智能門(mén)鎖發(fā)展產(chǎn)業(yè)現(xiàn)狀

2020年11月18日，為貫徹中共中央“十四五規(guī)劃和二〇三五遠(yuǎn)景目標(biāo)建議”精神，落實(shí)構(gòu)建以國(guó)內(nèi)大循環(huán)為主體、國(guó)內(nèi)國(guó)際雙循環(huán)相互促進(jìn)的新發(fā)展格局的戰(zhàn)略指導(dǎo)方針，推動(dòng)制鎖行業(yè)高質(zhì)量發(fā)展，中國(guó)五金制品協(xié)會(huì)和中國(guó)日用五金技術(shù)開(kāi)發(fā)中心發(fā)布《關(guān)于召開(kāi)全國(guó)智能鎖行業(yè)質(zhì)量提升行動(dòng)發(fā)布會(huì)暨全國(guó)制鎖行業(yè)第二十九次信息交流會(huì)的通知》。交流會(huì)與發(fā)布會(huì)分別于2020年12月15日上午和下午召開(kāi)，會(huì)議由國(guó)家市場(chǎng)監(jiān)管總局質(zhì)量發(fā)展局、中國(guó)五金制品協(xié)會(huì)指導(dǎo)。

20多年來(lái)，智能門(mén)鎖作為傳統(tǒng)制造業(yè)與新興電子信息產(chǎn)業(yè)結(jié)合而衍生出的新興產(chǎn)品類(lèi)別，逐漸進(jìn)入消費(fèi)者的視野。尤其是2015年以來(lái)，隨著智能家居、移動(dòng)互聯(lián)網(wǎng)的高速發(fā)展，智能門(mén)鎖作為智能家居入口級(jí)產(chǎn)品受到了消費(fèi)者的高度青睞。據(jù)中國(guó)日用五金技術(shù)開(kāi)發(fā)中心2020年發(fā)布的《智能門(mén)鎖產(chǎn)業(yè)現(xiàn)狀及展望》，截止至2019年，智能門(mén)鎖全國(guó)的產(chǎn)銷(xiāo)量近1500萬(wàn)套，五年間翻了超過(guò)十倍，是鎖具行業(yè)轉(zhuǎn)型升級(jí)發(fā)展絕對(duì)意義上的主力軍。

國(guó)內(nèi)智能門(mén)鎖的產(chǎn)品類(lèi)別基本涵蓋了鎖具產(chǎn)品的全部類(lèi)別，成為了引領(lǐng)我國(guó)傳統(tǒng)鎖具行業(yè)轉(zhuǎn)型升級(jí)的主流產(chǎn)品。消費(fèi)者以期通過(guò)智能門(mén)鎖加強(qiáng)其生命財(cái)產(chǎn)的安全，改變其生活方式。在國(guó)外市場(chǎng)也不例外，智能門(mén)鎖逐步成為國(guó)外門(mén)鎖市場(chǎng)的主流產(chǎn)品。據(jù)制鎖行業(yè)信息中心數(shù)據(jù)顯示，2019年，歐美智能門(mén)鎖的市場(chǎng)滲透率已接近50%，韓國(guó)高達(dá)近80%，日本近40%。

互聯(lián)網(wǎng)、家電、智能家居、安防產(chǎn)業(yè)、專(zhuān)業(yè)智能門(mén)鎖、機(jī)械鎖轉(zhuǎn)型、裝飾五金等都依據(jù)自身優(yōu)勢(shì)進(jìn)入智能門(mén)鎖產(chǎn)業(yè)當(dāng)中，且隨著人工智能的快速發(fā)展、消費(fèi)者消費(fèi)水平的提高及智能家居概念的日益普及，智能門(mén)鎖的發(fā)展也呈現(xiàn)出百花齊放的發(fā)展局面。但智能門(mén)鎖產(chǎn)業(yè)的品牌發(fā)展仍然處于初期階段，雖然智能門(mén)鎖領(lǐng)域的品牌數(shù)量超過(guò)了3000家，單品牌格局相對(duì)較為分散，尚未有哪個(gè)品牌占據(jù)絕對(duì)意義上的優(yōu)勢(shì)，但在產(chǎn)品外觀設(shè)計(jì)和功能上卻出現(xiàn)了高度同質(zhì)化的現(xiàn)象，在沒(méi)有研發(fā)創(chuàng)新的情況下，一些品牌開(kāi)始選擇拼成本和價(jià)格來(lái)擴(kuò)大其市場(chǎng)競(jìng)爭(zhēng)力，嚴(yán)重阻礙智能門(mén)鎖產(chǎn)業(yè)的健康發(fā)展。隨著發(fā)展進(jìn)程的不斷推進(jìn)，為促進(jìn)產(chǎn)業(yè)的可持續(xù)發(fā)展，“安全智能 品質(zhì)消費(fèi)”的理念被提出，智能門(mén)鎖產(chǎn)業(yè)進(jìn)入品牌盤(pán)整期，其中，產(chǎn)品的安全性成為主要考量因素，對(duì)品牌發(fā)展至關(guān)重要。

智能門(mén)鎖存在安全隱患

智能門(mén)鎖功能的多樣化大大方便了人們的生活，出門(mén)不再擔(dān)心忘帶鑰匙，不用擔(dān)心遇到鑰匙丟失就得砸鎖開(kāi)門(mén)的窘境，其附帶的開(kāi)門(mén)短信提醒、智能貓眼、緊急報(bào)警等功能也深得用戶(hù)青睞。但與此同時(shí)，也給智能門(mén)鎖帶來(lái)了新的安全威脅和隱患，引起了業(yè)界與安全界的高度關(guān)注。

特斯拉線圈“三秒開(kāi)智能鎖”事件

特斯拉線圈“三秒開(kāi)智能鎖”事件也被稱(chēng)為小黑盒秒開(kāi)智能鎖事件，始于2018年5月舉辦的第九屆中國(guó)國(guó)際門(mén)業(yè)博覽會(huì)上，湖南金麗方科技有限公司的董事長(zhǎng)王海麗使用一個(gè)“小黑盒”連開(kāi)國(guó)內(nèi)外品牌智能門(mén)鎖，最快用時(shí)只有三秒。這段開(kāi)鎖視頻通過(guò)電視媒體、微博、微信等平臺(tái)快速傳播，讓一眾智能門(mén)鎖用戶(hù)膽戰(zhàn)心驚，也讓智能門(mén)鎖廠商經(jīng)受了一場(chǎng)公關(guān)危機(jī)，引起了大眾對(duì)于“智能門(mén)鎖是否安全”的思考。

UItraLoq智能門(mén)鎖安全漏洞

UItraLoq智能門(mén)鎖是U-Tec生產(chǎn)的一款熱門(mén)智能門(mén)鎖，在亞馬遜、家得寶和沃爾瑪?shù)却笮推脚_(tái)上銷(xiāo)售。2019年，滲透測(cè)試專(zhuān)家Craig Young對(duì)該款智能門(mén)鎖進(jìn)行測(cè)試后，發(fā)現(xiàn)該鎖存在嚴(yán)重的安全問(wèn)題：攻擊者可以通過(guò)技術(shù)手段物理定位甚至遠(yuǎn)程控制連接到智能門(mén)鎖供應(yīng)商云平臺(tái)的任何鎖。其中利用MQTT協(xié)議可以竊取關(guān)聯(lián)的U-Tec用戶(hù)身份信息，包括IP地址、無(wú)線MAC地址和電子郵件地址等。攻擊者還可以截取用戶(hù)令牌，進(jìn)行遠(yuǎn)程解鎖，也可通過(guò)發(fā)送欺騙信息來(lái)阻止用戶(hù)開(kāi)鎖，對(duì)U-Tec云服務(wù)用戶(hù)的人身和財(cái)力造成了巨大的安全威脅。

Hickory智能門(mén)鎖被披露存在多個(gè)安全漏洞

2019年5月，Rapid7安全團(tuán)隊(duì)在對(duì)Hickory智能門(mén)鎖安全性的研究中發(fā)現(xiàn)了多個(gè)漏洞，包括安卓移動(dòng)應(yīng)用程序中的數(shù)據(jù)不安全存儲(chǔ) (CVE-2019-5632)、明文憑據(jù)信息傳輸 (CVE-2019-5635)、安卓移動(dòng)應(yīng)用程序中開(kāi)啟了日志調(diào)試記錄（CVE-2019-5634)等。這些漏洞一旦被利用，就會(huì)造成用戶(hù)敏感信息泄露，智能門(mén)鎖被操控等情況，令人不寒而栗。

中國(guó)評(píng)測(cè)信息安全測(cè)試實(shí)踐

隸屬于賽迪研究院的中國(guó)軟件評(píng)測(cè)中心網(wǎng)安中心“2021年智能門(mén)鎖信息安全測(cè)評(píng)樣品征集活動(dòng)”開(kāi)展以來(lái)，受到來(lái)自監(jiān)管部門(mén)、智能家居行業(yè)、消費(fèi)者等社會(huì)各界的高度重視。測(cè)評(píng)過(guò)程中，專(zhuān)家組聚焦智能門(mén)鎖的信息通信安全和數(shù)據(jù)安全，采用自動(dòng)化掃描與人工滲透相結(jié)合的技術(shù)手段，對(duì)智能門(mén)鎖的鎖體安全、移動(dòng)應(yīng)用APP安全、以及無(wú)線電通信安全開(kāi)展測(cè)評(píng)工作。

智能門(mén)鎖鎖體安全測(cè)評(píng)項(xiàng)包括：鎖體固件安全、網(wǎng)絡(luò)接入認(rèn)證安全、通信傳輸安全、數(shù)據(jù)安全以及設(shè)備的邏輯控制安全等。針對(duì)鎖體固件安全進(jìn)行了固件指紋信息提取、CVE漏洞檢測(cè)、軟件/組件檢測(cè)、加密認(rèn)證文件檢測(cè)、用戶(hù)密碼檢測(cè)、系統(tǒng)服務(wù)檢測(cè)、脆弱代碼檢測(cè)、敏感信息檢測(cè)等安全測(cè)試。

移動(dòng)應(yīng)用APP測(cè)評(píng)項(xiàng)包括：APP的安裝及卸載安全、身份鑒別機(jī)制、訪問(wèn)控制機(jī)制以及數(shù)據(jù)安全等。針對(duì)APP進(jìn)行了證書(shū)指紋檢測(cè)、應(yīng)用組件暴露檢測(cè)、文件信息檢測(cè)、AndroidManifest文件檢測(cè)、Web組件安全、網(wǎng)絡(luò)通信安全、弱密碼風(fēng)險(xiǎn)、系統(tǒng)漏洞、So文件漏洞風(fēng)險(xiǎn)檢測(cè)、隱私權(quán)限檢測(cè)、隱私行為檢測(cè)等安全測(cè)試。測(cè)評(píng)專(zhuān)家首先通過(guò)安全漏洞掃描，發(fā)現(xiàn)可能存在的漏洞，然后模擬黑客攻擊手段，進(jìn)行反編譯、信息分析、中間人攻擊等滲透測(cè)試。

在物聯(lián)網(wǎng)環(huán)境中，終端設(shè)備通常采用無(wú)線電通信與APP或接入網(wǎng)關(guān)建立通信，它們之間的通信安全也是測(cè)評(píng)重點(diǎn)關(guān)注的內(nèi)容，無(wú)線電通信安全測(cè)試涵蓋RFID、藍(lán)牙、ZigBee、WIFI、NB-IOT等協(xié)議，測(cè)試內(nèi)容包括協(xié)議分析、數(shù)據(jù)分析、劫持/篡改/重放攻擊等。

測(cè)評(píng)過(guò)程中發(fā)現(xiàn)的主要風(fēng)險(xiǎn)情況見(jiàn)下表：

中國(guó)評(píng)測(cè)相關(guān)建議

中國(guó)軟件評(píng)測(cè)中心網(wǎng)安中心從企業(yè)、監(jiān)管部門(mén)、消費(fèi)者、社會(huì)其他組織的角度，針對(duì)智能門(mén)鎖的信息安全防護(hù)分別提出建議。

1企業(yè)方面

為自己的產(chǎn)品安全負(fù)責(zé)，保障消費(fèi)者財(cái)產(chǎn)和人身安全。在產(chǎn)品的安全設(shè)計(jì)方面，堅(jiān)持最小化原則，即最小化用戶(hù)權(quán)限，只賦予完成功能任務(wù)的最小權(quán)限，其他不必要的權(quán)限概不開(kāi)放，此外，減少不必要的、華而不實(shí)的功能，減少攻擊面（如遠(yuǎn)程開(kāi)鎖、在線密碼等功能的不規(guī)范授權(quán)或使用）；堅(jiān)持白名單思想，即除了合法定義的其他都不接受，且保障默認(rèn)的合法定義（如配置和策略）盡可能安全，如用戶(hù)口令的長(zhǎng)度、復(fù)雜度、非法登錄和驗(yàn)證次數(shù)、虛位密碼設(shè)置等；堅(jiān)持算法安全設(shè)計(jì)，目前的一些私有算法面臨被攻擊者通過(guò)抓包或逆向二進(jìn)制完成破解，或通過(guò)入侵服務(wù)器、給企業(yè)內(nèi)部人員機(jī)器種植木馬獲得源代碼，或算法被惡意公開(kāi)等安全風(fēng)險(xiǎn)。

在安全責(zé)任方面，企業(yè)是產(chǎn)品安全第一責(zé)任人，須為自己生產(chǎn)和銷(xiāo)售的產(chǎn)品安全負(fù)責(zé)，嚴(yán)格按照《產(chǎn)品質(zhì)量法》、《消費(fèi)者權(quán)益保護(hù)法》、《網(wǎng)安法》等有關(guān)規(guī)定要求，主動(dòng)把好產(chǎn)品安全關(guān)，設(shè)立有自己企業(yè)內(nèi)部專(zhuān)業(yè)的安全團(tuán)隊(duì)，進(jìn)入市場(chǎng)的產(chǎn)品需經(jīng)過(guò)內(nèi)部安全團(tuán)隊(duì)或第三方安全企業(yè)或?qū)I(yè)測(cè)評(píng)機(jī)構(gòu)的全面安全檢測(cè)；定期對(duì)生產(chǎn)、銷(xiāo)售的產(chǎn)品進(jìn)行安全隱患排查，及時(shí)采取升級(jí)軟、硬件等措施，堵住產(chǎn)品安全漏洞；嚴(yán)格規(guī)范產(chǎn)品標(biāo)識(shí)和說(shuō)明，不作虛假或引人誤解的宣傳，以顯著易懂的方式提醒安全注意事項(xiàng)，切實(shí)維護(hù)消費(fèi)者的合法權(quán)益。

2監(jiān)管方面

及時(shí)完善相關(guān)標(biāo)準(zhǔn)，嚴(yán)格把好市場(chǎng)關(guān)。技術(shù)監(jiān)管方面，由于門(mén)鎖與生物識(shí)別、主控MCU、密碼鍵盤(pán)、通信模塊、云計(jì)算等多項(xiàng)現(xiàn)代技術(shù)融合，一定程度上可以提高智能門(mén)鎖的安全性，但也增加了安全風(fēng)險(xiǎn)暴露面。有關(guān)部門(mén)需盡快針對(duì)這些現(xiàn)代技術(shù)研制相關(guān)技術(shù)標(biāo)準(zhǔn)及應(yīng)用規(guī)范體系，為智能門(mén)鎖等智能產(chǎn)品設(shè)立合理的安全門(mén)檻；建立公共服務(wù)平臺(tái)，支持面向標(biāo)準(zhǔn)安全合規(guī)、軟硬件安全協(xié)同、安全互聯(lián)互通、用戶(hù)體驗(yàn)、安全可靠等包括智能門(mén)鎖在內(nèi)的智能硬件產(chǎn)品的安全檢測(cè)服務(wù)。

市場(chǎng)監(jiān)管方面，需加強(qiáng)監(jiān)督管理，對(duì)發(fā)現(xiàn)的安全風(fēng)險(xiǎn)，及時(shí)采取相關(guān)措施，督促企業(yè)整改并進(jìn)行有效跟蹤，必要時(shí)依法對(duì)其進(jìn)行處罰，嚴(yán)格把好市場(chǎng)監(jiān)管關(guān)；積極暢通與企業(yè)側(cè)和消費(fèi)者之間的溝通機(jī)制，及消費(fèi)者權(quán)利合理的維護(hù)和變現(xiàn)渠道，維護(hù)智能門(mén)鎖市場(chǎng)秩序。

3消費(fèi)者方面

理性消費(fèi)，重視產(chǎn)品信息安全。首先，在消費(fèi)時(shí)，選擇適合自己的智能門(mén)鎖，不盲目追求各種“新奇”功能；其次，通過(guò)正規(guī)渠道購(gòu)買(mǎi)智能門(mén)鎖產(chǎn)品，仔細(xì)檢查產(chǎn)品包裝是否清晰明確，是否具有合格證、說(shuō)明書(shū)、保修卡等；此外，盡量不使用或關(guān)閉遠(yuǎn)程開(kāi)鎖功能，若智能門(mén)鎖需使用信息識(shí)別卡，日常使用中妥善保管好信息識(shí)別卡，防止被非法讀取和復(fù)制，若智能門(mén)鎖使用指紋識(shí)別功能，應(yīng)在日常使用中注意清除指紋痕跡，避免被惡意“拓印”；在功能模塊出現(xiàn)異常或損壞時(shí)，及時(shí)聯(lián)系生產(chǎn)企業(yè)解決或更換新鎖；若遇智能門(mén)鎖侵權(quán)現(xiàn)象，及時(shí)收集好證據(jù)，向當(dāng)?shù)叵麉f(xié)或市場(chǎng)監(jiān)管部門(mén)投訴舉報(bào)，依法維護(hù)合法權(quán)益。

4社會(huì)組織方面

協(xié)同發(fā)力，促進(jìn)智能產(chǎn)業(yè)安全有序發(fā)展。產(chǎn)業(yè)聯(lián)盟和行業(yè)協(xié)會(huì)應(yīng)倡導(dǎo)企業(yè)自律，誠(chéng)信守法經(jīng)營(yíng)，呼吁社會(huì)各界加大關(guān)注力度，必要時(shí)組織相關(guān)專(zhuān)項(xiàng)行動(dòng)，開(kāi)展團(tuán)體標(biāo)準(zhǔn)試點(diǎn)，完善與行業(yè)標(biāo)準(zhǔn)、國(guó)家標(biāo)準(zhǔn)的快速銜接機(jī)制，提升產(chǎn)業(yè)整體信息安全防護(hù)意識(shí)和能力；新聞媒體應(yīng)加強(qiáng)相關(guān)風(fēng)險(xiǎn)防范知識(shí)的宣傳報(bào)道，充分發(fā)揮輿論監(jiān)督作用，客觀報(bào)道企業(yè)產(chǎn)品存在的安全風(fēng)險(xiǎn)，增強(qiáng)全民健康消費(fèi)理念。