*GEEKCON对智能门锁进行AVSS安全攻防测试
我们首先对这12款门锁进行了小黑盒攻击测试，使用特斯拉线圈发送电磁干扰，对门锁进行检测，结果显示这些门锁均已有效抵御此类干扰，未被打开。
但这能否证明其整体安全性？
我们进一步使用低、中、高三种不同程度的网络攻击，对当前智能门锁的安全水平进行了深度测试。实验采用多维度攻击视角、并选取包括以下典型的三大风险在内的多场景进行对抗测试。
智能门锁使用的
三大典型风险场景
01
NFC门卡复制测试
碰一下就能偷走你的“钥匙”吗？
02
临时密码网络安全测试
临时密码会变成“永久通行证”吗？
03
遥控解锁网络安全测试
你家大门会被别人遥控打开吗？
经过高标准严格测试，我们发现小米 E30、德施曼 Q5M Pro、凯迪仕 Q20F Pro这三款门锁表现更好，在多轮测试中成功抵御不同级别的实战攻击。
——碰一下就能偷走你的“钥匙”吗？
刷卡开门，几乎成了智能门锁的标配。然而，当厚重的钥匙变成薄薄一张卡，“配钥匙”的难度也可能随之降低。碰一下就能偷走“卡片”钥匙开门，有可能吗？
测试人员针对12款智能门锁中10款支持刷卡开门的门锁进行网络安全攻防测试，通过不同强度的攻击来验证门锁的防御能力：
测试结果
-
2款门锁表现较好（小米E30、凯迪仕Q20F Pro），其门卡采用了复杂的加密技术，使用普通手机无法获取信息，通过技术手段复制门卡的难度也较大；
-
5款门锁存在风险（威恒8802、鹿客P7、海尔P30 Pro、凯利莱K9S、京东京造M1），其门卡采用了简单的加密技术，使用普通手机无法复制，但通过技术手段复制门卡的难度较低，接触卡片1秒就能复制并开锁；
-
3款门锁风险较大（博克V6P、索将军S9、英典K18），其门卡未加密，测试人员可以用有门卡模拟功能的手机轻易复制门卡并开锁。
【小知识】
NFC门卡的加密技术分为简单加密和复杂加密两种。简单加密指厂商将固定的或者有规律的密钥写入卡片的部分扇区中，复杂加密指卡片与门锁之间存在双向认证机制，门锁和卡片都需要对数据进行签名并互相校验签名的有效性。
智能门锁AVSS安全测试（一）
临时密码网络安全测试
——临时密码会变成“永久通行证”吗？
保洁上门、上门喂猫，人不在家怎么办？生成一个“临时密码”，使用一次就失效，非常便捷。然而，如果临时密码被破解，会导致永久密码泄露吗？
测试结果
-
8款门锁表现较好（小米E30、德施曼Q5M Pro、凯迪仕Q20F Pro、鹿客P7、海尔P30 Pro、萤石Y2000F、博克V6P、索将军S9），其临时密码生成方式复杂，不易被破解；
-
4款门锁存在风险（凯利莱K9S、威恒8802、京东京造M1、英典K18），测试人员几分钟就能临时密码推算出管理员密码，实现无限次开锁，有两款甚至秒破解。
【小知识】
临时密码生成方式主要有在线生成和离线生成两种。在线生成方式分为用户指定临时密码并同步给门锁和服务器自动生成并同步给门锁两种，这两种情况都需要门锁处于联网状态，离线生成方式一般通过固定特征如管理员密码、时间等计算得到临时密码，该方法无需门锁联网。
智能门锁AVSS安全测试（二）
遥控解锁网络安全测试
——你家大门会被别人遥控打开吗？
用手机APP或小程序一键开锁，看似方便又快捷。这实际上是手机通过蓝牙或网络通信给门锁下发开锁指令实现的。一旦通信过程被破解，只需要知道户主的手机号，恶意攻击者就可能伪装成户主开锁。
测试人员针对12款智能门锁中9款支持手机遥控开锁的门锁进行网络安全攻防测试。此类测试需要分析和验证蓝牙和网络通信的漏洞问题，发送攻击指令，属于中高强度的攻击。
测试结果
-
6款门锁表现较好（小米E30、德施曼Q5M Pro、凯迪仕Q20F Pro、海尔P30 Pro、萤石Y2000F、凯利莱K9S），通信防护较强，在本轮测试中未被解锁；
-
3款门锁风险较大（博克V6P、索将军S9、英典K18），测试人员可通过技术手段破解遥控开锁。
【小知识】
遥控解锁方式主要分为蓝牙解锁和网络解锁。蓝牙解锁一般是在手机与门锁蓝牙认证配对完成后，通过蓝牙通信发送解锁请求，网络解锁是指手机向服务器发送解锁请求，服务器在判断指令与权限的合法性后向门锁发起解锁请求。
智能门锁AVSS安全测试（三）
产品的网络安全问题也是质量问题。在3·15国际消费者权益日之际，我们更应关注消费者的安全与权益。针对本次测评结果，我们已联络相关厂商，并呼吁智能门锁企业更加重视产品的网络安全问题，及时修复缺陷、升级防护措施，为消费者提供更安全、更可靠的产品，切实保障消费者的合法权益。
我们同时建议管理、监督推动智能门锁等智能家居产品网络安全标准全面落地，加强该类产品的网络安全监督，落实维护产品质量安全的管理措施，让消费者在享受智能科技便利的同时，也能拥有更安心的使用体验。
对消费者而言：
-
买智能门锁不仅要关注物理安全，也要关注网络安全；
-
日常使用中关闭非必要的远程功能；
-
把NFC卡当钥匙妥善保管；
-
定期更新管理员密码。
GEEKCON组委韦韬：正如新能源车取代燃油车，智能门锁替代机械锁的趋势也在加速。网络空间的隐性风险远超物理空间，离开体系化的专业安全测评，貌似坚固的智能门锁也可能脆弱不堪。很高兴看到此次针对智能门锁进行详尽的AVSS测评，能够让消费者直观了解智能门锁内在的安全问题，也让尽责的厂家背后默默的安全投入获得认可。期待后续进一步推动消费电子行业的AVSS测评，真正让消费者安心放心。
GEEKCON组委吴小贝：当智能的奥秘被“撬”开，安全才是门锁的“钥匙”。
GEEKCON，全球最早和最大关注智能生活安全的专业黑客技术活动平台， 央视3·15消费者权益保护晚会技术支持单位。作为独立中立的第三方平台，同时也是AVSS量化安全的推动者，GEEKCON十几年来坚持引领推动安全攻防对抗研究与技术创新，帮助全球数百家领军企业发现并修复了上千安全漏洞，通过深度技术研究成果提升行业安全水平。GEEKCON的组委汇聚了来自谷歌、华为、蚂蚁、腾讯、百度、京东等企业的安全专家，共同为赛事提供专业指导，推动网络安全生态的健康高质量发展。
球分享
球点赞
球在看
原文始发于微信公众号（看雪学苑）：非暴力测试了12款智能门锁，结果这3款安全表现良好
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论