1. IoT设备供应链安全威胁全景

IoT设备供应链安全的核心矛盾在于：设备从芯片设计到最终退役，要经过数十家甚至上百家供应商、代工厂、物流商和集成商，而安全责任却往往在交接处断裂。攻击者不需要攻破最终产品，只需在链条的任意一环植入恶意逻辑或利用信任关系，就能以极低成本获得大规模设备的控制权。理解供应链攻击，首先要理解它和传统漏洞利用的本质区别——传统攻击利用的是"产品本身的缺陷"，供应链攻击利用的是"产品形成过程中被注入的信任"。

供应链攻击的定义与信任传递模型

供应链攻击是指攻击者通过入侵、篡改或仿冒供应链中的某个环节（软件、硬件、服务或人员），使最终交付给用户的产品、组件或更新携带恶意能力，从而在用户不知情的情况下获得访问、控制或数据窃取能力。它的关键特征是信任传递：用户信任设备厂商，厂商信任其芯片供应商，芯片供应商信任其IP核提供方，每一层信任都成为攻击者可利用的跳板。

以SolarWinds事件为例，攻击者并未直接攻击使用Orion平台的政府和企业，而是入侵了SolarWinds的软件构建环境，在合法的软件更新包中植入后门。约18000个客户在"正常升级"过程中主动安装了恶意代码。这个案例揭示了供应链攻击最危险的性质：攻击载体是受信任的合法更新通道，传统边界防御和签名验证在此几乎失效，因为签名本身是真实的。

IoT领域的Mirai变种则展示了另一条路径。Mirai原始版本通过扫描Telnet弱口令感染设备，而后续变种开始利用供应链环节——例如预置在固件中的默认凭据、第三方SDK中的命令执行接口、甚至出厂前被篡改的固件镜像。攻击面从"设备暴露面"前移到了"设备制造面"。

攻击面分类：从代码到物理的五个层次

IoT供应链攻击面可以按介入层次划分为五类，每一类对应不同的攻击手法和检测难度：

• 软件与固件层：第三方库漏洞、构建工具链污染、固件更新签名绕过、OTA通道劫持。典型如依赖包投毒（typosquatting）、CI/CD凭据泄露。
• 硬件与芯片层：IP核后门、FPGA逻辑篡改、芯片仿冒（counterfeit）、调试接口未熔断。硬件层攻击一旦植入，软件层几乎无法检测。
• 制造与代工层：代工厂固件烧录篡改、测试工装植入、生产数据泄露。设备在出厂前已被植入恶意逻辑，用户拿到的是"全新但已被污染"的产品。
• 物流与分销层：运输途中替换设备、中间人刷写固件、假冒经销商。物理接触窗口是这一层的核心风险。
• 运维与服务层：云平台API滥用、远程维护通道被控、第三方运维人员权限过大。设备部署后的持续信任关系同样属于供应链范畴。

这五层并非孤立，而是可以级联放大。例如芯片层后门可以关闭安全启动，使固件层篡改成为可能；制造层植入的调试凭据可以在运维层被远程利用。因此，供应链安全评估必须做跨层威胁建模，而不是逐层打勾。

全生命周期风险分布与关键控制点

把攻击面映射到IoT设备生命周期，可以看到风险并非均匀分布。设计阶段的风险隐蔽性最高但影响面最广；制造阶段的风险可控性最差，因为品牌方通常不直接管理代工厂的每一道工序；运维阶段的风险暴露面最大，因为设备已联网且持续接收更新。

一个实用的判断方法是问三个问题：这个环节谁有写入权限？写入内容是否可验证？验证失败时能否回滚？如果某个环节的答案是"代工厂有写入权限、验证依赖出厂后的抽检、失败无法回滚"，那它就是高风险控制点。例如固件烧录环节，如果代工厂使用品牌方提供的签名固件，且烧录后立即校验哈希并记录到不可篡改的日志，风险就显著降低；反之，如果代工厂可以自行编译或修改固件，风险就不可接受。

从威胁全景到防御策略的映射

理解威胁全景的目的是指导防御资源分配。针对五层攻击面，对应的防御策略也有层次差异：软件层依赖SBOM（软件物料清单）和依赖扫描；硬件层依赖可信执行环境和物理不可克隆函数（PUF）；制造层依赖受控烧录和产线审计；物流层依赖防拆封和序列号追踪；运维层依赖最小权限和OTA签名验证。

需要强调的是，没有任何单一措施能覆盖全部供应链风险。SBOM能发现已知漏洞，但发现不了硬件木马；安全启动能阻止固件篡改，但阻止不了出厂前就已植入的恶意代码。有效的供应链安全是纵深防御：在每一层都假设上一层可能已被突破，并设计独立的验证和隔离机制。例如，即使固件被篡改，安全启动的根信任仍应存储在芯片熔丝中，使篡改后的固件无法通过启动校验；即使设备被替换，云端仍应通过设备证书和异常行为检测识别出非授权设备。

本章后续将围绕这些攻击面展开具体的威胁建模方法、检测技术和工程实践。当前需要建立的核心认知是：IoT供应链安全不是"某个环节的安全"，而是"信任链在每一环都不被滥用"的系统工程。攻击者寻找的是链条中最薄弱的交接点，防御者需要做的是让每一个交接点都有独立的验证和可追溯的记录。