一、医疗数据安全概述
大家好，我是这次课程的主讲工程师。在物联网安全领域摸爬滚打了十几年，我见过太多因为数据泄露而翻车的案例。今天咱们聊的体温计，别看它小，里面的门道可不少。
说实话，很多人觉得体温计数据嘛，不就是个温度值？丢了能怎样？嗯，这种想法很危险。我参与过一家医院的渗透测试，发现他们的体温数据居然明文存储在云端。你想想看，这些数据要是被黑客拿到，能干什么？
1.1 医疗数据隐私法规（HIPAA/GDPR）
先说说法规。HIPAA和GDPR，这两个名字做医疗物联网的人应该不陌生。
HIPAA（美国健康保险携带和责任法案），说白了就是保护患者隐私的"铁律"。它要求所有医疗数据在传输和存储时必须加密。我在美国做项目时，客户反复强调一句话："HIPAA violation is not an option."（违反HIPAA没得商量。）
GDPR（通用数据保护条例），欧洲的隐私保护法规。它比HIPAA更狠——罚款上限是2000万欧元或全球年营收的4%。我有个朋友的公司，就因为体温数据没加密被罚了300万欧元。教训啊。
两个法规的核心要求，我整理了一下：
| 要求项 | HIPAA | GDPR |
|---|---|---|
| 数据传输加密 | 必须使用TLS 1.2+ | 必须使用强加密算法 |
| 数据存储加密 | AES-256推荐 | 端到端加密 |
| 访问控制 | 最小权限原则 | 数据最小化原则 |
| 泄露通知 | 60天内通知 | 72小时内通知 |
关键点：体温数据属于"受保护的健康信息（PHI）"，无论法规怎么变，加密都是底线。
1.2 体温计数据泄露风险
体温计的数据泄露，风险比你想象的大得多。我给大家拆解一下：
- 身份关联风险：体温数据+时间戳+设备ID，就能推断出患者的活动规律。比如，某患者每天凌晨3点体温异常，说明他可能在熬夜或者生病。
- 批量泄露风险：医院一个病房几十台体温计，数据同时泄露，等于把整个病区的健康状况公开了。
- 中间人攻击：体温计通过蓝牙或Wi-Fi传输数据，如果不加密，攻击者可以轻松截获。我曾经在实验室里，用一台树莓派就抓到了某款体温计的明文数据。
注意：体温数据看似无害，但结合其他信息（如病历、用药记录），就能拼凑出完整的患者画像。这就是所谓的"数据拼图攻击"。
为什么会这样？因为很多物联网设备在设计时，根本没考虑安全。我拆过十几款体温计，发现一个共同问题：厂商为了省成本，直接用了裸数据传输。嗯，这就像把家门钥匙挂在门外——方便是方便了，但谁都能进来。
1.3 加密的必要性
加密，说白了就是把数据变成一堆乱码。只有持有密钥的人才能看懂。为什么必须加密？我给大家讲个真实案例。
几年前，我帮一家医院做安全审计。他们的体温计数据通过Wi-Fi上传到云端。我随手抓了个包，发现数据是这样的：
// 未加密的体温数据包
{
"device_id": "TM-2023-0042",
"patient_name": "张三",
"temperature": 38.5,
"timestamp": "2024-01-15 14:30:00",
"ward": "ICU-3"
}看到没？患者姓名、体温、病房号，全裸奔。我当时就建议他们立刻整改。加密后的数据应该是这样的：
// AES-256加密后的数据包
{
"device_id": "a3f8c9d1e2b4...",
"payload": "7d8f3a2b1c9e4f5a6b7c8d9e0f1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d7e8f9",
"iv": "1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d",
"timestamp": "2024-01-15 14:30:00"
}你看，设备ID和患者信息都加密了，攻击者拿到也没用。
我的建议：体温计数据至少要做两层加密——传输层用TLS，数据层用AES-256。别嫌麻烦，这是底线。
加密的必要性，我总结成三点：
- 合规要求：HIPAA和GDPR都明确要求加密，不加密就是违法。
- 防止数据泄露：即使设备被入侵，加密数据也无法被解读。
- 保护患者隐私：体温数据属于个人健康信息，加密是对患者最基本的尊重。
我曾经遇到过一家初创公司，他们觉得体温计数据"没那么重要"，就没做加密。结果产品上市三个月，就被爆出数据泄露丑闻。公司直接倒闭了。你说冤不冤？
好了，这一节的内容就到这里。记住一句话：加密不是可选项，是必选项。下一节我会讲具体的加密算法和实现方案，咱们到时候见。