周鸿祎：IoT设备将带来全球性安全威胁？

导读：第七届中美互联网论坛12月2日在美国华盛顿举行。本次论坛的主题是“对话与合作”。360公司董事长周代表中国互联网企业致辞。他说，中国互联网不是美国互联网的镜像或复制品。中国已经成为世界上最大的互联网强国之一。过去，美国互联网模式来到中国，但未来，更多中国创造的模式将来到美国。同时，随着IOT设备的快速增长，互联网将进入真正的大数据时代，这也将带来前所未有的全球安全威胁。以下是演讲全文。

让我简单介绍一下我自己。我的公司叫360，跟微软有关系。我给它起名的时候，特别喜欢微软的一款产品叫X-Box360，所以我们取了这个名字，意思就是我们要在360度网络安全上保护用户。

我们的安全性是与赛门铁克和迈克菲等其他安全公司最大的区别。2006年，我们认为网络安全是用户的基本需求。所以，就像搜索、邮件和即时通讯一样，我认为这是互联网中的一项基本服务，应该是免费的。因此，我们为中国6亿用户提供免费安全服务，重新打造了免费安全新模式。

我今天想分享一个观点，就是在下一个五年，对互联网、移动互联网安全最大的威胁和挑战是什么？

IOT让威胁无处不在

最近，每个人都在谈论一个趋势IOT或IOE，物联网或万物互联。我认为这是一个非常令人兴奋的趋势，那就是各种我们可以看到和想象的硬件，无论是汽车、家庭还是各种我们可以穿的东西。即使在许多工业制造行业，这些设备也将是智能的。我觉得不是简单的家电传感器。它会变成一部不像手机的手机。它将实时连接到网络。有人说IOT带来了巨大的机遇。它真的可以把互联网和很多线上线下的东西连接起来，实际上可能比3D打印机更让人兴奋。它将带来第四次工业革命。我经常和国内很多制造企业说，IOT技术可以帮助他们重新发明轮子，这意味着我们不能把轮子从圆形变成方形，但是我们可以在轮子上增加各种智能芯片和传感技术。同时，我们可以改变很多企业的商业模式，从简单的一次销售设备，变成与互联网的实时连接和互联网服务。

然而，我今天想说的是，这给安全带来了三大挑战和威胁。

第一，我觉得这是各种社会被攻击的可能性大大增加。在部署传统企业安全时，我们经常喜欢说，我们隔离我们的网络，让我们在边界添加防火墙，有了这种安全控制，我们认为企业的网络可以高枕无忧。

事实上，当各种设备和无处不在的设备通过Wi-Fi、蓝牙等各种无线协议连接到整个企业网络时，越来越多的连接点意味着攻击的可能性越来越大。例如，中国有很多制造商想制造这种智能汽车。他们还来找我们说，智能汽车最大的问题不是自动驾驶，甚至不是电机充电，而是消费者会想，如果我在路上开，会不会被攻击？其实也有很多厂商觉得他们用的系统很强，但我要告诉他一个道理。你的车有蓝牙，你的车有Wi-Fi，你用手机作为控制的钥匙。只要有这样的机会，那我就可以通过先控制你的手机来进一步控制这辆车，甚至国内很多黑客也曾试图以类似的方式劫持一辆特斯拉汽车，这可能会让它在行驶过程中出错。

以前我们常说终端安全很重要，但是这个终端会随着IOT设备的数量增长十位数，我觉得会有很多攻击点。因此，这对于我们每一个安防企业来说，都是一个巨大的挑战和机遇，那就是未来汽车里会不会有防火墙？

其次，过去我们讲过网络攻击。每个人的电脑都被攻击了，只是因为他们丢失了一些文件。如果每个人的手机都被攻击，可能会有更多的隐私泄露和一些网络诈骗。然而，一旦IOT普及，这种对IOT设备的攻击可能会带来巨大的身体伤害或人身伤害。举两个典型的例子。一个是车。如果你的车在行驶中突然撞车或停在高速公路上，你可能会有非常严重的问题。所以，我们过去在美国很多好莱坞大片中看到的，比如布鲁斯威利斯饰演的《虎胆龙威》第五集，恐怖分子可以通过互联网控制工厂、红绿灯、电梯，甚至你的门锁。我觉得这很可能不是下一步的奇幻电影，网络攻击的结果会比现在一些信息和个人隐私数据的丢失更严重。

三是针对用户大数据带来的隐私问题。我们现在都在说大数据，但其实我觉得真正的大数据时代还没有到来，因为现在PC这样的数据生成只是在我们工作时间生成一些数据，但是有了手机之后，除了睡觉，我们都在用手机。当我们在手机上使用各种应用时，我们会生成各种数据，手机会比PC上传各种大数据，但对于IOT来说，因为计算能力弱，必须把数据传输到云端。其次，IOT设备的数量将是现在的十倍。现在中国有6亿互联网用户。未来平均一个人会用两部手机，一部iPhone，一部安卓，也就是15亿的移动设备。但是想象一下，在未来，每个人至少会有5到10个这样的IOT设备，你家里可能会有20个不同的设备，甚至包括连接到互联网的灯泡和插座，所以你

IOT设备还有一个特点，比如今天很多人戴的运动手环或者智能手表，在你睡觉的时候它也在工作，它也在时刻7×24小时的把你的数据传递给你，所以，IOT带来一个巨大的挑战，它真正产生了海量的数据，但这些大数据实际上把一个人的各个维度的数据都搜集上来，其实你发现在这个时代任何个体没有隐私可言了，你会变成一个透明的数码人，你所有的数据都被不同的互联网公司拿到他们的服务器上。

用户隐私大数据的三原则

所以，我觉得我们现在很多互联网企业也非常激动，非常热衷地谈说，我们拿着这么多大数据，我们就知道一些最终的问题，你是谁，你要干什么，你准备干什么，我们都知道，所以，我们准备渴望用大数据来对用户做更精准的营销，做各种智能的推荐，这里面确实有一个平衡，就是如何保护用户的隐私。美国有一个著名的作家叫做阿西诺夫，我非常喜欢他的作品，他写了很多经典的科幻小说，他当时定了一个机器人三定律，防止机器文明的发展如何能够不伤害人类，所以他提出了三定律。所以，我们在国内也和很多互联网公司交流，我们也提出了一个用户隐私大数据的三原则和大家分享一下。

√ 第一，现在在法律上定义非常含糊，我用了这些智能设备，用了手机上的APP，所有这些产生的数据被传到云端的数据，虽然是放在互联网公司的云端服务器上，但它到底是谁的资产，我们觉得应该非常旗帜鲜明的定义这些资产应该是用户的资产，只不过是用户把它托管在各个互联网公司的服务器上。当然，我有一个概念要讲，IOT以后不光是互联网公司，以后很多的企业都会变成互联网公司，比如说过去卖电视的人没有用户数据，但电视机买回家成了用户和卖电视企业之间的连接，它要拿到用户的习惯。以后卖汽车的人也至少会有一个云端的服务器给每部汽车制作OTA自动的升级和更新，所以，从这个角度来说以后越来越多的企业用了IOT技术都会变成我定义的这种互联网公司，所以，这里面我们觉得第一个原则是用户数据是用户的资产。

√ 第二，其实用户之所以心甘情愿把这些数据交给互联网公司去使用，它一定是换取了很多免费或者有价值的服务，比如你在用搜索的时候，因为你要搜索，所以你就自然把自己内心非常隐私的一种需求输入进去，让你的搜索请求会被存在搜索引擎的服务端。比如你在用WhatsApp或者微信这些新一优艾设计网_Photoshop百科代的手机和IM软件的时候，你就会把你的地址本全部上传上去，这样系统才能帮你匹配知道谁是你的朋友，谁是你朋友的朋友，你和谁联系最频繁的。当互联网公司要利用这些用户的数据牟利的时候，这是正当的商业模式，但最关键的是用户要有知情权和选择权，也就是说用户不是完全被动的，企业必须要得到用户的授权，要通过授权交换用户使用各种免费网站的服务。如果有少数用户说我确实不愿意我的隐私拿来做商业的这种交换，那么我觉得用户可以有权利要求互联网公司去销毁和删掉自己的数据或者把这些数据允许用户自己拿走。

√ 第三，我刚才讲了最近我们在中国看到一些例子，很多用户信息的丢失是因为这些互联网公司自己的安全水平不过关，导致他们的服务器被人攻破，导致一个服务器被攻破，导致在一个电商网站上所有用户的信用卡记录都被拿走了，甚至有些网站用明文来储存信用卡的密码和信用卡最后三位，本来应该用加密的三位确认码都是明文，所以，我们就意识到说如果当很多企业很兴奋地说我也要利用IOT技术，我转型成互联网公司，你要扪心自问必须要有这种技术能力和产品能力，要做到安全的存储、安全的传输，也就是说当你一方面在夸耀你拿到了多少用户的这种习惯、用户的数据的时候，你一定要尽到一个责任来保护好用户的数据，因为这种用户数据一旦从服务器上被攻破拿走，它整个造成的后果不堪设想。因为很多用户都用一个密码在所有的网站、或者所有的APP上，意味着其他的网站其他的应用也会受到攻击，所以，这是我们提出的三原则，我们很希望说在未来我们和无论是美国还是中国所有做网络安全的公司，包括做用户隐私保护的公司，也包括和很多传统的互联网公司大家一起来讨论，我觉得只有让用户有安全感，让用户觉得自己的隐私得到了保护，我觉得用户才会花更多的时间使用各种互联网的新技术和产品，这也是我们一直做免费安全的一个哲学，就是安全，特别是用户安全的上网就像人权一样，应该是一个基本点，这样互联网才能繁荣。你设想一下，如果互联网大家上去不是有钓鱼网站，就是欺诈或者自己数据的泄露，我觉得不可能有一个真正美好的互联网。

谢谢大家。