摘要：本文介绍了公安部安全与警用电子产品检测中心简介、物联网中广泛使用的安防及智能家居产品与设备技术特点、国内外物联网安全主要事件回顾、安防视频监控设备信息安全检测情况、智能门锁信息安全检测情况、相关技术标准研究现状、检测技术研究方向等。

浮欣    公安部第一研究所+检测中心物联网产品检测部副主任

我们中心是隶属于公安部第一研究所，今天我跟大家分享的是我们检测中心在安防和智能设备领域信息安全检测的一些心得体会。我们中心成立业比较早，最早安防产业有二三十年的历史了。首先跟大家介绍一下我们中心的基本概况。

我们的历史沿革，也是当年公安部批准成立的，在公共安全行业我们和兄弟单位都是安防行业国内权威的第三方检测机构，包括一些安防产品3C的强制性认证、自愿性认证，还有一些国外的认证，包括UL和IEC等等。

今天不仔细区分安防和物联网的范围到底是怎么划分的，现在统一来讲，因为安防行业是一个先行的行业，最早它主要还是处于一个模拟的时代，很多传输的数据都是载波的形式，当它进入到互联网、广域网、以太网，信息安全的问题就会随之而来，尤其这两年更是呈现爆发式的增长。基于上述的情况，我们中心紧跟最新的技术动态，我们也是在物联网安全这块做了一些工作。这里列出的民用领域和公共安全领域，民用领域我们涉及的比较少，目前来讲也就是作为一个智能家居的入口，智能门锁的信息安全检测在我们中心。这个智能门锁产品后面我要稍微详细地跟大家说一下，我们工作的重点主要是公共安全领域，最大的一块就是视频监控，这个可能大家也都知道，也是出的安全事件比较多的，包括它的一些常见的设备，我这里列出来的，数字相机、视频存储还有平台分析软件、出入1口口控制系统、入侵探测系统等等。

物联网时代简单的示意图，这个图在安防领域很早就有，最早安防仅仅限于简单地模拟摄像机还有一些入侵探测器等等，现在它的内容是越来越多了。

说一下安防和智能设备的技术特点，就像我这里列出来的，一般现在终端的概念比较广泛，作为前端很多物联网的设备，我们也把它称作终端，在五莲方面和电子层面具有一些特点。还有一个显著的特点就是嵌入式系统，不管是马路上很多的电子警察，交通卡口拍照的摄像机或者我们家用的摄像头都是属于嵌入式系统，里面都是嵌入式的内核。嵌入式系统简单来说这个系统比较小巧，它是通过裁减的系统，可能马路摄像机上嵌入式系统有几兆到几十兆大小，很多不必要的模块和服务它是没有的。还有智能设备使用的通信协议，除了刚才说到的进入到互联网时代我们可能更多的见到以太网的协议，USB协议，还有一些进场通信的协议，它的作用距离比较短，比如ZigBee/BLE/WiFi/NFC等等。

左图是物联网智能设备的参考模型，不管是联网和互联网，尤其是联网型的使用场景，包括食品监控系统，包括后面的智能门锁系统都是由前端设备、通信部分包括通信网络、通信介质还有后台的平台服务，包括现在比较流行的云平台的服务，基本上这么一个架构，用例是分行业的。右边是资产划分，一些资产范围。

这个图主要是体现了国际上统计的物联网安全时间线，跟我们从事的工作关系比较大的主要是摄像头的这块安全，包括一些攻击和国内大的品牌厂商他们的摄像头出现了问题和被曝光出来的一些事件。

我要讲的第三部分是安防视频监控设备信息检测。这块跟大家讲的多一些。首先，标准依据，国际标准、国家标准、公共安全行业标准和企业标准来从事这项工作。安防视频监控设备有这么几类，一类是前端的摄像机，包括各种各样的摄像机，然后是数字编解码器，编码器是跟摄像机在一起的，解码器是跟后台的存储在一起的，现在这种单独的编解码器越来越少，还有视频存储，包括还有其他的一些辅助设备，包括数字矩阵、电视墙等等。

这件事情发生之前，2014您甚至更遭不断有安全事件涌现出来，只不过这个事件是一个标志性的事件，公司名称也是我们合作伙伴，我们也不在公开场合再提了。他出了这个事情，里程碑的事件之后整个行业行动起来，包括企业也行动起来，对信息安全问题更加重视。

2016年的一个安全事件，美国在阿富汗的大使馆也是使用了国内一个顶尖品牌公司的视频监控产品，而且是用在非敏感区，即使用了中国便宜的产品也不会用在核心区域，即使这样，后来相当于莫名其妙曝光说向中国回传数据，实际上它是专网，肯定不可能通过互联网把这个数据传到中国。所以，这个是有些欲加之罪。包括下面写的，因为我们国内这几家大的龙头企业他们的产品是向全世界销售的，基本上海外市场占他们1/4-1/3，即使在美国还是有很多民用领域使用到我们国内企业的视频监控产品，甚至有一些安全部门，包括这里列出来的美国密苏里州的军事基地。前一阵中兴事件后来有一个密苏里州的议员相当于补了一刀，提了一个补充议案，除了制裁中兴，还要把国内排名前两位的视频监控厂商，还有一家深圳做手持终端的厂商也列入建议制裁范围。最后也说到美国任何政府部门对这个也没有说对我们国家任何品牌的监控产品进行安全审查，而且他们销售到海外的产品也都是做国国际上合规性的检查和搜索扫描。

2017年的一个事件，当年质检总局，现在已经改组了，对市场上采集样品40批次，依据等级保护老的标准进行信息安全检测。它抽检的产品都是民用领域的产品，也就是大家能在电商上买到的家用的塑料外壳的这种摄像头，它的功能要求都非常简单，只要能拍视频，能传视频，能看就OK，没有任何其他的要求，比如防水要求，电磁兼容都不涉及。但是我们公共安全领域的摄像机马路上能看到的大大小小的球机和墙机都是需要严格的信息安全防护的检测，给它数据检测报告才能销售。这是列出的发现的问题，因为民用市场之前没任何规范，问题多是正常的。

我在当时乌云漏洞平台还没被封的时候劫的图，还有很多这样的截图，也是国内大的厂商产品销售到韩国，IP地址也是韩国的，连接互联网的视频监控设备有的是非常简单的安全漏洞。买来也没有改，就是123456，还有一些个别的应该放在内网的设备他可能因为有意或者无意暴露在互联网上，结果也被黑客发现，就造成了很多问题。

国际标准现在对视频监控产品的信息安全检测主要是依据15408国内翻译叫18336，其实就是CC的标准，用得最多的是第二部分，第三部分有一些，根据具体产品的情况，有点像搭积木的方式，选取不同的安全控制点组合起来进行检测，这是目前国际上标准的用法，国内也有一些机构也试图这么用，但是现在这个标准没有用起来。还有其他的这些标准可能我们也不掌握的。

国内的标准很多，我这儿列出来4个重要的标准。其中需要说一下的就是第二个和第三个标准。第二个标准主要是讲的数据层面的安全，也就是我们视频传输的数据的编解码格式，因为视频是非结构化数据，需要编码之后再传输，在数据端解码之后才能观看。它编码的方式和技术要求都是在25724标准里进行了规定。第三个标准，现在在我们行业是比较热，他也是去年年底才发布的，到今年11月份才开始执行，而且还是一个强制标准，这个标准引入了国内的安全模块，对我们前端的网络摄像机进行了安全等级划分，分成ABC三个等级，C级最高要求全码流加密，B级要求敏感信息加密，A级要求和平台之间有数字证书的认证就可以了。国内这几个标准主要是约束和规范我们公共安全行业的视频监控的行业应用，对我们家用是不要求的。

我们用一些渗透测试框架，开源的，对网络摄像机产品进行扫描，包括2014年的缓冲区漏洞看它有没有。我们研发的威胁态势感知平台，对互联网上使用的，肯定是民用产品了，对这些产品进行扫描。这个工作还是蛮难做的，因为毕竟互联网太大了，而且扫描性能各方面的限制也是比较多。所以，这项工作目前我们也是在边研究边往前推进。

第四条，讲一下智能摸索的信息安全检测。为什么把这个产品单独拎出来？因为智能家居也好，安分领域也好，智能门锁都是一个如产品，这两年天猫和京东平台上智能门锁打得比较热，电商平台比较热心，组织了很多团体标准，评分和排名作为他们商业的营销手段，这种产品在我们检测中心检测也越来越多。

这个外形基本上就是这样的外形，内部还是机械锁芯，也是机械锁体，前面板上会有一些传感器，包括物理键盘和机械键盘，指纹模块，甚至有的还有虹膜模块。

右图是我们测试状态的一个产品。这种产品现在在政府的公租房领域用得比较多，家用可能还有一些经济成本的考虑或者改造的可行性可能还不是特别广，但是公租房领域有很多。

内部结构，各种组成部分，最左边叫前面板，中间叫锁体或者锁芯，后面在你房间这面叫后面板。这个锁比摄像机那种要简单，它就是一个类似于单片机的，里面是一个主控板，上面有一些控制芯片。有电机、传统电路控制锁体工作，控制锁的开或者闭。

刚才我们说的终端，传输网络到后台的平台。现在的智能锁也是为了管理方便起见，很多管理平台使用第三方的云平台，对于这种情况又扩大了他的安全风险面，引入了新的风险点。我们经过调研，因为云计算系统现在属于国家重要的信息系统，必须要过等保，云平台上所有的东西它的安全就交给等保解决，我们只关心锁提举自身包括锁体内部板子也好，芯片也好，敏感信息传输存储，我们主要是关注锁体自身的安全。

他列出了一些硬件安全风险和我们要做的实验，不再详细展开了，除了传统的信息安全风险还有一些其他的侵入式的测试。

这是一个使用的简单拓扑，现在这种智能锁的产品一个典型的使用场景是这个锁装在门上，家里肯定假设是有无线路由器的，还有一个网关也好，叫什么也好，他通过这个网关连接云平台，这里这个场景演示的是有访客来开这个门，他是没有密码也没有密钥开门的，他首先应该通过电话提前告知户主人，户主人登陆云平台，告诉云平台下发临时密码，通过运营商的网络下发到无线网关再传到锁上，这个临时密码可能是用户首次使用这个锁的时候就注册号的密钥，下发好这个密钥就到锁的内部，户主再通过互联网，短信或者微信或者电话告知访客你使用什么临时密码现在可以开锁，访客再正常开锁。这个场景设想得是比较好，但是我们检测起来目前使用这种场景的还不算很多，主要还是担心安全问题，使用最多的还是传统的在物理键盘上输入密码或者指纹或者NFC蓝牙的刷卡方式。

安全芯片检验，自从出了中兴事件以后，国内芯片行业比较火，现在也试图在智能家居行业里对产品上安全模块安全芯片，针对这种芯片测试我们也进行了一些初步的设计。涉及到生物特征识别的安全处理，因为现在智能锁上都有指纹识别模块，对敏感信息的存储和处理应该是有一定的考虑的，而且本身生物特征识别这块又有矩阵率这些重要的技术点，这块测试起来还是比较费工夫的。

国际上针对锁的一些安全标准。我们中心从最早传统的机械锁的时候它的行业标准就已经开始参与起草，包括374-2001，701标准到最近701标准升级，根据传统机械防护的概念对锁分了A、B两级，我们在新的智能锁的信息安全标准里也借鉴这个概念对安全分级，敏感区域的锁要求使用安全芯片，对民用的领域的锁适当降低安全要求。

我们分的级肯定控制点不是所有级都是一样的，是可以根据要求，这个还在起草阶段，这块还没有最终确定下来，包括我们要做的信息安全的攻击和测试。一些传统的安全防护的内容。

最后一点，目前安防领域在信息安全检测这块研究的方向和热点。第一个是可视化的管理，为什么现在在这个行业提的比较多？就是因为在安防和物联网行业终端数量实在是太多了，比如我们摄像机如果没有接触过就没有这个概念，一个城市公共摄像头可能好几千个，怎么精确定位其中某一些设备难度比较大。应该进行可视化管理，便于主管单位进行管理和控制。我们也遇到在平安城市里摄像机哪些出了问题，有时误报率或者定位难度比较大。一批采购了好几千上万台，但是用起来就比较费劲。

资产管理，终端，还有中间这些设备的数量实在太大，怎么能把资源很好地管理整合起来，给管理部门提供比较高效的技术支持。所以，可能这需要后面通过大数据的技术进行建设。

威胁态势感知我们也做了一些常识，刚才给大家看的威胁态势感知平台，希望他能够有一些预见性的对威胁的发现，不要总是被动响应。当然，这也是随着技术的发展慢慢推动。