1、物联网安全概述：从威胁到防线

大家好，我是你们这堂课的讲师。咱们开门见山，聊聊物联网安全到底是个什么事儿。

很多人觉得物联网安全就是给设备加个密码，或者把数据加密一下。说实话，这想法太天真了。我做了这么多年安全架构，见过太多「看起来安全、实则千疮百孔」的系统。今天这一章，咱们先把全景图铺开，看看敌人是谁、我们用什么原则防守、以及整个生命周期该怎么管。

1.1 物联网安全威胁全景：敌人比你想象的更近

先问大家一个问题：一个智能灯泡，能有什么安全风险？

你可能觉得它就是个灯，黑了就黑了。但我在项目中遇到过，黑客通过一个智能灯泡的固件漏洞，直接渗透进了整个企业的内网。你想想看，一个灯泡成了跳板，多可怕。

物联网的威胁，我习惯把它分成四个层面：

为什么会这样？说白了，物联网设备有三个先天短板：

• 资源受限：MCU跑不动复杂的加密算法，很多厂商干脆不加密
• 无人值守：设备部署在野外，物理接触太容易了
• 碎片化严重：芯片、协议、OS五花八门，统一防护难上加难

1.2 安全设计原则：从源头就堵住漏洞

好，知道了威胁，那怎么防？我个人的经验是，安全不能靠后期打补丁，必须从设计阶段就嵌入进去。这里我总结了五个核心原则，也是我每次做架构评审必查的清单。

原则一：纵深防御（Defense in Depth）

别指望单点防护能挡住所有攻击。我习惯的做法是：设备端做安全启动，通信层做TLS加密，云端做行为分析。三层防线，攻破一层还有下一层。你想想看，黑客要同时搞定三层，成本就高多了。

原则二：最小权限（Least Privilege）

每个组件只给它能完成任务的权限，多一分都不给。我记得有个项目，设备端的进程居然有root权限，结果一个缓冲区溢出，整个系统就被拿下了。嗯，这里要注意：权限越小，攻击面越小。

原则三：默认安全（Secure by Default）

出厂设置必须是安全的。我见过太多设备，默认密码是admin/123456，用户不主动改就一直用着。这等于把家门钥匙挂在门上。我建议：强制用户在首次使用时修改密码，或者使用证书认证。

原则四：失效安全（Fail Secure）

系统出错了怎么办？是开放所有权限，还是锁死？正确的做法是：出错时进入安全状态。比如智能门锁，断电后应该保持锁定，而不是自动弹开。我在项目中就吃过这个亏，一个设备崩溃后直接开放了所有API接口，差点酿成大祸。

原则五：隐私设计（Privacy by Design）

数据收集要克制。能本地处理的，就别上传云端。能匿名化的，就别带个人信息。说白了，少收集就是最好的保护。

1.3 安全生命周期模型：贯穿始终的守护

安全不是一锤子买卖。从设备出生到退役，每个阶段都有不同的安全任务。我习惯用下面这个模型来管理：

1. 设计阶段：做威胁建模（STRIDE或PASTA），确定安全需求。我一般会拉上开发、测试、产品一起过，因为很多安全问题其实是需求没想清楚。
2. 开发阶段：安全编码规范、代码审计、静态扫描。嗯，这里要注意，别等到代码写完了才做安全审查，那成本太高了。
3. 测试阶段：渗透测试、模糊测试、合规检查。我记得有一次做模糊测试，往设备发了一堆畸形数据包，结果设备直接重启了。这就是典型的「未处理异常」漏洞。
4. 部署阶段：安全配置、密钥分发、证书安装。很多设备在部署时，密钥是硬编码在固件里的，这等于把保险柜密码写在门上。
5. 运维阶段：安全监控、漏洞管理、OTA升级。设备上线后，威胁是动态变化的。我建议建立自动化漏洞扫描机制，每季度至少做一次。
6. 退役阶段：数据擦除、密钥销毁、物理销毁。别小看这一步。我见过一个项目，设备退役后直接扔进垃圾桶，结果被人捡走，从Flash里恢复了所有业务数据。

小结

这一章，我们聊了物联网安全的威胁全景、五个设计原则、以及贯穿始终的生命周期模型。说白了，安全不是某个人的事，也不是某个阶段的事。它需要从架构师到开发、从测试到运维，每个人都绷紧这根弦。

下一章，我会带大家深入设备安全，聊聊怎么从硬件层面就开始防。嗯，到时候我会分享一个我亲手设计的「安全启动」方案，保证让你大开眼界。

记住：在物联网的世界里，没有绝对的安全，只有不断进化的防御。