01 · 智能摄像头与智能门铃
1.1 攻击面与档案案例
摄像头是消费IoT中档案最丰富的品类：弱口令与默认账户、硬编码后门、P2P云服务缺陷、云账号被接管四类问题反复出现。
| 时间 | 事件 | 关键事实与教训 |
|---|---|---|
| 2012/2014 | TRENDnet摄像头"裸流"事件 | 无需认证即可查看实时画面、固件存在CSRF漏洞；FTC 2014年达成和解，成为首例IoT安全执法。教训：本地接口认证缺失=直播事故 |
| 2016 | Sony IPELA工程后门 | SEC Consult披露多款索尼专业/家用摄像头固件中存在厂商工程师隐藏账户。教训：后门账户是固件审计重点（子课题01） |
| 2017.03 | 海康威视认证绕过（CVE-2017-7921） | 攻击者可构造请求绕过认证直接访问设备配置与快照，影响大量存量设备。教训：边界设备CVE需即时修复 |
| 2017.09 | GoAhead固件漏洞集（CVE-2017-8225） | Vantage Point披露基于GoAhead的摄像头/DVR固件存在硬编码账户与缓冲区溢出，波及众多白牌产品。教训：白牌共享方案放大漏洞面 |
| 2017.12 | 360水滴直播关停 | 商家/学校等场所摄像头被默认公开直播引发隐私争议，360宣布永久关闭水滴直播平台。教训：默认共享是最大的隐私设计错误 |
| 2019 | Ring凭据填充攻击 | 攻击者用他站泄露的邮箱+密码组合批量尝试登录，多起家庭被骚扰事件；Ring后于2020年将双因子认证设为强制。教训：摄像头账号必须2FA+反爆破 |
| 2019.12 | Wyze数据库暴露 | 约240万用户的用户信息数据库配置错误，自2019年12月4日起暴露、12月26日发现处置，暴露期约22天。教训：云平台配置错误=与设备无关的大规模泄露 |
| 2020.01 | 小米米家摄像头"串台"事件 | 小米米家摄像头经Google Nest Hub向部分用户显示其他家庭的静止画面，小米随即暂停相关集成并修复。教训：跨生态接入需要严格的会话与画面归属隔离 |
| 2021.04 | ThroughTek Kalay SDK（CVE-2021-28372） | Mandiant披露该P2P SDK存在远程代码执行漏洞且在野外被利用，影响数以百万计采用其P2P服务的摄像头。教训：P2P SDK是"看不见的边界设备"，须纳入准入评估 |
| 2021.03 | Verkada平台入侵 | 入侵者获取超级管理员凭据后访问约15万台云摄像头画面（含特斯拉工厂、医院、监狱）；成为"云端权限=全网画面"的标志性事件 |
| 2022 | Eufy（Anker）云端承诺争议 | 安全研究者与媒体报道其存在云端缩略图上传与未授权视频流可访问等问题，厂商承认沟通与实现存在缺陷并整改。教训："本地存储"宣传须有技术实现与隐私政策双重支撑 |
1.2 摄像头防护清单
- 账号：强口令+双因子（强制）；共享按人按需限时；固件开启自动更新；
- 网络：划入设备专网（第3页）；关闭UPnP；能走局域网/NVR就不开云存；
- 隐私：敏感区域不装、摄录范围限定、显著提示（PIPL第26条精神）；物理遮蔽+断网告警兜底；
- 选型：优先具备CLS/CTM等标签、公开漏洞披露渠道与端到端加密的产品；警惕无品牌白牌机。
02 · 智能门锁与入口控制
2.1 小黑盒事件与消协比较试验
2018年"小黑盒"（特斯拉线圈）事件：部分智能门锁在强电磁干扰下继电器误动作导致开锁，视频流传后引发全国性关注，行业随后普遍增加电磁防护设计。此后北京、天津、河北三地消协2019年智能门锁比较试验以及多地消协后续试验持续发现部分样品存在电磁干扰开启、假指纹开启、密码逻辑安全（连续试错不锁定）、防拆告警缺失等问题。结论：门锁是把"电子安全"与"机械安全"同时交给厂商的产品，二者缺一即整体失守。
2.2 标准与配置基线
- 标准依据：现行公共安全行业标准GA 374-2019《电子防盗锁》对电子防盗锁的电气安全、环境适应与防破坏提出要求；GA/T 73-2015《机械防盗锁》确立锁芯分级（C级为高）。
- 机械底线：保留机械应急开锁（C级锁芯），电子失效不失守；防猫眼开启、防尾随设计。
- 电子基线：防小黑盒电磁设计；连续试错锁定+告警推送；虚位密码防窥视；半导体指纹+活体检测（防假指纹）；远程开锁必须App二次确认并留审计日志；临时密码按次生成、到期即废。
- 网络基线：按一级设备管理（第2页）；蓝牙配对用LE Secure Connections（第4页）；网关失联时本地开锁逻辑不降级。
- 告警联动：防拆告警、试开告警、门未关好告警必须可推送（不依赖用户看日志）。
03 · 智能电视
3.1 档案：从数据回传到监管处罚
- LG数据回传（2013年11月）：安全研究者发现LG智能电视回传观看频道与外接设备（U盘）文件名，且开启"收集观看信息"仍无法完全停止；LG随后更新隐私政策。教训：电视是最早的"客厅遥测终端"。
- Vizio FTC案（2015披露/2017和解）：Vizio在其智能电视中默认开启自动内容识别（ACR）收集观看数据并与第三方共享，未做充分告知；FTC与纽约州达成220万美元和解并要求取得明确同意。教训：ACR类功能必须以"显著告知+同意"为前提。
- Weeping Angel（2017年3月，Vault 7档案）：维基解密披露CIA针对三星智能电视的"假关机"监听项目——电视看似关机实则继续录音。虽为特定情报项目，但它揭示的"设备状态欺骗"风险对品类设计有普遍警示（状态指示必须硬件级可信）。
- 开机广告治理（2019—2020年）：江苏省消保委就智能电视开机广告提起消费民事公益诉讼并获胜诉（2019—2020年），中国电子视像行业协会随后发布《智能电视开机广告服务规范》团体标准，对开机广告时长与可关闭性作出规范。
3.2 防护清单
- 关闭ACR/观看数据收集（设置中多名为"观看历史""内容识别""体验计划"）；
- 电视自带摄像头/麦克风不用即断电或以物理遮蔽贴覆盖；
- 限制智能电视直接联网的权限（可经盒子/网关策略限制其只能访问必要服务）；
- 保持固件更新；警惕应用商店中的来路不明APK（尤其"免费影视"类）。
04 · 智能音箱与语音入口
4.1 技能（Skill）生态风险
智能音箱的能力来自第三方技能生态，而技能的命名与权限缺乏平台级强约束：USENIX Security 2019论文《Understanding and Mitigating the Security Risks of Voice-Controlled Third-Party Skills on Amazon Alexa and Google Assistant》系统分析了技能抢注（skill squatting，用近音/近似名截流合法技能）、诱导过度授权、后台意图操纵等风险。国内各大语音平台同样存在技能审核与命名空间的治理问题。
4.2 声学物理层攻击档案
- Hidden Voice Commands（USENIX Security 2016）：对语音命令做不可懂的扰动编码，人听不清但机器会执行；
- DolphinAttack（USENIX Security 2017，浙江大学团队）：利用麦克风电路对超声的非线性响应注入不可闻语音指令，可命令手机/音箱执行操作；
- SurfingAttack（NDSS 2020）：把超声经固体桌面传导攻击放在桌面的手机，扩大攻击距离与隐蔽性；
- Light Commands（USENIX Security 2020，Sugawara等）：用激光照射MEMS麦克风产生电信号注入，隔着窗户远程下达指令，最远距离达百米级。
上述研究均在受控授权环境完成，其公共价值在于推动设备商加入声纹校验、定向麦克风唤醒与指令确认机制。
4.3 防护清单
- 开锁、支付、购物类语音指令默认关闭或强制声纹+二次确认；
- 音箱放置避开正对门窗与桌面激光可达路径的位置（针对Light Commands类研究的物理缓解）；
- 每季度审计已安装技能与授权，删除久未使用项；
- 带屏音箱按摄像头/麦克风双重入口管理；关注指示灯物理不可被软件关闭（参考Weeping Angel教训）。
05 · 智能家电与可穿戴设备
5.1 智能家电：被低估的"常驻计算节点"
Proofpoint冰箱事件（2014年1月）：安全厂商Proofpoint披露一个超过10万台设备的僵尸网络在发送垃圾邮件，其中约四分之一为非传统设备，包括至少一台智能冰箱与多台智能电视——被视为"物联网设备滥用"的早期标志性样本。今天，冰箱、洗衣机、空调、烤箱普遍具备Wi-Fi+云App，其云API与App远程控制面若缺乏鉴权与速率限制，同样可被滥用（学术研究多次演示未授权控制家电）。家电安全的基本原则：能本地不远程、能关网则关网、账号体系独立于主邮箱。
5.2 可穿戴与老人看护
- 蓝牙暴露：手环持续广播固定MAC与设备名，存在被持续跟踪的风险；不用蓝牙同步时应关闭或采用随机MAC功能（手机侧）；
- 健康数据：心率、睡眠、体脂属高度敏感数据（接近医疗健康类别），同步默认设置中优先选择"仅本地/加密同步"，并关闭向第三方健康平台自动共享；
- 老人看护设备：紧急呼叫按钮与跌倒检测设备属于"失效即风险"品类，按一级设备管理，并定期做真实场景演练（电池、网络、告警链缺一不可）。
5.3 跨品类通用检查（收口）
| 检查维度 | 摄像头 | 门锁 | 电视 | 音箱 | 家电/穿戴 |
|---|---|---|---|---|---|
| 账号2FA | 强制 | 强制 | 建议 | 建议 | 建议 |
| 自动更新 | 强制 | 强制 | 强制 | 强制 | 强制 |
| 设备专网 | 必须 | 必须 | 必须 | 必须 | 必须 |
| 敏感功能默认关 | 云存默认关 | 远程开锁默认关 | ACR默认关 | 支付默认关 | 遥测默认关 |
| 物理兜底 | 遮蔽盖 | 机械C级锁芯 | 镜头盖/断电 | 静音键硬件级 | 断网可用核心功能 |
本节参考来源（第6页）
事件描述均基于官方披露、监管通报或主流媒体报道；漏洞编号以NVD/CNVD为准。
FTC《TRENDnet Settlement》（2014，首例IoT执法）与《Vizio to Pay $2.2 Million to FTC》（2017）：ftc.gov（新闻稿索引）。
Mandiant《FireEye Discovers Vulnerability Impacting Millions of Surveillance Cameras》（Kalay，2021年4月）：mandiant.com/resources/blog；CVE-2021-28372见nvd.nist.gov。
The Verge关于Eufy摄像头隐私问题的调查报道（2022年11—12月）：theverge.com；关于Verkada入侵事件（2021年3月）及小米米家事件（2020年1月）的公开报道同上可检索。
SEC Consult《Multiple Vulnerabilities in Sony IPELA Engine IP Cameras》（2016）：sec-consult.com（研究存档）；Vantage Point《CVE-2017-8225》（2017）：vantagepoint.com。
Guoming Zhang等《DolphinAttack: Inaudible Voice Commands》（USENIX Security 2017）：usenix.org（USENIX Security 2017议程）；Qiben Yan团队《SurfingAttack》（NDSS 2020）：ndss-symposium.org/ndss2020；Takeshi Sugawara等《Light Commands》（USENIX Security 2020）：usenix.org（USENIX Security 2020议程）；Nicholas Carlini等《Hidden Voice Commands》（USENIX Security 2016）：usenix.org（USENIX Security 2016议程）。
L. Zhang, S. Bruestle等《Understanding and Mitigating the Security Risks of Voice-Controlled Third-Party Skills on Amazon Alexa and Google Assistant》（USENIX Security 2019）：usenix.org（USENIX Security 2019议程）。
京津冀三地消协智能门锁比较试验（2019年发布，媒体报道可查）；GA 374-2019《电子防盗锁》、GA/T 73-2015《机械防盗锁》标准文本经全国标准信息公共服务平台检索：openstd.samr.gov.cn；Proofpoint《Internet of Things》僵尸网络报告（2014）：proofpoint.com（博客存档）。
江苏省消保委智能电视开机广告消费民事公益诉讼（2019—2020年，公开报道）；中国电子视像行业协会《智能电视开机广告服务规范》（2020年发布）；央视3·15晚会相关曝光（2017年摄像头黑产、2021年人脸识别摄像头滥用）。