废弃的智能灯泡也有可能危及你的网络安全

你可能买过便宜的智能灯泡或安全摄像头，你可能认为购买这些设备的最大风险只不过是要多花点心思进行设置，或者找不到设置选项。然而，这些设备的安全风险不仅存在于正常使用时，即使在被扔进垃圾箱之后，它们仍有可能危及你的网络安全。

虽然这些所谓的物联网设备大多非常小巧，而且也称不上智能，但它们仍然是功能完备的网络设备。要防止它们把你的私密信息以明文形式广播出去或是把系统最高访问权限泄漏给外人，你可能不需要做太多事情，但仍然需要采取一些基本的预防措施。

据 Hack a Day 报道 ，安全博客 Limited Results 对一些廉价“智能”灯泡进行了调查 ，结果发现安全问题并不在于这些设备在联网时做了什么，而是它们在电路板上存储了什么以及存储的方式。

Limited Results 测试的灯泡全都不具备真正的安全机制来保护内部芯片上的信息，在拆卸下灯泡的电路板后，测试人员只是接上了几个触点，没过多久便找到了设备的引导数据，并且能够对设备进行写入指令的操作。

那些数据无一例外完全未经加密，其中包括设备所连接网络的密码。此外，有一款智能灯泡中还泄漏了私有的 RSA 密钥，这种密钥被用于创建跟服务器之间的安全连接（以检查升级以及向云端上传用户数据，诸如此类）。如果某个人从垃圾桶里捡起这样的智能灯泡，或是偷走安装在室外的灯泡，或是买下二手货，那么他（或她）便有机会获取这些信息。

“说实话，90%的物联网设备在开发时都没有考虑到安全问题，这是一场灾难。”Limited Results 在一封电邮中写道，“在我进行的研究中，我测试了 4 款不同的设备，分别来自 LIFX、小米、TUYA 和 WIZ（针对 WIZ 的评测文章尚未发表，这家公司的人非常不友好）。相同的设备，相同的漏洞，有的甚至拥有相同的内部代码。”

目前，这些设备暴露的信息就其本身而言并没有太大危害，然而如果有人居心叵测，他们可以从几个方面加以利用。值得引起警醒的是，制造商对此漠不关心——不仅仅是设备的代码，还有设备的制造方式。事实上，这些设备就是在现成的无线电路板上安上元件，根本没有考虑过安全性、保密性或是使用寿命。而且，存在问题的绝不仅仅是智能灯泡。

这些设备都自豪地宣称它们支持 Alexa、Google Home 或其他标准，这可能让用户误以为它们在某种程度上可以被信任、经过了检查或遵循了基本的标准。

实际上，这些设备根本没有任何安全机制。更有甚者，一款智能灯泡仅仅用一张不怎么牢靠的胶粘纸来实现金属外壳和 PCB 电路板的绝缘，这样做就是等着火灾（至少也是短路）发生。

跟任何其他类型的电子产品一样，便宜没好货是有道理的。但是，如果你买的是便宜的 CD 播放器，最糟糕的结果可能只是播放跳帧或是 CD 光碟被刮伤。但如果你买的是便宜的婴儿监视器、便宜的智能插座，便宜的联网门锁，那么它们造成的糟糕结果就没有这样简单了。

我不是说每一种智能设备你都要挑贵的买，而是提醒大家，我们需要清楚这样的设备会带来怎样的风险，更不用说那些粗制滥造的便宜货了。

如果你想把自己面临的风险降到最低，一种简单的做法是把智能家居设备连接到一个独立的子网络或访客网络上；还有就是确保你的设备，当然还有路由器，拥有密码保护；并且采取一些常规措施，比如定期更改密码。

图片来源：Limited Results

翻译：王灿均（ @何无鱼 ）

Cheap Internet of Things gadgets betray you even after you toss them in the trash