猛科技讯 由中国移动通信联合会指导、中国WiFi产业联盟主办、杭州高新区（滨江）管委会、政府协办，猛科技WiFi圈承办、浙江省物联网产业协会、金绣国际孵化器、0到1空间、BigWiFi、快呗小程序、杭州滨江·物联网小镇、中国WiFi产业基地支持，四海众联、触云科技、上海寰创、推啊战略合作的第五届中国WiFi产业峰会（2018白马湖峰会）于本月18日在杭州白马湖建国饭店成功举办。此次峰会以“新链接、新模式、新生态”为主题，聚焦新零售和大数据等领域。

在峰会上，围绕WiFi安全组织了圆桌论坛。本次圆桌论坛的主持人是触云科技CEO刘勇先生，参与本次圆桌论坛的嘉宾有：中国信息通信研究院网络安全研究部高级工程师许子先、ARM嵌入式市场经理杨瑞、知道未来实验室总监胡铭德、国防科技大学网络空间安全学院研究员唐勇、阿里云IOT高级安全架构师姜金龙。

参会嘉宾介绍了所在单位对WiFi安全的认识，以及未来在WiFi安全领域的作用与价值，或者是安全需求。通过圆桌发言，呈现当下安全领域片段、没有协作的现状，点出委员会在打通安全信息沟通渠道，促进安全标准、技术方案落地WiFi硬件设备上能够发挥巨大作用。

以下是圆桌论坛发言：

主持人（刘勇）：下午好，确实雄歌的魅力很大，这个时间点还有这么多人参加圆桌论坛。

刚刚卜主任讲的很好，WiFi安全是整个行业要解决的问题。因为现在发掘WiFi的流量越来越赚钱了，大家都越来越关注了。另外一个问题，安全的问题，我们应该要关注。首先作为主持人，先让各个嘉宾介绍一下自己。

许子先：大家好，我是中国信息通信研究院安全所的许子先。

杨瑞：大家好，我是ARM嵌入式市场经理，主要负责CPU处理器的东西。

胡铭德：我是北京知道未来胡铭德。

唐勇：我是北京国防大学的唐勇，主要做网络空间安全。

姜金龙：我是阿里云物联网事业部姜金龙，主要做物联网安全。

主持人：今天嘉宾都比较全，有研究院的，ARM芯片的，网络空间安全的，再到国防科大网络安全学院派，再到阿里作为互联网的典型代表。在网络安全方面，我们应该是从上到下的体系去主导整个问题。

许总，现在关于中国的漏洞正在大规模增加，漏洞的平台越来越多，每年漏洞都是几万，一万多的漏洞。能不能说一下中国网络安全漏洞库，基于这个接下来会做一些什么工作？

许子先：我们研究院这边之前也是对网络安全，对WiFi的设备，包括它的使用情况做过一些工作。比如说我们在行业内部也发布了相关的标准，主要是PWI，公共无线局域网这一块，也有相关的标准。我们安全研究所也做了一些，针对设备，以及漏洞的挖掘和研究的情况。我们发现现在WiFi的设备，它的漏洞、危害和之前传统严重的情况相比，现在设备被控制的话，很有可能对基础网络，对运营商大网进行冲击，美国断网事件就可以看出来，对基础关键设施都会造成一些影响。

在漏洞逐渐增加的情况之下，更应该多方形成合力，一起对WiFi安全有一个提升，促进WiFi的行业有安全健康的发展。

主持人：杨总，ARM的CPU在全球覆盖超过95%了，因为有各种系列。刚才我们也看到CPU的漏洞在2017年是一个大课题，出了几个比较轰动性的漏洞，能不能就这个事情和大家分享一下感受。

杨瑞：这个漏洞还没有完全去读文档，所以对整个漏洞不是特别了解。ARM作为底层CPU的IP供应商，在安全上做了一些什么样的事情。其实现在大家的手机上基本上都带着指纹识别，ARM早于指纹识别七年前，在06年就已经注意到CPU的安全问题，或者系统应用的安全问题。在06年，我们还是在一期架构ARM11时引入了一个硬件CPU隔离技术。一直到2018架构，A15，A53，A73，A72这些，所有的芯片都是带着安全技术的。

因为指纹识别的需求，以及物联网金融支付、手机支付的需求和资产挂钩了，和隐私挂钩之后，大量的企业开始用这个技术落地一些安全的应用。比如说微信支付，或者是支付宝的支付，里面一些核心的内容都是放在隔离出来的TE环境里。2017年联网的产品越来越多，比如智能硬件、智能家居、各种可穿戴设备都会连到英特网上，受攻击概率越来越大，ARM把这个安全技术引入嵌入式里，在新的MCU里也同样有这样的安全技术。

除了硬件之外，ARM也想到一些产业生态链的方式。12月5号乌镇互联网大会上，有我们中国区总裁代表ARM公司发布了PSA，平台安全架构的安全解决方案。PSA是什么呢，其实是一个框架，这个框架通过一些威胁模型，安全分析，以及硬件和软件结合规则的一些技术，定义好了安全的框架。开发者，包括芯片设计公司可以通过这个框架一致性的实现低成本、灵活的经济安全方式实现。这个是ARM从CPU，以及软件生态上为安全做的一些贡献。

谢谢。

主持人：胡总这边一直专注于安全，现在物联网越来越普及了，尤其是智能路由、智能网关，各种IOT的普及，IOT面临很大的挑战。请胡总分享一下，创宇针对IOT设备会采取什么措施？

胡铭德：我们去年是对所有大的WIFI全部测试，比如在十米之外，百米之外控制。为了出现漏洞进行验证，我们做的验证是真实控制各种手机，不管是苹果手机、华为手机，各种手机，确实非常危害的。它控制手机不是说转移，是完全控制你的手机。你的银行交易，各种东西。我们作为安全研究员，我本人做完测试也是感到比较可怕。别人可能在10米，100米，通过一个设施15秒，30秒就会控制你的手机。不管是最先进的苹果手机，还是华为，还是其它手机。控制之后，它可以做很多危害的事情。

我们去年把三个关于WiFi重大事件，一个是苹果ios被另外一个芯片公司，嵌入式芯片公司完全控制。另外，快过年时有一个协议，这个协议如果被人控制之后，我们通过转帐记录各种东西都会被控制，所以我们确实感到网络WiFi都是与生活有极大的关系。

诈骗，有的人在上网，就会弹出一个通缉令，你已经被什么通缉了，恰恰很多人中招了。我们公司一方面对于去年发生的WiFi漏洞进行验证，证明真实可靠的。另一方面，我们也与楚云公司，还有其它公司，一个方面挖漏洞，使路由器更加安全。另一方面，希望能和产业带一起把WiFi安全事业推进。

谢谢。

主持人：唐总，能不能从学院派的角度分析一下WPay2这个漏洞。

唐勇：攻击者可以窃听WiFi上的数据，它的危害主要是对数据隐私、用户隐私的侵犯，数据的侵犯。它本身不一定能控制这个网络，后面紧接着推出了WPay3，能够解决这个问题，做一个更新，这样整个产业成本肯定是很高的。

学院派的角度，对WiFi安全形势的认识。现在WiFi安全形势很类似于十几年前PC时代，大家都用Windows98系统的时代，基本上每个人系统都是在裸奔，没有什么安全机制。数据的隐私，个人的数据也不在乎，也没有多少产业在上面做安全。操作系统厂家，类似现在路由器这些厂家解决问题的动力也不是特别足。

从攻击角度也很像，98年从攻击来说，最火的是蠕虫。我写一个病毒，它可以在瞬间感染世界上几十万台PC。到了2000年之后，蠕虫基本上没有了，因为PC的安全都跟上了。但现在的WiFi，包括物联网的现状和十几年前真的是一样吗。去年端网的密尔病毒一下子感染了几百万台IOT设备，使半个美国网络瘫痪，和十几年一模一样。

物联网的时代之后，安全的问题和空间很大，需要各方面，包括厂家，学术界，还有政府一起努力解决这个问题。否则构建了这个网络，空中沙土上构建，随时有可能坍塌，造成严重的后果。我们安全组也是想尽一点力量推动这个事情。

对于WiFi的安全，怎么解决，参考一下十几年前PC怎么解决的，就给我们提供了借鉴的思考。现在不解决是因为用户无感的，现在这些WiFi、IOT设备也是一样，我把设备买回来，它到底安不安全，用户一点感受没有，没有任何人告诉他这个东西安全还是不安全，怎么不安全，有没有遭受损失，没有人告诉用户，用户根本无感。这种情况下，要解决这个问题首先要让用户感受到它的东西安不安全。否则的话，劣币驱逐良币，安全做得好的，投入成本高的这些厂家卖的东西还贵，用户可能不买。这个问题一定要破解的，我们可以团结起来想一些思路。

比如说以路由器为例，比较可行的一个思路，现在路由器上装插件，厂家都在推，我们也在推，能够有一个类似应用商店的东西，在路由器上装插件。如果路由器上真的装插件，很值得做的一件事情，装个安全插件，让用户能够通过这个安全插件，知道你的设备安全防护程度怎么样，是个几级，它的安全水平达到什么程度。让做的好的厂家体现出来，同时设备对于用户上网行为，保障上网的安全，做了一些附加的功能。这样让用户感知得到，通过这种方式有可能破解这个问题。

从技术角度，我们学校愿意从技术角度贡献一些方案。因为WiFi的技术方案有很多可以借鉴其它，比如Android，智能系统的安全解决方案。也可以借鉴Linux，服务器端的安全解决方案。但它毕竟是不同的，因为它是在成本资源受限的情况下嵌入式系统，不可能做很重的方案，不计成本的方案。在这种约束的情况下，技术方面还是有很多要研究的东西。

我们研究机构、高校愿意在这方面做一些工作，谢谢大家。

主持人：阿里的姜总，因为我们与阿里一直有很深入的合作，阿里在2017年成立了ICA委员会，ICA是阿里在IOT里非常重大的努力，我觉得成果也斐然。里面有一个专门的安全小组，我们也加入了。姜总分享一下ICA这个东西怎么在安全上做更多的努力？

姜金龙：刚才前面的嘉宾都讲了很多关于WiFi，关于物联网这一块安全的形势和问题所在。确实是，这两年物联网、大数据、人工智能，这些东西都越来越火。但实际上就像WiFi一样，大家开始关注这个应用场景，关注它的产出，最后到关注它的损害，因为有利益了，会有人攻击。我们作为一个专注安全的从业者，希望在产业发展的初期就以一种基础设施角度，把安全架构搭起来。这样的话，要做基础设施，最大的一个问题就在于这里的标准化。

其实安全，大家会看到任何一个点上的问题都会导致整个系统出现很大的漏洞，或者整个系统的坍塌。如果标准不统一的话，实际上通常很多问题在对接的地方更容易出来的，这也是为什么阿里在介入物联网时，希望借助产业联盟的力量组建ICA联盟，从安全的角度来推进物联网的发展。

这里具体的做法，因为物联网整个碎片化是非常严重的，从它的载体形式到进入网络的形式，到它的应用场景，以及产品的价值，各种东西都千差万别。我们也很难说包治百病，一个专业杀毒软件就搞定一切。这里一定需要所有从业者一起做这件事情，就以WiFi为例，它肯定有它的局限性，在发展过程中也会有不同的阶段，会暴露出一些安全问题。

作为目前这种接入载体最多，覆盖面最广，尤其在智能家居、公共场所，以及以后工业互联网，物联网里都会承担非常重要的角色。安全的问题不能单纯认为只考虑协议，或者哪一块的安全性。我们需要做端到端的安全，以及构建各种维度，多层次防御的网络。比如连接的角度，操作系统的角度，芯片的角度，以及应用的角度，要做到多层次防护，提高整个系统的安全性，同时通过这样的安全性提高物联网在推广过程中用户的接受度，促进整个物联网的发展。

谢谢大家。

主持人：最后每位嘉宾用一两句话寄予希望，WiFi安全委员会希望完成什么责任和使命。

许子先：希望我们通过WiFi的安全委员会协调各方的资源，形成合力，共同促进WiFi的生态安全发展。

杨瑞：ARM希望通过自己的市场地位和生态地位，让安全不会再成为可有可无的选项，让大家能够以更经济，更简易的方式实现安全的解决方案。

胡铭德：希望通过和各位的努力，使WiFi更加安全，更加快捷。首先作为普通消费者，作为使用者，也希望作为安全的守护者，尽我们的力量。

唐勇：希望WiFi产业的参与者投入更多的资源到安全上，另外用户能更多感受到WiFi和物联网安全，更多的安全被他们感知到。

姜金龙：刚才讲到生态，包括阿里在内的从业者，也包括ICA联盟，中国WiFi联盟，所有业者大家团结起来，一起共建WiFi安全，共建物联网安全，谢谢。

主持人（刘勇）：谢谢大家

速记文章，未经确认！