亚洲日本免费-啊轻点灬太粗太长了三男一女-麻豆av电影在线观看-日韩一级片毛片|www.grbbt.com

摘要：本文介紹了公安部安全與警用電子產(chǎn)品檢測中心簡介、物聯(lián)網(wǎng)中廣泛使用的安防及智能家居產(chǎn)品與設(shè)備技術(shù)特點(diǎn)、國內(nèi)外物聯(lián)網(wǎng)安全主要事件回顧、安防視頻監(jiān)控設(shè)備信息安全檢測情況、智能門鎖信息安全檢測情況、相關(guān)技術(shù)標(biāo)準(zhǔn)研究現(xiàn)狀、檢測技術(shù)研究方向等。

浮欣????公安部第一研究所+檢測中心物聯(lián)網(wǎng)產(chǎn)品檢測部副主任

我們中心是隸屬于公安部第一研究所，今天我跟大家分享的是我們檢測中心在安防和智能設(shè)備領(lǐng)域信息安全檢測的一些心得體會。我們中心成立業(yè)比較早，最早安防產(chǎn)業(yè)有二三十年的歷史了。首先跟大家介紹一下我們中心的基本概況。

我們的歷史沿革，也是當(dāng)年公安部批準(zhǔn)成立的，在公共安全行業(yè)我們和兄弟單位都是安防行業(yè)國內(nèi)權(quán)威的第三方檢測機(jī)構(gòu)，包括一些安防產(chǎn)品3C的強(qiáng)制性認(rèn)證、自愿性認(rèn)證，還有一些國外的認(rèn)證，包括UL和IEC等等。

今天不仔細(xì)區(qū)分安防和物聯(lián)網(wǎng)的范圍到底是怎么劃分的，現(xiàn)在統(tǒng)一來講，因?yàn)榘卜佬袠I(yè)是一個先行的行業(yè)，最早它主要還是處于一個模擬的時代，很多傳輸?shù)臄?shù)據(jù)都是載波的形式，當(dāng)它進(jìn)入到互聯(lián)網(wǎng)、廣域網(wǎng)、以太網(wǎng)，信息安全的問題就會隨之而來，尤其這兩年更是呈現(xiàn)爆發(fā)式的增長?；谏鲜龅那闆r，我們中心緊跟最新的技術(shù)動態(tài)，我們也是在物聯(lián)網(wǎng)安全這塊做了一些工作。這里列出的民用領(lǐng)域和公共安全領(lǐng)域，民用領(lǐng)域我們涉及的比較少，目前來講也就是作為一個智能家居的入口，智能門鎖的信息安全檢測在我們中心。這個智能門鎖產(chǎn)品后面我要稍微詳細(xì)地跟大家說一下，我們工作的重點(diǎn)主要是公共安全領(lǐng)域，最大的一塊就是視頻監(jiān)控，這個可能大家也都知道，也是出的安全事件比較多的，包括它的一些常見的設(shè)備，我這里列出來的，數(shù)字相機(jī)、視頻存儲還有平臺分析軟件、出入1口口控制系統(tǒng)、入侵探測系統(tǒng)等等。

物聯(lián)網(wǎng)時代簡單的示意圖，這個圖在安防領(lǐng)域很早就有，最早安防僅僅限于簡單地模擬攝像機(jī)還有一些入侵探測器等等，現(xiàn)在它的內(nèi)容是越來越多了。

說一下安防和智能設(shè)備的技術(shù)特點(diǎn)，就像我這里列出來的，一般現(xiàn)在終端的概念比較廣泛，作為前端很多物聯(lián)網(wǎng)的設(shè)備，我們也把它稱作終端，在五蓮方面和電子層面具有一些特點(diǎn)。還有一個顯著的特點(diǎn)就是嵌入式系統(tǒng)，不管是馬路上很多的電子警察，交通卡口拍照的攝像機(jī)或者我們家用的攝像頭都是屬于嵌入式系統(tǒng)，里面都是嵌入式的內(nèi)核。嵌入式系統(tǒng)簡單來說這個系統(tǒng)比較小巧，它是通過裁減的系統(tǒng)，可能馬路攝像機(jī)上嵌入式系統(tǒng)有幾兆到幾十兆大小，很多不必要的模塊和服務(wù)它是沒有的。還有智能設(shè)備使用的通信協(xié)議，除了剛才說到的進(jìn)入到互聯(lián)網(wǎng)時代我們可能更多的見到以太網(wǎng)的協(xié)議，USB協(xié)議，還有一些進(jìn)場通信的協(xié)議，它的作用距離比較短，比如ZigBee/BLE/WiFi/NFC等等。

左圖是物聯(lián)網(wǎng)智能設(shè)備的參考模型，不管是聯(lián)網(wǎng)和互聯(lián)網(wǎng)，尤其是聯(lián)網(wǎng)型的使用場景，包括食品監(jiān)控系統(tǒng)，包括后面的智能門鎖系統(tǒng)都是由前端設(shè)備、通信部分包括通信網(wǎng)絡(luò)、通信介質(zhì)還有后臺的平臺服務(wù)，包括現(xiàn)在比較流行的云平臺的服務(wù)，基本上這么一個架構(gòu)，用例是分行業(yè)的。右邊是資產(chǎn)劃分，一些資產(chǎn)范圍。

這個圖主要是體現(xiàn)了國際上統(tǒng)計(jì)的物聯(lián)網(wǎng)安全時間線，跟我們從事的工作關(guān)系比較大的主要是攝像頭的這塊安全，包括一些攻擊和國內(nèi)大的品牌廠商他們的攝像頭出現(xiàn)了問題和被曝光出來的一些事件。

我要講的第三部分是安防視頻監(jiān)控設(shè)備信息檢測。這塊跟大家講的多一些。首先，標(biāo)準(zhǔn)依據(jù)，國際標(biāo)準(zhǔn)、國家標(biāo)準(zhǔn)、公共安全行業(yè)標(biāo)準(zhǔn)和企業(yè)標(biāo)準(zhǔn)來從事這項(xiàng)工作。安防視頻監(jiān)控設(shè)備有這么幾類，一類是前端的攝像機(jī)，包括各種各樣的攝像機(jī)，然后是數(shù)字編解碼器，編碼器是跟攝像機(jī)在一起的，解碼器是跟后臺的存儲在一起的，現(xiàn)在這種單獨(dú)的編解碼器越來越少，還有視頻存儲，包括還有其他的一些輔助設(shè)備，包括數(shù)字矩陣、電視墻等等。

這件事情發(fā)生之前，2014您甚至更遭不斷有安全事件涌現(xiàn)出來，只不過這個事件是一個標(biāo)志性的事件，公司名稱也是我們合作伙伴，我們也不在公開場合再提了。他出了這個事情，里程碑的事件之后整個行業(yè)行動起來，包括企業(yè)也行動起來，對信息安全問題更加重視。

2016年的一個安全事件，美國在阿富汗的大使館也是使用了國內(nèi)一個頂尖品牌公司的視頻監(jiān)控產(chǎn)品，而且是用在非敏感區(qū)，即使用了中國便宜的產(chǎn)品也不會用在核心區(qū)域，即使這樣，后來相當(dāng)于莫名其妙曝光說向中國回傳數(shù)據(jù)，實(shí)際上它是專網(wǎng)，肯定不可能通過互聯(lián)網(wǎng)把這個數(shù)據(jù)傳到中國。所以，這個是有些欲加之罪。包括下面寫的，因?yàn)槲覀儑鴥?nèi)這幾家大的龍頭企業(yè)他們的產(chǎn)品是向全世界銷售的，基本上海外市場占他們1/4-1/3，即使在美國還是有很多民用領(lǐng)域使用到我們國內(nèi)企業(yè)的視頻監(jiān)控產(chǎn)品，甚至有一些安全部門，包括這里列出來的美國密蘇里州的軍事基地。前一陣中興事件后來有一個密蘇里州的議員相當(dāng)于補(bǔ)了一刀，提了一個補(bǔ)充議案，除了制裁中興，還要把國內(nèi)排名前兩位的視頻監(jiān)控廠商，還有一家深圳做手持終端的廠商也列入建議制裁范圍。最后也說到美國任何政府部門對這個也沒有說對我們國家任何品牌的監(jiān)控產(chǎn)品進(jìn)行安全審查，而且他們銷售到海外的產(chǎn)品也都是做國國際上合規(guī)性的檢查和搜索掃描。

2017年的一個事件，當(dāng)年質(zhì)檢總局，現(xiàn)在已經(jīng)改組了，對市場上采集樣品40批次，依據(jù)等級保護(hù)老的標(biāo)準(zhǔn)進(jìn)行信息安全檢測。它抽檢的產(chǎn)品都是民用領(lǐng)域的產(chǎn)品，也就是大家能在電商上買到的家用的塑料外殼的這種攝像頭，它的功能要求都非常簡單，只要能拍視頻，能傳視頻，能看就OK，沒有任何其他的要求，比如防水要求，電磁兼容都不涉及。但是我們公共安全領(lǐng)域的攝像機(jī)馬路上能看到的大大小小的球機(jī)和墻機(jī)都是需要嚴(yán)格的信息安全防護(hù)的檢測，給它數(shù)據(jù)檢測報(bào)告才能銷售。這是列出的發(fā)現(xiàn)的問題，因?yàn)槊裼檬袌鲋皼]任何規(guī)范，問題多是正常的。

我在當(dāng)時烏云漏洞平臺還沒被封的時候劫的圖，還有很多這樣的截圖，也是國內(nèi)大的廠商產(chǎn)品銷售到韓國，IP地址也是韓國的，連接互聯(lián)網(wǎng)的視頻監(jiān)控設(shè)備有的是非常簡單的安全漏洞。買來也沒有改，就是123456，還有一些個別的應(yīng)該放在內(nèi)網(wǎng)的設(shè)備他可能因?yàn)橛幸饣蛘邿o意暴露在互聯(lián)網(wǎng)上，結(jié)果也被黑客發(fā)現(xiàn)，就造成了很多問題。

國際標(biāo)準(zhǔn)現(xiàn)在對視頻監(jiān)控產(chǎn)品的信息安全檢測主要是依據(jù)15408國內(nèi)翻譯叫18336，其實(shí)就是CC的標(biāo)準(zhǔn)，用得最多的是第二部分，第三部分有一些，根據(jù)具體產(chǎn)品的情況，有點(diǎn)像搭積木的方式，選取不同的安全控制點(diǎn)組合起來進(jìn)行檢測，這是目前國際上標(biāo)準(zhǔn)的用法，國內(nèi)也有一些機(jī)構(gòu)也試圖這么用，但是現(xiàn)在這個標(biāo)準(zhǔn)沒有用起來。還有其他的這些標(biāo)準(zhǔn)可能我們也不掌握的。

國內(nèi)的標(biāo)準(zhǔn)很多，我這兒列出來4個重要的標(biāo)準(zhǔn)。其中需要說一下的就是第二個和第三個標(biāo)準(zhǔn)。第二個標(biāo)準(zhǔn)主要是講的數(shù)據(jù)層面的安全，也就是我們視頻傳輸?shù)臄?shù)據(jù)的編解碼格式，因?yàn)橐曨l是非結(jié)構(gòu)化數(shù)據(jù)，需要編碼之后再傳輸，在數(shù)據(jù)端解碼之后才能觀看。它編碼的方式和技術(shù)要求都是在25724標(biāo)準(zhǔn)里進(jìn)行了規(guī)定。第三個標(biāo)準(zhǔn)，現(xiàn)在在我們行業(yè)是比較熱，他也是去年年底才發(fā)布的，到今年11月份才開始執(zhí)行，而且還是一個強(qiáng)制標(biāo)準(zhǔn)，這個標(biāo)準(zhǔn)引入了國內(nèi)的安全模塊，對我們前端的網(wǎng)絡(luò)攝像機(jī)進(jìn)行了安全等級劃分，分成ABC三個等級，C級最高要求全碼流加密，B級要求敏感信息加密，A級要求和平臺之間有數(shù)字證書的認(rèn)證就可以了。國內(nèi)這幾個標(biāo)準(zhǔn)主要是約束和規(guī)范我們公共安全行業(yè)的視頻監(jiān)控的行業(yè)應(yīng)用，對我們家用是不要求的。

我們用一些滲透測試框架，開源的，對網(wǎng)絡(luò)攝像機(jī)產(chǎn)品進(jìn)行掃描，包括2014年的緩沖區(qū)漏洞看它有沒有。我們研發(fā)的威脅態(tài)勢感知平臺，對互聯(lián)網(wǎng)上使用的，肯定是民用產(chǎn)品了，對這些產(chǎn)品進(jìn)行掃描。這個工作還是蠻難做的，因?yàn)楫吘够ヂ?lián)網(wǎng)太大了，而且掃描性能各方面的限制也是比較多。所以，這項(xiàng)工作目前我們也是在邊研究邊往前推進(jìn)。

第四條，講一下智能摸索的信息安全檢測。為什么把這個產(chǎn)品單獨(dú)拎出來？因?yàn)橹悄芗揖右埠?，安分領(lǐng)域也好，智能門鎖都是一個如產(chǎn)品，這兩年天貓和京東平臺上智能門鎖打得比較熱，電商平臺比較熱心，組織了很多團(tuán)體標(biāo)準(zhǔn)，評分和排名作為他們商業(yè)的營銷手段，這種產(chǎn)品在我們檢測中心檢測也越來越多。

這個外形基本上就是這樣的外形，內(nèi)部還是機(jī)械鎖芯，也是機(jī)械鎖體，前面板上會有一些傳感器，包括物理鍵盤和機(jī)械鍵盤，指紋模塊，甚至有的還有虹膜模塊。

右圖是我們測試狀態(tài)的一個產(chǎn)品。這種產(chǎn)品現(xiàn)在在政府的公租房領(lǐng)域用得比較多，家用可能還有一些經(jīng)濟(jì)成本的考慮或者改造的可行性可能還不是特別廣，但是公租房領(lǐng)域有很多。

內(nèi)部結(jié)構(gòu)，各種組成部分，最左邊叫前面板，中間叫鎖體或者鎖芯，后面在你房間這面叫后面板。這個鎖比攝像機(jī)那種要簡單，它就是一個類似于單片機(jī)的，里面是一個主控板，上面有一些控制芯片。有電機(jī)、傳統(tǒng)電路控制鎖體工作，控制鎖的開或者閉。

剛才我們說的終端，傳輸網(wǎng)絡(luò)到后臺的平臺?，F(xiàn)在的智能鎖也是為了管理方便起見，很多管理平臺使用第三方的云平臺，對于這種情況又?jǐn)U大了他的安全風(fēng)險面，引入了新的風(fēng)險點(diǎn)。我們經(jīng)過調(diào)研，因?yàn)樵朴?jì)算系統(tǒng)現(xiàn)在屬于國家重要的信息系統(tǒng)，必須要過等保，云平臺上所有的東西它的安全就交給等保解決，我們只關(guān)心鎖提舉自身包括鎖體內(nèi)部板子也好，芯片也好，敏感信息傳輸存儲，我們主要是關(guān)注鎖體自身的安全。

他列出了一些硬件安全風(fēng)險和我們要做的實(shí)驗(yàn)，不再詳細(xì)展開了，除了傳統(tǒng)的信息安全風(fēng)險還有一些其他的侵入式的測試。

這是一個使用的簡單拓?fù)?，現(xiàn)在這種智能鎖的產(chǎn)品一個典型的使用場景是這個鎖裝在門上，家里肯定假設(shè)是有無線路由器的，還有一個網(wǎng)關(guān)也好，叫什么也好，他通過這個網(wǎng)關(guān)連接云平臺，這里這個場景演示的是有訪客來開這個門，他是沒有密碼也沒有密鑰開門的，他首先應(yīng)該通過電話提前告知戶主人，戶主人登陸云平臺，告訴云平臺下發(fā)臨時密碼，通過運(yùn)營商的網(wǎng)絡(luò)下發(fā)到無線網(wǎng)關(guān)再傳到鎖上，這個臨時密碼可能是用戶首次使用這個鎖的時候就注冊號的密鑰，下發(fā)好這個密鑰就到鎖的內(nèi)部，戶主再通過互聯(lián)網(wǎng)，短信或者微信或者電話告知訪客你使用什么臨時密碼現(xiàn)在可以開鎖，訪客再正常開鎖。這個場景設(shè)想得是比較好，但是我們檢測起來目前使用這種場景的還不算很多，主要還是擔(dān)心安全問題，使用最多的還是傳統(tǒng)的在物理鍵盤上輸入密碼或者指紋或者NFC藍(lán)牙的刷卡方式。

安全芯片檢驗(yàn)，自從出了中興事件以后，國內(nèi)芯片行業(yè)比較火，現(xiàn)在也試圖在智能家居行業(yè)里對產(chǎn)品上安全模塊安全芯片，針對這種芯片測試我們也進(jìn)行了一些初步的設(shè)計(jì)。涉及到生物特征識別的安全處理，因?yàn)楝F(xiàn)在智能鎖上都有指紋識別模塊，對敏感信息的存儲和處理應(yīng)該是有一定的考慮的，而且本身生物特征識別這塊又有矩陣率這些重要的技術(shù)點(diǎn)，這塊測試起來還是比較費(fèi)工夫的。

國際上針對鎖的一些安全標(biāo)準(zhǔn)。我們中心從最早傳統(tǒng)的機(jī)械鎖的時候它的行業(yè)標(biāo)準(zhǔn)就已經(jīng)開始參與起草，包括374-2001，701標(biāo)準(zhǔn)到最近701標(biāo)準(zhǔn)升級，根據(jù)傳統(tǒng)機(jī)械防護(hù)的概念對鎖分了A、B兩級，我們在新的智能鎖的信息安全標(biāo)準(zhǔn)里也借鑒這個概念對安全分級，敏感區(qū)域的鎖要求使用安全芯片，對民用的領(lǐng)域的鎖適當(dāng)降低安全要求。

我們分的級肯定控制點(diǎn)不是所有級都是一樣的，是可以根據(jù)要求，這個還在起草階段，這塊還沒有最終確定下來，包括我們要做的信息安全的攻擊和測試。一些傳統(tǒng)的安全防護(hù)的內(nèi)容。

最后一點(diǎn)，目前安防領(lǐng)域在信息安全檢測這塊研究的方向和熱點(diǎn)。第一個是可視化的管理，為什么現(xiàn)在在這個行業(yè)提的比較多？就是因?yàn)樵诎卜篮臀锫?lián)網(wǎng)行業(yè)終端數(shù)量實(shí)在是太多了，比如我們攝像機(jī)如果沒有接觸過就沒有這個概念，一個城市公共攝像頭可能好幾千個，怎么精確定位其中某一些設(shè)備難度比較大。應(yīng)該進(jìn)行可視化管理，便于主管單位進(jìn)行管理和控制。我們也遇到在平安城市里攝像機(jī)哪些出了問題，有時誤報(bào)率或者定位難度比較大。一批采購了好幾千上萬臺，但是用起來就比較費(fèi)勁。

資產(chǎn)管理，終端，還有中間這些設(shè)備的數(shù)量實(shí)在太大，怎么能把資源很好地管理整合起來，給管理部門提供比較高效的技術(shù)支持。所以，可能這需要后面通過大數(shù)據(jù)的技術(shù)進(jìn)行建設(shè)。

威脅態(tài)勢感知我們也做了一些常識，剛才給大家看的威脅態(tài)勢感知平臺，希望他能夠有一些預(yù)見性的對威脅的發(fā)現(xiàn)，不要總是被動響應(yīng)。當(dāng)然，這也是隨著技術(shù)的發(fā)展慢慢推動。