[论文解读] Smart Homes: Security Challenges and Privacy Concerns

Fraser Hall, Λέανδρος Μαγλαράς+3 more|arXiv (Cornell University)|Oct 29, 2020

Advanced Malware Detection Techniques被引用 4

一句话总结

本文识别了由于物联网设备的迅速普及，智能家居所面临的重大安全与隐私挑战，提出一种‘设计即安全’的方法，通过强加密、标准化认证和默认隐私保护原则，以减轻设备全生命周期中的风险。它强调制造商的责任，而非依赖用户警惕，以确保对敏感个人数据的有力保护。

ABSTRACT

Development and growth of Internet of Things (IoT) technology has exponentially increased over the course of the last 10 years since its inception, and as a result has directly influenced the popularity and size of smart homes. In this article we present the main technologies and applications that constitute a smart home, we identify the main security and privacy challenges that smart home face and we provide good practices to mitigate those threats.

研究动机与目标

• 分析由于物联网设备采用量呈指数级增长，智能家居中日益增长的安全与隐私威胁。
• 识别由于设备安全薄弱、缺乏标准以及设备全生命周期中数据处理不安全而产生的关键漏洞。
• 提出可操作的良好实践——特别是设计即安全原则——以供制造商、开发人员和用户减轻风险。
• 倡导伦理设计和以用户为中心的隐私控制，以减少数据滥用和未经授权访问的风险。
• 强调在智能家居生态系统中，行业范围安全认证和更强数据治理的紧迫需求。

提出的方法

• 对2010年至2020年期间物联网与智能家居安全趋势进行综合文献回顾。
• 将智能家居设备按六个功能领域（如安全、健康、娱乐）分类，以评估攻击面和数据流。
• 分析现实世界中的威胁，如通过被攻破的设备窃取数据、不安全的API以及未经同意的第三方数据共享。
• 提出适用于低功耗物联网设备的端到端加密和轻量级密码机制。
• 倡导新型安全认证协议，以管理互联智能家居环境中复杂的设备交互。
• 建议实施网络安全认证计划和价值敏感设计，从设备开发初期即嵌入隐私与安全。

实验结果

研究问题

• RQ1 物联网设备迅速增长导致的智能家居中主要的安全与隐私挑战是什么？
• RQ2 不安全的设备开发实践和缺乏标准如何导致攻击面扩大和数据泄露？
• RQ3 用户层面的防范措施在多大程度上能减轻智能家居环境中的风险？为何这种做法不足？
• RQ4 第三方数据收集者和制造商在损害用户隐私方面扮演什么角色？如何对此进行监管？
• RQ5 ‘设计即安全’和默认隐私保护原则在智能家居设备开发中如何实际实施？

主要发现

• 联网物联网设备数量从2010年的每人为1.84台增长至2019年的142亿台，预计到2021年将达250亿台，显著扩大了攻击面。
• 由于安全标准薄弱、缺乏加密和访问控制不足，智能家居设备正日益成为网络犯罪分子的目标，导致通过被攻破的电器窃取数据。
• 大量用户数据在未经明确同意的情况下被第三方收集和处理，常被重新用于其他用途或出售，带来重大隐私风险。
• 当前用户层面的安全措施不足，因为大多数用户缺乏技术知识来安全配置设备，因此制造商责任至关重要。
• 端到端加密和轻量级密码解决方案对保护敏感数据至关重要，尤其适用于处理能力有限的设备。
• 制造商必须采用‘设计即安全’原则，并支持行业范围的网络安全认证，以确保智能家居生态系统长期的信任与韧性。