这几年，我们身边的智能产品越来越多，手机、门锁、音箱、电视、路由器、空调、洗衣机、电饭煲……但愿连避孕套都智能.随着智能产品越来越多，安全问题也随之而来。下面请听提问：如果你看到“某款智能设备在某次比赛中被黑客破解”的新闻，而你正好在使用这款产品，如果经济允许，出于安全考虑，你会换掉它考虑因素。算了吧？这个问题真的发生在我身上。前几天去上海看了《GeekPwn2018精彩破解大赛》。有一位女黑客选手挑战的项目是“破解四大主流智能门锁”。其中三个成功了，一个失败了。不过这不是重点，重点是：我在观众席看比赛，发现了一把破解成功的智能门锁，跟我家的那个很像……（智能门锁的四个破解项目在场景）我灵机一动：“要不……回北京把家里的锁换了？”身后的两名观众也低声议论起来。左边的人说：“你看，这些智能门锁都被破解了，以后谁还敢用这些牌子的？谁用哪个SB！”我的心漏了一拍。右边的人说：“依我看，智能门锁一点都不靠谱，机械锁安全！”感觉有些不对劲，但我说不出来。看完比赛，我琢磨了半天，想通了。某产品被黑客公开破解，表明其安全性较差。发现的产品漏洞越多，它的安全性就越低。这是大多数普通人的第一反应，非常直观。但是，这是错误的。如果一个产品被发现的漏洞越多，就意味着它的安全性越差。按照这个逻辑，苹果的iOS系统、微软的Windows系统、谷歌的安卓系统都被公开破解过，而且这些公司会定期发布补丁，修复很多安全漏洞，那他们的产品安全性不是很差吗？然而，事实恰恰相反，他们是世界上最好的产品安全公司。因此，暴露的漏洞数量和漏洞数量并不能说明一个产品的安全级别高低。可能有读者会问：“在这种情况下，有什么指标可以衡量一个产品的安全等级呢？”嗯，这位读者问的很好！衡量一个产品安全程度的指标应该是“破解难度”。道理很简单，如果一个产品很难破解，那么它的安全性一定非常好。要知道破解一个产品的难易程度，有两种简单的方法：一种是看漏洞的公开收购价格，市场是唯一的衡量标准。比如国外有个“漏洞军火商”叫Zerodium。它的日常工作是公开购买常见的系统和软件漏洞，然后转卖给安全公司、政府和其他不可描述的组织。Zerodium的漏洞价格表基本上可以用来衡量一个产品破解的难易程度，也就是安全等级。这里有一份手机软件的“悬赏报价”。最左边一排是价格，从1.5万到150万美元不等。发现iPhone漏洞占据前两行，价格分别为150万美元和100万美元（见图片右上角），可见iPhone的破解难度（安全性）更高比其他软件和系统。我在这张价目表第三排左侧找到了微信。位于第三排，位置很高。由此可见，微信破解难度也很大，安全性也不错。第二种方法是看各大黑客大会/破解大赛：只要是出现在***黑客大会上的任何产品，即使是当场公开破解，安全性也一定不低。因为只有当一个产品的安全性足够高，并且破解起来非常困难的时候，黑客才会公开展示自己的破解来证明自己的实力。反之，如果一个产品安全性很差，破解难度很大，比赛方是不会让它上台的，因为不值得，黑客也根本不会表现出来，因为会丢人现眼他们的同龄人——“只有你，你还好意思分享吗？”国外有个“MobilePwn2Own”破解大赛，专门破解苹果、三星、谷歌的智能手机。从去年开始，华为也加入了“破解豪华午餐”，与苹果、三星一起被玩家破解。但我不认为华为手机被破解了就没有安全保障。相反，这恰恰说明华为手机的安全性可以达到与苹果、谷歌同等水平。回到极棒破解大赛，每年参赛选手都会现场破解不少智能设备。集邦“大牛蛙”创始人王奇表示，“安全研究人员是厂商的‘好朋友’，他们希望帮助厂商修复漏洞，提高安全标准。”然而，一些供应商似乎并不买账。每年都有厂商带着敌意来质问王奇。他们觉得黑客公然破解了他们的产品，“打了他们的脸”。为了不在公众场合“出洋相”，有些厂家居然派人到集邦现场观看。一旦出现自家产品，他们会第一时间联系技术人员，不顾正常用户，暂时关闭自家服务器，让玩家当场展示自己的失败。这是为了防止“被当众打脸”。然而，破解真的是打脸吗？厂商无非就是担心用户知道自己的产品被破解，质疑产品的安全性。但是今天我要告诉大家，被玩家破解并不一定是一件丢人的事情。相反，能够在一些网络安全活动中被强者公开破解，恰恰说明这些产品的安全性不错，破解的难度也不小，值得列为比赛项目。厂商对“破解”讳莫如深，但无可厚非，毕竟大众对网络安全的认识和了解需要一个过程。然而，以牺牲用户为代价来维护所谓的面子，既尴尬又可耻。在上海参加完集邦回到北京后，我并没有更换家里疑似被破解的智能门锁，因为我知道，正是因为不容易被破解，才成为了比赛项目。而且，我确信它已经过一组专业安全研究人员的“测试”。我也悄悄记下了没有成功破解的智能门锁的品牌名称。据现场裁判介绍，破解失败是因为厂商暂时关闭了服务器。我把这家厂家加入了我的购物黑名单，打算以后不再碰他家的产品。
