BAT3 在 IoT 安全上凑齐了，我们问了问李康和杨卿 360 要怎么搞

雷锋网 • 7年前扫码分享

我是创始人李岩：很抱歉！给自己产品做个广告，点击进来看看。

最近，有人问雷锋网宅客频道（微信ID：letshome），你觉不觉得物联网领域最近动作颇多？

是的，一个明显感受是——大家对 IoT 安全的兴趣越来越浓了。

11 月 28 日，小米开了一场 IoT 开发者大会，发布了 IoT 开发者计划，百度也加入了这场合作，要引入百度的 AI 能力。如果你留心一下，会发现那天下午还有一个 IoT 安全峰会的分会场，在最后一个议程中，小米安全 CSO 陈洋、清华大学教授段海新、百度安全事业部总经理马杰、腾讯极棒大赛创始人王琦、长亭科技联合创始人杨坤以及 360 的杨卿一同坐在了台上。

他们要宣布合作？那倒没有。但是，各家对于 IoT 安全的态度可见一斑。

小米的 IoT 安全主要聚焦在自家及生态链产品上，并不包括对其他产品的攻防研究，除非“家里也有余粮时，才会对其他家的产品做一些攻防研究”。这无可厚非，毕竟小米及生态链产品的市场占有率可以说明，小米正紧紧把控着智能硬件的入口。

同月初，百度安全成立了一个 OASES 智能终端安全生态联盟，这个联盟里囊括了安全厂商犇众信息、Keen 公司（极棒黑客大赛主办方）、NewSky Security（青天科技，主攻物联网设备安全）、腾御安（TYA，Linux 内核安全专家团队）等攻防能力很强的技术团队。虽然，这次百度安全说的是要“紧靠 AI ”，开放 AI 生态上的多项安全能力，但落地点依然在智能终端领域。

至于腾讯，它宣告得也很早。9 月 10 日，腾讯与无锡市高新区联合成立了国内首个TUSI（腾讯用户安全基础设施）物联网联合实验室，同时与英特尔开发区块链技术，推动构建物联网安全能力。

不在台上的阿里也有个 ICA 联盟，也称 IoT 合作伙伴计划。ICA 联盟构架由 5 个模块构成，分别是接口、低功耗广域网、安全、数据和测试认证。

360 虽然是安全厂商，但也专门搞了 IoT 安全？

是的。11 月 21 日，杨卿在朋友圈发布了一张招人海报，宣告 360 IoT 安全研究院成立。

事实上，雷锋网了解到，杨卿所在的无线电安全、刘建皓所在的智能网联汽车安全等安全领域做出的研究其实也都与物联网安全有关，但为什么还要特地成立一个 IoT 安全研究院？这个研究院和之前360 在物联网上布局的力量有什么关系？他们到底要做些什么？

带着这些疑问，雷锋网跟 360 IoT 安全研究院的两位负责人李康与杨卿聊了聊。

实问实答

李康：CGC 机器人竞赛项目 UGA Disekt 的华人领队，目前是 360 网络安全北美研究院负责人，IoT 安全研究院院长。

杨卿：360 无线电安全研究院掌门人、UnicornTeam独角兽团队首席黑客杨卿，IOT安全研究院副院长，知乎有人评价颜值非常高。

BAT3 在 IoT 安全上凑齐了，我们问了问李康和杨卿 360 要怎么搞

杨卿（右一）

1.雷锋网：为什么要成立 IoT 安全研究院，是因为大家都朝着这里使劲了吗？

杨卿：前段时间的小米发布会上，雷军说小米有 8500 万个 IoT 设备挂在网上，日活跃率约有1000万台，这说明 IoT 设备真正用起来了。一用起来， IoT 安全有多重要？我就不赘述了。

其实 360 各安全团队这些年做的很多事情都跟 IoT 相关，但没有一个完全聚焦这个方向去的团队，但 IoT的安全又是极其重要且不容忽视，所以公司希望要成立一支专心于这个方向深挖技术并合理转化输出造福IoT 产业的安全研究机构，这就是 360 IoT安全研究院的设立的由来。

2.雷锋网：两位怎么分工？

杨卿：李康老师在安全界有很深的积累，安全技术视野更远，方向感更强。但因为李康老师同时负责360 北美网络安全和 IoT 安全两个研究院的全局规划, 所以我会一同负责 IoT 安全研究院的一些事务，包括招聘、部分日常工作跟进等，和李康老师“搭班子”的工作模式我本人也是第一次尝试，还蛮期待的。

李康：杨卿客气了。一方面像他讲的，他会做很多细节的东西，我可能会想一些更多的新的潜在威胁形式，或者说发现新问题，有这种分工。

3.雷锋网：360 物联网安全研究院将研究哪些？

李康：我先解释一下，我们对于 IoT 的定义。我们考虑的物联网安全，不仅仅是过去大家说智能摄像头、音箱等，我们理解的物联网还有更广义的设备——物联网是万物互联，比如基础设施，包括电站、智能电表等关键设备，这些也和互联网联动，整个 IoT 安全研究院关心的是更广义的 IoT 设备的安全问题。

这些设备的安全隐患有可能引发很严重的安全问题。比如，过去我们关心摄像头安全，一方面是有隐私泄露的问题，另一方面被劫持的摄像头也被用来攻击互联网上的服务。但是一旦涉及互联网关键基础设施，影响会更大。不安全的 IoT 设备也可能对物理世界造成威胁，比如导致一个城市断电，水系统污染，影响的不仅仅是个人，很可能是很大范围的城市。

2015 年白宫发生了一次断电事件，整个白宫的人不得不撤离。这么重要的地方为什么会断电？原来，事故发生在 40 英里外，马里兰州一个变电站的智能设备出了问题。但具体是怎么坏的，我不太清楚。估计只是一次故障，但也存在有人故意捣乱的可能。

如果有人恶意直接攻击防守严密地白宫供电系统，这可能很困难，但把几十英里外不同的州的设备作为目标，这类攻击造成危害的可能性会提高。

在欧洲的安全会议上，曾有一个展示项目，攻击的目标是家庭智能灯泡，灯泡可以远程控制时间、颜色。比如在巴黎，我能通过这种方法控制几万个灯泡，不光能让这些灯泡开关，还能让它们协同产生同步的用电或者停止用电的行为，这样的行为会对电网系统造成威胁。

所以 IoT 安全不仅仅是单一设备的问题。对于 IoT 安全的考虑，我们以单一设备为起点，要考虑设备自身的安全，还要考虑对物理世界的影响，也要考虑新的威胁形式。

杨卿：我会协助李康老师，并按照老周提出的“大安全”理念，结合我们的创新能力与前瞻视野去打造团队，钻研技术。

我在小米安全峰会的圆桌上提到，看到小米安全团队的朋友演讲时多次提到“无线电安全”，并做了诸多GPS 干扰、伪基站网络劫持等这些在“连”这个层面危及 IoT 设备的技术分享时，我深有感触。2014年，360 就成立了独角兽这样的团队，做无线通信安全这方面的事情，写了本“无线电”安全的书来率先定义了“无线电安全”，未来我想我们会全面建立覆盖整个信息安全研究的体系和安全攻防输出能力。

4.雷锋网：你们自己也推出了很多硬件产品，大部分针对家用场景，近期 IoT安全院会主打针对家用的场景吗？

杨卿：从老周最早的免费杀毒到现在，其实我们一直以来都在给用户提供各种安全上的服务和产品，所以为了应对层出不穷的新兴威胁，对于to C 的 IoT 智能产品安全攻防和智能技术，我们依旧会研究和投入。

5.雷锋网：你们和小米都在家庭智能设备上有布局，会有相关合作吗？

杨卿：我看到小米之前也在连接层面测试过其智能设备的安全能力，360 之前在物联网安全上有一些能力积累，这些能力是可以复用的，如果小米的智能设备需要我们这些能力，我们随时欢迎。我跟陈洋也算是多年朋友，以后考虑合作。

6.雷锋网：两位同时负责的无线电安全研究院、北美安全研究院，这两个部门和 IoT 安全研究院有结合点吗？

李康：我们现在做了很多关于人工智能系统软件本身的安全分析、测试的工作，我们觉得今后很多 IoT 设备也会和人工智能进行很强的结合，即设备的智能性越来越强。

我的团队在人工智能现有的公开平台发现了一些漏洞，人工智能程序的设计开发人员一般都用一些公开平台在，我们做了一些研究，其实是帮助那些平台做修复。

另外，我们发现人工智能，尤其是图像识别、语音识别这方面的应用，大家对其安全的关注度还不够，我们发现程序设计里还是有很多点可能会受到攻击。所以，我们现在也会提很多建议，让大家注意在哪些地方做修复。

杨卿：IoT 设备高度依赖无线通信，很多产品也都有 WiFi 模块、NFC 模块、蓝牙、GPS 模块等，360 很多的智能联网安全产品在设计时，就会引入信息安全团队来做整体安全评估，从底层硬件通信、无线电连接协议、Web 与移动端应用实现，云端及业务平台测，长年以来积累了丰富的漏洞经验与安全设计与防护体系。

我们在无线电安全研究做了许许多多无线与硬件安全相关的事情和 IoT 安全相关。未来我们仍会继续聚焦在无线通信，不管是4G、5G，Zigbee、Lora 还是 NBIoT，这些无线通信技术哪一个都有可能被未来的IoT设备大量使用。所以我认为无线电安全与 IoT 安全的协作会更加的紧密。