原创 赛博研究院

【编者按】2020年6月，大西洋理事会（Atlantic Council）发布《逆向级联：加强全球物联网供应链的安全性》（THE REVERSE CASCADE: Enforcing Security On The Global IoT Supply Chain）。报告认为，物联网的普及，可能将传统的网络安全风险转移至物联网设备之上，但是现有的物联网设备大多缺乏安全保护，从美国汽车工业和医疗器械行业的例子可知，美国监管机构可以采用逆向级联，通过对国内供应商的监管，进而在全球供应链推广其安全标准。报告以家庭Wi-Fi路由器为例，建议美国监管机构在物联网安全领域采用逆向级联的方式，通过完善法案、制定标准、创建产品标识、加强与盟国合作等方式，推广物联网安全保护标准的普及，保护消费者安全与国家安全。

1
概述

物联网（IoT）是指物理世界和数字世界日益融合的趋势，预计到2030年，设备之间或与互联网连接的设备将超过500亿台，包括发电设备等基础设施，可穿戴设备、智能家电等，不一而足。

物联网的普及，可能将传统的网络安全风险转移至物联网设备之上。由于物联网的快速发展，小到玩具、智能穿戴设备、家电，大到汽车、医疗设施、交通控制系统、发电厂等公共基础设施，开始接入物联网，传统的网络安全风险也随之渗入。犯罪分子可以利用DDoS技术，通过大量集中的互联网流量瘫痪物联网中的某些系统或设备。如智能水壶可能会爆炸，受损的智能玩具可能会窃听私人谈话，恒温器被黑客入侵后可能会造成财产损失，发电机可能会停止工作，汽车、交通信号和医疗设备可能导致个人生命安全。若物联网的快速普及中未有相应的网络安全措施的设置，数量众多的物联网设备的安全漏洞将为不法分子的提供可乘之机。

现有的物联网设备大多缺乏安全保护。物联网的整个生态系统本身拥有可靠的安全保护机制，但构成该生态系统的数以亿计的设备的安全性却良莠不齐。一方面，许多厂商为了应对竞争压力而选择在缺乏明确的安全开发标准之下，将不安全或配置不良的产品推向市场。一般而言物联网设备的设计和生产是分属两地进行的，对产品的全生命周期进行管理较难。另一方面，美国缺乏对海外制造商实施安全标准的有力工具，这也是为什么要制定更加系统、详尽的物联网安全标准的原因。

对美国技术分销商施加监管压力，以在其整个供应链中推动物联网安全标准。通过禁止不符合安全标准的物联网设备在美国的销售，反向影响外国制造商，推动安全标准的应用，这种“逆向”的方式可延伸、扩大美国监管机构在外国司法管辖区影响力。

2
国际执法的挑战

供应链全球化之下的安全挑战。制造业和技术产业越来越全球化，汽车、医疗设备乃至家用Wi-Fi路由器，其零部件也都来自于世界各地。产品供应链的全球化，客观上妨碍了一个国家安全标准的贯彻实施，也对一国国内的安全标准提出了挑战。为应对这些挑战，2019年3月美国出台了《物联网网络安全改进法案》（Internet of Things Cybersecurity Improvement Act，S.734 and H.R. 1668），解决联邦政府采购和使用物联网设备的安全问题。2019年初，欧洲标准组织ETSI发布了基于英国的消费者物联网安全实践守则的全球首个物联网消费设备区域行业标准。

2.1美国汽车工业的案例

美国国会1966 年通过了《国家交通和机动车安全法案》，旨在应对不断恶化的交通事故致死的情况。随后经法案批准建立了国家公路交通安全管理局（NHTSA），以保障乘客的人身安全和车辆安全，同时，法案赋予了NHTSA制定安全标准的权利。NHTSA将确保汽车符合安全标准的权利交由汽车制造商具体落实，汽车制造商只有在其所生产的汽车通过NHTSA的安全标准后，才能上市出售，若出现违规操作，制造商将面临6000美元以下的罚款。

NHTSA采取与汽车制造商合作、协商的做法，非但没有令法案的推行打折扣，反而借由此，各大汽车制造商纷纷实行提升安全标准、慎重选择海外业务合作伙伴等措施，将美国制定的安全标准经过国际供应链传导至海外汽车工业，并且自1975年以来，每1亿英里交通事故的致死率一直呈下降趋势。

2.2美国医疗器械行业的案例

鉴于美国超过三分之一的医疗设备来自海外，为应对供应链全球化的挑战，美国食品和药品管理局（FDA）制定了《联邦食品药品化妆品法》（FD&C），任何“在国外生产并打算在美国销售的药品、医疗设备、化妆品和食品”都要接受标准符合性检查。

与NHTSA在汽车工业中采取的安全标准自我认证相比，FDA则多亲力亲为。该机构经常检查每一种产品的制造过程，奖励符合标准规定的产品，但如果发现违规现象，FDA会采取警告信、禁令、刑事起诉、重罚等措施，以确保不安全和非法产品流入市场。FDA的方法表明，在一个与生命相关的复杂的国际供应链中，也可以设计、采用和执行有效的安全标准，且不会损害整个行业。在实际执行过程中，FDA还提供了详尽的技术评估模型，该模型可以标准化并转交给第三方审核机构。

2.3美国联邦贸易委员会在保护物联网安全性方面的作为

美国联邦贸易委员会（FTC）是消费者物联网设备的监管机构，自1990年以来，该委员会一直参与监管电子商务和隐私。随着物联网的普及，联邦贸易委员会也开始将物联网作为保护消费者的一个领域。作为物联网领域的首批监管机构之一，2013年11月联邦贸易委员会发布了物联网的最佳实践建议。由于D-Link公司未能对其产品“众所周知且易于修复的安全缺陷”进行测试即流入美国市场，联邦贸易委员会2017年向其发出正式申诉，2019年迫使其位于美国的子公司从母公司（D-Link Corporation）彻底分离出来，联邦贸易委员会随即对其原子公司D-Link Systems进行了处罚。2019年美国LightYear Dealer Technologies由于泄露了高达1250万条未加密的个人信息而被联邦贸易委员会追责，此次处罚表明联邦贸易委员会可以利用现有的标准（《Gramm-Leach-Bliley Act》）来支持其针对公司的监管行动。但在D-Link公司案件中，凸显出美国国内机构在监管外国供应商方面的局限性。

3
逆向级联

本报告提出了一个政策工具，基于信息和通信技术（ICT）产品国际供应链，利用国内分销商作为节点，对国外制造商逆向推广标准。联邦贸易委员会和其他美国国内的监管机构应该认识到并利用这个事实：虽然供应链是全球性的，但产品终点多在美国国内。只要对经销商施加监管压力，要求经销商销售符合一套特定设计和制造标准的产品，该标准将会通过供应链传导至上游海外软硬件制造商。

3.1家庭Wi-Fi路由器和物联网安全

家用路由器大多是廉价的消费电子产品，主要由大量外国制造商制造。路由器可以理解为家庭本地网络和互联网的入口，负责确保数据正确地传输，管理各种网络维护和安全功能，并运行虚拟专用网（vpn）。作为网络交换机，路由器还帮助同一网络内的计算机相互通信，充当计算机和其他物联网设备的通信中心。

路由器作为互联网网关和网络的枢纽，由于没有独立的蜂窝连接，家中所有连接的设备都与路由器通信，发送传感器和用户数据，并接收制造商的软件更新。因此，路由器经常成为黑客攻击的首选。2018年5月，美国联邦调查局（FBI）发现“数十万路由器”被俄罗斯黑客入侵，以“收集用户信息或关闭网络流量”。不到一年之后的另一项调查发现，多达13万台华硕路由器存在软件安全漏洞，可能导致大规模信息泄露。安全性差的路由器会使其网络上的每一个连接设备都容易受到攻击，路由器制造商有责任实现基本的安全设计和制造标准，并减少已知的漏洞。

3.2家庭Wi-Fi路由器的供应链

与许多高科技行业类似，家用路由器行业的供应链庞大而复杂，在一个典型的Wi-Fi路由器供应链中，在到达消费者之前，有四个关键阶段关系到安全：组件供应商、原创设计制造商（ODMs）、路由器制造商和经销商。从初始组件到成品的流程通常被称为“下游”，而相反的方向称为“上游”。

3.3Wi-Fi路由器供应链中的逆向级联

FTC等监管机构为制造商和供应商确定了适当的物联网安全标准，该标准相关产品经销商提供产品的基准。如果经销商在销售物联网设备时发现其设计或制造不符合这一标准，FTC将对其采取多种强制行动。FTC的惩罚激励经销商根据物联网安全标准评估其潜在（海外）供应商，并要求他们遵循这一标准，进而在供应链上逆向推广物联网安全标准的相关设计和制造原则。

目前，已有部分经销商要求其供应商遵守相关的安全和质量标准。在美国，家庭互联网服务提供商约有12家，而排名前三的提供商拥有超过一半的宽带市场，FTC在美国所有主要的路由器分销商中同时执行这一标准并不难，理想情况下，美国可与欧盟监管机构协同推广物联网安全标准。

4
建议

随着物联网设备越来越多地渗透到家庭和生活中，物联网安全逐渐成为一个紧迫的国家安全问题。家用Wi-Fi路由器是应对物联网安全挑战的一个例子，有助于说明逆向级联的作用。实现这种方法需要几个步骤：

● 完善法案：参议院商务委员会应该对《联邦贸易委员会法》第5（a）条做一个小而重要的修改，在现行法律关于“不公平或欺骗性的行为或做法”的条款中增加“不安全的行为或做法”。

● 制定标准：物联网逆向级联的关键是制定一套国际标准，或者至少是被广泛认可的，用于物联网设备的安全设计和制造的标准，这些标准需要包括各种不同的产品类型和制造阶段。为了避免过度分割，这个公认的标准应该具备一定的兼容性。

● 为标准创建产品标识：NCCLA，或者NIST类似的机构，可为制定的国际标准创建一个简单的标识方案，帮助消费者抵制不安全的替代品。不需要复杂的评估和审核，使用单一标准可对新产品进行标准化的技术评估，从而根据该方案分配合适的标识。

● 调整标准并与盟国合作：为了防止制造商或分销商因司法管辖而规避，美国和欧盟的主要盟国应优先制定适当的国际安全标准并协调执法行动。

5
结论

近年来，专家一直在呼吁制定一套物联网安全标准，让制造商为软硬件的安全负责。随着物联网采用的步伐不断加快，许多物联网设备的潜在安全风险也持续存在。鉴于物联网设备的制造商和供应链的关键部分都位于美国以外，对在外国司法管辖区实施监管构成了挑战。本文提出的逆向级联是解决海外执法问题的一种手段，鼓励监管机构对下游分销商施加影响，确保上游外国物联网制造商遵守标准，增加消费者对智能设备安全性的认识，提高物联网设备的安全性。这不仅仅是为了保护成千上万的家用路由器不受黑客攻击，同时又不保护消费者产品安全和国家安全。

编译 | 王新刚/赛博研究院研究员