01 · 设备分类分级
1.1 分类分级：以"失效后果"而不是"功能"定级
消费IoT的安全投入不能平均用力。本课题按物理安全影响（被控是否直接造成物理入侵/伤害）、隐私敏感度（采集数据是否构成敏感个人信息）与联网暴露面（是否可被互联网直接触达）三个维度，将家庭设备划分为三级管控：一级设备执行"先检测、后入网"和最高配置基线；二级设备执行标准基线；三级设备以默认基线管理。
| 类别 | 典型设备 | 物理安全影响 | 隐私敏感度 | 管控级别 |
|---|---|---|---|---|
| 入口控制类 | 智能门锁、智能门铃、智能猫眼、车库门控制器 | 高 | 中 | 一级 |
| 视频监控类 | 家用摄像头、NVR/DVR、带屏猫眼 | 中 | 高 | 一级 |
| 家庭中枢类 | 无线路由器、家庭网关、多协议中枢（音箱/面板形态） | 高 | 中 | 一级 |
| 听觉入口类 | 智能音箱、带麦克风的智能面板/电视 | 低 | 高 | 二级 |
| 环境传感类 | 人体/门窗/水浸/烟雾/燃气传感器（燃气电磁阀执行器按一级管理） | 低—中 | 中 | 二级 |
| 健康与儿童类 | 儿童手表、体脂秤、睡眠监测带、老人看护设备 | 低 | 高（含儿童数据） | 一级 |
| 大家电类 | 智能电视、冰箱、洗衣机、空调、扫地机器人 | 低 | 中 | 三级 |
1.2 分级管控原则
- 一级设备"先检测后入网"：入网前完成口令、固件版本、云权限、默认服务四项核查；优先选购具备安全认证标签（如新加坡CLS、美国Cyber Trust Mark）或符合GB/T 41387-2022的产品。
- 一级设备凭证升级：强口令+双因子（门锁类支持一次性密码/临时密码审计）；生物识别模块具备"活体+本地比对"能力。
- 三级设备"够用即可"：关闭非必要云服务与遥测，能局域网控制就不上云，降低数据面与攻击面。
02 · 默认安全基线
2.1 ETSI EN 303 645：消费IoT安全基线的全球通用语言
ETSI EN 303 645（2020年2月发布）是当前国际引用最广的消费级IoT设备安全基线，共13条安全规定，另附5条数据保护规定。英国PSTI法案、欧盟CRA、新加坡CLS、美国Cyber Trust Mark均与之对齐或引用，可作为采购验收与产品自查的对照基准。
| 编号 | 规定要点（中文概述） | 家居场景落点 |
|---|---|---|
| 5.1 | 不得使用通用默认口令：每台设备口令唯一或可由用户设置唯一口令 | Mirai 62组默认口令感染的直接对策；门锁/路由器首启强制改密 |
| 5.2 | 实施漏洞披露政策：提供公开渠道接收并响应安全研究者报告 | 官网/App内安全邮箱或漏洞平台入口；中国《网络产品安全漏洞管理规定》的衔接项 |
| 5.3 | 透明化更新机制：明确最短安全更新支持期并公示 | 英国PSTI法定要求；消费者选购时可对照"支持到何时" |
| 5.4 | 安全存储敏感安全参数 | 凭证不出现在固件明文与日志中；参照子课题01的硬编码凭证扫描方法 |
| 5.5 | 默认安全通信：敏感数据经认证与加密通道传输 | App—云—设备链路全TLS；蓝牙配对用Secure Connections（第4页） |
| 5.6 | 最小化暴露面：关闭未用端口/服务，每开放服务均有理由 | 路由器关闭WAN侧管理与UPnP；摄像头不开放Telnet（第3页） |
| 5.7 | 确保软件完整性：启动与运行时校验，防未授权篡改 | Secure Boot+固件签名校验（子课题01方法） |
| 5.8 | 确保个人数据安全 | 采集—传输—存储—删除全链路保护，见第5页合规工具链 |
| 5.9 | 系统遥测可审查：设备外发数据可被发现与检查 | 隐私面板展示遥测项；出口流量审计（第5页） |
| 5.10 | 方便用户删除个人数据 | 恢复出厂与账号注销即删除云端数据；儿童数据优先响应 |
| 5.11 | 简化安装与维护：安全配置默认化、可用化 | 首启引导即完成改密与分区建议，而非藏在说明书深处 |
| 5.12 | 安全输入处理：接口对用户输入做校验 | App/Web配置面防注入；门锁本地键盘防试错（速率限制） |
| 5.13 | 提升软件通信可用性：掉电断网恢复后回到安全状态 | 断电后门锁保持安全锁定、网络恢复后不自动开放远程入口 |
2.2 OWASP IoT Top 10（2018）映射
| OWASP IoT Top 10风险 | 与本课题基线的对应处置 |
|---|---|
| I1 弱口令/可猜口令/硬编码口令 | ETSI 5.1唯一口令+5.4安全存储；固件侧硬编码扫描（子课题01） |
| I2 不安全的网络服务 | ETSI 5.6最小化暴露面；WAN侧服务清零核查（第3页） |
| I3 不安全的生态接口 | 云API认证授权与限流；配套App密钥管理；第三方集成最小授权（第4页） |
| I4 缺乏安全更新机制 | ETSI 5.3透明更新+5.8/5.9签名与验证；支持期公示（2.3节） |
| I5 使用不安全或过时组件 | SBOM+组件-CVE比对；第三方SDK准入评估（第7页档案显示SDK缺陷的传导规模） |
| I6 隐私保护不足 | 第5页全章：最小必要、告知同意、删除权、儿童特别规则 |
| I7 不安全的数据传输与存储 | ETSI 5.5全链路TLS+本地加密存储；禁止全局共享证书密钥 |
| I8 缺乏设备管理能力 | 资产台账+固件版本台账；EOL处置流程（2.3节） |
| I9 不安全默认设置 | 出厂即安全默认（关闭远程管理/云同步默认最小）；首启引导 |
| I10 缺乏物理加固 | 调试口封闭、防拆告警；门锁防小黑盒电磁设计（第6页） |
2.3 国内基线：GB/T 41387-2022与GB/T 41388-2022
全国信息安全标准化技术委员会（TC260）2022年发布的GB/T 41387-2022《信息安全技术 智能家居通用安全规范》从设备安全、通信安全、数据安全、应用安全等方面规定了智能家居系统的安全要求，适用于智能家居产品设计与评估；配套的GB/T 41388-2022《信息安全技术 智能家居安全网关安全规范》针对家庭网关这一信任根提出专门要求。两者与等保2.0（GB/T 22239-2019）中的物联网安全扩展要求（覆盖感知层、网络传输层、处理应用层）共同构成国内检测评估的依据体系。
基线速记（采购验收"五问"）：①每台设备口令是否唯一且可改？②是否有公开漏洞披露渠道并承诺最短支持期？③通信是否全链路加密？④固件更新是否签名且可防回滚？⑤个人数据能否一键删除、遥测能否关闭？——五问对应ETSI 303 645核心条款，可做成一页核查表。
03 · 更新机制与生命周期治理
3.1 安全OTA的技术要件
- 签名与校验：升级包经厂商私钥签名，设备端用固化公钥校验，拒绝未签名或篡改包；密钥不得与固件同仓明文存放（子课题01）。
- 防回滚：以单调版本号/安全计数器拒绝降级安装，阻断"降级到已知漏洞版本"的攻击路径。
- 原子化更新：A/B双分区更新，校验失败自动回退旧分区，避免变砖（门锁类设备尤其关键：变砖=物理不可用）。
- 断点与失败策略：断电恢复续传；更新失败不进入不安全降级开放状态（对齐ETSI 5.13）。
3.2 漏洞响应与修复时限
- 中国：《网络产品安全漏洞管理规定》（2021年9月1日施行）要求网络产品提供者在2个工作日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送其产品的漏洞信息，并及时组织验证与修复；向社会发布漏洞修补信息应同步报送。该规定同时禁止违规收集、出售、发布漏洞信息。
- 国际：ISO/IEC 30111（漏洞处理流程）、ISO/IEC 29147（漏洞披露）提供流程框架；美国CISA KEV目录将"在野利用漏洞"纳入联邦强制修复清单（2021年11月上线），并扩展出"被主动利用的IoT漏洞"处置实践。
- 厂商侧度量：建议公开"平均修复时长"与"支持期剩余时长"；本课题建议将修复SLA纳入采购合同条款。
3.3 EOL（停服）设备处置
| 场景 | 处置策略 |
|---|---|
| 厂商宣布EOL | 官方渠道公告支持截止日期；到期前评估替换；到期后若继续使用，执行"隔离+断云"处置并告知用户风险 |
| 存在未修复高危漏洞 | 一级设备立即替换；无法替换的降级为"仅局域网使用+关闭云服务+专网隔离"（第3页） |
| 二手/转让 | 恢复出厂+注销云账号+解绑App；买家侧按一级设备流程重新核查入网 |
| 无法确定支持状态 | 按EOL对待；通过SBOM/固件版本与CVE比对（NVD/CNVD）确认暴露面 |
04 · 入网检测与认证体系
4.1 主要国家/地区标签制度
| 体系 | 要点 | 状态 |
|---|---|---|
| 新加坡CLS | 网络安全局（CSA）2020年10月启动，首批覆盖家用路由器；分1—4级（等级越高要求越多：基线合规→渗透测试→软件分析→安全设计评估）；属亚洲首个消费IoT安全标签 | 已实施 |
| 美国Cyber Trust Mark | FCC 2024年3月通过规则、2025年进入实施：基于NIST IR 8425基线要求；带二维码标签供消费者查询安全信息 | 2025年启动 |
| 英国PSTI | 2022年立法、2024年4月29日起强制：禁止通用默认口令、必须提供漏洞披露渠道、必须公示最短安全更新期；违者最高罚款1000万英镑或全球营业额4%（以较高者为准） | 强制实施 |
| 欧盟CRA | 条例（EU）2024/2847于2024年12月生效：产品全生命周期安全义务+漏洞与事件强制报告；主要义务2027年起分阶段适用（报告义务2026年9月起） | 分阶段实施 |
| 国内体系 | 以GB/T 41387-2022、GB/T 41388-2022等标准为依据，结合运营商终端入库检测、具备资质机构的测评以及行业协会自律测评推进；强制性认证目录尚在完善中 | 标准先行 |
4.2 入网检测流程（一级设备）
4.3 基线核查清单（节选）
| 核查项 | 核查方法 | 合格基线 |
|---|---|---|
| 默认口令 | 首启流程走查+固件字符串检索 | 无通用默认口令；每台唯一或可强制改密 |
| 调试接口 | 端口扫描+拆机目检（授权设备） | UART/JTAG封闭或需拆机物理访问且已认证 |
| 通信加密 | 抓包检查App—云—设备全链路 | TLS 1.2以上且无证书校验绕过；无私钥硬编码 |
| 更新机制 | 更新包结构分析与回滚测试（授权环境） | 签名验证+防回滚+失败可恢复 |
| 隐私面板 | App功能走查 | 可查看采集项、可关闭非必要遥测、可删除数据 |
| 漏洞渠道 | 官网/说明书检索 | 公开安全联系方式；支持期明确 |
提示：认证标签是"出厂基线达标"的证明，不等于免疫。用户侧口令、网络配置、账号共享与云端授权仍是主要失守点——标签与第3、8页的家庭侧实践必须配套使用。
本节参考来源（第2页）
以下均为真实可查的权威来源，条款编号与生效日期以原始文本为准。
ETSI EN 303 645 V2.1.1（2020-02），13条安全规定+5条数据保护规定：etsi.org/deliver/etsi_en/303600_303699/303645。
GB/T 41387-2022《信息安全技术 智能家居通用安全规范》、GB/T 41388-2022《信息安全技术 智能家居安全网关安全规范》：openstd.samr.gov.cn；GB/T 22239-2019（含物联网安全扩展要求）同平台可查。
《网络产品安全漏洞管理规定》（2021年9月1日施行，2个工作日报送要求）：miit.gov.cn；漏洞平台：cnvd.org.cn。
OWASP IoT Top 10（2018）：owasp.org/www-project-internet-of-things。
英国PSTI法案及实施指南（2024年4月29日起适用）：gov.uk（PSTI专题页）。
FCC Cyber Trust Mark（规则2024年3月通过）：fcc.gov/cybertrustmark；新加坡CSA Cybersecurity Labelling Scheme（2020年10月启动）：csa.gov.sg（CLS页）。
欧盟《网络弹性法案》条例（EU）2024/2847：eur-lex.europa.eu。
CISA/FBI等《Secure by Demand Guide: Priority Considerations for Operational Technology Owners and Operators》（2023年9月，采购侧"默认安全"原则）：cisa.gov/resources-tools/resources/secure-by-demand-guide。