3、威胁模型：智能门锁面临的本地攻击与数据泄露风险

智能门锁的本地安全边界，是指设备物理本体及其内部存储、通信总线、固件和外设接口所构成的可直接接触攻击面。与远程网络攻击不同，本地攻击者通常已获得设备的物理占有权或临时接触权，例如：退租后的旧锁回收、酒店房间内的短暂停留、维修工上门服务、快递员在门口逗留等场景。攻击者不再需要绕过云平台或Wi-Fi协议，而是直接面对PCB板、芯片引脚、调试串口和存储颗粒。本章将系统梳理智能门锁面临的四类本地攻击路径——物理拆解、总线嗅探、固件提取、侧信道分析，并深入剖析由此引发的数据泄露风险等级与应对策略。

上图展示了智能门锁本地攻击的整体威胁模型。攻击者通过四条主要路径——物理拆解、总线嗅探、固件提取和侧信道分析——最终指向本地安全存储中的核心数据资产。这些路径并非孤立存在，实际攻击中往往组合使用：先物理拆解获取PCB，再通过总线嗅探或固件提取定位存储区域，最后结合侧信道分析恢复加密密钥。下面逐一深入剖析每种攻击的技术原理、实施条件和防御要点。

3.1 物理拆解攻击：最直接的硬件入侵

核心原理

物理拆解攻击是指攻击者通过机械手段打开智能门锁外壳，直接接触内部电路板、芯片、排线、调试接口等硬件组件。智能门锁通常安装在入户门内侧或外侧，安装螺丝、卡扣结构、防撬开关等设计决定了拆解难度。多数消费级智能门锁外壳采用卡扣+螺丝固定，使用普通螺丝刀或撬棒即可在5-10分钟内完成拆解。一旦打开外壳，攻击者可以：直接读取未加密的Flash芯片、连接调试串口获取Shell、短接复位电路绕过安全启动、替换或篡改存储芯片。

判断方法与操作流程

评估一款智能门锁的物理拆解防护能力，可以从以下维度进行测试：

• 外壳结构：是否使用防拆螺丝（三角/内六角/异形）、卡扣是否带倒钩、是否有防撬开关触发报警。
• PCB布局：敏感芯片（Flash、SE安全芯片）是否被灌胶覆盖、是否置于PCB内侧难以直接接触。
• 调试接口：UART/SPI/JTAG测试点是否裸露、是否标注TP标识、是否默认禁用。
• 屏蔽罩：主控和存储芯片是否有金属屏蔽罩，屏蔽罩是否焊接而非卡扣。

案例拆解：某品牌智能锁的拆解攻击实录

某款售价2000元左右的智能门锁，外壳采用4颗十字螺丝固定，无防撬报警。攻击者使用电动螺丝刀在3分钟内完成拆解。拆解后发现：主控芯片为ESP32，外挂SPI Flash存储固件和配置信息；Flash芯片型号为W25Q128，未加密存储；PCB边缘留有3个未标注的过孔，经万用表测量确认分别为GND、TX、RX，即UART调试串口。攻击者使用USB转TTL工具连接串口，波特率115200，直接获得root Shell。通过cat /proc/mtd查看分区，使用dd命令完整提取固件，并在固件中搜索到硬编码的AES密钥和云端。整个攻击过程耗时不到15分钟，且未触发任何报警。

复盘该案例，核心问题在于：①未使用防拆螺丝和防撬开关；②调试串口未禁用且未标注；③Flash明文存储敏感数据；④固件中硬编码密钥。这四项缺陷叠加，导致设备被完全攻破。

3.2 总线嗅探：被动监听数据通信

核心原理

总线嗅探是指攻击者在智能门锁内部通信总线上并联逻辑分析仪或示波器，被动监听芯片之间的数据传输。智能门锁内部存在多条通信总线：主控与指纹模组之间的UART、主控与Flash之间的SPI、主控与安全芯片之间的I2C或SPI、主控与触摸面板之间的I2C等。这些总线上的数据通常包含：人脸特征模板（传输至比对引擎）、开锁指令（主控至电机驱动）、密钥材料（主控至安全芯片）、用户ID和权限信息。由于总线信号是电平变化，攻击者无需物理接触芯片引脚，只需将探针夹在PCB走线或测试点上即可捕获。

判断方法与操作流程

总线嗅探攻击的可行性取决于以下因素：

1. 总线速率：SPI时钟通常为10-80MHz，I2C为100KHz-3.4MHz，UART为9600-4Mbps。逻辑分析仪采样率需至少为总线速率的4倍。
2. 信号可访问性：走线是否被屏蔽罩覆盖、是否经过内层PCB、测试点是否裸露。
3. 数据加密：总线上传输的数据是否加密。若明文传输，嗅探即可直接获取敏感信息。
4. 触发条件：攻击者需要等待用户触发开锁操作才能捕获有效数据，可能需要长时间监听。

案例拆解：SPI总线嗅探获取人脸特征

某款3D人脸识别智能锁，主控为RK3308，人脸模组通过SPI接口与主控通信。攻击者在PCB背面找到SPI测试点（标注为SPI_CLK、SPI_MISO、SPI_MOSI、SPI_CS），使用Saleae Logic Pro 16逻辑分析仪以100MHz采样率监听。当用户进行人脸识别开锁时，捕获到约2MB的SPI数据。通过解析SPI协议，发现人脸模组将处理后的人脸特征模板（512维浮点数组，共2KB）明文传输给主控进行比对。攻击者提取该特征模板后，使用对抗样本生成技术构造了物理人脸面具，成功通过了该门锁的识别。此案例表明，即使人脸特征存储在安全芯片中，若在总线上明文传输，依然存在泄露风险。

3.3 固件提取：静态逆向分析

核心原理

固件提取是指攻击者从智能门锁的存储芯片（SPI Flash、eMMC、NAND）中读取固件镜像，并通过逆向工程分析其中的算法、密钥、漏洞和后门。固件提取的途径包括：直接拆下Flash芯片使用编程器读取、通过调试接口（JTAG/SWD）读取、利用Bootloader漏洞读取、通过总线嗅探在启动过程中捕获。提取固件后，攻击者可进行：静态分析（字符串提取、反汇编、反编译）、动态调试（在模拟器中运行固件）、漏洞挖掘（寻找缓冲区溢出、命令注入、硬编码凭据）。

判断方法与操作流程

固件提取的难度取决于以下防护措施：

案例拆解：固件逆向发现硬编码后门

安全研究人员对某款廉价智能门锁进行固件提取。该锁使用ESP8266主控，外挂25Q16 Flash。攻击者使用热风枪拆下Flash，使用CH341A编程器读取完整16MB固件。使用binwalk扫描固件，识别出LZMA压缩的根文件系统。使用firmware-mod-kit解包后，在/etc/passwd中发现一个UID为0的隐藏账户debug，密码哈希为明文admin123。进一步分析/usr/sbin/lockd二进制文件，发现存在一个UDP端口6666的调试服务，无需认证即可执行任意命令。攻击者利用该后门远程控制门锁，实现开锁和关闭报警。该案例说明，固件提取不仅是数据泄露风险，更是设备完全沦陷的入口。

3.4 侧信道攻击：非侵入式密钥恢复

核心原理

侧信道攻击是指攻击者通过测量设备运行时的物理泄露（功耗、电磁辐射、时间、声音）来恢复内部秘密信息（如加密密钥）。智能门锁中的侧信道攻击主要针对：安全芯片中的AES密钥、主控中的签名私钥、人脸特征比对算法中的敏感参数。常见的侧信道攻击包括：简单功耗分析（SPA）、差分功耗分析（DPA）、相关功耗分析（CPA）、电磁辐射分析（EMA）、故障注入（Glitch/Voltage Spike）。

判断方法与操作流程

侧信道攻击的实施需要专业设备和环境：

• 功耗分析：在门锁电源线上串联采样电阻（1-10Ω），使用示波器（≥1GHz带宽）采集功耗轨迹。对AES加密过程进行DPA分析，通常需要数千至数万条功耗轨迹。
• 电磁辐射：使用近场探头（H-field）贴近芯片表面，通过频谱分析仪或示波器采集电磁泄露。
• 故障注入：使用电压毛刺发生器或激光照射装置，在特定指令执行时注入故障，跳过安全检查或泄露部分密钥。

案例拆解：CPA攻击恢复AES密钥

某款高端智能门锁使用ATECC608A安全芯片存储开锁密钥，该芯片宣称具备侧信道防护。研究人员使用功耗分析平台（ChipWhisperer Pro）对门锁的认证过程进行攻击。在门锁与手机进行蓝牙配对认证时，采集了10万条功耗轨迹。使用CPA攻击针对AES-128的第一轮S盒输出，成功恢复了完整的128位密钥。攻击耗时约6小时，设备无需拆解，仅需在电池供电线上并联采样电阻。恢复密钥后，攻击者可以伪造合法的开锁指令。该案例表明，即使使用安全芯片，若其侧信道防护实现存在缺陷，依然可能被攻破。

3.5 数据泄露风险等级评估与综合防护

核心原理

本地攻击最终导致的数据泄露风险，根据攻击路径和数据敏感程度可分为不同等级。人脸特征模板属于生物识别数据，根据GDPR和《个人信息保护法》属于敏感个人信息，一旦泄露不可撤销（人脸无法更换）。权限表泄露可能导致攻击者了解用户的开锁习惯和授权结构。开锁日志泄露则暴露用户的生活规律和出行模式。综合评估风险时，需考虑攻击成本、攻击者能力、数据价值三个维度。

风险等级对比表

综合防护策略

针对上述威胁模型，智能门锁的本地安全存储应采取纵深防御体系：

1. 物理层：使用防拆螺丝、防撬开关、PCB灌胶、屏蔽罩焊接、调试接口熔断。
2. 总线层：敏感数据加密传输（如使用安全芯片的Secure Channel）、总线信号加扰、测试点隐藏。
3. 存储层：Flash数据加密（AES-XTS）、密钥存储在SE中、固件签名验证、安全启动。
4. 芯片层：选用通过CC EAL5+认证的安全芯片、侧信道防护、故障注入检测。
5. 数据层：人脸特征模板使用不可逆变换存储、权限表加密、日志脱敏、定期密钥轮换。

总结复盘

智能门锁的本地攻击威胁模型揭示了四个关键结论：第一，物理拆解是几乎所有本地攻击的前置步骤，防拆设计是安全的第一道门槛；第二，总线嗅探和固件提取是获取敏感数据最实用的两条路径，必须通过加密和访问控制来阻断；第三，侧信道攻击虽然门槛高，但对高价值目标（如别墅、企业）构成真实威胁，需要芯片级防护；第四，数据泄露风险不仅影响单个用户，还可能通过固件后门形成批量控制，造成更大范围的安全事件。设计者应基于威胁模型进行安全需求分析，在成本可控的前提下选择适当的防护措施，避免过度设计或安全短板。