本文是基于Android和iOS系统软件的七款智能穿戴设备的安全系数分析报告。
1概述
近年来，随着移动设备的快速发展，移动设备制造商如iPhone、微软、小米等。都在竞相发布一款名为智能手环的智能可穿戴设备。
更重要的是，这种智能穿戴设备具有极佳的便携性和适用性。一经发布，显然受到了众多客户的青睐，购买需求也在不断发展。安全科研人员除了确认顾客在限定时间内热门抢购外，还对这类设备的安全系数表示担忧。
2015年，安全人员对这款智能手环进行了安全测试。最近我们对七款智能手环进行了新的安全测试。
在本次测试中，我们选取了7款基于Android和iOS服务平台的不同智能手环。它们价格不同，功能也不同，包括华为发布的miband、苹果在美国发布的AppleWatch智能手环等智能穿戴设备。此外，大家还进一步完善了测试程序流程和测试方法，以展示更详细的测试数据信息和更具感染力的评测结果，尤其是在即时通讯等方面，测试数据信息显得非常重要。
在本文的第一部分，你可以详细地简要介绍一下这个测试的中心思想，表达一下执行这个测试的主观因素，总结一下之前类似的测试工作。
在本文的第二部分，我们将讨论这个测试的一些定义、整个过程设置和实现过程。
下一部分，即第31部分，是测试结果的指示和表达。
第四部分可以简单讨论一下应用这类设备时应该注意的常见问题，包括服务器维护、隐私信息维护等。即使在应用了相对安全的自然环境下，用户也要立即注意自己设备的安全性，避免设备中的隐私信息泄露。最后你可能会对这次测试进行总结，明确未来测试的大方向，以及智能手环等其他穿戴设备的实际测试方法。
图1.12014-2015年全球各地区诊疗和智能手环市场销量
1.1测试和前期准备的主观因素
从图1.1可以看出，近年来，健身智能手环的销量呈现出逐渐增长的趋势。这也说明智能可穿戴设备在每个人的日常生活中扮演着越来越关键的角色。
正如我们在之前的测试中提到的，国外的一些用户已经享受到了这种设备的便利。从设备上可以掌握他们的心跳、心率等生理主要参数，以及他们每天的行走距离等生活指标，为他们的身心健康提供参考。此外，一些车险公司还展示一些针对自身用户身心健康奖励的商业保险，鼓励用户立即向车险公司报告自己的生理指标值。车险公司会根据用户的身心健康状况(两年内无重大疾病等)给予奖励。).
按照这种方法，车险公司可以吸引大量用户，并且可以即时掌握用户的健康状况。在法国，汽车保险公司会完全免费向用户展示这种设备。虽然他们声明这么做的目的不是为了更好的收集用户的人体数据的指标值，但实际上，这只是一种说法。为了更好地实现这一目标，这种智能手环必须满足很高的检测标准。此外，根据法务部发布的新要求，智能手环应增加防伪和用户身份认证控制模块，多方面保护数据和信息。很多网站都会争相报道一个客观事实，那就是在很多情况下，人民法院会将这类智能设备采集的数据作为法庭上的直接证据。不过根据大家的测试，用户需要谨慎对待此事。因为自身的私密数据信息，很有可能被泄露。由于将这一关键技术引入法律和监管行业还有很长的路要走，因此不太可能在一夜之间实现。
这项测试的核心理念和实施过程是基于2015年进行的测试。此次设定的测试规范偏重于定量分析规范，尽可能不涉及用户自己的隐私数据信息。
2.测试中包含的定义
在这部分内容中，我们将讨论这种测试的自然环境，包括基本设置和实现过程等。此外，我们将获得主要参数，如型号，规格，特点等。通过目录的方式列出参与本试验的设备。设备上安装的应用软件也会以目录的形式获取，尤其是在查看专用手机软件版本的时候。
2.1测试设置
本测试的设置与之前的不同。这项测试旨在表明一些潜在的实际 *** 作可以帮助智能手表设备与集群服务器传输数据。
在整个设定过程中，每个人都必须在智能机和互联网技术之间加入一台PC作为媒介。图2.1显示了设置。
当来自设备的请求传输到PC时，每个人都可以人工监控和控制数据流。黑客都是基于特定应用工具mitmproxy在互联网上展开中间人攻击的。
Mitmproxy非常适合监控数据流量，因为它具有出色的可配置性和方便的 *** 作。Mitmproxy是一款基于Linux系统软件的网络软件。利用它，黑客可以根据中间人攻击破译一些数据加密的HTTP要求。另外，可以加载文本传输的内容，控制相对的HTTP要求，跳转。我们用它来检验网络攻击或用户理论上能否改变应用软件的数据传输系统，以及他们的网络服务器能否响应类似的实际 *** 作。在完全透明的测试模式下，我们将应用mitmproxy作为自定义网关ip，如图2.2所示:
图2.1设置显示
图2.2设置mitmproxy
2.2进行测试
整个测试过程分为三步，测试后可能会得出一个结果。以下是测试的三个过程:
1.分析原始应用软件；
2.监控和分析智能手环和智能机之间的蓝牙通信。(使用原应用软件或测试中设置的应用软件)；
3.分析原始应用软件之间的在线通信。
第一步，分析app是否存在潜在的系统漏洞。在这里的整个流程中，大家会检查app的所有安全管理系统，包括app中选择的代码混淆技术，以及app中存储的用户秘密数据的安全系数。
第二步，对智能手表和手机之间的蓝牙通信进行监管和分析。在这里的整个过程中，大家会实时监控智能手表与应用软件之间数据传输的全过程，并尝试用另一台智能机模拟整个过程，以此来验证设备的身份认证功能是否合理，验证网络攻击能否获取浏览数据信息的概率。
在本次测试中，我们新增了“错误计步软件”测试控制模块。在外场模式下，搭载Android版电脑 *** 作系统的智能机的应用，通过升级一个设置就可以完成蓝牙功能。在外场模式下，我们可以模拟完成一个假的计步软件，检查它是否能与原应用软件连接，完成它们之间的通信。所以首先要按照推送HTTP需求的方法，检查用户认证控制模块、数据信息云备份控制模块及其fixture升级控制模块的连接网络是否正常，看是否能获取相对信息。此外，为了更好地进行这项测试，我们还需要对这个安全连接控制模块中经常包含的文本内容进行评估，了解它是否可以加载或进行其他实际 *** 作。
测试AppleWatch时，有些流程会有所不同。测试结果和大量实现条件将在3.4节详细解释。
2.3商品的主要参数
在下面的表2.1和2.2中，我们列出了测试设备的相关技术参数，以及测试中应用的app和app版本。
是的，我们选取了八款智能穿戴设备进行测试，其中一款基于iOS系统软件，另外七款全部基于Android系统软件。
之所以经常选择这八款设备，是因为它们是当今智能穿戴设备销售市场的新宠，受到客户的一致青睐，覆盖率高，可以让测试结果具有非常好的号召力。
测试中使用的应用程序是从谷歌官网应用商店或苹果应用商店免费下载的。因为这个测试持续的时间比较长，所以并不是所有的测试版本都能传染，只有新版本的app才能说明问题。版本的测试分析结果如表2.2所示:
表2.1设备的技术参数表明
表2.2测试应用程序的版本显示
3测试结果
表3.1列出了三级测试的结果，包括步进控制模块、应用软件和在线通信。
详情如下:
表3.1测试结果
3.1步距控制模块
步进控制模块中包含的测试内容。它可以帮助评估用户设备的安全级别。
这类内容包括:第三方计步软件的信息，维护未经授权的第三方浏览的服务器防火墙，防止用户或第三方软件肆无忌惮的伪造设备信息内容。
可控蓝牙数据信号
默认情况下，智能手环可以在一定范围内连接其他蓝牙-LE设备。因为这种蓝牙会“主动”刷自己的“优越感”，向其他蓝牙设备“展示”自己的物理地址。
从安全系数来看，这种“行为”会对设备构成两种潜在威胁。第一，默认开启的蓝牙会威胁到用户的个人数据。每个人只要找到这个蓝牙详细地址，就可以窃取数据信息；此外，这种设备也非常容易成为网络黑客追踪的整体目标，尤其是当用户长期使用固定的MAC地址作为连接详情地址时，更容易受到网络黑客的追踪；第二，那种设备非常容易受到网络黑客的攻击。因为网络黑客可以根据你的蓝牙情况非常容易的锁定你的部分。自然，根据其他维护系统的实现，断开不安全连接也可以起到维护设备安全的作用。不过最保险的办法还是马上打开设备里的蓝牙，然后在需要数据传输的时候再打开，数据传输完毕后马上关闭。这是最商业的保险做法。
在整个测试过程中，当测试自然环境中对用户的蓝牙连接没有要求时，每个人都选择某种方式来检查蓝牙在该设备中的可见性。
测试结果表明，只有四个测试设备，有能见度控制系统。它们是微软、Pebble及其移动行动公司生产的智能手环。在这三家公司的产品中，只有微软和Pebble公司的智能手环拥有如此稳定的 *** 作系统。MobileActionenterprise制造的Q-Band智能手环就包含了这种可视性系统，可以按键激活。
但在测试中，我们发现在Q波段智能手表未激活的情况下，仍然可以从其检索到蓝牙数据信号。此外，我们可以使用一些黑客技术，在不刺激能见度系统的情况下，检索Q波段的蓝牙数据信号。除了以上三款安卓设备，其他设备都没有这种可视性 *** 控系统。所以其他智能手环在没有蓝牙连接需求的情况下也会开启蓝牙，使得设备容易被追踪。一些设备可以在未经授权的情况下与这些设备一起传输数据，这构成了严重的威胁。
可控数据连接
根据测试，我们发现:四种商品都有一种自我防御机制:它们可以拒绝未经授权的数据连接要求。
英特尔制造的BasisPeak智能手环和微软中国制造的微软Band2智能手环都采用一对一的独立连接策略。用户在创建连接时，首先确定彼此的安全系数，然后建立唯一的连接。此外，系统软件会默认将此连接设置为合理，并进行维护。其他连接要求被视为非法并被拒绝。
。就PebbleTime智能手环而言，它可以允许几个设备与另外两个设备连接，但用户必须对每个未知设备进行确认。存在一定的安全隐患。
其次，华为的MiBand智能手环选择了一种简单合理的方法来解决这个问题，即当有连接数据信号时，先拒绝所有数据信号，用户做出选择后再连接。(其实是一种屏蔽的方法)
加上适度的认证控制模块。
Miband包含一个简单易用的身份认证系统。在这个设备中，存储了用户的相关数据信息，包括:用户序列号、用户名、用户的子女、体重等数据信息。该数据信息根据静态数据和未加密数据类型存储。只有当所有信息内容完全一致时，设备才允许用户登录。
此外，我们还使用了重发验证信息的方法，尝试登录了移动行动、Runtastic、Striiv企业的智能手环，但都失败了。这三种设备都不兼容这种身份验证方法。
因为广播文章数量有限，所以对情况的详细介绍在一定程度上有所省略。详情请阅读英文版文章全文。
本文由360安全广播中文翻译，请注明“转自360安全广播”，并另附链接。
全文连接:https://www.av-test.org/fileadmin/pdf/avtest_2016-07_健身_追踪者_English.pdf。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）