智能穿戴设备让你更容易被追踪吗？

安全问题一直大家对智能硬件关注的焦点，联网通讯与数据交换让它们更容易成为网络大盗锁定攻击的目标，特别是贴身的智能手机和智能穿戴设备，似乎成为个人隐私泄露的新缺口？而比较近有研究机构指出穿戴式设备个人信息泄露风险大，又再次将它们推到了风口浪尖。不少担心自己腕上的手环成为被人监控的“卧底”。

近日，加拿大非盈利机构Open Effect研究人员对8家厂商的健身追踪设备和配套应用进行研究后得出的结论。除Apple Watch外，其他设备都传输一个具有永久性、性的蓝牙标识符，使它们能被商场中的信标追踪，商场可以借此识别用户、收集用户信息。

研究人员在测试过程中发现，即使不与智能手机连接，Basis Peak、Fitbit Charge HR、Garmin Vivosmart、Jawbone Up 2、Mio Fuse、Withings Pulse O2和小米手环也可能使用户被跟踪，只有Apple Watch利用蓝牙LE标准的一项特性能生成不断变化的MAC(媒体访问控制)地址，防止用户被跟踪。

在报告中还指出：这些可穿戴设备的配套App也会不同程度地泄露登录信息，以不安全的方式传输活动追踪信息，或允许用户提交虚假活动追踪信息。App从智能穿戴设备收集数据，并上传到云端服务器，用户可以分析自己的表现，并与其他用户进行比较。

研究人员都通过“中间人攻击”方式截获其他应用和服务器之间传输的数据，查看通过HTTPS协议传输的数据，甚至是加密数据。从截获的传输数据分析，从测试情况看，除苹果Watch OS 2.1和英特尔Basis Peak 1.14.0外，其他产品都无一例外中招，研究人员认为这是因为这是因为都“证书锁定”技术，使App不会被研究人员提供的虚假安全信息所欺骗。其中Garmin App只在注册和登录过程中使用HTTPS协议，其他数据则采用明码传输，因此第三方能对数据进行读、写、删除操作。而Jawbone和Withings App用户可以篡改健身数据，使他们能删除疾病的证据或篡改体育活动成绩。这对医疗保险公司和法院来说是个坏消息，因为在欧美国家医疗保险公司在决定用户保费时开始参考健身追踪器数据，法院在许多案件中采用健身追踪器数据作为证据。

Open Effect对于穿戴式设备目前存在的安全问题分析得很透彻，那么用户真的应该担心个人隐私泄露吗？

事实上，基于MAC表示追踪位置的不止智能穿戴设备，任何含有蓝牙功能的设备都有可能被追中，而智能手机自然也在其中，厂商学习Apple Watch利用蓝牙LE标准生成随机MAC并非难事。即使被追踪用户也不用过分担心，只有个人信息与设备MAC匹配信息泄露后才追踪到你个人行踪，否则在大量用户行为大数据中让你对号入座的难度加大，这一点智能手机更容易被追踪。

对于设备与云端主机的数据交互的安全问题，之前我们智嗨推出儿童手表以及智能插座专题中也重点做了安全说明，在智能硬件传输层是比较容易出现问题，除了“证书锁定”认证技术外，数据传输加密也是非常重要的。

Ablecloud作为国内专注服务智能硬件的PAAS平台，对于智能硬件安全做了一套完整的安全机制，杜绝设备信息和用户信息的泄露。他们对设备安全性也分为两层保护措施：一个是通信内容的安全，即要求通信内容一定要使用密文；一个是设备和云端的互相认证，特别是要能防止云端伪造。设备和云端的认证采用双向认证，并采用RSA非对称加密认证方式和AES密匙数据传输。设备预存云端的公钥，这样设备只有收到使用云端私钥加密的信息解析出来的才是有意义的，从而可以完成云端认证。对于伪造的云端，设备使用预存的公钥进行解密时，会到导致解密出来的信息是乱码，进而无法完成云端认证。

对于Open Effect提到智能穿戴产品安全问题是目前技术完全可以解决的，只是相关智能穿戴厂商对产品安全性以及用户隐私保护策略认知不够重视，让别有用心的人有了可趁之机。亡羊补牢 未为晚也！