2、默认密码风险根源分析：厂商出厂设置惯性、用户安全意识缺失、固件更新机制缺陷
说实话，做了这么多年物联网安全，每次看到因为默认密码被黑掉的设备，我都觉得特别可惜。这些漏洞其实完全可以避免。今天我就把这三个最核心的根源掰开揉碎了讲给你听。
2.1 厂商出厂设置惯性：为什么厂商总爱用弱密码？
你想想看，一个智能摄像头从设计到量产，厂商最关心什么？出货速度、成本控制、用户体验。安全？往往是最后才考虑的事。
我在2018年参与过一个智能门锁的项目评审。当时厂商的默认密码策略是“admin/123456”。我问产品经理为什么这么设，他回答得很直接：“用户拿到手就能用，不用看说明书，售后电话少。”嗯，这就是典型的厂商惯性思维。
厂商惯性的三个典型表现：
- 生产流程固化：一条产线每天生产上万台设备，每台都烧录唯一密码？成本太高。统一密码最省事。
- 售后压力优先：用户忘记密码打售后电话，一次客服成本十几块。默认密码简单，这类电话就少。
- 安全投入滞后：安全团队在厂商内部往往没有话语权。老板觉得“被黑是小概率事件，出货才是硬道理”。
我记得有个做智能灯泡的厂商，他们的固件里直接写死了Wi-Fi密码。理由是“方便用户配网”。结果呢？整个小区的灯泡都能被远程控制开关。这就是典型的为了便利牺牲安全。
我的建议：厂商应该在出厂时强制要求用户首次登录修改密码。这不是技术难题，是产品经理的意愿问题。我在给客户做安全咨询时，第一条建议永远是“出厂零密码策略”——设备第一次通电必须设置管理员密码，否则无法进入操作界面。
2.2 用户安全意识缺失：为什么用户不改密码？
这个问题我感触特别深。2019年我帮一个小区做智能门禁安全评估，发现80%的用户还在用默认密码。我问他们为什么不改，回答五花八门：
- “改了怕自己忘记”
- “觉得没人会黑我家门锁”
- “不知道怎么改”
- “默认密码用着挺方便”
说白了，用户不是不想安全，是安全没有成为他们的刚需。你想想看，一个普通家庭用户，每天上班带娃已经够累了，谁有精力去研究智能灯泡的密码策略？
| 用户类型 | 典型心态 | 风险等级 |
|---|---|---|
| 技术小白 | “能连上网就行” | 高 |
| 普通用户 | “改密码太麻烦” | 中 |
| 技术爱好者 | “默认密码不安全” | 低 |
我曾经做过一个实验：在办公室放了一台默认密码的智能音箱，结果三天内就被隔壁公司的技术小哥“借”去播放音乐了。用户总觉得黑客离自己很远，但现实是，攻击者每天都在扫描默认密码的设备。
避坑指南：我曾经见过一个案例，用户把智能摄像头密码改成“12345678”，觉得比“admin”安全多了。其实这种“伪修改”跟没改一样。真正的安全密码应该是：大小写字母+数字+特殊符号，至少12位。别嫌麻烦，这是你家的第一道防线。
2.3 固件更新机制缺陷：为什么设备永远不升级？
这个问题可能是三个根源里最隐蔽的。厂商出厂设置可以改，用户意识可以培养，但固件更新机制如果设计得不好，设备从出厂那一刻就注定不安全。
我拆解过几十款物联网设备，发现固件更新机制普遍存在三个致命缺陷：
- 没有自动更新：很多设备需要用户手动去官网下载固件，再用U盘升级。你想想看，普通用户会做这个操作吗？
- 更新通道不安全：固件下载走HTTP而不是HTTPS，中间人可以轻松篡改固件。我在一次渗透测试中，就通过ARP欺骗给一台智能摄像头植入了后门。
- 停止维护过早：厂商卖完设备就不管了，固件两三年不更新。漏洞被发现后，设备就成了“孤儿设备”。
固件更新机制的理想模型：
- 设备启动时自动检查更新
- 更新包必须经过数字签名验证
- 更新通道使用TLS加密
- 支持回滚机制，防止更新失败变砖
- 厂商承诺至少5年的安全更新支持
我记得有一次帮客户做智能电表的安全审计。那批电表的固件更新机制是这样的：设备每天凌晨3点向一个HTTP服务器请求更新。攻击者只要伪造这个服务器，就能给所有电表下发恶意固件。更可怕的是，电表没有签名验证机制，直接执行收到的二进制文件。这就是典型的“更新机制缺陷导致全盘皆输”。
我的经验：如果你是企业采购方，在选型时一定要问厂商三个问题：你们的固件更新走什么协议？更新包有没有数字签名？设备停止销售后还提供多久的安全更新？这三个问题能筛掉80%的不合格厂商。
这三个根源其实是一个恶性循环：厂商图省事设弱密码 → 用户嫌麻烦不改密码 → 固件不更新漏洞一直存在 → 攻击者轻松入侵 → 厂商觉得安全投入没用 → 继续设弱密码。打破这个循环，需要从每个环节入手。
我个人认为，最关键的突破口在厂商。只要厂商愿意在出厂时强制改密、设计安全的更新机制、提供长期维护，用户的安全意识可以慢慢培养。但如果厂商不作为，光靠用户自觉，物联网安全永远是个伪命题。