陈根:从互联网到物联网,隐私泄露从未缺席( 二 )


对于终端的信息保护来说 , 终端和云端都需要在足够强的认证和加密的基础上建立安全通道 , 对终端自身信息的保护需要结合安全存储、可信执行、硬件调试策略等机制来实现 。 如果有软件需要升级 , 还需要在终端和云端之间建立一个安全的文件传输通道负责升级包的发送与接收 , 终端也需要安全地处理升级包 , 以防止恶意升级等 。
如上所述 , 由于SDK的隐蔽性 , SDK往往也成为数据安全和用户隐私保护上的重难点 。 而需要指出的是 , SDK包含芯片厂商、代工生产厂商、安全厂商等提供的所有SDK 。 信息分7个 , 其中前两个是硬件信息 。 考虑到终端的组装、维修等流程 , 这些硬件信息必须完整保留 。 中间三个则可以通过应用可信系统、安全探针、SDK等得到部分或者完整的支持 。 对于指纹等关键信息的保护 , 目前只能依托安全芯片、可信系统和安全SDK来保证 。
显然 , 在终端的信息里具有重要作用的SDK作为软件开发包 , 可以直接参与到产品研发阶段 , 这将能从根本上解决一定的安全问题 。
比如 , 在产品的设计研发阶段 , 有芯片厂商、OEM厂商的参与并提供SDK 。 所以 , 基于芯片的安全能力和OEM厂商提供的中间件 , 完全可以从底层开始对物联网终端做安全防护 。
芯片上可以设置保护区域和可信区域 , 固件上可以做好代码检查以及关键资产保护 , 应用层还可以做流量的认证和加密、安全升级 , 甚至基于SDK实现一个简单的探针 。 SDK的应用不限于设备类型 , 从简单的插座到复杂的摄像头均可以基于SDK做安全方案 。
除了终端侧需要保护的信息以及保护方式和形式 , 确保终端运行时是否存在异常作为物联网的终端保护一环也具有重要意义 , 这一环节主要包括信息采集、策略接受与处理等 。
毫无疑问 , 用科技解决科技是对抗物联网风险的最有效办法 , 但这同时离不开社会层面和个人层面的行动 。
2018年 , 欧盟出台了大数据时代专门保护个人信息的隐私法案《一般数据保护条例》(GDPR) , 从法理上确定了用户对自己的数据拥有自主控制权 。 GDPR规定 , 互联网公司不可以再把数据使用说明藏在辞典一样厚的用户协议里 , 收集数据时不可以和用户协议捆绑在一起 。 每一次取得用户数据 , 都必须明确告知用户 , 并且用户已同意的、之后也可以随时取消或删除 。
2019年5月28日 , 国家网信办发布了《数据安全管理办法》征求意见稿 , 第一次尝试对个人数据采集、应用进行全方位的规定 。 按照这一《办法》 , 中国人也将逐步获得个人信息的自主权 。 “网络运营者收到有关个人信息查询、更正、删除以及用户注销账号请求时 , 应当在合理时间和代价范围内予以查询、更正、删除或注销账号 。 ”
此外 , 不得不承认 , 虽然隐私问题频出 , 人们也不断被隐私泄露的问题困扰 , 但大部分人却依旧没有树立很好的隐私观念 。 互联网带来的必然趋势使得人们越来越不在乎公共和私人领域的区别 , 当我们自己不关心自己的私隐的时候 , 我们也不会关心别人的私隐 。
换言之 , 如果我们都能对大数据与个人信息隐私安全有一定的了解 , 在面对各种电话、邮件或者其他任何方式的套路时 , 我们至少能有基本的防范意识 。
【陈根:从互联网到物联网,隐私泄露从未缺席】对个人信息的保护是一个常态化的过程 , 是线上线下结合起来的漫长过程 , 从生产源头开始堵截也好 , 对于使用者更多的规劝也好 。 文明总是螺旋式发展的 , 一个时代在进步的同时必然伴随着各种危机与阵痛 。 在物联网时代到来前 , 关于隐私的战争也才刚刚开始 。