小米IoT安全实践解读

据称过去五年，小米集团投资或孵化了超过100家智能硬件公司，建成了全球最大的消费类IoT平台，连接超过1.32亿台智能设备。

小米已经举办二届MIDC IoT安全峰会，雷军说：小米始终把安全放在IoT平台的首要位置，也一直为打造全球最大的安全的IoT平台而奋斗，同时我们愿意对外输出完整的IoT安全技术体系。所以安智客就学习一下，看看能不能有所借鉴！

解读一：从2017年的《小米IOT安全之路》到2018年的《小米IOT安全思考与实践》，小米IOT安全开始走上正轨。

看图说话，也就是是说直到2017年小米安全部门才有专门的研发团队，虽然在2012年成立了安全团队，那也是关注小米手机的安全，跟IOT扯不上边。同时也说明在2017年9月，小米安全主要是账号风控+业务风控，IOT设备端基本没有措施。虽然也提到了将SIM卡变为安全芯⽚，那也只是需要SIM的场合。到了2018年，小米IOT安全应该说还是有了巨大的进步。有了米家安全芯片，而且还面对如此多五花八门的攻击方式，给出了如何保障安全的思考。

解读二：小米解决IOT安全的思路有哪些变与不变？

安全产品上市流程将众测从测试发布阶段变更到产品运营阶段，这体现了小米产品的安全自信。如果再对比去年的材料，回看2017年小米解决IOT安全材料可以说没有实料（不信你可以看PPT，好像官网上传没有这篇PPT了，建议也不用看了），我列举总结一下其介绍的几个关键点：

1，小⽶米产品安全上市流程。

2，IoT风险建模：物联⽹网云计算平台 、设备远程通信协议、智能硬件设备。

3，风险评估、安全测试、需要的能力以及安全情报 & 应急响应、安全标准化等通识介绍。

4，介绍小⽶米帐号、业务风控。

5，IoT 安全体系：流程制度、技术能力、风险控制。

6，一个攻击场景的解决方案：将 SIM 卡变为安全芯⽚片。

2018年的材料介绍则呈现出比较系统、完整的IOT安全解决思路。全面介绍了小米IOT安全方案方法论，而且较深层次展现了小米在IOT安全的思考。

另外，小米今年开展了安全守护计划，每期50万现金，目前看第三期好像没有团队或个人发现漏洞，这样也间接说明其产品安全性有了显著提高，赞一个！

解读三：2018小米IOT安全实践有：

1，IOT产品生命周期管理：上市流程、供应链安全。

2，小米智能生活安全守护计划。

3，保证安全方法论：减少设备端攻击面。

4，米家认证芯片，预置米家认证证书， 一芯⼀密，提供根信任。

5，提出MIoT设备端安全架构。

6，一系列安全规范。

7，自动化最低安全基线测试、真机自动化调试。

8，人工拆解、固件破解、攻防模拟等手段构建防御链。

9，账号风控+IOT风控。

10，供应链信息安全，从模组到设备到供应商再到用户的全链条数据安全。

11，成立小米安全与隐私委员会，完成《小米 GDRP 合规检查评估报告》。

说实话，做到以上11点，非常不错了，起码小米自家IOT产品安全性是有保障的。

解读四：IOT安全思考

小⽶首席安全官陈洋提到，未来IPv6环境下，万物都将连接，也就是是万物都将暴露再IP网络中，因此安全攻击面将变得巨大，攻击链路变得十分复杂。另外一个是酒店、共享汽车等场景，他说：曾经我们认为设备安全做好之后，物理接触是个可接受的范围内。但有了2B场景，这条安全边界被打破了。比如说酒店里面用一个智能音箱去控制所有的设备，如果说入住的客人往里面写入一个后门固件，那这个房间的隐私就得不到保障。还有像共享汽车，如果说把后门写进去，有可能会造成车祸。所以说第一它要防拆，不一定保证设备的完好，但是拆了之后要知道。还有就是要有一定的自我感知的能力，如果设备被人动过手脚，不管成功没成功都需要有一定的感知能力，这样的话可以知情并进行检查。甚至说做成类似于以前PC时代的还原卡的方式，它具有一定的还原能力，发生故障、发生一些不可预期的情况的情况下，能够把一些程序进行还原。

感觉小米IOT安全还是做了很多工作！好了，更多详细内容，请查看PPT吧。

PPT下载链接：https://cnbj1.fds.api.xiaomi.com/src/xiaomi-IoT-security-conference/27%E6%97%A5IoT%E5%AE%89%E5%85%A8%E6%80%9D%E8%80%83%E4%B8%8E%E5%AE%9E%E8%B7%B5-%E9%99%88%E6%B4%8B.pdf

现场演讲文字版：https://sec.xiaomi.com/post/124