美國首部物聯網安全法於加利福尼亞州簽署——其影響解讀

2018年9月末，加利福尼亞州州長簽署了美國首部物聯網（IoT）安全法，要求設備具備合理的安全功能。這是首部針對物聯網設備的網絡安全法案，令加利福尼亞州成為美國首個訂立相關正式法例的州。這一動向該法案的出台十分及時：今年早些時候，美國聯邦調查局（FBI）曾發出警告，指威脅行為者正主動搜尋並入侵存在漏洞的物聯網設備，以此作為路由節點發動網絡攻擊。

這項法案SB 327（《資訊私隱：聯網裝置》，即SB 327）規定，所有物聯網或智能設備的製造商必須確保設備具備「合理的」安全功能，以「保護設備及其儲存的所有資訊免遭未經授權的存取、破壞、使用、修改或外洩」。

政府介入物聯網（IoT）安全監管並不令人意外，畢竟私隱與安全的相關風險極高。不過，任何讀過該法案的人都會發現其表述較為寬泛模糊。法案中有一條款明確規定，每台設備的預設密碼必須具備唯一性。這顯然是針對Mirai殭屍網絡事件提出的要求，但法案並未要求落實其他安全保障措施，例如基於數碼身份的強身份認證機制。

由於政府不適合指定可能很快過時的具體技術方案，該法案為企業創造了機會，使其可以定義下一代安全與認證工具並快速推出市場。例如，關閉並停用telnettelnet、FTP這類自帶認證機制的開放連接埠。

所有物聯網設備製造商和消費者都應當閱讀SB 327並了解相關要求。在該法案於2020年1月1日正式生效前，物聯網廠商可考慮以下防控措施：

• 將安全工作交由專業團隊負責，與經過驗證的可信賴安全合作夥伴協作
• 停止使用使用者名稱、密碼這類靜態憑證，以及弱對稱令牌進行身份認證
• 採用基於數碼身份的強認證機制，這類身份具備可更新特性（非靜態）、難以被竊取，能夠提升供應鏈以及包含廠商、客戶在內的整個生態系統的信任水平

距離該法案生效還有一年多時間，我們的團隊將持續創新，為物聯網廠商搭建相關框架，協助其進一步提升向客戶交付的安全水平。我們也將持續關注其他州對加利福尼亞州這項新法案的反應，以及是否會有其他州草擬類似法例。

如果您對該法案可能對貴企業造成的影響存在疑問，請聯絡[email protected].