您好,欢迎来到站长资源库!分享精神,快乐你我! 
  • 首 页
  • 留言求助
  • 焦点访谈再曝儿童电话手表,专家:选择靠谱品牌

    时间:2016-09-16 14:03 来源: 作者: 浏览:收藏 挑错 推荐 打印

    焦点访谈再曝儿童电话手表,专家:选择靠谱品牌

    央视再曝儿童定位手表

    儿童定位手表是个好创意,不仅可以打电话,还可以定位,家长可实时掌握孩子的位置和行走路线,可以监听孩子周围的声音,而且还有SOS紧急求救按钮,这令家长很安心。现在儿童定位手表市场很热,引起了媒体的高度关注,仅央视就曾4次报道过这个行业。

    令人遗憾的是,央视的报道也未必准确,例如2015年9月份的“儿童定位手表辐射超千倍”报道就存在着严重错误,我联合相关技术人员做了实验,发布了调查报告《儿童定位手表辐射问题的再调查》,结论是央视的儿童定位手表调查所使用的技术标准、测试方法、数据分析等均存在着严重错误,其辐射严重超标的说法并不成立。此文被国内众多媒体节选转载,“儿童定位手表辐射超千倍”的说法还被中国科学技术学会列为2015年度八大科学流言之一。

    1、“找娃神器”变成“窥娃鹰眼”

    2016年2月23日,央视焦点访谈节目再次报道儿童定位手表,这次的主题是黑客入侵,即黑客可能入侵儿童定位手表厂家的服务器,从而获取理应家长才能掌握的孩子位置、行走路线、通话语音和环境声音,“找娃神器”变成了“窥娃鹰眼”。

    我找来节目视频逐字逐句地观看了五遍,发现央视吸取了上次走麦城的教训,这次请到的是靠谱专家,节目中的语言也比较严谨,我没发现这期节目在技术方面有啥错误。但是节目也有问题,因为普通观众并不会像我一样仔细关注“可能会”、“只要”的限定词,和产品安全性“参差不齐”等措辞,容易得出“所有的儿童定位手表都不安全”这个误导性结论。事实上,只是某些杂牌产品有隐患,而主流产品是安全的。

    为什么有些杂牌厂家的儿童定位手表可以令黑客侵入呢?原因非常简单:本应做好服务器数据的加密和鉴权,厂家出于成本考虑给省略了,结果是手表的定位信息和语音信息在网络上裸奔,甚至让黑客接管了家长的全部权限。

    该信息安全机构的调查报告显示,像这样严重忽视信息安全的杂牌厂家居然有很多家,这令我感到震惊。其实,该安全机构做测试发现漏洞后,已经通知了相关厂家,但这些厂家并没有改进。

    2、央视为什么不点名?

    您一定会问:央视曝光过很多黑心企业,从来都手不软啊,为什么这次央视不点名呢?这源于一个很尴尬的现状,那就是现在还没有穿戴式智能电子产品的国家标准。也就是说,那些安全性一塌糊涂的杂牌儿童定位手表,其实是通过了3C认证等现有产品标准的合格产品,指控人家产品不合格于法无据,甚至可能会被控告诽谤。

    虽然该安全机构公布了一些有安全漏洞的儿童定位手表的厂家名,但央视在节目中并没有引用,因为一项具有权威性的产品质量鉴定至少要明确两个要素,一是检测方的资质,二是所依据的国家标准。很遗憾,这家安全机构并不是国家指定的鉴定机构,检测方法也没有国家标准为依据,其检测结论只供参考,不能作为政府认定的鉴定结论。

    而且,产品检验还有个全面性的问题,被安全机构点名的杂牌厂家有问题,但这不代表未被点名的厂家就一定没问题,有可能没有测试到,还有可能测试发现了产品有问题,但因背后利益关系而选择性地不公布。

    所以说,央视没有贸然公布这家安全机构的调查结果,这是谨慎稳妥的做法,但结果却并不很理想,因为问题抛出来了,却没告诉用户究竟是哪些厂家的产品有问题,容易令观众产生所有的儿童定位手表都有问题的误解。其实,主流厂商是希望央视点名的,像这样“一杆子打翻一船人”的做法令他们躺了枪,不得不纷纷发表声明。

    3、如何选择安全的手表?

    啥样的儿童定位手表才是安全的呢?根据信息安全理论,应把握三种技术:一是加密技术,手表与厂家服务器之间的通信应是加密的,以保证通信链路中的数据安全;二是认证技术,即完善鉴权机制,保证访问孩子数据的只是能家长,而不能是外人;三是服务器具有抗攻击技术,以防止黑客的入侵。考察儿童定位手表的安全性,应从这三个方面来进行分析。

    以小天才电话手表为例分析。一是加密技术,手表与服务器之间的数据加密方式分两种,第一种是语音及数据加密,它采用RSA非对称式加密技术,您可能对这个技术不了解,但告诉您这是各大银行网银密码盾所采用的技术,您就会放心了吧。第二种是用户名和密码加密,它采用了https加密传输技术,以保证账号关键信息不被窃取,https也是访问网络银行的账号密码时使用的安全协议。

    二是认证技术,小天才采用了账户认证+随机唯一性ID的方式,每次的账号数据其实都是不一样的。如果您在超市收银台用支付宝或微信付过账,一定会发现手机上的支付条码是随时间变化的,假设支付条码是固定不变的,那被人偷偷照相后岂不是就可以盗用了,所以说认证信息的动态变化是必须的。

    支付条码是随时间变化,而小天才的账户认证是按次变化的,每次的认证数据都不相同,这种“一次一密”的认证方式比较高级,它也是军用保密手机的鉴权方式。

    三是服务器抗攻击技术,大部分核心服务器部署在阿里云上,阿里云有先进的防DDOS攻击手段,小部分服务器部署在私有云上,并且设有专业防火墙和阿里云备份方案。

    另外,小天才的密码存储很有特色,采用的是64位加盐hash,内行人知道这是很强的。啥是hash呢?不妨举个例子,有两列非常相似的数据,只有极个别的几位不同,用同一种算法加密,您觉得所生成的两列密码是不是也应该有点像呢?

    如果相像的话就不安全,因为规律容易被黑客推导嘛。但如果两列非常相似的数据,即使只有一位的差异,用相同算法处理后,所生成的两列密码也会面目全非,这就可以避免黑客推导了。这种特性叫做雪崩,即极微小的扰动都会带来巨大的变化。

    为什么要以小天才为案例分析呢?因为它是市场占有率排名第一的主流产品,我跟这家的技术人员比较熟悉,一起讨论过安全防护问题,也了解他们的技术方案。

    前面我分析他们使用的网银用户名和密码、密码盾、支付宝和微信付帐、军用加密手机,听起来很高大上的样子,其实这些都不是什么高科技了,而是成熟的互联网信息安全手段,只要花钱就可以买到。

    有个观点必须澄清,儿童定位手表的安全性并不取决于厂家的安全技术水平有多高,而是取决于厂家准备投入多少钱。很明显,越主流的厂家投的钱就越多,其产品就越安全。

    相比之下,杂牌厂家的裸奔做法简直无法容忍,焦点访谈节目中的安全专家也说过,这是非常低级的错误,稍加投入就能解决。为什么他们敢裸奔?没有穿戴式智能电子产品的国家标准是关键,杂牌厂家借此降低成本和躲避处罚,并依靠低价分得市场份额,它们产品的售价往往只有主流产品的几分之一,外观看得也还不错,的确也吸引了不少用户。

    一些用户觉得杂牌货的性价比高,这是他们的重大误解。现在是互联网时代,基于互联网的智能电子产品的优劣,不仅取决于用户看得到的品质和功能,更多地取决于用户看不到的网络安全性能。外行们看不到隐藏在背后的网络安全性能的价值,以为自己占了便宜,其实是吃了暗亏。

    儿童定位手表是个好东西,但在国家标准出台之前,其安全性只能依靠厂商的自觉性,千万甭图便宜,一定要选择主流产品,这是一位从事通信专业20余年的内行人的忠告。

    总结:2016年2月23日的焦点访谈节目揭露了某些儿童定位手表存在严重安全缺陷,提醒我们不要图便宜购买杂牌货,一定要购买具有加密通信、用户鉴权、服务器抗攻击能力的主流商家产品,信息安全方案都是成熟可靠的,舍得为此投入的主流厂商的产品可以信赖。

    (责任编辑:admin)