资讯 政企安全
此为临时链接,仅用于文章预览,将在时失效

小米“IoT”要搞大事,安全怎么办|访小米 CSO 陈洋

作者:李勤
2017/11/29 14:46

小米准备办 IoT 安全峰会时,雷军对小米人工智能与云平台副总裁崔宝秋说,把这个会议纳入IoT 开发者大会吧。

这埋下了一个伏笔。

11 月 28 日,在这个会上,雷军和陆奇宣布,小米与百度达成合作,携手共建软硬一体“IoT+AI”生态体系,将小米的智能硬件、大数据、智能设备生态链等,与百度的 AI 技术、海量数据、信息与服务生态等进行结合,创造更好的用户体验。

崔宝秋开玩笑说,这是会议规格的下降。

实际上,有了雷在主会场的站台、小米和百度基于 IoT 的合作都带来了更大的关注量,并将小米的 IoT 安全上升到更高的维度。上一合作说明,小米在 IoT 上要“搞大事”了。此时,小米说 IoT 安全更在情理之中。

守住这里,就守住了源头

IoT 安全峰会开场前一小时,小米 CSO 陈洋的一个张姓好友过来“捧场”,听陈的演讲。

张先生对雷锋网说,做安全的人都会关注黑灰产的发展,而黑灰产最关注的是隐私数据。2015 年底,陈洋从新浪跳槽到小米,原因之一是,陈判断,小米将会守住物联网的入口,而背后是极其宝贵的数据。

陈洋在雷锋网的采访中,肯定了这一说法。

据小米给出的数据,目前已有 8500 万个小米及相关物联网设备连入物联网,最高的一个案例是,有个用户拥有 140 件小米的物联网设备。

“后来,我们想了想,虽然形势很好,但不太可能(笑),我们分析,可能是一个公司的网管,采购了大量的空气净化器,然后连到了同一个物联网控制端口上。”雷军说到这,现场观众笑了。

实际上,雷的话不仅是玩笑:小米 IoT 平台日处理量是 400 亿次,场景调用 2200 万次。

小米“IoT”要搞大事,安全怎么办|访小米 CSO 陈洋

IoT 攻击不乏实例。去年 10 月,Mirai 编织了 150 万 IoT 僵尸网络,今年媒体曝光了大量的摄像头被破解,一言不合在家就被直播的案例。

设备越多,数据越多。守住这里,就守住了源头。

被推着往前走的“安全隐私”

在陈洋看来,小米安全是被推着向前走的,尤其是 IoT 的突然爆发。

对于前者,崔宝秋有话要说。

2012年,崔宝秋刚刚加入小米时,小米安全部门还不够完备。崔宝秋吃了一惊,没有完备安全团队的互联网公司就像在裸奔。而当年 2 月,雷军已宣布小米要扩军,2012 年要招 1500 人。2012 年 6 月 7 日,小米手机销量突破 300万。

市场推着小米走,同年 6 月,小米的安全团队建立。

几年前,小米进入新加坡和香港时发生了件事,让小米很“狼狈”。

香港有些用户发现,打开红米手机,什么事还没做,手机先建立了一个 TCP/IP 连接,而且连到了北京。“这个链接是干什么?传我们的数据去哪里?”质疑的声音冒出来。

崔宝秋很郁闷,这是一款智能手机,产生这种连接很正常。他想,如果对方拿到的是三星、苹果手机,连接到了韩国和美国,可能不会有所反应,“就因为我们的服务器地点在北京,他就这么敏感”。“这只是新手机激活和服务器的一次连接,什么用户的数据都没有传,也不会收集任何用户数据。”崔说。

误解可以澄清,但吃了亏,就要长记性。小米在 2014 年“赶紧组建了小米的隐私委员会,摸爬滚打了一段时间”。

小米“IoT”要搞大事,安全怎么办|访小米 CSO 陈洋

这次事件让崔触动很大,称现在小米将安全和隐私放在首位,并与隐私认证部门合作,打造自己的安全隐私部门。

在隐私保护的落实上,“吃过亏”的小米采用“隐私优先”的设计:能不收集的数据绝不收集,明确告知用户,征得用户同意,用户可以访问、掌控个人数据,保证数据安全,用严格的隐私数据定义要求自己。同时,引入第三方认证。

崔说的认证,是 MIUI 和小米网获得 TRUSTe 认证,随后与 TrustArc(新 TRUSTe)合作,推出小米自己的 IoT 隐私认证体系。

“用什么,就研究什么”

对于后者,陈洋感同身受。

2015 年 11 月,陈洋从新浪跳到小米安全,他感受到物联网设备对安全的冲击,小米的安全团队也因此开始覆盖到 IoT 设备的安全。

小米的新产品在立项和要推出市场前,首先要在小米内部的安全部门走一圈。

陈洋和他的同事要做的就是参与安全需求设计,进行威胁分析,然后开发实现相关的工具包、SDK等,评估产品的攻击面,分析新安全协议,找出大大小小的攻击点。经过一轮内测后,再进行众测。

“开始是一月一款,然后是两周一款,再后来就是一周一款甚至多款,物联网产品推出的节奏越来越快了。”陈说。

除了对产品设计研发的安全管控,陈洋等人还要负责对小米帐号的风控,防控 IoT 的业务风险。

雷锋网了解到,小米的 IoT 安全并没有一揽子的解决方案。按照陈洋的说法,小米的 IoT 安全是“用什么,就研究什么,自然而然地,沉淀下来一些技术积累”。

比如,通过移动数据网络上传和下载的通讯过程中,可能遭到伪基站攻击,小米为此将 SIM 卡变为安全芯片,通过双向硬件加密通道,与服务器进行双向安全认证。这种带有安全芯片的 SIM 卡也将提供给合作伙伴,不用修改任何模具和产线,就可达到 EAL4+ 金融安全等级,增加的成本却很低。

小米“IoT”要搞大事,安全怎么办|访小米 CSO 陈洋

这一方案实际是小米为有合作关系的某头部著名共享单车提供。在陈洋看来,这算与“远亲”合作。他也向雷锋网证实,小米的 IoT 安全主要聚焦在自家及生态链产品上,并不包括对其他产品的攻防研究,除非“家里也有余粮时,才会对其他家的产品做一些攻防研究”。

陈洋至今还记得,自己刚进小米时,研究的第一款产品是平衡车。现在,在陈洋自己家中,光一个卧室就有 25 个设备连接到物联网中,整个家里有 52 台物联网设备。

未来会怎样?陈洋不知道。对他而言,IoT 安全前沿难预判,取决于未来的 IoT 设备使用什么技术,比如量子通讯很安全,但没人知道什么时候能够在产品中应用,还是“所用”推动比较实在。

以小米及相关生态链硬件产品占据的市场份额来看,这一选择似乎合情合理。

长按图片保存图片,分享给好友或朋友圈

小米“IoT”要搞大事,安全怎么办|访小米 CSO 陈洋

扫码查看文章

正在生成分享图...

取消
相关文章