我问答网说实话，第一次听到邻居家智能门锁半夜自己开门的故事时，我后背一凉。不是鬼故事——是真事。那哥们儿凌晨三点被门锁电机转动的声音惊醒，监控里显示走廊空无一人，但锁舌就这么缩回去了。后来查出来，是前房客没解绑的APP授权被人撞库了。你说扯不扯？
物联网这玩意儿，现在谁家没几样？音箱、摄像头、插座、灯泡……但越是方便，我越觉得心里发毛。咱们今天不扯那些技术名词，就聊聊这些“聪明”设备背地里那点不安全的事儿，以及——咱们普通人到底防得住不。
智能门锁，真的那么“开门揖盗”？
我先扔个案例。去年DEF CON（全球顶尖黑客大会）上，一个团队现场演示了5秒破解某大牌智能锁。他们用的不是锤子，而是一台巴掌大的树莓派。锁具本身用了AES-128加密，听着挺唬人对吧？但漏洞出在锁跟网关通信的“唤醒包”上——攻击者只要抓取并重放一次唤醒请求，锁芯控制模块就会傻乎乎地以为是主人回家了。更绝的是，固件升级接口根本没做签名校验，直接往里灌后门固件都没问题。这就像你家防盗门钥匙孔里塞着一把能配万能钥匙的泥巴。
但我想吐槽的不是技术，是厂家的态度。出事之后，那品牌还在官网上挂着“金融级安全”的标语呢。你去搜他们的用户协议，里面藏着一句：“在法律法规允许范围内，本公司对因设备缺陷导致的财产损失不承担责任”。这不就是“我错我有理”？更魔幻的是，很多锁出厂时默认启用的是“通道模式”——就是门锁上提把手才反锁，可人上了床哪还记得这茬？等于门一拉就开。小区业主群有人抱怨过，结果客服回复：“建议您养成睡前检查的好习惯”。哈！我花钱买自动化，你让我手动复查？
根儿上的问题：不是技术，是“无所谓”文化
我当然不是说物联网天生不安全。恰恰相反，很多底层协议是靠谱的，比如Zigbee 3.0引入了动态链路密钥，Thread建立了网状加密层，哪怕蓝牙Mesh也在5.1版本加了安全配对。但架不住落地时层层打折——厂商赶着出货，测试用固件直接烧进量产机；开发者为了调试方便，临时开了个无需认证的API端口，结果忘了关；甚至有的硬件工程师故意在电路板上留JTAG接口，方便返修时刷机，却被黑客拿来做调试器攻击。一颗老鼠屎坏一锅汤。
我认识一个做智能灯泡的创业小哥，他跟我吐苦水：“每颗物料成本压到0.3美分，安全芯片？加一片就超预算，连OTA加密都只能跑在应用层，底层传输还是明文。”消费者呢？我们在电商平台上比价时，谁看安全认证？都是挑便宜的、样子好看的。厂家自然没动力去搞那个看不见摸不着的“安全”。这怪谁？好像谁也怪不着——但最后出事了，倒霉的还是咱们。
还有一个巨坑：生态绑架。你买了A牌空调伴侣，就必须下A牌APP；想用语音控制？得再买个A牌音箱当网关。这些APP权限大到离谱——读取位置、通讯录、相册，甚至后台获取运动数据。我装过一个净水器联网程序，居然请求“管理所有文件”权限。问客服，对方机械回复：“这是为了保证设备正常连接”。我去你大爷的！一个滤芯寿命提醒，凭什么扫描我手机里的PDF？更讽刺的是，APP注册页面永远找不到注销按钮，想删数据？您就还留着我两年前已被卖掉的房子里的水质曲线吧。
咱能干点啥？——几条有点“土”但管用的招
说完那些糟心的，总得给点实在的。我不是安全专家，但摸爬滚打这些年，总结了几个野路子，管不管用一试便知。
第一，物理隔离比啥都强。别把所有设备怼在一个网络里。花二百块钱买个便宜路由器，专门给物联网设备建个客用Wi-Fi，跟手机电脑用的主网隔开。就算摄像头被黑，至少不会顺着摸到你的NAS。有人嫌麻烦，可比起某天私密视频被传上网，这算啥？
第二，买来先“扒衣服”查户口。新设备到手，别急着连网。先进路由器后台看它默认开放的端口，记住，只留必需的。比如智能音箱需要HTTPS和MQTT，那就把UDP 5353（mDNS）关掉——很多利用广播协议的漏洞攻击就靠这个起步。另外，在设备IP后加冒号8080、2323碰碰运气，不少工程后门就藏在这些非标端口，直接浏览器访问能蹦个登录框出来。有的话，立马退货！
第三，勤刷固件？错！审着刷。厂商推送更新别手贱秒点。先去技术论坛蹲几天，看有没有人骂新版本耗电异常或权限变更。更损的套路是——我见过一个插座，升级后居然悄悄开放了蓝牙信标功能，说是为了“室内定位优化”，实际上把你的网关变成他们的数据采集点。恶心不？所以，更新说明里但凡出现“体验提升”、“功能优化”这种模棱两可的词，一律当放屁，等真·用户反馈再动手。
第四，账号层层加锁。对，就是那个你嫌烦的双因素认证。给物联网平台账户绑一个Authy或Google Authenticator，别用短信验证码——SIM卡克隆太容易了。密码更别跟其他网站重复，拿个本子记下来不丢人，总比被撞库强。我那邻居要是早知道这招，也不至于半夜惊魂。
啰嗦这么多，其实最想说的是：别把物联网安全完全扔给厂家。他们嘴上说着“用户至上”，心里拨的是利润算盘。咱自己多留个心眼，少赶时髦，多质疑——毕竟，智能生活被黑的那一刻，你失去的可能不只是数据，而是一个安心的家。就酱。