20191224-中国信通院-互联网设备智能音箱安全白皮书（2019年）_38页_1mb.pdf

互 联 网 设 备智 能 音 箱 安 全 白 皮 书（ 2019 年 ）中 国 泰 尔 实 验 室电 信 终 端 产 业 协 会2019年 12月版权声明本 白 皮 书 版 权 属 于 中 国 信 息 通 信 研 究 院 中 国 泰 尔 实 验室 ， 并 受 法 律 保 护 。 转 载 、 摘 编 或 利 用 其 它 方 式 使 用 本 白皮 书 文 字 或 者 观 点 的 ， 应 注 明 “ 来 源 ： 中 国 泰 尔 实 验 室 ” 。违 反 上 述 声 明 者 ， 本 实 验 室 将 追 究 其 相 关 法 律 责 任 。前 言当 前 ， 世 界 正 处 于 新 一 轮 科 技 革 命 和 产 业 革 命 的 变 革 浪 潮 中 ，以 智 能 终 端 为 代 表 的 互 联 网 产 业 已 成 为 “ 互 联 网 +” 的 基 础 设 施 ， 是推 动 经 济 社 会 变 革 的 重 要 力 量 。 近 年 来 ， 智 能 音 箱 发 展 迅 猛 ， 出 货数 量 出 现 井 喷 式 增 长 。 智 能 音 箱 作 为 具 有 智 能 语 音 交 互 系 统 、 互 联网 服 务 内 容 ， 同 时 可 扩 展 更 多 设 备 和 内 容 接 入 的 互 联 网 终 端 产 品 ，可 为 家 庭 消 费 者 提 供 随 时 享 受 互 联 网 时 代 的 便 利 。 随 着 产 业 的 蓬 勃发 展 ， 智 能 音 箱 产 业 未 来 会 进 一 步 走 向 信 息 化 、 智 能 化 。但 与 此 同 时 ， 频 繁 曝 光 的 智 能 家 居 设 备 入 侵 、 用 户 隐 私 数 据 窃取 等 事 件 表 明 智 能 音 箱 生 态 安 全 存 在 一 定 的 安 全 风 险 。 为 研 究 该 风险 具 体 情 况 和 应 对 措 施 ， 中 国 泰 尔 实 验 室 通 过 对 主 流 智 能 音 箱 设 备抽 样 检 测 和 分 析 ， 制 定 了 2019年 互 联 网 设 备 -智 能 音 箱 安 全 白 皮书 。 本 白 皮 书 着 眼 于 智 能 音 箱 产 业 新 的 发 展 阶 段 ， 阐 述 了 智 能 音箱 当 前 的 安 全 态 势 和 安 全 风 险 ， 基 于 业 界 最 佳 实 践 ， 在 智 能 音 箱 产品 网 络 安 全 防 护 和 用 户 个 人 信 息 保 护 等 方 面 提 出 建 议 。 希 望 为 智 能音 箱 生 态 各 参 与 方 提 供 参 考 ， 并 通 过 各 方 通 力 合 作 ， 加 强 行 业 自 律 ，强 化 产 业 协 作 体 系 ， 为 用 户 提 供 更 安 全 放 心 的 智 能 音 箱 服 务 。目 录一 、 智 能 音 箱 产 业 安 全 现 状 .1二 、 2019 智 能 音 箱 安 全 评 测 报 告 .6（ 一 ） 智 能 音 箱 安 全 行 业 标 准 .7（ 二 ） 硬 件 安 全 评 测 .8（ 三 ） 操 作 系 统 安 全 评 测 .10（ 四 ） 应 用 安 全 评 测 .12（ 五 ） 无 线 通 信 安 全 评 测 .13（ 六 ） 用 户 个 人 信 息 安 全 评 测 .15三 、 2019 智 能 音 箱 十 大 安 全 风 险 .18（ 一 ） 个 人 信 息 收 集 处 理 规 则 模 糊 ， 存 在 过 度 收 集 和 使 用 风 险 .18（ 二 ） 个 人 信 息 明 文 传 输 ， 存 在 数 据 泄 露 风 险 .19（ 三 ） 个 人 信 息 不 安 全 存 储 ， 存 在 未 授 权 访 问 风 险 .19（ 四 ） 设 备 硬 件 调 试 接 口 暴 露 ， 存 在 固 件 及 敏 感 信 息 提 取 风 险 .20（ 五 ） 设 备 系 统 更 新 不 及 时 ， 存 在 高 危 漏 洞 利 用 风 险 . 20（ 六 ） 设 备 系 统 更 新 机 制 不 安 全 ， 存 在 更 新 包 篡 改 或 替 换 风 险 .20（ 七 ） 设 备 系 统 防 护 不 足 ， 存 在 恶 意 应 用 静 默 安 装 风 险 . 21（ 八 ） 身 份 认 证 机 制 缺 陷 ， 存 在 会 话 劫 持 风 险 .21（ 九 ） 移 动 应 用 安 全 防 护 不 足 ， 存 在 恶 意 代 码 植 入 风 险 . 21（ 十 ） 设 备 漏 洞 引 发 跳 板 攻 击 ， 影 响 互 联 设 备 安 全 .21四 、 智 能 音 箱 用 户 个 人 信 息 保 护 的 分 析 和 建 议 .22（ 一 ） 规 范 用 户 个 人 信 息 收 集 使 用 规 则 .22（ 二 ） 落 实 用 户 信 息 收 集 使 用 告 知 同 意 原 则 .24（ 三 ） 重 点 加 强 音 频 等 用 户 个 人 敏 感 信 息 全 生 命 周 期 安 全 防 护 .25（ 四 ） 明 确 预 置 应 用 用 户 个 人 信 息 收 集 使 用 规 则 及 责 任 归 属 .27（ 五 ） 加 强 预 置 应 用 权 限 调 用 可 知 可 控 力 度 .28五 、 智 能 音 箱 网 络 安 全 防 护 的 分 析 和 建 议 .28（ 一 ） 设 备 出 厂 前 关 闭 （ 非 必 要 ） 调 试 接 口 且 去 掉 敏 感 信 息 .28（ 二 ） 采 用 最 新 的 操 作 系 统 及 外 部 代 码 库 .29（ 三 ） 对 设 备 系 统 及 应 用 进 行 安 全 加 固 .29（ 四 ） 采 用 安 全 存 储 技 术 保 障 敏 感 信 息 安 全 .29（ 五 ） 完 善 身 份 认 证 机 制 保 障 通 信 过 程 安 全 .30六 、 智 能 音 箱 产 业 安 全 防 护 行 动 倡 议 .31（ 一 ） 加 强 音 箱 行 业 自 律 ， 明 确 企 业 主 体 责 任 .31（ 二 ） 推 进 标 准 规 范 制 定 ， 促 进 行 业 健 康 发 展 .31（ 三 ） 依 托 社 会 公 众 监 督 ， 加 强 安 全 监 管 力 度 .32（ 四 ） 鼓 励 各 方 合 作 共 享 ， 协 作 提 高 安 全 水 平 .32互 联 网 设 备 -智 能 音 箱 安 全 白 皮 书 （ 2019 年 ） 中 国 信 息 通 信 研 究 院1一 、 智 能 音 箱 产 业 安 全 现 状（一）智能音箱设备安全现状智 能 音 箱 设 备 快 速 应 用 发 展 的 同 时 ， 其 信 息 安 全 问 题 也 日 益 突显 ， 并 逐 渐 成 为 制 约 智 能 音 箱 设 备 发 展 的 关 键 问 题 之 一 。 智 能 音 箱设 备 的 广 泛 应 用 为 人 们 的 生 活 带 来 了 诸 多 便 利 ， 然 而 ， 庞 大 的 终 端数 量 、 复 杂 的 传 输 协 议 、 海 量 的 数 据 传 输 ， 也 使 其 面 临 巨 大 的 信 息安 全 风 险 。 近 几 年 智 能 音 箱 安 全 事 件 频 发 ， 新 型 攻 击 方 式 不 断 涌 现 ，用 户 个 人 信 息 泄 露 和 终 端 远 程 恶 意 操 控 等 风 险 突 显 ， 用 户 的 合 法 权益 受 到 严 重 侵 害 。 智 能 音 箱 设 备 安 全 已 经 成 为 关 系 广 大 人 民 群 众 切身 利 益 的 重 要 问 题 。（二）智能音箱安全事件2017 年 12月 ， 美 国 消 费 者 保 护 组 织 ConsumerWatchdog出 具 的一 份 报 告 显 示 ， 亚 马 逊 、 谷 歌 等 AI智 能 音 箱 存 在 “偷 听 ”用 户 的 可 能 ，指 控 此 类 智 能 音 箱 设 备 违 反 了 相 关 隐 私 法 案 。 据 组 织 内 部 人 员 表 示 ，事 件 的 起 因 是 发 现 来 自 亚 马 逊 和 谷 歌 的 专 利 中 包 含 可 能 被 用 作 收 集用 户 信 息 和 广 告 推 广 的 设 备 。 该 组 织 经 研 究 宣 称 ， 从 这 两 大 巨 头 的专 利 申 请 可 以 看 出 ， 这 些 设 备 可 能 被 用 于 收 集 大 量 信 息 和 广 告 推 广 ，并 警 示 ： 在 不 远 的 将 来 ， 智 能 音 箱 可 以 监 听 到 用 户 的 一 切 ， 从 一 些机 密 对 话 ， 到 主 人 冲 厕 所 的 习 惯 ， 无 所 不 包 。 而 智 能 家 居 产 品 的 新2版 本 可 能 会 收 集 用 户 数 据 并 向 其 推 销 相 应 产 品 。 该 组 织 研 究 发 现 ，即 使 用 户 认 为 智 能 音 箱 在 “ 休 眠 ” 状 态 ， 它 们 也 可 以 被 “ 唤 醒 ” 。实 际 上 ， 这 些 设 备 只 要 开 着 ， 就 一 直 都 在 收 听 声 音 。 而 亚 马 逊 设 想用 语 音 助 手 Alexa收 集 信 息 ， 并 为 房 间 内 所 有 人 设 立 档 案 ， 依 此 向其 推 销 相 应 产 品 。 2018 年 8月 ， 在 拉 斯 维 加 斯 举 行 的 全 球 黑 客 大 会DEFCON上 ， 技 术 人 员 展 示 了 全 世 界 畅 销 的 智 能 音 箱 亚 马 逊 智 能音 箱 AmazonEcho 被 破 解 的 全 过 程 ， 全 程 仅 需 26秒 。 通 过 控 制 智 能音 箱 ， 不 仅 能 够 远 程 控 制 进 行 录 音 ， 还 能 够 发 送 录 音 文 件 。 亚 马 逊智 能 音 箱 在 美 国 市 场 占 有 率 达 到 70%， 由 于 市 场 的 普 及 性 ， 亚 马 逊为 这 款 智 能 设 备 设 置 了 高 安 全 系 数 。 显 然 ， 一 直 处 在 安 全 研 究 人 员的 “ 高 难 度 黑 名 单 ” 上 的 亚 马 逊 智 能 设 备 也 难 以 阻 挡 住 黑 客 的 破 解 。2019年 11月 ， 网 络 安 全 研 究 员 Takeshi Suguwara、 Fu和 一 组 密 歇根 大 学 的 研 究 人 员 一 起 将 正 弦 波 的 形 式 随 时 间 改 变 激 光 强 度 的 光 声现 象 变 成 了 某 种 更 令 人 不 安 的 事 情 。 他 们 可 以 使 用 激 光 以 静 默 方 式向 任 何 接 收 语 音 命 令 的 计 算 机 “ 说 话 ” ， 包 括 智 能 手 机 、 AmazonEcho音 箱 、 GoogleHomes和 Facebook的 Portal视 频 聊 天 设 备 。 这 种 类似 间 谍 的 技 巧 使 他 们 可 以 从 数 百 英 尺 远 的 地 方 发 送 “ 轻 指 令 ” 。 他们 可 以 打 开 车 库 ， 在 线 购 买 商 品 ， 或 者 做 出 各 种 恶 作 剧 或 恶 意 行 为 。当 设 备 的 所 有 者 不 在 家 里 时 ， 攻 击 者 可 以 轻 松 地 通 过 窗 户 ， 让 目 标设 备 进 行 响 应 。互 联 网 设 备 -智 能 音 箱 安 全 白 皮 书 （ 2019 年 ） 中 国 信 息 通 信 研 究 院3国 内 有 专 家 表 示 ， 智 能 家 居 设 备 通 过 终 端 收 集 相 应 语 音 数 据 ，并 传 输 到 服 务 器 ， 供 语 音 AI程 序 分 析 使 用 。 智 能 音 箱 会 收 集 用 户 说话 ， 这 涉 及 到 语 音 识 别 和 指 令 执 行 。 从 隐 私 保 护 角 度 来 看 ， 应 该 避免 服 务 端 收 集 的 数 据 逆 推 到 具 体 个 人 。 也 就 是 说 ， 服 务 器 收 集 了 很多 语 音 片 段 ， 人 工 智 能 程 序 会 分 析 处 理 这 些 语 音 ， 识 别 语 音 中 的 内容 ， 并 根 据 用 户 需 要 的 结 果 反 馈 给 音 箱 。 但 如 果 从 智 能 设 备 逆 推 回去 ， 能 够 确 定 用 户 身 份 及 个 人 信 息 ， 就 会 存 在 很 大 隐 私 风 险 。以 此 可 见 ， 无 论 攻 击 者 从 何 种 角 度 攻 击 ， 目 的 无 非 两 种 ， 一 是远 程 控 制 音 箱 ， 以 音 箱 为 翘 板 实 现 对 所 关 联 设 备 的 控 制 ； 二 是 窃 取用 户 隐 私 ， 无 论 是 窃 听 用 户 生 活 日 常 、 窃 取 用 户 录 音 ， 还 是 收 集 用户 信 息 和 日 常 生 活 习 惯 ， 皆 可 将 收 集 信 息 作 于 不 法 用 途 。1) 远 程 控 制攻 击 者 通 过 对 音 箱 系 统 进 行 分 析 ， 利 用 其 薄 弱 环 节 ， 对 其 进 行攻 击 以 达 到 远 程 控 制 目 的 ， 例 如 通 过 破 解 音 箱 系 统 升 级 流 程 ， 下 发恶 意 代 码 以 控 制 音 箱 ， 流 程 如 图 1 所 示 。4图 1 远程控制流程2) 泄 漏 用 户 身 份 数 据用 户 隐 私 泄 露 已 成 为 智 能 音 箱 安 全 的 痛 点 ， 例 如 利 用 BSSID请求 获 取 AP的 大 致 位 置 ， 可 以 被 黑 客 用 来 发 起 精 确 攻 击 ， 例 如 利 用URI通 道 远 程 控 制 音 箱 播 放 指 定 音 乐 ， 如 图 2 所 示 。互 联 网 设 备 -智 能 音 箱 安 全 白 皮 书 （ 2019 年 ） 中 国 信 息 通 信 研 究 院5图 2 隐私泄漏（三）智能音箱安全威胁发展趋势根 据 智 能 音 箱 终 端 应 用 的 固 有 特 征 ， 目 前 针 对 音 箱 系 统 的 攻 击已 呈 现 出 几 大 的 威 胁 趋 势 ：6首 先 ， 针 对 数 据 的 攻 击 逐 渐 趋 多 ， 两 个 方 面 ： 首 先 是 隐 私 泄 露问 题 ， 另 一 方 面 是 数 据 污 染 问 题 ， 由 于 故 意 的 或 偶 然 的 行 为 造 成 的对 原 始 数 据 的 完 整 性 和 真 实 性 的 损 害 ， 进 而 影 响 最 终 的 决 策 过 程 。其 次 ， 拒 绝 服 务 攻 击 频 次 和 破 坏 性 更 大 ， 由 于 弱 口 令 等 原 因 ，智 能 音 箱 设 备 僵 尸 网 络 正 成 为 令 人 难 以 置 信 的 高 容 量 DDoS 攻 击源 。 大 规 模 的 攻 击 已 经 不 再 需 要 利 用 反 弹 /放 大 技 术 。 它 们 只 需 依 靠设 备 的 数 量 即 可 ， 伴 随 而 来 的 是 攻 击 的 规 模 、 频 度 、 复 杂 性 和 带 来的 影 响 、 损 失 都 在 日 益 快 速 增 长 ， 在 僵 尸 大 军 面 前 所 有 被 盯 上 的 机构 都 难 以 抵 抗 。再 次 ， 音 箱 终 端 还 容 易 遭 受 劫 持 攻 击 ， 勒 索 所 劫 持 设 备 ， 正 成为 黑 客 钟 爱 的 新 型 攻 击 手 段 。 设 备 与 现 实 世 界 紧 密 连 接 ， 攻 击 效 果对 黑 客 的 吸 引 力 更 大 。另 外 ， 音 箱 终 端 还 易 沦 为 攻 击 的 跳 板 。 入 侵 单 一 设 备 或 许 不 能造 成 太 大 安 全 威 胁 ， 但 通 过 设 备 进 入 其 他 目 标 系 统 情 况 就 大 不 相 同 。过 去 网 络 连 接 方 式 单 一 ， 存 在 的 网 络 攻 击 面 有 限 。 网 络 “ 融 合 ” 导致 能 够 被 攻 击 的 脆 弱 点 激 增 ， 设 备 间 的 “ 跨 越 式 ” 攻 击 变 得 容 易 。二 、 2019 智 能 音 箱 安 全 评 测 报 告中 国 泰 尔 实 验 室 依 据 TAF 标 准 智 能 音 箱 产 品 安 全 能 力 技 术 要求 和 测 试 方 法 （ 征 求 意 见 稿 ） ， 按 照 行 业 销 售 量 排 名 ， 此 次 对 11互 联 网 设 备 -智 能 音 箱 安 全 白 皮 书 （ 2019 年 ） 中 国 信 息 通 信 研 究 院7个 品 牌 的 智 能 音 箱 产 品 进 行 安 全 抽 测 。（一）智能音箱安全行业标准1. 标 准 编 制 情 况为 规 范 智 能 音 箱 设 备 的 安 全 防 护 能 力 ， 通 过 提 高 智 能 音 箱 自 身 的安 全 防 护 水 平 ， 防 范 各 类 安 全 威 胁 。 由 中 国 信 息 通 信 研 究 院 牵 头 ， 联合 北 京 百 度 网 讯 科 技 有 限 公 司 、 北 京 奇 虎 科 技 有 限 公 司 、 北 京 小 米 移动 软 件 有 限 公 司 和 北 京 京 东 世 纪 贸 易 有 限 公 司 制 定 了 TAF协 会 WG4组 协 会 标 准 智 能 音 箱 产 品 安 全 能 力 技 术 要 求 和 测 试 方 法 （ 征 求 意见 稿 ） ， 该 标 准 旨 在 为 智 能 音 箱 采 购 者 、 生 产 厂 商 、 评 估 机 构 提 供 一个 多 方 认 可 的 、 通 用 的 安 全 要 求 ， 产 品 厂 商 可 参 考 本 标 准 进 行 设 计 、开 发 。 2. 标 准 内 容标 准 的 基 本 内 容 包 括 安 全 能 力 框 架 、 安 全 能 力 技 术 要 求 、 安 全 能力 分 级 和 安 全 测 试 方 法 。 安 全 能 力 框 架 主 要 包 括 ： 根 据 智 能 音 箱 可 能面 临 的 安 全 风 险 ， 提 出 安 全 功 能 架 构 ， 包 括 硬 件 安 全 、 操 作 系 统 安 全 、AI模 型 安 全 、 应 用 能 力 安 全 、 扩 展 能 力 安 全 和 用 户 隐 私 保 护 等 。 安 全能 力 技 术 要 求 从 基 本 功 能 （ 声 音 采 集 、 语 音 唤 醒 、 内 容 满 足 、 网 络 接入 ） 、 扩 展 功 能 （ 如 支 付 功 能 、 家 居 控 制 功 能 ） 、 操 作 系 统 及 硬 件 等方 面 对 智 能 音 箱 终 端 应 具 备 的 安 全 能 力 提 出 要 求 。 安 全 能 力 分 级 是 基8于 基 本 的 安 全 保 障 、 实 现 难 度 、 特 殊 安 全 能 力 等 层 面 对 智 能 电 视 音 箱能 力 进 行 分 级 ， 以 便 于 产 品 具 有 特 定 品 质 ， 便 于 消 费 者 选 择 。 安 全 测试 方 法 中 提 供 针 对 智 能 音 箱 的 测 试 方 法 ， 测 试 方 法 与 安 全 要 求 中 所 描述 的 智 能 音 箱 安 全 能 力 具 有 对 应 性 。（二）硬件安全评测1. 评 测 内 容由 于 安 全 性 设 计 考 虑 不 足 ， 大 部 分 终 端 硬 件 均 保 留 测 试 接 口 或其 他 可 利 用 接 口 信 息 。 导 致 可 直 接 基 于 硬 件 获 取 其 超 级 权 限 。 并 且由 于 成 本 原 因 ， 无 法 嵌 入 具 有 安 全 性 能 的 MCU或 安 全 芯 片 ， 只 能 选用 不 具 备 安 全 防 护 芯 片 ， 使 得 关 键 信 息 或 敏 感 数 据 极 易 被 获 取 。因 此 本 次 主 要 对 主 板 和 物 理 接 口 进 行 分 析 ， 发 现 其 可 能 存 在 调试 入 口 及 未 加 密 存 储 数 据 。2. 评 测 结 论对 抽 取 产 品 进 行 硬 件 测 试 ， 测 试 发 现 70%的 被 测 产 品 主 板 存 留敏 感 丝 印 信 息 以 及 暴 露 Test PIN。 例 如 JTAG、 SWID、 UART 等 硬 件接 口 用 于 设 计 时 的 前 期 调 试 ， 程 序 烧 录 ， 以 及 诊 断 测 试 。 我 们 发 现70%的 设 备 的 硬 件 上 都 保 留 了 调 试 接 口 ， 攻 击 者 通 过 这 些 接 口 获 取 到大 量 实 现 上 的 细 节 信 息 。测 试 发 现 90%的 产 品 硬 件 存 储 芯 片 采 用 没 有 加 密 功 能 的 芯 片 ，互 联 网 设 备 -智 能 音 箱 安 全 白 皮 书 （ 2019 年 ） 中 国 信 息 通 信 研 究 院9可 基 于 不 同 的 方 式 提 取 其 中 的 关 键 信 息 。3. 典 型 问 题基 于 调 试 接 口 获 取 固 件 信 息 ： 智 能 设 备 在 出 厂 后 为 了 方 便 业 务侧 进 行 远 程 设 备 调 试 ， 多 数 设 备 不 会 移 除 调 试 串 口 或 关 闭 调 试 端 口 。在 实 际 的 检 测 中 发 现 很 多 设 备 都 存 在 此 类 漏 洞 ： 例 如 某 款 智 能 音 箱同 时 存 在 未 移 除 调 试 串 口 和 调 试 端 口 未 关 闭 的 情 况 ， 如 图 3所 示 。图 3 调试接口暴露基 于 暴 露 接 口 ， 通 过 物 理 接 触 获 取 shell， 然 后 提 权 获 取 ROOT 。如 图 4 所 示 。10图 4ROOT权限获取（三）操作系统安全评测1. 评 测 内 容终 端 软 件 包 含 或 其 系 统 以 及 系 统 安 装 应 用 ， 由 于 自 身 问 题 ， 或者 由 于 缺 乏 相 应 的 更 新 机 制 导 致 其 存 在 大 量 漏 洞 ， 攻 击 者 可 以 利 用终 端 或 节 点 的 漏 洞 进 行 木 马 、 病 毒 的 攻 击 ， 导 致 终 端 节 点 被 非 法 控制 或 不 可 用 。 同 时 ， 物 联 网 API接 口 开 放 性 、 逻 辑 多 样 性 ， 使 得 流程 实 现 没 有 考 虑 全 部 可 能 的 情 况 ， 尤 其 异 常 情 况 ， 导 致 攻 击 者 可 以绕 过 或 篡 改 业 务 流 程 ， 比 如 绕 过 认 证 环 节 远 程 对 设 备 进 行 控 制 。本 次 操 作 系 统 安 全 测 评 利 用 固 件 逆 向 和 自 动 化 分 析 工 具 ， 对 固 件进 行 逆 向 分 析 ， 发 现 其 密 钥 存 储 及 业 务 实 现 所 存 在 的 逻 辑 漏 洞 。2. 评 测 结 论互 联 网 设 备 -智 能 音 箱 安 全 白 皮 书 （ 2019 年 ） 中 国 信 息 通 信 研 究 院11测 试 人 员 对 被 测 产 品 系 统 进 行 漏 洞 扫 描 和 人 工 排 查 发 现 ， 部 分 系统 存 在 大 量 高 危 漏 洞 ， 且 漏 洞 修 复 比 例 较 低 。 一 些 产 品 甚 至 存 在 未 修复 高 危 已 知 漏 洞 ， 攻 击 者 可 能 利 用 已 知 漏 洞 ， 提 权 并 对 系 统 进 行 破 坏或 窃 取 用 户 账 户 信 息 等 。 尤 其 在 固 件 更 新 层 面 ， 90%以 上 的 固 件 升 级更 新 机 制 实 现 不 安 全 ， 大 量 升 级 操 作 存 在 固 件 不 加 密 ， 没 有 对 固 件 进行 签 名 校 验 等 漏 洞 。3. 典 型 问 题系 统 更 新 不 全 ， 漏 洞 修 复 比 例 低 ， 利 用 系 统 漏 洞 获 取 Root权 限 ，如 图 5所 示 ： 图 5 系统漏洞利用被 测 某 款 产 品 关 键 性 程 序 和 脚 本 未 进 行 混 淆 和 加 固 ， 通 过 逆 向 发现 了 远 程 代 码 执 行 漏 洞 ， 流 程 如 下 ： 通 过 按 静 音 按 钮 和 复 位 按 钮 2到 3 秒 进 入 工 程 模 式 （ 实 现 在内 核 里 ） 。 设 备 将 启 动 一 个 名 为 xxxxSmartAssistant_xxxxxxx的 ssid热 点 。 热 点 没 有 密 码 ， 任 何 人 都 可 以 连 接 。 /usr/sbin/factoryTestServer.py将 作 为 Web服 务 在 端 口128765 上 以 root 权 限 运 行 。 其 Web服 务 模 块 中 存 在 代 码 注 入 漏 洞 ， 可 能 会 将 攻 击 者 的 远程 root shell授 予 设 备 。（四）应用安全评测1. 评 测 内 容在 智 能 音 箱 系 统 中 ， 移 动 应 用 一 般 可 以 用 来 监 测 设 备 终 端 状 态和 控 制 设 备 终 端 。 移 动 端 威 胁 可 分 为 应 用 安 装 前 风 险 、 安 装 风 险 、运 行 风 险 以 及 更 新 风 险 。 其 中 应 用 在 开 发 或 打 包 前 ， 未 使 用 有 效 加固 手 段 或 未 进 行 安 全 检 测 ， 导 致 移 动 应 用 被 反 编 译 或 存 在 高 危 漏 洞 ；安 装 时 ， 如 未 进 行 完 整 性 校 验 或 签 名 校 验 ， 可 导 致 安 装 带 有 恶意 行 为 应 用 ； 应 用 在 运 行 时 ， 如 未 增 加 有 效 防 调 试 手 段 ， 黑 客 可 读取 内 存 信 息 获 取 应 用 运 行 逻 辑 或 关 键 信 息 如 密 钥 等 ； 应 用 在 更 新 时 ，未 对 更 新 包 进 行 有 效 校 验 ， 导 致 安 装 带 有 恶 意 行 为 应 用 。 以 上 任 意阶 段 均 可 成 为 黑 客 攻 击 目 标 ， 以 实 现 其 远 程 控 制 或 窃 取 隐 私 的 目 的 。针 对 以 上 安 全 风 险 ， 本 次 应 用 安 全 测 评 利 用 App漏 洞 扫 描 、 反编 译 等 工 具 ， 对 智 能 音 箱 App进 行 安 全 性 测 试 ， 发 现 存 在 的 漏 洞 ，验 证 其 是 否 存 在 密 钥 泄 露 、 代 码 逻 辑 漏 洞 、 业 务 逻 辑 泄 露 等 风 险 。2. 评 测 结 论对 被 测 产 品 对 应 客 户 端 APP应 用 进 行 批 量 检 测 后 ， 发 现 80%应互 联 网 设 备 -智 能 音 箱 安 全 白 皮 书 （ 2019 年 ） 中 国 信 息 通 信 研 究 院13用 未 进 行 过 安 全 加 固 ， 也 无 防 重 打 包 和 代 码 注 入 的 能 力 。 黑 客 能 够通 过 反 编 译 ， 在 程 序 中 植 入 木 马 、 恶 意 代 码 及 广 告 等 ， 并 可 对 其 重编 译 二 次 打 包 ， 重 打 包 后 程 序 依 然 可 正 常 运 行 。 被 恶 意 篡 改 后 的 程序 可 能 导 致 用 户 隐 私 泄 露 ， 用 户 账 户 窃 取 等 风 险 。 与 此 同 时 ， 测 试发 现 部 分 应 用 更 新 未 对 更 新 包 进 行 版 本 号 、 哈 希 值 、 签 名 和 文 件 大小 校 验 ， 导 致 可 通 过 篡 改 更 新 包 植 入 恶 意 代 码 。3. 典 型 问 题应 用 逆 向 篡 改 其 运 行 逻 辑 ： 通 过 JEB查 看 某 产 品 移 动 APP运 行逻 辑 后 ， 基 于 Frida进 行 hook、 调 试 ， 篡 改 其 运 行 逻 辑 ， 在 其 中 插入 恶 意 代 码 ， 可 实 现 对 应 用 可 控 制 设 备 的 非 法 控 制 ， 如 图 6 所 示 。图 6 应 用 逆 向（五）无线通信安全评测1. 评 测 内 容14音 箱 系 统 通 信 网 络 环 境 相 对 复 杂 ， 包 括 终 端 与 移 动 端 互 联 、 终端 与 服 务 端 互 联 、 移 动 端 与 服 务 端 互 联 ， 同 时 应 用 多 种 通 信 协 议 包括 蓝 牙 、 wifi、 蜂 窝 网 络 等 。 通 信 过 程 很 多 仅 采 用 弱 身 份 认 证 ， 甚至 无 身 份 认 证 。 于 此 同 时 ， 大 量 设 备 在 传 输 过 程 部 分 或 全 部 明 文 传输 ， 缺 乏 加 密 通 信 机 制 。 无 论 弱 身 份 认 证 或 是 明 文 传 输 ， 都 会 导 致被 非 法 攻 击 ， 后 果 既 非 法 访 问 、 数 据 丢 失 ， 数 据 篡 改 ， 更 有 甚 者 会被 下 达 非 法 控 制 操 作 。本 次 无 线 通 信 安 全 评 测 利 用 网 络 抓 包 、 SSL中 间 人 攻 击 等 方 法 ，对 通 信 进 行 监 控 ， 对 通 信 协 议 安 全 性 、 数 据 传 输 保 密 性 和 完 整 性 进行 测 试 ， 验 证 是 否 有 用 户 名 密 码 泄 漏 、 数 据 流 地 址 泄 漏 、 其 他 信 息泄 露 等 风 险 。2. 评 测 结 论通 过 测 试 发 现 ， 60%音 箱 采 用 不 安 全 传 输 协 议 通 过 公 关 网 络 或 局域 网 络 传 输 用 户 数 据 ， 导 致 传 输 信 息 易 于 窃 取 和 替 换 。3. 典 型 问 题对 传 输 数 据 进 行 抓 包 获 取 其 传 输 内 容 ： 通 过 测 试 发 现 ， 某 音 箱采 用 不 安 全 传 输 协 议 通 过 公 关 网 络 或 局 域 网 络 传 输 用 户 数 据 ， 导 致传 输 信 息 易 于 窃 取 和 替 换 。 其 OTA升 级 包 地 址 通 过 明 文 传 输 ， 通 过中 间 人 攻 击 截 获 其 传 输 信 息 ， 通 过 分 析 后 ， 得 到 对 应 OTA升 级 包 下载 地 址 ， 更 改 地 址 后 ， 可 任 意 下 发 恶 意 程 序 ， 如 图 7所 示 。互 联 网 设 备 -智 能 音 箱 安 全 白 皮 书 （ 2019 年 ） 中 国 信 息 通 信 研 究 院15图 7数据明文传输替 换 升 级 包 植 入 恶 意 行 为 ： 某 音 箱 升 级 过 程 中 只 采 用 MD5校 验 ，无 签 名 校 验 ， 对 其 进 行 篡 改 后 ， 通 过 中 间 人 攻 击 使 该 音 箱 使 用 篡 改后 存 在 恶 意 行 为 的 升 级 包 升 级 ， 从 而 获 取 远 程 控 制 权 限 ， 如 图 8 所示 。图 8升级过程弱身份验证（六）用户个人信息安全评测1. 评 测 内 容使 用 抓 包 工 具 和 流 量 监 控 工 具 对 终 端 以 及 APP数 据 传 输 过 程 抓包 和 监 控 ， 分 析 其 是 否 上 传 产 品 型 号 、 系 统 版 本 、 序 列 号 、 IMEI、16地 理 位 置 等 信 息 ， 以 及 确 认 信 息 内 容 是 否 明 文 传 输 。 同 时 抓 取 与 音箱 对 话 内 容 、 添 加 日 历 等 。 同 时 对 其 进 行 中 间 人 攻 击 ， 验 证 是 否 存在 用 户 数 据 泄 露 风 险 。2. 评 测 结 论测 试 发 现 某 些 产 品 上 传 用 户 在 该 APP的 任 何 操 作 、 用 户 详 细 地理 位 置 以 及 用 户 同 音 箱 的 详 细 对 话 内 容 。 然 后 该 系 统 应 用 采 用 非 安全 的 传 输 协 议 ， 存 在 明 文 传 输 用 户 信 息 的 行 为 ， 用 户 的 操 作 、 语 音控 制 内 容 可 被 攻 击 者 窃 取 或 被 恶 意 劫 持 ， 并 替 换 诈 骗 、 钓 鱼 、 反 动等 非 法 信 息 。 同 时 发 现 70%以 上 的 产 品 可 被 获 取 Root 权 限 ， 可 基 于获 取 权 限 通 过 不 同 方 式 对 用 户 进 行 窃 听 。3. 典 型 问 题伪 造 身 份 获 取 后 台 数 据 ： 通 过 对 某 产 品 通 信 数 据 进 行 抓 包 获 取token后 ， 就 可 向 后 台 抓 取 对 应 用 户 与 音 箱 的 对 话 数 据 等 内 容 ， 如图 9所 示 。互 联 网 设 备 -智 能 音 箱 安 全 白 皮 书 （ 2019 年 ） 中 国 信 息 通 信 研 究 院17图 9用户信息抓取获 取 超 级 权 限 后 对 用 户 进 行 窃 听 ： 通 过 远 程 控 制 某 音 箱 可 以 静默 安 装 录 音 工 具 ， 实 现 对 用 户 的 窃 听 并 上 传 窃 听 数 据 ， 如 图 10所示 。图 10 获取权限后实施窃听18三 、 2019 智 能 音 箱 十 大 安 全 风 险（一）个人信息收集处理规则模糊，存在过度收集和使用风险随 着 移 动 互 联 网 的 迅 速 发 展 ， 智 能 音 箱 产 品 经 历 了 “ 野 蛮 生 长 ”的 时 代 。 为 提 供 个 性 化 服 务 ， 开 展 精 准 投 放 ， 智 能 音 箱 收 集 使 用 了大 量 用 户 的 个 人 信 息 ， 包 括 音 频 信 息 、 位 置 信 息 、 通 讯 录 等 敏 感 数据 。 智 能 音 箱 在 收 集 使 用 个 人 信 息 的 过 程 中 ， 存 在 以 下 现 象 ：智 能 音 箱 在 收 集 处 理 个 人 信 息 时 ， 规 则 模 糊 。 智 能 音 箱 是 具 有智 能 语 音 交 互 系 统 、 互 联 网 服 务 内 容 ， 同 时 可 扩 展 更 多 设 备 和 内 容接 入 的 互 联 网 终 端 产 品 。 作 为 智 能 家 居 中 控 的 存 在 ， 用 户 和 智 能 音箱 在 进 行 语 音 交 互 时 ， 智 能 音 箱 会 收 集 音 频 信 息 ， 音 频 中 包 括 个 人信 息 中 的 声 纹 ， 而 在 隐 私 声 明 中 ， 往 往 没 有 明 示 声 纹 、 指 纹 等 敏 感信 息 在 收 集 、 存 储 、 转 移 、 删 除 和 二 次 加 工 等 处 理 的 方 式 ， 因 而 收集 的 音 频 数 据 一 旦 泄 露 ， 可 造 会 造 成 广 泛 的 恶 劣 影 响 。智 能 音 箱 在 用 户 不 知 情 的 情 况 下 ， 过 度 收 集 和 使 用 个 人 信 息 。智 能 音 箱 易 出 现 在 用 户 不 知 情 情 况 下 ， 对 用 户 语 音 、 位 置 等 敏 感 信息 持 续 收 集 的 现 象 ， 尤 其 是 用 户 语 音 ， 用 户 较 多 不 易 感 知 。 一 些 智能 音 箱 并 未 通 过 隐 私 政 策 或 其 他 途 径 明 确 告 知 用 户 收 集 使 用 信 息 的目 的 、 方 式 、 范 围 和 频 次 ， 也 未 向 用 户 提 供 明 确 的 允 许 和 拒 绝 的 选互 联 网 设 备 -智 能 音 箱 安 全 白 皮 书 （ 2019 年 ） 中 国 信 息 通 信 研 究 院19择 ， 这 种 累 积 性 的 权 益 侵 害 在 日 常 生 活 中 普 遍 存 在 ， 将 会 引 发 用 户的 严 重 担 忧 。 信 息 过 度 收 集 使 用 的 乱 象 亟 待 解 决 。预 置 应 用 大 量 收 集 使 用 个 人 信 息 。 智 能 音 箱 通 常 会 使 用 预 置 应用 快 速 实 现 业 务 功 能 ， 而 预 置 应 用 与 智 能 音 箱 在 收 集 用 户 信 息 方 面具 有 同 样 的 能 力 。 鉴 于 预 置 应 用 的