2. 合规背景与监管要求：国内外物联网安全法规概览
说实话，做物联网安全这么多年，我最怕听到的一句话就是：「先上线，合规后面再说。」结果呢？后面往往就是罚款通知或者通报批评。今天这章，咱们就把国内外那些跟默认密码直接相关的法规、标准捋一遍。我不打算给你念法条，而是结合我踩过的坑，告诉你哪些条款是真正要命的。
核心观点：默认密码治理不是技术选型，而是合规底线。等保2.0、GDPR、CCPA、GB/T 37025、EN 303 645，五份文件里至少有四条直接要求「禁止使用默认密码」或「强制修改初始凭证」。
2.1 国内法规：等保2.0与GB/T 37025
等保2.0（GB/T 22239-2019），这是国内物联网系统的入门券。我参与过三次等保测评，每次检查员都会翻设备台账，问的第一句话就是：「默认密码改了没有？」
等保2.0里跟密码相关的核心要求，我整理了一张表：
| 安全层面 | 控制点编号 | 具体要求 | 我的解读 |
|---|---|---|---|
| 安全物理环境 | 8.1.2.3 | 设备初始口令应在首次登录时强制修改 | 不是建议，是强制。我见过某厂商出厂固件里写死密码，等保直接判不合格 |
| 安全通信网络 | 8.1.3.4 | 禁止使用默认口令或弱口令进行远程管理 | SSH、Telnet、Web管理后台，全算在内 |
| 安全计算环境 | 8.1.4.6 | 应提供账户锁定机制，防止暴力破解 | 光改密码不够，还得有防爆破策略 |
| 安全管理中心 | 8.1.5.2 | 应能对密码策略进行集中管理和审计 | 平台侧要有统一密码策略下发能力 |
再说GB/T 37025-2018，这是物联网安全等级保护的技术要求标准。它比等保2.0更细，专门针对物联网场景。我记得有一条特别有意思——它要求设备在出厂时「不得预置具有管理员权限的默认账户」。你想想看，很多智能摄像头、路由器出厂就带一个admin/admin，这直接违规。
避坑指南：我曾经帮一家智能门锁厂商做合规整改，他们产品出厂时有一个「调试模式」默认密码。研发觉得这是内部用的，不影响。结果等保测评时被判定为「未修改默认口令」，整改花了三周。记住：所有暴露给用户的接口，哪怕只是调试口，都算数。
2.2 国际法规：GDPR与CCPA
GDPR（通用数据保护条例）虽然是欧洲的，但只要你产品卖到欧洲，或者处理欧盟公民的数据，就得遵守。它没有直接说「默认密码」，但第25条「数据保护设计」和第32条「处理安全」间接要求了：
- 必须采取适当的技术措施保障数据安全
- 默认配置应具有最高隐私保护水平
- 如果因为默认密码泄露导致数据泄露，罚款上限是2000万欧元或全球年营收的4%
我参与过一个跨境项目，客户是欧洲的智能家居品牌。他们的网关设备出厂密码是「123456」，结果被安全研究员发现并公开披露。GDPR罚单下来的时候，客户CEO直接懵了。后来我们紧急做了固件升级，强制所有设备在首次联网时修改密码，才勉强过关。
CCPA（加州消费者隐私法案）跟GDPR类似，但更侧重消费者的知情权和选择权。它要求企业在收集数据前告知用户，并允许用户选择退出。如果因为默认密码被利用导致数据泄露，CCPA允许消费者提起集体诉讼。嗯，这个风险比罚款还大。
注意：CCPA在2023年修订后，对「敏感个人信息」的定义更严格了。生物识别数据（比如智能门锁的指纹、人脸识别设备的特征值）如果因为默认密码泄露，赔偿金额会翻倍。我建议所有涉及生物识别的物联网产品，默认密码策略必须单独审计。
2.3 行业标准：EN 303 645
EN 303 645是欧洲电信标准化协会（ETSI）发布的消费级物联网安全标准。它被称为「物联网安全的基本线」。为什么这么说？因为它简单、直接、可操作。全文只有13条要求，其中跟密码相关的占了4条：
- 禁止使用通用默认密码——每个设备必须使用唯一凭证，或者强制用户在首次使用时设置密码
- 密码存储必须使用哈希加盐——明文存储？直接不合格
- 应提供密码强度指示器——用户设置密码时，界面要显示「弱/中/强」
- 应支持密码重置机制——但重置过程不能绕过身份验证
我个人觉得EN 303 645是当前最务实的物联网安全标准。它不像等保那么重，也不像GDPR那么抽象。如果你团队资源有限，先对标EN 303 645，至少能覆盖80%的常见风险。
一个小经验：EN 303 645的合规认证在欧洲越来越普及。2024年起，德国、法国、英国的大型零售商已经开始要求供应商提供EN 303 645合规声明。没有这个，产品上不了货架。我去年帮一个客户做认证，光是默认密码这一项就改了四版固件。
2.4 合规检查清单
好了，理论说完了，咱们来点实际的。下面这份检查清单，是我在多个项目中迭代出来的。每次做合规审计，我就拿着它逐条过：
| 检查项 | 合规要求 | 对应标准 | 检查方法 |
|---|---|---|---|
| 设备出厂是否使用唯一密码 | 每个设备必须有独立凭证，或首次启动强制修改 | 等保2.0、EN 303 645 | 抽查10台设备，对比密码是否相同 |
| 默认密码是否可被远程利用 | 远程管理接口不得使用默认口令 | 等保2.0 8.1.3.4 | 扫描所有开放端口，尝试默认密码登录 |
| 密码存储是否安全 | 必须使用哈希+盐值，禁止明文或可逆加密 | EN 303 645、GDPR Art.32 | 审查固件中的密码存储代码 |
| 是否有密码强度策略 | 用户设置密码时应有强度提示，且最低长度≥8位 | EN 303 645、CCPA | 模拟用户注册流程，检查前端和后端校验 |
| 是否有暴力破解防护 | 连续失败登录应触发锁定或延迟 | 等保2.0 8.1.4.6 | 使用自动化工具尝试100次登录，观察响应 |
| 密码重置流程是否安全 | 重置需验证身份，且新密码不能与旧密码相同 | EN 303 645、GDPR | 走一遍重置流程，检查是否存在绕过漏洞 |
| 是否提供密码集中管理能力 | 平台侧应支持统一密码策略下发和审计 | 等保2.0 8.1.5.2 | 查看管理后台功能列表 |
| 数据泄露时是否有通知机制 | 72小时内通知监管机构和受影响用户 | GDPR Art.33、CCPA | 检查事件响应流程文档 |
使用建议：这份清单我建议你打印出来，每次产品迭代后过一遍。别等到合规审计前才突击，那时候改代码的成本是平时的5倍以上。我见过太多团队因为「忘了改默认密码」这种低级错误，导致整个项目延期。
2.5 知识体系框架图
下面这张SVG图，把本章涉及的法规、标准、检查项之间的关系画清楚了。你可以把它贴在团队的白板上：
这张图的核心逻辑是：法规标准在最上层，它们共同指向「禁止默认密码」这个核心要求。往下拆解成设备、网络、平台三个层面的检查项，每个层面都有具体的动作。最终输出就是通过合规审计。
最后提醒一句：合规不是一次性工作。法规在更新，攻击手法在进化，你的产品也在迭代。我建议每季度至少做一次默认密码相关的自查，每次发版前过一遍检查清单。别等到被通报了才想起来改——那时候，成本就不是改几行代码那么简单了。