2. 敏感数据识别与分类：IoT设备中的敏感数据类型与分级标准

做物联网安全这些年，我见过太多团队一上来就谈脱敏算法，结果连自己要保护什么数据都没搞清楚。说白了，不知道敌人长什么样，你怎么开枪？

这一章，我们就来把IoT设备里的敏感数据一个个揪出来，然后给它们排个座次。我个人习惯把这件事叫做“数据家底盘点”——你只有知道自己家里有什么值钱的东西，才知道该把哪把锁装在哪个柜子上。

2.1 IoT设备中的三大敏感数据类型

根据我在十几个IoT项目里的经验，敏感数据可以归为三大类。嗯，咱们一个一个看。

2.1.1 位置数据

位置数据是IoT设备里最容易被忽视的敏感信息。你想想看，一个智能门锁每天几点开门、几点关门，一个车载GPS每天走哪些路线——这些数据一旦泄露，等于把用户的行踪轨迹完全暴露了。

我曾经参与过一个智能儿童手表的安全审计项目。厂商只对通信信道做了加密，但手表上报的位置数据在云端存储时是明文的。结果呢？攻击者通过SQL注入拿到了数据库，几千个孩子的实时位置直接裸奔。那次之后，我给自己定了个规矩：凡是能定位人的数据，一律按最高等级保护。

2.1.2 生物特征数据

生物特征数据是IoT设备里最“值钱”的数据。为什么？因为密码可以改，但你的指纹、虹膜、声纹改不了。一旦泄露，就是一辈子的事。

我记得有个智能门锁厂商找到我们做安全评估。他们的指纹模板直接以明文存储在Flash里，连基本的加密都没有。我当时就问他们：“如果这个锁被拆解，攻击者读出Flash内容，你们打算怎么跟用户交代？”

常见的IoT生物特征数据包括：

生物特征类型	常见IoT设备	泄露后果
指纹模板	智能门锁、考勤机	永久身份伪造
人脸特征向量	智能摄像头、门禁	人脸识别绕过
声纹特征	智能音箱、语音助手	语音指令伪造
心率/血氧	智能手表、健康手环	健康隐私泄露
步态特征	智能鞋垫、运动传感器	行为模式识别

2.1.3 设备标识数据

设备ID看起来不起眼，但它是整个IoT安全体系的基石。你想想看，如果攻击者能伪造设备ID，他就能冒充合法设备接入网络，然后为所欲为。

设备标识数据主要包括：

• 硬件ID：MAC地址、IMEI、芯片序列号
• 软件ID：设备证书指纹、固件版本哈希
• 网络标识：IP地址、设备域名、MQTT Client ID
• 业务标识：设备注册ID、产品密钥、激活码

这里有个坑。很多厂商把设备ID当成“非敏感数据”，觉得反正设备ID是公开的。但我在一个智能家居项目里遇到过这样的情况：攻击者通过嗅探Wi-Fi流量拿到了设备的MAC地址，然后利用这个MAC地址反向查询到了设备的型号和固件版本，最后找到了一个已知漏洞直接入侵了设备。设备ID本身可能不敏感，但它往往是攻击链的第一环。

2.2 数据分级标准

数据分级的目的是什么？说白了，就是把有限的资源花在最需要保护的数据上。你不可能对所有数据都上最高级别的加密和访问控制，那样成本太高，性能也扛不住。

我建议采用四级分级体系，这是我在多个项目中验证过的：

等级	名称	典型数据	泄露影响
L4	极度敏感	生物特征、支付密钥、设备私钥	灾难性：永久身份泄露、资金损失
L3	高度敏感	精确位置、通信内容、用户凭证	严重：隐私暴露、账户被盗
L2	中度敏感	设备ID、固件版本、网络配置	中等：辅助攻击、信息收集
L1	低敏感	设备类型、传感器型号、公开文档	轻微：几乎无影响

2.3 数据分类分级流程图

下面这张图是我自己画的数据分类分级流程，每次做新项目我都会拿出来对照着走一遍：

2.4 分级后的处理策略

数据分完级，接下来就是“对症下药”。不同等级的数据，处理方式完全不同：

• L4数据：必须使用硬件加密存储，传输通道强制使用TLS 1.3+，访问需要双因子认证。我个人建议连日志里都不要出现L4数据的明文。
• L3数据：存储加密（AES-256），传输加密，访问控制基于角色。脱敏时优先考虑替换或遮蔽。
• L2数据：传输加密即可，存储可以明文但需要访问审计。脱敏时可以考虑哈希或截断。
• L1数据：基本不需要特殊保护，但建议做完整性校验，防止被篡改。