智能家居网络安全防护技术试题及答案

智能家居网络安全防护技术试题及答案一、单项选择题（共15题，每题2分，共30分）1.根据中国网络空间安全协会2024年发布的《智能家居安全风险评估报告》，在售消费级智能家居产品中，未修改默认出厂口令时可被直接远程破解的比例约为（）A.42.6%B.72.3%C.85.1%D.58.9%2.2016年首次爆发的Mirai僵尸网络主要通过以下哪种方式入侵智能家居设备？（）A.固件漏洞利用B.弱口令碰撞C.中间人攻击D.钓鱼APP诱导3.我国现行《智能家居安全通用要求》的国家标准编号为（）A.GB/T22239-2019B.GB/T42430-2023C.GB/T36951-2018D.GB/T25069-20224.适用于低功耗智能家居设备的国密轻量级对称加密算法是（）A.SM2B.SM3C.SM4D.SM95.跨品牌智能家居统一协议Matter的传输层安全机制默认采用以下哪种标准？（）A.TLS1.0B.TLS1.2C.TLS1.3D.SSL3.06.智能门锁指纹识别参数中，“误识率（FAR）”的定义是（）A.合法用户被错误拒绝识别的比例B.非法用户被错误识别为合法用户的比例C.指纹识别的平均响应时长D.指纹模板的存储容量上限7.根据《个人信息保护法》要求，智能家居设备收集的家庭音视频、生物识别信息属于（），需采取严格的加密防护措施。A.一般个人信息B.敏感个人信息C.公共信息D.匿名化信息8.以下哪种智能家居通信协议默认采用128位AES加密机制，明文传输风险相对较低？（）A.Zigbee3.0B.蓝牙4.0C.2.4G自定义射频D.HTTP协议9.以下哪种场景不属于智能家居数据泄露风险？（）A.智能音箱误触发上传用户私人对话B.智能电表将用电数据明文传输至云平台C.智能门锁本地存储指纹模板加密存储D.智能摄像头账号被撞库后实时直播10.家庭网络中部署智能家居设备时，以下哪种配置可以最大限度缩小攻击面？（）A.所有设备共用同一套登录口令B.将智能家居设备划入独立VLAN，与个人终端网络隔离C.开启所有设备的公网端口映射，方便远程访问D.连接无密码的公共Wi-Fi使用智能设备11.智能家居设备固件升级过程中，以下哪种操作会引入安全风险？（）A.校验固件数字签名后再安装B.从未知第三方渠道下载破解固件安装C.升级前备份设备配置信息D.升级过程中保持设备供电稳定12.根据《网络产品安全漏洞管理规定》，智能家居厂商发现产品存在高危漏洞后，需在（）内向工信部门提交漏洞报告，并及时向用户推送修复补丁。A.24小时B.2个工作日C.7个工作日D.30天13.以下哪种智能家居攻击属于中间人攻击范畴？（）A.攻击者利用弱口令登录智能摄像头后台B.攻击者劫持智能门锁与APP的通信链路，篡改开锁指令C.攻击者通过DDoS攻击打垮智能家居云平台D.攻击者利用调试接口刷入恶意固件14.以下哪项不属于智能家居平台层的安全风险？（）A.云服务器存在SQL注入漏洞，导致用户数据泄露B.平台权限管控不严，内部员工可随意调取用户音视频数据C.用户APP未做代码混淆，被反编译后获取明文接口地址D.平台数据未加密存储，发生脱库事件后全部用户信息泄露15.普通用户使用智能家居设备时，以下哪种行为符合安全要求？（）A.为方便记忆，所有智能设备使用相同的6位数字口令B.开启设备的自动固件升级功能，及时修复安全漏洞C.随意授权智能家居APP获取通讯录、位置等非必要权限D.向第三方维修人员提供设备管理员账号密码二、多项选择题（共10题，每题3分，共30分，多选、少选、错选均不得分）1.智能家居网络安全的核心风险架构包括以下哪些层面？（）A.设备层B.通信层C.平台层D.应用层2.以下哪些属于智能家居设备层的常见安全漏洞？（）A.出厂默认弱口令B.硬件调试接口未关闭C.固件存在缓冲区溢出漏洞D.传输层采用明文HTTP协议3.针对智能家居弱口令漏洞，厂商侧需采取的防护措施包括（）A.强制用户首次激活设备时修改默认口令B.禁用admin、123456等通用弱口令作为出厂默认C.新增口令复杂度校验机制，要求口令长度不低于8位，含多种字符类型D.定期向用户推送弱口令提醒，发现弱口令时限制设备远程访问权限4.智能摄像头的常见安全风险包括（）A.音视频数据明文传输B.未授权访问漏洞C.账号被撞库攻击D.固件无法升级5.以下哪些属于智能家居用户侧可落地的安全防护措施？（）A.修改设备默认口令，不同设备设置独立口令B.关闭不必要的远程访问功能，远程访问优先通过VPN通道C.定期检查厂商固件更新，及时安装安全补丁D.在家庭网关侧开启入侵检测功能，拦截异常扫描流量6.Matter协议的安全特性包括（）A.传输层采用TLS1.3加密B.设备身份采用数字证书认证C.跨品牌通信采用统一的AEAD加密机制D.天然免疫所有网络攻击7.以下哪些行为违反《个人信息保护法》对智能家居数据处理的要求？（）A.厂商强制用户授权位置、通讯录权限才能使用智能门锁的基础开锁功能B.厂商未经用户同意，将家庭用电数据出售给第三方广告公司C.厂商对用户的生物识别信息采用明文存储D.用户申请注销账号后，厂商在7个工作日内删除所有用户相关数据8.智能家居云平台的安全防护要求包括（）A.采用等保2.0三级以上防护架构B.用户敏感数据加密存储C.建立异常访问行为监测机制D.定期开展渗透测试和漏洞修复9.以下哪些属于针对智能家居的常见攻击类型？（）A.弱口令碰撞B.中间人攻击C.DDoS攻击D.固件逆向破解10.选购智能家居产品时，以下哪些判断标准可以降低安全风险？（）A.优先选择通过国家网络安全检测认证的知名品牌产品B.确认厂商承诺提供至少3年的固件安全维护服务C.查看产品说明书明确标注数据加密、权限管控等安全功能D.选择价格最低的白牌产品三、判断题（共10题，每题1分，共10分）1.智能家居设备只要连接了WPA3加密的Wi-Fi，就不会出现数据泄露风险。（）2.智能门锁的指纹识别误识率（FAR）越低，产品的安全性就越高。（）3.Mirai僵尸网络控制智能家居设备后，主要用于发起DDoS攻击和窃取用户敏感数据。（）4.智能家居APP索要的权限越多，设备的功能就越稳定。（）5.GB/T42430-2023要求智能家居产品收集用户数据必须遵循“最小必要”原则，不得收集与功能无关的信息。（）6.为了方便远程访问，将智能摄像头的RTSP端口映射到公网是安全的操作。（）7.智能音箱的唤醒词识别完全在本地完成，不会向云端上传任何音频数据，因此不存在隐私泄露风险。（）8.家庭网络中部署智能家居专用VLAN，可以避免设备被入侵后横向移动攻击个人终端。（）9.智能家居厂商可以将用户的敏感数据共享给合作的第三方企业，无需额外告知用户。（）10.智能家居设备停止固件更新后，只要能正常使用就无需更换。（）四、简答题（共4题，每题5分，共20分）1.简述智能家居网络安全四层架构的核心风险点分别是什么？2.简述针对智能家居弱口令漏洞的三类核心防护措施，分别从厂商侧、用户侧、平台侧说明。3.解释Mirai僵尸网络针对智能家居设备的攻击原理，及对应的三类核心防护方案。4.简述GB/T42430-2023《智能家居安全通用要求》中针对用户敏感数据的三项核心管控要求。五、案例分析题（共2题，每题5分，共10分）1.案例背景：2024年某住户家的智能门锁被陌生人破解开门，事后溯源发现，该用户的智能门锁绑定的APP使用了弱口令123456，且未开启二次验证，攻击者通过撞库获取了APP登录权限，远程下发了开锁指令。问题：（1）该事件暴露了哪些层面的安全漏洞？（2）针对该场景提出至少5项可落地的防护优化措施。2.案例背景：某小区30多户业主的智能摄像头被非法入侵，攻击者将获取的家庭内部视频上传到境外暗网售卖，溯源发现这批摄像头均为某小众品牌，出厂时固件存在未授权访问漏洞，且未提供固件升级功能，音视频数据采用明文传输。问题：（1）该事件中厂商存在哪些合规性问题？（2）普通用户如何在选购和使用智能摄像头过程中规避此类风险？参考答案一、单项选择题1.B，解析：本次抽样检测覆盖120款主流在售智能家居产品，72.3%的产品出厂默认使用通用弱口令，攻击者可通过端口扫描+弱口令碰撞直接获取控制权。2.B，解析：Mirai内置60余组常见智能家居默认口令，通过公网端口扫描批量尝试登录，入侵成功率超过60%，2016年首次爆发时控制10万台以上设备发起DDoS攻击，导致美国东海岸大面积断网。3.B，解析：GB/T42430-2023为2023年10月1日正式实施的智能家居安全通用国家标准，A为网络安全等级保护基本要求，C为物联网信息安全通用规范，D为信息安全术语标准。4.C，解析：SM4为我国自主研发的轻量级对称加密算法，分组长度和密钥长度均为128位，适合低功耗智能家居设备使用；SM2为非对称加密算法，SM3为哈希算法，SM9为标识加密算法，均不适用于低功耗设备的批量数据加密。5.C，解析：Matter协议默认采用TLS1.3作为传输层安全标准，相比旧版本TLS协议握手速度更快、安全性更高，可抵御中间人攻击、重放攻击等常见威胁。6.B，解析：FAR（误识率）指非法用户被错误识别为合法用户的比例，FRR（拒真率）指合法用户被错误拒绝识别的比例，两者为负相关关系，产品设计需平衡两个参数，而非单方面追求某一参数最低。7.B，解析：根据《个人信息保护法》，生物识别、行踪轨迹、家庭音视频、健康数据等一旦泄露会危害用户人身、财产安全的信息属于敏感个人信息，需采取严格的加密防护措施。8.A，解析：Zigbee3.0默认采用128位AES加密机制，所有链路通信均需加密验证；蓝牙4.0部分场景采用明文传输，自定义射频协议多数无加密机制，HTTP为明文传输协议。9.C，解析：指纹模板加密存储属于安全防护措施，不存在泄露风险，其余选项均属于典型的数据泄露场景。10.B，解析：独立VLAN隔离可以避免智能家居设备被入侵后横向攻击手机、电脑等个人终端，其余选项均会扩大攻击面，提升入侵风险。11.B，解析：第三方破解固件多数未经过安全校验，可能内置恶意程序，会导致设备被远程控制、数据泄露等风险，其余选项均为安全的固件升级操作。12.B，解析：根据《网络产品安全漏洞管理规定》，厂商发现高危漏洞后需在2个工作日内向工信、公安等部门提交漏洞报告，并及时向用户推送修复补丁。13.B，解析：中间人攻击指攻击者劫持通信链路，篡改、窃取传输数据，B选项属于典型的中间人攻击，A为弱口令攻击，C为DDoS攻击，D为固件漏洞攻击。14.C，解析：APP未做代码混淆属于应用层安全风险，其余选项均为平台层风险。15.B，解析：开启自动固件升级可以及时修复安全漏洞，其余选项均为不安全的操作行为。二、多项选择题1.ABCD，解析：智能家居安全架构分为设备层（终端硬件）、通信层（设备之间、设备与平台的通信链路）、平台层（云服务端）、应用层（用户端APP、小程序）四个层面。2.ABC，解析：明文HTTP协议属于通信层漏洞，其余选项均为设备层常见漏洞。3.ABCD，解析：四个选项均为厂商侧针对弱口令漏洞的标准防护措施，可覆盖90%以上的弱口令入侵风险。4.ABCD，解析：四个选项均为智能摄像头的高发安全风险，中国网络空间安全协会2024年报告显示41.2%的智能摄像头存在音视频明文传输风险，28.7%存在未授权访问漏洞。5.ABCD，解析：四个选项均为用户侧可直接落地的防护措施，可降低80%以上的智能家居入侵风险。6.ABC，解析：Matter协议仅提升了跨品牌通信的安全性，无法免疫配置不当、弱口令等人为导致的安全风险，D选项错误。7.ABC，解析：D选项符合《个人信息保护法》要求，用户注销后需在15个工作日内删除所有用户数据，7个工作日符合要求；其余选项均违反相关规定。8.ABCD，解析：四个选项均为智能家居云平台的标准安全防护要求，根据规定，处理超过100万用户信息的智能家居平台需符合等保2.0三级防护要求。9.ABCD，解析：四个选项均为针对智能家居的常见攻击类型，其中弱口令碰撞占所有智能家居入侵事件的60%以上。10.ABC，解析：白牌产品多数未经过安全检测，存在大量未修复漏洞，安全风险极高，D选项错误。三、判断题1.×，解析：WPA3加密仅保障Wi-Fi链路层的安全，若设备本身存在弱口令、固件漏洞等问题，仍然会出现数据泄露风险。2.×，解析：误识率和拒真率为负相关关系，若单方面追求过低的误识率，会导致拒真率大幅提升，影响用户使用体验，产品需平衡两个参数的阈值。3.√，解析：Mirai控制设备后，主要用于发起大规模DDoS攻击，同时也会窃取设备存储的用户敏感数据售卖获利。4.×，解析：APP过度索取权限会增加用户数据泄露风险，与设备功能稳定性无直接关联，根据GB/T42430-2023要求，APP仅能索取实现功能必需的最小权限。5.√，解析：“最小必要”是智能家居数据收集的核心原则，厂商不得强制用户授权与功能无关的权限。6.×，解析：将摄像头端口映射到公网会直接暴露攻击面，攻击者可通过端口扫描、弱口令碰撞等方式直接入侵设备，远程访问需通过厂商专属加密通道。7.×，解析：多数智能音箱的唤醒词验证在本地完成，但误触发时会自动上传音频片段至云端进行语义识别，存在隐私泄露风险，2022年某品牌智能音箱曾出现误触发上传1000余条用户私人对话的事件。8.√，解析：VLAN隔离可以限制不同网络分区之间的访问权限，避免智能家居设备被入侵后横向移动攻击个人终端。9.×，解析：根据《个人信息保护法》，厂商共享用户敏感数据需提前明确告知用户，并获得用户单独同意。10.×，解析：停止固件更新的设备无法修复新发现的安全漏洞，长期使用会面临较高的入侵风险，建议及时更换。四、简答题1.答：智能家居四层架构的核心风险点如下：（1）设备层：出厂默认弱口令、硬件调试接口未关闭、固件存在缓冲区溢出/命令注入等漏洞、本地数据明文存储、未提供固件升级通道；（2）通信层：采用明文HTTP协议传输数据、通信协议存在未授权访问漏洞、易被中间人攻击劫持篡改数据、无线通信信号易被窃听；（3）平台层：云服务器存在SQL注入等Web漏洞、用户敏感数据明文存储易被脱库、内部权限管控不严导致数据被非法调取、DDoS攻击防护能力不足导致服务中断；（4）应用层：APP过度索取权限、代码未做混淆易被反编译、存在伪造APP钓鱼风险、未启用多因子认证易被撞库攻击。2.答：三类核心防护措施如下：（1）厂商侧：强制用户首次激活设备时修改默认口令，禁用admin、123456等通用弱口令作为出厂默认，新增口令复杂度校验机制，要求口令长度不低于8位，包含大小写字母、数字、特殊字符中的至少两类；（2）用户侧：为不同设备设置独立的复杂口令，避免使用生日、手机号等易被猜测的信息作为口令，每3个月定期更换一次口令，启用设备的多因子认证功能；（3）平台侧：建立弱口令碰撞检测机制，对短时间内多次尝试登录的IP进行限流封禁，发现设备使用弱口令时，立即推送提醒并限制设备的远程访问权限，直到用户修改口令。3.答：（1）攻击原理：Mirai恶意程序首先对公网IP段进行批量端口扫描，识别开放Telnet、SSH等远程登录端口的智能家居设备，随后调用内置的60余组常见智能家居默认弱口令尝试登录，登录成功后向设备植入恶意程序，将设备纳入僵尸网络控制节点，后续可根据控制端指令发起DDoS攻击、窃取用户数据、下发恶意指令等操作。（2）核心防护方案：①用户侧：修改设备默认口令，关闭不必要的公网端口映射，远程访问通过厂商专属加密通道或者VPN；②厂商侧：禁用设备出厂默认的Telnet、SSH等远程调试接口，新增异常登录检测机制，对多次登录失败的IP进行封禁；③网关侧：家庭网关配置入侵检测规则，拦截异常的端口扫描流量，运营商侧对未备案的公网远程登录端口进行限流。4.答：三项核心管控要求如下：（1）最小必要收集：厂商仅能收集实现产品功能必需的最小范围数据，不得强制用户授权与功能无关的权限，不得过度收集用户敏感信息；（2）加密存储传输：用户敏感个人数据传输时必须采用不低于TLS1.2的加密协议，存储时必须采用脱敏或者加密处理，禁止明文存储生物识别、家庭音视频、健康数据等敏感信息；（3）用户可控：用户可随时查询、导出、删除自己的个人数据，可随时注销账号，账号注销后厂商必须在15个工作日内删除所有用户相关数据，不得留存或者用于其他用途。五、案例分析题1.答：（1）暴露的漏洞：①用户侧：安全意识薄弱，设置弱口令作为APP登录密码，未启用二次验证功能；②厂商侧：APP未强制校验口令复杂度，未对异地登录、陌生设备登录等异常行为进行拦截预警，远程开锁指令未设置独立的验证机制，仅通过APP登录权限即可下发；③平台侧：未建立弱口令检测和撞库攻击拦截机制，短时间内多次登录尝试未触发限流封禁规则。（2）防护优化措施：①用户立即修改APP登录口令为8位以上的复杂口令，开启短信/人脸识别二次验证