会现场发布智能锁新的智能门锁信息安全系列标准，提供给智能门锁厂商一体的信息安全风险评估方法，并从身份认证模块安全技术和终端安全技术两个维度设定安全标准，为厂商提供安全指南。并于2019年9月发布《2019年中国智能门锁发展与应用白皮书》。
2019年8月25日，“中国智能门锁行业质量与消费”新闻发布会在北京召开。会上，中国五金制品协会首次发布《智能门锁消费指南》。指南共22条，对什么是智能门锁、智能门锁的功能、优缺点、安全性、适用性等方面进行了通俗易懂的阐述。
为加快锁具行业发展、推动传统锁具智能化升级，实现技术优化，加快结构调整，2019年3月13日，全国智能建筑及居住区数字化标准化技术委员会联合深圳市物联传媒有限公司、全国智标委智能门锁标准工作组、智居云锁联盟将在苏州金鸡湖国际会议中心召开“全国智标委智能门锁标准工作组生态落地峰会”。2019“智能门锁标准与生态落地峰会”将汇聚国家标准、质量检测、生物识别、控制板、AI芯片、OS系统、NB-IOT模组、安全芯片、B端公寓应用、C端家庭应用等国内领先的智能锁产业链上下游企业，共同探索智能门锁应用新模式，为产业链搭建“共促共建、共享共赢”的交流平台，引导行业发展应用；为智能门锁行业提前做好布局规划，为迎接万户互联，智能化大趋势提前做好准备。
2019年9月24日上午，湖南锁业协会召开中国芯—智能锁安全会议，宣布与超人科技强强联合，助力老百姓从传统锁具更换成便捷安全的智能锁，加速湖南锁业与人工智能联合。
2019年10月31日，由全国智标委智能门锁标准工作组组织的“智能门锁密码应用及联网安全技术交流会”，在深圳召开。本次交流会立足国产密码算法在智能门锁领域的安全应用，企业代表、专家专家展开了详尽的探讨。未来随着《密码法》的正式发布，国产密码将在更多领域得到应用，全国智标委作为住房和城乡建设领域信息化国家标准的归口单位，也将在标准制修订的过程中重点推动国产密码算法的相关规范，与行业共建、共享网络安全生态环境。
5.中国评测信息安全测试实践
中国软件评测中心网安中心“2021年智能门锁信息安全测评样品征集活动”开展以来，受到来自监管部门、智能家居行业、消费者等社会各界的高度重视。测评过程中，专家组聚焦智能门锁的信息通信安全和数据安全，采用自动化扫描与人工渗透相结合的技术手段，对智能门锁的锁体安全、移动应用APP安全、以及无线电通信安全开展测评工作。
智能门锁锁体安全测评项包括：锁体固件安全、网络接入认证安全、通信传输安全、数据安全以及设备的逻辑控制安全等。针对锁体固件安全进行了固件指纹信息提取、CVE漏洞检测、软件/组件检测、加密认证文件检测、用户密码检测、系统服务检测、脆弱代码检测、敏感信息检测等安全测试。
移动应用APP测评项包括：APP的安装及卸载安全、身份鉴别机制、访问控制机制以及数据安全等。针对APP进行了证书指纹检测、应用组件暴露检测、文件信息检测、AndroidManifest文件检测、Web组件安全、网络通信安全、弱密码风险、系统漏洞、So文件漏洞风险检测、隐私权限检测、隐私行为检测等安全测试。测评专家首先通过安全漏洞扫描，发现可能存在的漏洞，然后模拟黑客攻击手段，进行反编译、信息分析、中间人攻击等渗透测试。
在物联网环境中，终端设备通常采用无线电通信与APP或接入网关建立通信，它们之间的通信安全也是测评重点关注的内容，无线电通信安全测试涵盖RFID、蓝牙、ZigBee、WIFI、NB-IOT等协议，测试内容包括协议分析、数据分析、劫持/篡改/重放攻击等。
测评过程中发现的主要风险情况见下表：
6.中国评测相关建议
中国软件评测中心网安中心从企业、监管部门、消费者、社会其他组织的角度，针对智能门锁的信息安全防护分别提出建议。
企业方面，为自己的产品安全负责，保障消费者财产和人身安全。在产品的安全设计方面，坚持最小化原则，即最小化用户权限，只赋予完成功能任务的最小权限，其他不必要的权限概不开放，此外，减少不必要的、华而不实的功能，减少攻击面（如远程开锁、在线密码等功能的不规范授权或使用）；坚持白名单思想，即除了合法定义的其他都不接受，且保障默认的合法定义（如配置和策略）尽可能安全，如用户口令的长度、复杂度、非法登录和验证次数、虚位密码设置等；坚持算法安全设计，目前的一些私有算法面临被攻击者通过抓包或逆向二进制完成破解，或通过入侵服务器、给企业内部人员机器种植木马获得源代码，或算法被恶意公开等安全风险。在安全责任方面，企业是产品安全第一责任人，须为自己生产和销售的产品安全负责，严格按照《产品质量法》、《消费者权益保护法》、《网安法》等有关规定要求，主动把好产品安全关，设立有自己企业内部专业的安全团队，进入市场的产品需经过内部安全团队或第三方安全企业或专业测评机构的全面安全检测；定期对生产、销售的产品进行安全隐患排查，及时采取升级软、硬件等措施，堵住产品安全漏洞；严格规范产品标识和说明，不作虚假或引人误解的宣传，以显著易懂的方式提醒安全注意事项，切实维护消费者的合法权益。
监管方面，及时完善相关标准，严格把好市场关。技术监管方面，由于门锁与生物识别、主控MCU、密码键盘、通信模块、云计算等多项现代技术融合，一定程度上可以提高智能门锁的安全性，但也增加了安全风险暴露面。有关部门需尽快针对这些现代技术研制相关技术标准及应用规范体系，为智能门锁等智能产品设立合理的安全门槛；建立公共服务平台，支持面向标准安全合规、软硬件安全协同、安全互联互通、用户体验、安全可靠等包括智能门锁在内的智能硬件产品的安全检测服务。市场监管方面，需加强监督管理，对发现的安全风险，及时采取相关措施，督促企业整改并进行有效跟踪，必要时依法对其进行处罚，严格把好市场监管关；积极畅通与企业侧和消费者之间的沟通机制，及消费者权利合理的维护和变现渠道，维护智能门锁市场秩序。
消费者方面，理性消费，重视产品信息安全。首先，在消费时，选择适合自己的智能门锁，不盲目追求各种“新奇”功能；其次，通过正规渠道购买智能门锁产品，仔细检查产品包装是否清晰明确，是否具有合格证、说明书、保修卡等；此外，尽量不使用或关闭远程开锁功能，若智能门锁需使用信息识别卡，日常使用中妥善保管好信息识别卡，防止被非法读取和复制，若智能门锁使用指纹识别功能，应在日常使用中注意清除指纹痕迹，避免被恶意“拓印”；在功能模块出现异常或损坏时，及时联系生产企业解决或更换新锁；若遇智能门锁侵权现象，及时收集好证据，向当地消协或市场监管部门投诉举报，依法维护合法权益。
社会组织方面，协同发力，促进智能产业安全有序发展。产业联盟和行业协会应倡导企业自律，诚信守法经营，呼吁社会各界加大关注力度，必要时组织相关专项行动，开展团体标准试点，完善与行业标准、国家标准的快速衔接机制，提升产业整体信息安全防护意识和能力；新闻媒体应加强相关风险防范知识的宣传报道，充分发挥舆论监督作用，客观报道企业产品存在的安全风险，增强全民健康消费理念。
编辑 | 朵喵喵
文字 | 网安中心
声明：本文来自中国软件评测中心，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
版权归原作者所有，如若转载，请注明出处：https://www.ciocso.com/article/397.html
