智能音箱存安全隐患 生产者使用者同堵漏洞 | {$randkws}热点解读 或许被攻击的入口逐步增多

　　导读：当前智能音箱存在可靠隐患，首要有以下两种状况：交互接口数量增长，或许被攻击的入口逐步增多；商品收集了众多使用者隐私信息及交互资料，或许形成违规收集使用者个人资料的可靠隐患。面对隐患，文中对企业及使用者提出了有关提议。聚焦票房排行资讯

　　近年来，智能音箱等智能家居商品逐步走入千家万户，为人们的居家日常增添了便利和乐趣。IDC亮相的《中国智能音箱零售行业月度追踪》报表显示，2021年中国智能音箱行业出货为3654万台，同比增长20.1%，预计2022年行业出货将达到3725万台。

　　智能音箱正向有屏、无屏音箱持续分化：一种是在传统智能音箱上进一步升级，经由增多显示屏、摄像头逐步向家用平板电脑、智慧屏靠近。另一种则是进一步轻量化、无线化和模块化，首要定位智能家居的智能音频控制、交互入口，前方智能音箱将持续渗透，业内米哈游榜单嵌入到更多家居、家电内。随着智能音箱特性逐步多元化，信息技术手段愈发繁琐，其可靠隐患也渐渐浮出水面。

　　智能音箱可靠隐患不容小觑

　　智能音箱可靠隐患首要分为以下两个方面。

　　一是由于智能音箱所集成的特性多样化，交互接口数量增长，或许被攻击的入口逐步增多，可靠隐患不断拓展。2019年，Google Home被攻破，攻击者可以经由远程指令操控目标设备。假如事情一旦升级，或许导致数百万使用者个人信息研究，轻则导致使用者遭受诈骗、资金被盗用，重则导致使用者的人身可靠受到威胁，作用民间稳定。

　　二是智能音箱商品定位及个性化特性形成的需求，导致其收集了众多使用者隐私信息及交互资料，由此或许形成违规收集使用者个人资料的健康养生资讯可靠隐患。2019年，有传媒透露亚马逊雇佣数千职员监听旗下智能音箱Amazon Echo使用者的日常录音，乃至将1700余使用者的语音资料违规研究，导致使用者在不知不觉间受到了电商骚扰、电信诈骗等一系列作用。

　　中国使用评测中心选取了市面畅销的多台有屏智能音箱和无屏智能音箱，从联网可靠、资料可靠和个人信息可靠等多个角度开展测评。

　　1.智能音箱联网可靠与资料可靠

　　智能音箱APP可靠。测评专家评测了智能音箱APP可靠方面，含有组件可靠测试、Manifest文件测试、Webview可靠测试、联网通信可靠测试、弱加密隐患测试、资料可靠测试、操控系统漏洞测试、so文件隐患测试、隐私权限测试、隐私行为测试等评测项。在评测过程中，专家经由对.apk文件开展反编译，本周2024数码评测，看完瞬间懂了使用自动化扫描与人工渗透相结合的技术手段以察觉其存在的可靠难题。

　　经测评，测评范围内的智能音箱APP均未测试出严重漏洞，能够有效避免使用者信息研究。

　　智能音箱通信资料传输可靠。测评专家在智能音箱操控系统与办事器端的通信过程中,动向采集传输的联网资料。针对智能音箱联网通信和连接维护全过程的加密算力方面，使用Wireshark工具和人工审计的方式，开展了可靠确认和评估。

　　经测评，某智能音箱设备在与办事器端开展通信过程中，存在日志文件明文传输，导致使用者敏感信息研究等难题。传输的日志中包含设备信息、日志信息和语音转换出的文本信息，导致了信息研究。智能音箱操控系统与固件升级可靠。测评专家先是对智能音箱操控系统与固件做了降级隐患评测，察觉大若干设备采取了“升级测试”和“固件签名”的举措，锁定了串口和USB接口，使用者无法自行降级，保护了智能音箱的可靠。其次，专家对智能音箱固件升级请求通信过程开展知晓读，经由确认升级请求资料包，察觉若干设备经由HTTP协议明文传输固件升级请求。从资料包中可以获取固件获取地址，引发固件研究隐患。另外，使用不可靠的通信协议或许面临中间人攻击的隐患。

　　经测评，若干智能音箱固件升级通信过程存在URL暴露隐患，或许发生固件研究事情。

　　2.智能音箱使用者个人信息可靠

　　个人信息收集使用规则。以便给使用者提供更为精准的定制化办事，智能音箱会收集使用者的个人信息，含有位置信息、通信录信息、音影像信息等敏感资料。中国使用评测中心对多款音箱的个人信息收集使用规则开展了合规性测试。

　　在对个人信息收集使用规则开展测试的过程中，测评专家首要对各智能音箱商品的隐私方针开展了详尽确认，并对其中存在的一些疑问与企业开展了访谈。参与测评的智能音响商品都拥有完整的个人信息保护方针，并且能够在实际使用中付诸实践。

　　但智能音箱在收集使用个人信息的过程中，仍存在过度收集使用者个人信息的状况。例如，在进入智能音箱APP之后，会自动收集使用者语音资料用于模型训练,但未对使用者开展显著提示。若干商品的隐私告示未对个人信息的采集频率以及存储时间开展明确说明。

　　个人信息主体注销账户。使用者对智能音箱存储的个人使用者信息应该完全可控，在使用者请求开展账户注销或使用者资料销毁时，智能音箱、控制端APP或云端办事应向使用者提供简易便捷的操控方式，并且在注销过程中不应配置不合理的条件或提出额外请求增多个人信息主体义务，如注销单个特性视同注销主体账户，请求个人信息主体填写精确的历史操控记录身为注销的必要条件等。

　　经过对参与测评的智能音箱商品开展测试，若干智能音箱账户注销及使用者资料销毁仍存在难题。当使用者注销智能音箱账户时，会将此账户下所有商品及办事注销，使使用者治理个人信息增多了诸多不便。

　　智能音箱生产企业和使用者双管齐下

　　中国使用评测中心针对以上测评信息，从企业和使用者的角度出发为智能音箱可靠建设提出以下提议。

　　1.对智能音箱生产企业的提议

　　先是，加强商品联网和资料可靠合规建设。在联网可靠层面，可以从以下三个方面加强商品的可靠保障。一是针对智能音箱操控操控系统的漏洞及时开展修复，加强操控系统参数可靠和端口可靠治理；二是对操控系统固件和移动使用开展可靠加固，含有但不限于签名校验、加壳、防存储更改等手段；三是在办事器端和智能音箱APP引入并重视可靠评测，定期开展渗透评测和隐患评估。

　　在资料可靠层面，应落实《资料可靠法》《个人信息保护法》的有关条例，开展资料全生命周期可靠防护，做到收集信息应授权、传输存储应加密、加工使用应脱敏、删除资料应彻底、提供公开应合法。

　　其次，规范对使用者个人信息的收集使用规则。商品在收集使用者个人信息等方面应不具备强制性，依据特性将使用者信息收集模块化，不因某信息使用者未授权而回绝提供办事。

　　在收集、使用使用者个人信息过程中，应对收集信息的信息、方式、范围、目的、频次、精准度等开展详尽说明，其中，针对使用者敏感信息的收集，应有显著提示；针对个人信息的使用，如是否会向第三方、境外提供资料应开展详尽说明；针对个人信息的撤销授权、申请删除、投诉举报的渠道和方法，应提供完整且便于理解的操控说明。

　　2.对智能音箱使用者的提议

　　先是，留意商品收集使用个人信息规则。留意商品收集和使用个人信息规则，可以从以下两个方面开展：一是留意开户信息，在隐私协议中详尽查阅商品收集的信息、目的、频次、精确度等信息，并明确其加工、使用、第三方共享的条款信息，保障自身利益；二是开户并登陆后，进入配置或使用者授权治理等页面，查看商品授权信息，并依据需求退出敏感信息的授权。如遇强制收集或违法使用个人信息的状况，应及时向推动部门开展举报。

　　其次，留意账户信息可靠。智能音箱控制端账户通常为多APP、多商品共用。而智能音箱身为智能家居的控制入口之一，具备控制其他设备的特性，其账户一旦研究或被窃取，登陆了其他智能音箱设备，可靠隐患会经由智能音箱放大，导致更大威胁。账户密码应具备一定繁琐度并定期更换，避免与其他账户公用密码，不要访问他人发送的可疑链接。

　　最后，留意废旧设备个人信息处理。智能音箱设备即便已然丢弃，但存在里面的资料仍有研究的隐患。经测评察觉多个牌子智能音箱，在离开主人并接入新的联网生态后，未经测试即可正常控制原账户下绑定的设备，乃至若干有屏音箱，可以直接查看其绑定的摄像头。提议使用者在丢弃商品前应退出个人账户、删除设备信息或重置设备，另外选取较为可靠的丢弃方式，如挑选可靠的废旧电子设备回收机构。