央视再曝儿童定位手表
儿童定位手表是个好创意，不仅可以打电话，还可以定位，家长可实时掌握孩子的位置和行走路线，可以监听孩子周围的声音，而且还有SOS紧急求救按钮，这令家长很安心。现在儿童定位手表市场很热，引起了媒体的高度关注，仅央视就曾4次报道过这个行业。
令人遗憾的是，央视的报道也未必准确，例如2015年9月份的“儿童定位手表辐射超千倍”报道就存在着严重错误，我联合相关技术人员做了实验，发布了调查报告《儿童定位手表辐射问题的再调查》，结论是央视的儿童定位手表调查所使用的技术标准、测试方法、数据分析等均存在着严重错误，其辐射严重超标的说法并不成立。此文被国内众多媒体节选转载，“儿童定位手表辐射超千倍”的说法还被中国科学技术学会列为2015年度八大科学流言之一。
1、“找娃神器”变成“窥娃鹰眼”
2016年2月23日，央视焦点访谈节目再次报道儿童定位手表，这次的主题是黑客入侵，即黑客可能入侵儿童定位手表厂家的服务器，从而获取理应家长才能掌握的孩子位置、行走路线、通话语音和环境声音，“找娃神器”变成了“窥娃鹰眼”。
我找来节目视频逐字逐句地观看了五遍，发现央视吸取了上次走麦城的教训，这次请到的是靠谱专家，节目中的语言也比较严谨，我没发现这期节目在技术方面有啥错误。但是节目也有问题，因为普通观众并不会像我一样仔细关注“可能会”、“只要”的限定词，和产品安全性“参差不齐”等措辞，容易得出“所有的儿童定位手表都不安全”这个误导性结论。事实上，只是某些杂牌产品有隐患，而主流产品是安全的。
为什么有些杂牌厂家的儿童定位手表可以令黑客侵入呢?原因非常简单：本应做好服务器数据的加密和鉴权，厂家出于成本考虑给省略了，结果是手表的定位信息和语音信息在网络上裸奔，甚至让黑客接管了家长的全部权限。
该信息安全机构的调查报告显示，像这样严重忽视信息安全的杂牌厂家居然有很多家，这令我感到震惊。其实，该安全机构做测试发现漏洞后，已经通知了相关厂家，但这些厂家并没有改进。
2、央视为什么不点名?
您一定会问：央视曝光过很多黑心企业，从来都手不软啊，为什么这次央视不点名呢?这源于一个很尴尬的现状，那就是现在还没有穿戴式智能电子产品的国家标准。也就是说，那些安全性一塌糊涂的杂牌儿童定位手表，其实是通过了3C认证等现有产品标准的合格产品，指控人家产品不合格于法无据，甚至可能会被控告诽谤。
虽然该安全机构公布了一些有安全漏洞的儿童定位手表的厂家名，但央视在节目中并没有引用，因为一项具有权威性的产品质量鉴定至少要明确两个要素，一是检测方的资质，二是所依据的国家标准。很遗憾，这家安全机构并不是国家指定的鉴定机构，检测方法也没有国家标准为依据，其检测结论只供参考，不能作为政府认定的鉴定结论。
而且，产品检验还有个全面性的问题，被安全机构点名的杂牌厂家有问题，但这不代表未被点名的厂家就一定没问题，有可能没有测试到，还有可能测试发现了产品有问题，但因背后利益关系而选择性地不公布。
所以说，央视没有贸然公布这家安全机构的调查结果，这是谨慎稳妥的做法，但结果却并不很理想，因为问题抛出来了，却没告诉用户究竟是哪些厂家的产品有问题，容易令观众产生所有的儿童定位手表都有问题的误解。其实，主流厂商是希望央视点名的，像这样“一杆子打翻一船人”的做法令他们躺了枪，不得不纷纷发表声明。
3、如何选择安全的手表?
啥样的儿童定位手表才是安全的呢?根据信息安全理论，应把握三种技术：一是加密技术，手表与厂家服务器之间的通信应是加密的，以保证通信链路中的数据安全;二是认证技术，即完善鉴权机制，保证访问孩子数据的只是能家长，而不能是外人;三是服务器具有抗攻击技术，以防止黑客的入侵。考察儿童定位手表的安全性，应从这三个方面来进行分析。
以小天才电话手表为例分析。一是加密技术，手表与服务器之间的数据加密方式分两种，第一种是语音及数据加密，它采用RSA非对称式加密技术，您可能对这个技术不了解，但告诉您这是各大银行网银密码盾所采用的技术，您就会放心了吧。第二种是用户名和密码加密，它采用了https加密传输技术，以保证账号关键信息不被窃取，https也是访问网络银行的账号密码时使用的安全协议。
二是认证技术，小天才采用了账户认证+随机唯一性ID的方式，每次的账号数据其实都是不一样的。如果您在超市收银台用支付宝或微信付过账，一定会发现手机上的支付条码是随时间变化的，假设支付条码是固定不变的，那被人偷偷照相后岂不是就可以盗用了，所以说认证信息的动态变化是必须的。
支付条码是随时间变化，而小天才的账户认证是按次变化的，每次的认证数据都不相同，这种“一次一密”的认证方式比较高级，它也是军用保密手机的鉴权方式。
三是服务器抗攻击技术，大部分核心服务器部署在阿里云上，阿里云有先进的防DDOS攻击手段，小部分服务器部署在私有云上，并且设有专业防火墙和阿里云备份方案。
另外，小天才的密码存储很有特色，采用的是64位加盐hash，内行人知道这是很强的。啥是hash呢?不妨举个例子，有两列非常相似的数据，只有极个别的几位不同，用同一种算法加密，您觉得所生成的两列密码是不是也应该有点像呢?
如果相像的话就不安全，因为规律容易被黑客推导嘛。但如果两列非常相似的数据，即使只有一位的差异，用相同算法处理后，所生成的两列密码也会面目全非，这就可以避免黑客推导了。这种特性叫做雪崩，即极微小的扰动都会带来巨大的变化。
为什么要以小天才为案例分析呢?因为它是市场占有率排名第一的主流产品，我跟这家的技术人员比较熟悉，一起讨论过安全防护问题，也了解他们的技术方案。
前面我分析他们使用的网银用户名和密码、密码盾、支付宝和微信付帐、军用加密手机，听起来很高大上的样子，其实这些都不是什么高科技了，而是成熟的互联网信息安全手段，只要花钱就可以买到。
有个观点必须澄清，儿童定位手表的安全性并不取决于厂家的安全技术水平有多高，而是取决于厂家准备投入多少钱。很明显，越主流的厂家投的钱就越多，其产品就越安全。
相比之下，杂牌厂家的裸奔做法简直无法容忍，焦点访谈节目中的安全专家也说过，这是非常低级的错误，稍加投入就能解决。为什么他们敢裸奔?没有穿戴式智能电子产品的国家标准是关键，杂牌厂家借此降低成本和躲避处罚，并依靠低价分得市场份额，它们产品的售价往往只有主流产品的几分之一，外观看得也还不错，的确也吸引了不少用户。
一些用户觉得杂牌货的性价比高，这是他们的重大误解。现在是互联网时代，基于互联网的智能电子产品的优劣，不仅取决于用户看得到的品质和功能，更多地取决于用户看不到的网络安全性能。外行们看不到隐藏在背后的网络安全性能的价值，以为自己占了便宜，其实是吃了暗亏。
儿童定位手表是个好东西，但在国家标准出台之前，其安全性只能依靠厂商的自觉性，千万甭图便宜，一定要选择主流产品，这是一位从事通信专业20余年的内行人的忠告。
总结：2016年2月23日的焦点访谈节目揭露了某些儿童定位手表存在严重安全缺陷，提醒我们不要图便宜购买杂牌货，一定要购买具有加密通信、用户鉴权、服务器抗攻击能力的主流商家产品，信息安全方案都是成熟可靠的，舍得为此投入的主流厂商的产品可以信赖。
(责任编辑：admin)