一、隐私泄露的现状与威胁模型

各位同学，咱们开门见山。今天聊的这个话题，说实话，有点沉重。

你手里的手机、桌上的笔记本、甚至你家的智能音箱，每天都在往外“说话”。说的不是你发了什么朋友圈，而是你的位置、你的麦克风权限、你几点关灯、你银行App的登录时间——这些数据，比你想象的更值钱，也比你想象的更脆弱。

我做了十几年安全，见过太多“我以为没事”的案例。有一次，一个朋友的公司，就因为一台无人值守的打印机，被人摸进了内网，整月的销售数据全丢了。嗯，那台打印机连了Wi-Fi，默认密码没改。

1.1 现状：你不是目标，你只是路过

很多人觉得：“我又不是什么大人物，谁闲得没事来黑我？”

这个想法很危险。现在的隐私泄露，早就不是“定向攻击”了。更多的是——自动化扫描 + 批量收割。攻击者写个脚本，全网扫开放端口、扫弱密码、扫未授权的API。你只要有一个漏洞，就会被“顺便”拖走数据。

说白了，你的设备不是被“盯上”了，而是被“路过”了。攻击者像扫地一样扫过去，谁的门没锁，谁就倒霉。

1.2 攻击面：你的设备到底哪里在漏？

我习惯把攻击面分成四个维度。你对照着看看自己的设备，心里就有数了。

攻击面维度	典型风险点	我见过的真实案例
网络层	开放端口、未加密Wi-Fi、蓝牙常开	某智能灯泡开放了telnet端口，密码是admin:admin
系统层	系统未更新、Root权限滥用、未知来源App	一台安卓电视被装了恶意APK，变成了挖矿肉鸡
应用层	过度权限索取、SDK第三方数据回传、明文存储	某天气App偷偷上传通讯录，说是“为了推荐好友”
物理层	USB接口暴露、屏幕窥视、设备丢失	U盘丢了，里面是没加密的客户合同扫描件

1.3 威胁模型：用STRIDE给风险“画像”

光知道哪里会漏还不够，你得知道攻击者能干什么。STRIDE模型是我每次做风险评估时必用的工具。它把威胁分成六类，每一类对应一个“如果被利用，会发生什么”。

• S - Spoofing（假冒）：攻击者伪装成你或你的设备。比如伪造你的MAC地址接入公司网络。
• T - Tampering（篡改）：数据在传输或存储中被改掉。比如中间人攻击，把转账收款人账号换了。
• R - Repudiation（抵赖）：做了操作但不承认。比如日志被删，无法证明谁删了文件。
• I - Information Disclosure（信息泄露）：敏感数据被不该看到的人看到。这是隐私泄露的核心。
• D - Denial of Service（拒绝服务）：让设备或服务不可用。比如DDoS打瘫你的智能家居网关。
• E - Elevation of Privilege（权限提升）：从普通用户拿到管理员权限。比如通过漏洞从App沙箱逃逸到系统层。

我个人的习惯是，每评估一个设备，就拿这六条挨个过一遍。你会发现，很多设备在“信息泄露”和“权限提升”这两项上，几乎是裸奔的。

1.4 攻击树：把攻击路径画出来

STRIDE告诉你“有什么威胁”，攻击树告诉你“威胁怎么一步步实现”。

举个例子。攻击者的目标是“获取你手机里的银行App登录凭证”。他会怎么干？

你看，攻击树把一个大目标拆成了具体的攻击路径。每个叶子节点，就是一个你可以去防御的点。我每次做渗透测试，都会先画这么一棵树，然后挑最弱的那条路走。你作为防守方，反过来想——把最弱的那条路堵死，攻击者的成本就上去了。

1.5 建立风险意识：从“会不会”到“值不值”

最后我想说一个观念问题。很多同学问我：“这个漏洞真的会被利用吗？”

我的回答是：别问“会不会”，问“值不值”。

攻击者也是讲投入产出比的。如果你的设备连最基本的防护都没有——比如默认密码、未加密通信、开放远程管理——那对于攻击者来说，攻击成本几乎为零。这时候，哪怕你只是一个小透明，也值得被“顺手”收割一把。

所以，建立风险意识的第一步，就是提高攻击者的成本。你每做一次加固，攻击者就多花一分力气。当你的防护成本低于攻击者的攻击成本时，你就安全了。