消费级物联网（IoT）设备并不以严密的安全措施著称。为避免购买者吃亏上当，研究人员对具有代表性的设备进行了安全评估，评分从28分（F级）到100分不等。
他们的网站yourthings.info显示了45款设备的排名，而研究人员共评估了74款设备。这远非对数以万计可用设备的完整汇总，但该项目的核心理念是帮助消费者在将新的物联网助手接入家庭网络之前，了解重要问题。
“很多购买这些设备的人并未充分了解风险，即将其安装在家中可能带来的风险，”佐治亚理工学院的研究生研究助理奥马尔·阿拉维（Omar Alrawi）说。“我们希望通过对所测试设备进行安全评级，提供有价值的见解。”
联网设备中的漏洞
语音激活个人数字助理是最常见的家庭物联网设备之一，但如果安装不当，它们可能会为连接的家庭网络提供未经授权的访问途径，佐治亚理工学院电气与计算机工程学院的网络安全研究员兼副教授马诺斯·安托纳卡基斯（Manos Antonakakis）警告道。
“如果您使用的物联网应用存在漏洞，任何能够访问该应用的人不仅能获取您的个人信息，还可能潜入您的家中窃听您的对话，”他说。“家中与个人助理处于同一范围内的任何联网设备也可能与其交互。如果设备上运行着存在漏洞的软件，就可能在家庭网络内被利用。”
一个问题在于，大多数家庭网络最初是为共享打印机等简单任务而设置的，因此缺乏企业系统中常见的那类安全控制措施，电气与计算机工程学院的研究工程师查兹·莱弗（Chaz Lever）指出。
“家庭网络正日益像企业网络一样，需要保护一系列服务，”莱弗说。“但普通消费者并不具备这样的能力。他们没有IT人员进行审计并保护设备安全。如果这些设备开箱即不安全，而且没有便捷的加固方法，它们就可能使家庭面临新的攻击途径。”
风险评估
为向消费者提供有益的建议，研究人员开发了一个用于分析设备安全组件的框架。这被认为是首次客观评估物联网设备风险的尝试，他们检查了设备本身、设备与云服务器的通信方式、设备上运行的应用程序以及基于云的端点。
“设备上运行的服务越多，其中某些服务存在漏洞并遭受攻击的可能性就越高，”安托纳卡基斯说。“从营销角度看，提供众多服务可能颇具吸引力，但如果您拥有多项服务，风险就会增加。”
在对物联网设备的研究中，研究人员发现不同制造商的设备安全性差异很大。在某些情况下，小型及知名度较低的公司生产的设备表现优于大型公司的产品。
“有些设备在安全方面表现非常出色，其他制造商应当向这些典范学习，”阿拉维说。“我们看到了好与坏的全部范围，有时我们对评估结果也感到惊讶。”
由于制造商设计这些产品时考虑到消费者需要自行安装，因此物联网设备必须易于使用。但易用性有时可能与安全性相悖。例如，一项名为UPnP的服务会在安装过程中使设备向网络声明自身存在，以便建立通信。
莱弗指出，设备在网络上主动宣告自身存在，可能会吸引攻击者。“设备告知其功能无疑是有帮助的，但这也会带来漏洞。协议的选择不仅影响设备本身，还关系到其运行所在网络的安全。”
为冰箱打补丁
联网灯泡的使用寿命通常不会太长，但对于联网冰箱这类价格昂贵的家电而言，情况并非如此。安托纳卡基斯担心，如果这些设备得不到定期更新，可能会成为安全隐患。
“理想情况下，消费者不应需要了解其冰箱需要下载并安装更新，”他说。“我们希望这一过程能够自动且安全地完成。为什么有人必须知道如何为自家冰箱打补丁呢？”
虽然入侵慢炖锅听起来可能有些好笑，但这类设备配有加热元件，如果恶意攻击者将温度调高，可能引发火灾。攻击的影响也不仅限于房主。2016年，Mirai僵尸网络利用了未受保护的联网摄像头（其中许多是婴儿监视器）发起大规模分布式拒绝服务攻击，致使互联网大面积瘫痪。
除了教育消费者之外，研究人员还希望通过长期跟踪安全趋势，推动设备制造商提升安全水平。
“我们希望推动技术和政策层面的后续举措，”安托纳卡基斯说。“有必要制定政策和标准。我们希望提升所有这些设备的安全水平。还有许多工作可以做。”
来自北卡罗来纳大学教堂山分校的法布里安·蒙罗斯（Fabrian Monrose）也是该研究团队的成员。
