警惕儿童智能手表的安全隐患

警惕儿童智能手表的安全隐患作者：池源来源：电脑报2020年第27期2020年一季度全球智能手表出量量趋势 du货量万訥智能手表已经发展了多年，技术也迭代了多次，已经相当成熟，孩子们只要按一下按钮就 可以发短信或打电话，还可以向家长发送几条预先编写的短信，例如我在学校”和“什么时候 来接我？”。通过其Apple或Android手机上的應用程序，父母可以跟踪孩子的位置并设置哋 理围栏”，以在孩子越界时触发警报。在人口大国，二胎政策放开后企业根本不用担心用户 量，穿戴设备厂商一直保持稳定的发展。6月23日，根据IDC咨询发布的中国可穿戴设备市场季度跟踪报告，2020年第一季 度显示， 2020年第一季度中国可穿戴设备市场出货量为1762万台，其中基础可穿戴设备 （不支持第三方应用的可穿戴设备）出货量为1486万台，智能可穿戴设备出货量为276万儿童走失、被拐等安全事件的频发引发家长忧虑，儿童实时定位和即时通信近年来一直是 消费需求点。随着技术的发展，智能手表增加了对儿童教育的辅助功能，这些逐渐增长的功 能，不断迎合着家长的需求，为儿童智能手表市场的持续发展带来了机会。目前儿童智能手表 的市场格局已经基本稳定，小天才、糖猫、360等品牌已经遍布线上和线下渠道，中国线上市 场在售的智能手表约有134个品牌、1057类产品，儿童智能手表在销售的智能手表品类中占 比超过了三分之一。对于儿童安全的担忧和监管，是全球性的话题。一项研究表明， 1971年， 80%的 7岁和 8 岁的孩子独自上学，到1990年，这一比例仅为9%。作家理查德卢夫在其关于自然疾病的著 作树林中的最后一个孩子中引用了一项研究，该研究表明，在1997年至2003年之间，花 时间进行户外活动的 9至12岁欧美儿童数量下降了50%。他研究了原因，其中最大的一个原 因是对陌生人的恐惧，这种恐惧源于1980年代绑架儿童的新闻。尽管其中许多故事被夸大 了，甚至是虚假的，但仍然让家长们感到不放心。在儿童手表的卖点中，首要的当数定位精准度，近期北斗全球组网完成，预计2020年产 业总体产值将超过4000亿元。作为继美国GPS、俄罗斯格洛纳斯、欧洲伽利略后的全球第四 大卫星导航系统，北斗拥有自主知识产权和核心技术，全产业链所有关键元器件已基本实现国 产化。随着“北斗+”和“+北斗”应用的深入推进，由卫星导航衍生带动形成的关联产值也已达 2284亿元，所以纵观市场，以北斗为卖点的儿童智能手表不在少数，随着组网功能的完善， 北斗无论在信心还是在实力上都能让消费者更放心。当前的儿童智能手表通过GPS+北斗+基站+WiFi+重力感应+PDR六种方式定位，可以很直 观地判断手表的大体位置，基本工作原理主要是通过GPS或者北斗实现定位，与手机定位的 原理相同，插入电话卡，通过信号来实现定位功能。但GPS主要应用于户外、空旷的地方， 进了室内、地下停车场、地下商城等地方就很难定位，误差也相对较大。叠加了基站、 WiFi 等技术都是用来修订GPS定位的误差，但实话实说，要实现数米内的精准，挺难，绝大多数 只是一个相对参考值，根据目前技术，最精准的定位能实现15米的误差，宣传低于这个数值 的可信度均不高。嵌套的第三方地图软件，主要以道路为参考，因此会发生定位时手表出现在某条道路上， 然后通过叠加其他定位技术，再漂移到某建筑物旁/里。儿童手表的定位系统，其实与普通的 智能手机的效果无异，连钉钉打卡都存在百米左右的偏差，儿童手表也不能说无偏差，精确的 定位不能完全依赖儿童智能手表的定位系统，但对于监控还是有一定的参考价值。目前需要警惕的是，带有定位追踪功能的儿童智能手表多多少少存在安全漏洞，这样的事 情并不遥远。包括Techcrunch、Pen Test Partners、Rapid7、Avast等外媒和国内外安全软件公 司，相继爆出多家儿童智能手表供应商普遍存在安全防护漏洞问题，据估计，至少有4700万 甚至更多数量的终端设备可能受此影响因一个定位追踪数据库的暴露，仅通过一部智能手机的精准定位数据，短短几分钟内，某 人的一举一动就被完全锁定掌握。黑客基于这些安全漏洞不仅能检索或改变儿童的实时GPS 位置，还可以监视手表活动范围，或者从不安全的云端捕获到基于设备的通话音频文件。目前诸如小天才和糖猫等一线品牌都具有家长筛选短信过滤和陌生来电阻止功能，从应用 层面来说，儿童手表的封闭性相对手机还是安全得多，但是仅限于硬件终端，在信息流方面的 安全依然存在。记者在调查过程中，至少有三位学生都表示其用的品牌智能手表在开启过滤模 式下，收到过垃圾短信或者骚扰电话。iracrerGSM providerGPS signalIP trafficGSM traffic常见的漏洞是在设备联网之后各项涉及用户数据的交互环节，比如用户注册登录过程、与 设备关联的Web网页和管理站点、移动应用程序和云之间的通信量，以及GPS与云之间的 GPRS通信量等容易被劫持。据了解，具备定位追踪功能的儿童智能手表工作原理其实很简单，手表内的主板SOC模 组集成了提供位置的GPS模块，以及向设备提供GPRS数据传输+ SMS短信功能的SIM卡模 块。对儿童智能手表的SIM卡或物联网卡进行激活，绑定其他手机设备和APP程序后就能进 行数据传输。安全软件公司AVAST Software通过检测一些深圳代工儿童手表产品相关的Web应用程序 发现，所有的请求都是纯文本的标准JSONAjax （种轻量级的数据交换格式）请求，且所有 请求都是未加密和明文的，传输信息附带指定的ID号和默认密码123456，黑客基于这些漏洞 可以向设备发出指令，除了能获得GPS坐标，还能获取更高阶层次的信息。比如可以让儿童智能手表拨打存储名单中的任意电话号码，旦连接上，就可以监听到用 户的语音数据，而用户却不知情（这个设计本身在正规应用中是用来家长监听的） ;可以激发 设备SOS模式，发送短信给所有号码，进而使用SMS （短信服务）作为攻击矢量;甚至可以发 送个 URL 的更新固件允许在设备上安装新固件，植入些木马程序。利用这些漏洞，黑客可以轻而易举地发动“MITM攻击”（中间人攻击，一种间接的入侵攻 击方式），通过把黑客控制的台计算机虚拟放置在网络连接中的两台通信计算机之间，结合 用于来回发送数据的不安全协议，黑客可以使用标准IP工具攻击捕获所有用户数据。有制作商回应称，在管控范畴内的安全漏洞其实都已经进行了排查修复，进行了加密和動 态校验部署，比如采用了比较成熟的Web API Token方式，第三方想要调用数据需要申请一个 Token，且验证会有时间限制，对一些数据进行了安全保护的强化，如果验证超时则需要请求 个新的Token才能调用数据。目前的安全漏洞的修复并不能完全覆盖所有之前生产的设备，原因是在云服务和软件开发 层面，实际上有不少第三方客户会自己去做开发，包括APP、云服务和一些新增软件功能，代 工厂只提供了硬件设备的方案或产品制造，因此无法保障他们产品数据的安全性，这部分设备 销售出去也不在其控制范围之内。世界各国对于信息数据安全的标准和要求不同，很多欧洲客户不仅是要求保证API和云服 务的安全。比如欧盟目前实施的GDPR通用数据保护条例（前身是欧盟1995年的计算机数 据保护法），包括Google和Facebook等科技巨头都会时常遭到诉讼，动辄要面临数十亿欧 元的罚款，欧美地区的法规监管相对会更严格点。