智能門鎖發(fā)展產(chǎn)業(yè)現(xiàn)狀

2020年11月18日，為貫徹中共中央“十四五規(guī)劃和二〇三五遠(yuǎn)景目標(biāo)建議”精神，落實(shí)構(gòu)建以國內(nèi)大循環(huán)為主體、國內(nèi)國際雙循環(huán)相互促進(jìn)的新發(fā)展格局的戰(zhàn)略指導(dǎo)方針，推動制鎖行業(yè)高質(zhì)量發(fā)展，中國五金制品協(xié)會和中國日用五金技術(shù)開發(fā)中心發(fā)布《關(guān)于召開全國智能鎖行業(yè)質(zhì)量提升行動發(fā)布會暨全國制鎖行業(yè)第二十九次信息交流會的通知》。交流會與發(fā)布會分別于2020年12月15日上午和下午召開，會議由國家市場監(jiān)管總局質(zhì)量發(fā)展局、中國五金制品協(xié)會指導(dǎo)。

20多年來，智能門鎖作為傳統(tǒng)制造業(yè)與新興電子信息產(chǎn)業(yè)結(jié)合而衍生出的新興產(chǎn)品類別，逐漸進(jìn)入消費(fèi)者的視野。尤其是2015年以來，隨著智能家居、移動互聯(lián)網(wǎng)的高速發(fā)展，智能門鎖作為智能家居入口級產(chǎn)品受到了消費(fèi)者的高度青睞。據(jù)中國日用五金技術(shù)開發(fā)中心2020年發(fā)布的《智能門鎖產(chǎn)業(yè)現(xiàn)狀及展望》，截止至2019年，智能門鎖全國的產(chǎn)銷量近1500萬套，五年間翻了超過十倍，是鎖具行業(yè)轉(zhuǎn)型升級發(fā)展絕對意義上的主力軍。

國內(nèi)智能門鎖的產(chǎn)品類別基本涵蓋了鎖具產(chǎn)品的全部類別，成為了引領(lǐng)我國傳統(tǒng)鎖具行業(yè)轉(zhuǎn)型升級的主流產(chǎn)品。消費(fèi)者以期通過智能門鎖加強(qiáng)其生命財產(chǎn)的安全，改變其生活方式。在國外市場也不例外，智能門鎖逐步成為國外門鎖市場的主流產(chǎn)品。據(jù)制鎖行業(yè)信息中心數(shù)據(jù)顯示，2019年，歐美智能門鎖的市場滲透率已接近50%，韓國高達(dá)近80%，日本近40%。

互聯(lián)網(wǎng)、家電、智能家居、安防產(chǎn)業(yè)、專業(yè)智能門鎖、機(jī)械鎖轉(zhuǎn)型、裝飾五金等都依據(jù)自身優(yōu)勢進(jìn)入智能門鎖產(chǎn)業(yè)當(dāng)中，且隨著人工智能的快速發(fā)展、消費(fèi)者消費(fèi)水平的提高及智能家居概念的日益普及，智能門鎖的發(fā)展也呈現(xiàn)出百花齊放的發(fā)展局面。但智能門鎖產(chǎn)業(yè)的品牌發(fā)展仍然處于初期階段，雖然智能門鎖領(lǐng)域的品牌數(shù)量超過了3000家，單品牌格局相對較為分散，尚未有哪個品牌占據(jù)絕對意義上的優(yōu)勢，但在產(chǎn)品外觀設(shè)計和功能上卻出現(xiàn)了高度同質(zhì)化的現(xiàn)象，在沒有研發(fā)創(chuàng)新的情況下，一些品牌開始選擇拼成本和價格來擴(kuò)大其市場競爭力，嚴(yán)重阻礙智能門鎖產(chǎn)業(yè)的健康發(fā)展。隨著發(fā)展進(jìn)程的不斷推進(jìn)，為促進(jìn)產(chǎn)業(yè)的可持續(xù)發(fā)展，“安全智能 品質(zhì)消費(fèi)”的理念被提出，智能門鎖產(chǎn)業(yè)進(jìn)入品牌盤整期，其中，產(chǎn)品的安全性成為主要考量因素，對品牌發(fā)展至關(guān)重要。

智能門鎖存在安全隱患

智能門鎖功能的多樣化大大方便了人們的生活，出門不再擔(dān)心忘帶鑰匙，不用擔(dān)心遇到鑰匙丟失就得砸鎖開門的窘境，其附帶的開門短信提醒、智能貓眼、緊急報警等功能也深得用戶青睞。但與此同時，也給智能門鎖帶來了新的安全威脅和隱患，引起了業(yè)界與安全界的高度關(guān)注。

特斯拉線圈“三秒開智能鎖”事件

特斯拉線圈“三秒開智能鎖”事件也被稱為小黑盒秒開智能鎖事件，始于2018年5月舉辦的第九屆中國國際門業(yè)博覽會上，湖南金麗方科技有限公司的董事長王海麗使用一個“小黑盒”連開國內(nèi)外品牌智能門鎖，最快用時只有三秒。這段開鎖視頻通過電視媒體、微博、微信等平臺快速傳播，讓一眾智能門鎖用戶膽戰(zhàn)心驚，也讓智能門鎖廠商經(jīng)受了一場公關(guān)危機(jī)，引起了大眾對于“智能門鎖是否安全”的思考。

UItraLoq智能門鎖安全漏洞

UItraLoq智能門鎖是U-Tec生產(chǎn)的一款熱門智能門鎖，在亞馬遜、家得寶和沃爾瑪?shù)却笮推脚_上銷售。2019年，滲透測試專家Craig Young對該款智能門鎖進(jìn)行測試后，發(fā)現(xiàn)該鎖存在嚴(yán)重的安全問題：攻擊者可以通過技術(shù)手段物理定位甚至遠(yuǎn)程控制連接到智能門鎖供應(yīng)商云平臺的任何鎖。其中利用MQTT協(xié)議可以竊取關(guān)聯(lián)的U-Tec用戶身份信息，包括IP地址、無線MAC地址和電子郵件地址等。攻擊者還可以截取用戶令牌，進(jìn)行遠(yuǎn)程解鎖，也可通過發(fā)送欺騙信息來阻止用戶開鎖，對U-Tec云服務(wù)用戶的人身和財力造成了巨大的安全威脅。

Hickory智能門鎖被披露存在多個安全漏洞

2019年5月，Rapid7安全團(tuán)隊(duì)在對Hickory智能門鎖安全性的研究中發(fā)現(xiàn)了多個漏洞，包括安卓移動應(yīng)用程序中的數(shù)據(jù)不安全存儲 (CVE-2019-5632)、明文憑據(jù)信息傳輸 (CVE-2019-5635)、安卓移動應(yīng)用程序中開啟了日志調(diào)試記錄（CVE-2019-5634)等。這些漏洞一旦被利用，就會造成用戶敏感信息泄露，智能門鎖被操控等情況，令人不寒而栗。

中國評測信息安全測試實(shí)踐

隸屬于賽迪研究院的中國軟件評測中心網(wǎng)安中心“2021年智能門鎖信息安全測評樣品征集活動”開展以來，受到來自監(jiān)管部門、智能家居行業(yè)、消費(fèi)者等社會各界的高度重視。測評過程中，專家組聚焦智能門鎖的信息通信安全和數(shù)據(jù)安全，采用自動化掃描與人工滲透相結(jié)合的技術(shù)手段，對智能門鎖的鎖體安全、移動應(yīng)用APP安全、以及無線電通信安全開展測評工作。

智能門鎖鎖體安全測評項(xiàng)包括：鎖體固件安全、網(wǎng)絡(luò)接入認(rèn)證安全、通信傳輸安全、數(shù)據(jù)安全以及設(shè)備的邏輯控制安全等。針對鎖體固件安全進(jìn)行了固件指紋信息提取、CVE漏洞檢測、軟件/組件檢測、加密認(rèn)證文件檢測、用戶密碼檢測、系統(tǒng)服務(wù)檢測、脆弱代碼檢測、敏感信息檢測等安全測試。

移動應(yīng)用APP測評項(xiàng)包括：APP的安裝及卸載安全、身份鑒別機(jī)制、訪問控制機(jī)制以及數(shù)據(jù)安全等。針對APP進(jìn)行了證書指紋檢測、應(yīng)用組件暴露檢測、文件信息檢測、AndroidManifest文件檢測、Web組件安全、網(wǎng)絡(luò)通信安全、弱密碼風(fēng)險、系統(tǒng)漏洞、So文件漏洞風(fēng)險檢測、隱私權(quán)限檢測、隱私行為檢測等安全測試。測評專家首先通過安全漏洞掃描，發(fā)現(xiàn)可能存在的漏洞，然后模擬黑客攻擊手段，進(jìn)行反編譯、信息分析、中間人攻擊等滲透測試。

在物聯(lián)網(wǎng)環(huán)境中，終端設(shè)備通常采用無線電通信與APP或接入網(wǎng)關(guān)建立通信，它們之間的通信安全也是測評重點(diǎn)關(guān)注的內(nèi)容，無線電通信安全測試涵蓋RFID、藍(lán)牙、ZigBee、WIFI、NB-IOT等協(xié)議，測試內(nèi)容包括協(xié)議分析、數(shù)據(jù)分析、劫持/篡改/重放攻擊等。

測評過程中發(fā)現(xiàn)的主要風(fēng)險情況見下表：

中國評測相關(guān)建議

中國軟件評測中心網(wǎng)安中心從企業(yè)、監(jiān)管部門、消費(fèi)者、社會其他組織的角度，針對智能門鎖的信息安全防護(hù)分別提出建議。

1企業(yè)方面

為自己的產(chǎn)品安全負(fù)責(zé)，保障消費(fèi)者財產(chǎn)和人身安全。在產(chǎn)品的安全設(shè)計方面，堅持最小化原則，即最小化用戶權(quán)限，只賦予完成功能任務(wù)的最小權(quán)限，其他不必要的權(quán)限概不開放，此外，減少不必要的、華而不實(shí)的功能，減少攻擊面（如遠(yuǎn)程開鎖、在線密碼等功能的不規(guī)范授權(quán)或使用）；堅持白名單思想，即除了合法定義的其他都不接受，且保障默認(rèn)的合法定義（如配置和策略）盡可能安全，如用戶口令的長度、復(fù)雜度、非法登錄和驗(yàn)證次數(shù)、虛位密碼設(shè)置等；堅持算法安全設(shè)計，目前的一些私有算法面臨被攻擊者通過抓包或逆向二進(jìn)制完成破解，或通過入侵服務(wù)器、給企業(yè)內(nèi)部人員機(jī)器種植木馬獲得源代碼，或算法被惡意公開等安全風(fēng)險。

在安全責(zé)任方面，企業(yè)是產(chǎn)品安全第一責(zé)任人，須為自己生產(chǎn)和銷售的產(chǎn)品安全負(fù)責(zé)，嚴(yán)格按照《產(chǎn)品質(zhì)量法》、《消費(fèi)者權(quán)益保護(hù)法》、《網(wǎng)安法》等有關(guān)規(guī)定要求，主動把好產(chǎn)品安全關(guān)，設(shè)立有自己企業(yè)內(nèi)部專業(yè)的安全團(tuán)隊(duì)，進(jìn)入市場的產(chǎn)品需經(jīng)過內(nèi)部安全團(tuán)隊(duì)或第三方安全企業(yè)或?qū)I(yè)測評機(jī)構(gòu)的全面安全檢測；定期對生產(chǎn)、銷售的產(chǎn)品進(jìn)行安全隱患排查，及時采取升級軟、硬件等措施，堵住產(chǎn)品安全漏洞；嚴(yán)格規(guī)范產(chǎn)品標(biāo)識和說明，不作虛假或引人誤解的宣傳，以顯著易懂的方式提醒安全注意事項(xiàng)，切實(shí)維護(hù)消費(fèi)者的合法權(quán)益。

2監(jiān)管方面

及時完善相關(guān)標(biāo)準(zhǔn)，嚴(yán)格把好市場關(guān)。技術(shù)監(jiān)管方面，由于門鎖與生物識別、主控MCU、密碼鍵盤、通信模塊、云計算等多項(xiàng)現(xiàn)代技術(shù)融合，一定程度上可以提高智能門鎖的安全性，但也增加了安全風(fēng)險暴露面。有關(guān)部門需盡快針對這些現(xiàn)代技術(shù)研制相關(guān)技術(shù)標(biāo)準(zhǔn)及應(yīng)用規(guī)范體系，為智能門鎖等智能產(chǎn)品設(shè)立合理的安全門檻；建立公共服務(wù)平臺，支持面向標(biāo)準(zhǔn)安全合規(guī)、軟硬件安全協(xié)同、安全互聯(lián)互通、用戶體驗(yàn)、安全可靠等包括智能門鎖在內(nèi)的智能硬件產(chǎn)品的安全檢測服務(wù)。

市場監(jiān)管方面，需加強(qiáng)監(jiān)督管理，對發(fā)現(xiàn)的安全風(fēng)險，及時采取相關(guān)措施，督促企業(yè)整改并進(jìn)行有效跟蹤，必要時依法對其進(jìn)行處罰，嚴(yán)格把好市場監(jiān)管關(guān)；積極暢通與企業(yè)側(cè)和消費(fèi)者之間的溝通機(jī)制，及消費(fèi)者權(quán)利合理的維護(hù)和變現(xiàn)渠道，維護(hù)智能門鎖市場秩序。

3消費(fèi)者方面

理性消費(fèi)，重視產(chǎn)品信息安全。首先，在消費(fèi)時，選擇適合自己的智能門鎖，不盲目追求各種“新奇”功能；其次，通過正規(guī)渠道購買智能門鎖產(chǎn)品，仔細(xì)檢查產(chǎn)品包裝是否清晰明確，是否具有合格證、說明書、保修卡等；此外，盡量不使用或關(guān)閉遠(yuǎn)程開鎖功能，若智能門鎖需使用信息識別卡，日常使用中妥善保管好信息識別卡，防止被非法讀取和復(fù)制，若智能門鎖使用指紋識別功能，應(yīng)在日常使用中注意清除指紋痕跡，避免被惡意“拓印”；在功能模塊出現(xiàn)異?；驌p壞時，及時聯(lián)系生產(chǎn)企業(yè)解決或更換新鎖；若遇智能門鎖侵權(quán)現(xiàn)象，及時收集好證據(jù)，向當(dāng)?shù)叵麉f(xié)或市場監(jiān)管部門投訴舉報，依法維護(hù)合法權(quán)益。

4社會組織方面

協(xié)同發(fā)力，促進(jìn)智能產(chǎn)業(yè)安全有序發(fā)展。產(chǎn)業(yè)聯(lián)盟和行業(yè)協(xié)會應(yīng)倡導(dǎo)企業(yè)自律，誠信守法經(jīng)營，呼吁社會各界加大關(guān)注力度，必要時組織相關(guān)專項(xiàng)行動，開展團(tuán)體標(biāo)準(zhǔn)試點(diǎn)，完善與行業(yè)標(biāo)準(zhǔn)、國家標(biāo)準(zhǔn)的快速銜接機(jī)制，提升產(chǎn)業(yè)整體信息安全防護(hù)意識和能力；新聞媒體應(yīng)加強(qiáng)相關(guān)風(fēng)險防范知識的宣傳報道，充分發(fā)揮輿論監(jiān)督作用，客觀報道企業(yè)產(chǎn)品存在的安全風(fēng)險，增強(qiáng)全民健康消費(fèi)理念。