1. 智能家居安全概述：物联网安全威胁全景、智能家居攻击面分析、安全设计原则

说实话，做智能家居安全这些年，我最大的感受就是——攻击面太广了。你想想看，一个普通的智能灯泡，它连了Wi-Fi，能接收手机指令，还能上报状态。就这么个不起眼的小东西，可能成为黑客进入你家网络的跳板。

物联网安全威胁，说白了就是三个维度：

我在项目中遇到过一件事。有个客户做智能门锁，固件里硬编码了云平台密钥。结果呢？有人拆了锁，用串口工具直接dump出固件，拿到了所有设备的控制权。嗯，这就是典型的设备层威胁。

核心观点：物联网安全不是单点防御，而是从芯片到云端的全链路防护。任何一个环节的疏忽，都可能让整个系统崩溃。

我习惯把智能家居的攻击面分成五个入口。你对照着看看，自己家的设备踩了几个坑？

攻击入口	典型攻击方式	我见过的真实案例
物理接口	JTAG/SWD调试口、UART串口、SPI Flash读取	某智能插座，PCB上JTAG口没做防护，直接读出固件
无线通信	Wi-Fi deauth攻击、Zigbee密钥破解、BLE重放	智能灯泡被deauth后，自动恢复出厂设置，密码重置
云平台	API未授权访问、设备影子劫持、OTA固件篡改	某摄像头云平台，通过遍历deviceID获取所有视频流
移动App	本地数据库未加密、WebView远程执行、日志泄露	App里打印了完整MQTT密码到logcat，被恶意App读取
用户行为	弱密码、默认密码不修改、共享设备权限过大	用户把智能门锁密码设为123456，被邻居猜中

为什么会这样？说白了，很多厂商为了快速上市，安全被放在了最后一位。我曾经帮一个客户做安全审计，发现他们的智能网关居然开放了Telnet端口，密码是admin/admin。你想想看，这跟把家门钥匙挂在门外有什么区别？

避坑指南：我曾经见过一个团队，把所有设备的调试接口都去掉了，以为这样就安全了。结果呢？固件升级时没有签名校验，黑客伪造了一个恶意固件包，通过OTA推送给了所有设备。嗯，安全设计不是靠删功能，而是靠合理的防护机制。

做了这么多年安全，我总结出几条铁律。你照着做，至少能挡住90%的常见攻击。

别指望单点防护。设备层、网络层、应用层，每一层都要有安全措施。我习惯用「洋葱模型」来比喻——剥开一层还有一层，攻击者得层层突破。

每个组件只给它能完成功能的最小权限。智能灯泡不需要访问你的通讯录，智能音箱不需要读取你的短信。我在项目中见过一个智能摄像头，App申请了读取通话记录的权限——这明显不合理。

设备出厂时的默认配置必须是安全的。强制修改默认密码、默认关闭远程调试、默认启用加密通信。别指望用户自己去配置安全选项，大部分人连Wi-Fi密码都懒得改。

固件必须支持安全OTA升级，而且升级包要有签名校验。我曾经遇到一个客户，他们的设备升级时只校验了CRC32——这玩意儿随便就能伪造。我建议他们改用ECDSA签名，虽然计算量大一点，但安全性提升了好几个数量级。

我的经验：安全设计不是一次性工作。我习惯在每个迭代周期都做一次安全评审，哪怕只是简单的威胁建模。你想想看，一个漏洞在开发阶段修复的成本，跟产品上市后再打补丁的成本，差了至少10倍。

下面这张图，是我自己梳理的智能家居安全知识体系。你把它当作地图，后面每个章节都会对应到其中的一个模块。

这张图把本章的三个核心模块串起来了。从左到右，你先识别威胁，再分析攻击面，最后用安全设计原则去应对。我习惯把这个流程叫做「威胁驱动的安全设计」——说白了，就是先搞清楚敌人会怎么打你，再决定怎么防守。

嗯，这一章就到这里。记住一句话：智能家居安全不是功能，而是底线。后面我们会深入每个攻击面，讲具体的防护技术。