警惕儿童智能手表的安全隐患

池源

儿童智能手表市场成长迅猛

2020年第一季度智能手表整體出货量1690万部

智能手表已经发展了多年，技术也迭代了多次，已经相当成熟，孩子们只要按一下按钮就可以发短信或打电话，还可以向家长发送几条预先编写的短信，例如“我在学校”和“什么时候来接我？”。通过其Apple 或Android手机上的应用程序，父母可以跟踪孩子的位置并设置“地理围栏”，以在孩子越界时触发警报。在人口大国，二胎政策放开后企业根本不用担心用户量，穿戴设备厂商一直保持稳定的发展。

6月23日，根据IDC咨询发布的《中国可穿戴设备市场季度跟踪报告，2020年第一季度》显示，2020年第一季度中国可穿戴设备市场出货量为1762万台，其中基础可穿戴设备（不支持第三方应用的可穿戴设备）出货量为1486万台，智能可穿戴设备出货量为276万台。

儿童走失、被拐等安全事件的频发引发家长忧虑，儿童实时定位和即时通信近年来一直是消费需求点。随着技术的发展，智能手表增加了对儿童教育的辅助功能，这些逐渐增长的功能，不断迎合着家长的需求，为儿童智能手表市场的持续发展带来了机会。目前儿童智能手表的市场格局已经基本稳定，小天才、糖猫、360等品牌已经遍布线上和线下渠道，中国线上市场在售的智能手表约有134个品牌、1057类产品，儿童智能手表在销售的智能手表品类中占比超过了三分之一。

对于儿童安全的担忧和监管，是全球性的话题。一项研究表明，1971年，80%的7岁和8岁的孩子独自上学，到 1990年，这一比例仅为9%。作家理查德·卢夫在其关于自然疾病的著作《树林中的最后一个孩子》中引用了一项研究，该研究表明，在1997年至2003年之间，花时间进行户外活动的9至12岁欧美儿童数量下降了50%。他研究了原因，其中最大的一个原因是对陌生人的恐惧，这种恐惧源于1980年代绑架儿童的新闻。尽管其中许多故事被夸大了，甚至是虚假的，但仍然让家长们感到不放心。

数据安全漏洞频频曝光

在儿童手表的卖点中，首要的当数定位精准度，近期北斗全球组网完成，预计2020年产业总体产值将超过4000亿元。作为继美国GPS、俄罗斯格洛纳斯、欧洲伽利略后的全球第四大卫星导航系统，北斗拥有自主知识产权和核心技术，全产业链所有关键元器件已基本实现国产化。随着“北斗+”和“+北斗”应用的深入推进，由卫星导航衍生带动形成的关联产值也已达2284亿元，所以纵观市场，以北斗为卖点的儿童智能手表不在少数，随着组网功能的完善，北斗无论在信心还是在实力上都能让消费者更放心。

当前的儿童智能手表通过GPS+北斗+基站+WiFi+重力感应+PDR六种方式定位，可以很直观地判断手表的大体位置，基本工作原理主要是通过GPS或者北斗实现定位，与手机定位的原理相同，插入电话卡，通过信号来实现定位功能。但GPS主要应用于户外、空旷的地方，进了室内、地下停车场、地下商城等地方就很难定位，误差也相对较大。叠加了基站、WiFi等技术都是用来修订GPS定位的误差，但实话实说，要实现数米内的精准，挺难，绝大多数只是一个相对参考值，根据目前技术，最精准的定位能实现15米的误差，宣传低于这个数值的可信度均不高。

嵌套的第三方地图软件，主要以道路为参考，因此会发生定位时手表出现在某条道路上，然后通过叠加其他定位技术，再漂移到某建筑物旁/里。儿童手表的定位系统，其实与普通的智能手机的效果无异，连钉钉打卡都存在百米左右的偏差，儿童手表也不能说无偏差，精确的定位不能完全依赖儿童智能手表的定位系统，但对于监控还是有一定的参考价值。

目前需要警惕的是，带有定位追踪功能的儿童智能手表多多少少存在安全漏洞，这样的事情并不遥远。包括 Techcrunch、Pen Test Partners、Rapid7、Avast 等外媒和国内外安全软件公司，相继爆出多家儿童智能手表供应商普遍存在安全防护漏洞问题，据估计，至少有 4700 万甚至更多数量的终端设备可能受此影响。

因一个定位追踪数据库的暴露，仅通过一部智能手机的精准定位数据，短短几分钟内，某人的一举一动就被完全锁定掌握。黑客基于这些安全漏洞不仅能检索或改变儿童的实时 GPS 位置，还可以监视手表活动范围，或者从不安全的云端捕获到基于设备的通话音频文件。

目前诸如小天才和糖猫等一线品牌都具有家长筛选短信过滤和陌生来电阻止功能，从应用层面来说，儿童手表的封闭性相对手机还是安全得多，但是仅限于硬件终端，在信息流方面的安全依然存在。记者在调查过程中，至少有三位学生都表示其用的品牌智能手表在开启过滤模式下，收到过垃圾短信或者骚扰电话。

行业规范急需制定

黑客攻击方式

常见的漏洞是在设备联网之后各项涉及用户数据的交互环节，比如用户注册登录过程、与设备关联的 Web 网页和管理站点、移动应用程序和云之间的通信量，以及 GPS 与云之间的 GPRS 通信量等容易被劫持。

据了解，具备定位追踪功能的儿童智能手表工作原理其实很简单，手表内的主板 SOC 模组集成了提供位置的GPS 模块，以及向设备提供GPRS 数据传输 + SMS 短信功能的 SIM卡模块。对儿童智能手表的 SIM 卡或物联网卡进行激活，绑定其他手机设备和 APP 程序后就能进行数据传输。

安全软件公司 AVAST Software 通过检测一些深圳代工儿童手表产品相关的 Web 应用程序发现，所有的请求都是纯文本的标准 JSONAjax（一种轻量级的数据交换格式）请求，且所有请求都是未加密和明文的，传输信息附带指定的 ID 号和默认密码 123456，黑客基于这些漏洞可以向设备发出指令，除了能获得 GPS 坐标，还能获取更高阶层次的信息。

比如可以让儿童智能手表拨打存储名单中的任意电话号码，一旦连接上，就可以监听到用户的语音数据，而用户却不知情（这个设计本身在正规应用中是用来家长监听的）;可以激发设备 SOS 模式，發送短信给所有号码，进而使用 SMS（短信服务）作为攻击矢量;甚至可以发送一个 URL 的更新固件允许在设备上安装新固件，植入一些木马程序。

利用这些漏洞，黑客可以轻而易举地发动“MITM 攻击”（中间人攻击，一种间接的入侵攻击方式），通过把黑客控制的一台计算机虚拟放置在网络连接中的两台通信计算机之间，结合用于来回发送数据的不安全协议，黑客可以使用标准 IP 工具攻击捕获所有用户数据。

有制作商回应称，在管控范畴内的安全漏洞其实都已经进行了排查修复，进行了加密和动态校验部署，比如采用了比较成熟的 Web API Token 方式，第三方想要调用数据需要申请一个 Token，且验证会有时间限制，对一些数据进行了安全保护的强化，如果验证超时则需要请求一个新的 Token 才能调用数据。

目前的安全漏洞的修复并不能完全覆盖所有之前生产的设备，原因是在云服务和软件开发层面，实际上有不少第三方客户会自己去做开发，包括 APP、云服务和一些新增软件功能，代工厂只提供了硬件设备的方案或产品制造，因此无法保障他们产品数据的安全性，这部分设备销售出去也不在其控制范围之内。

世界各国对于信息数据安全的标准和要求不同，很多欧洲客户不仅是要求保证 API 和云服务的安全。比如欧盟目前实施的 GDPR 通用数据保护条例（前身是欧盟1995年的《计算机数据保护法》），包括 Google 和 Facebook 等科技巨头都会时常遭到诉讼，动辄要面临数十亿欧元的罚款，欧美地区的法规监管相对会更严格一点。