400亿台设备的"安全噩梦"

2016年10月，Mirai僵尸网络利用数十万台安全性极差的IoT设备（主要是IP摄像头和家用路由器），发动了互联网历史上最大规模的DDoS攻击之一，导致美国东海岸大面积断网。Mirai的源代码随后被公开，在接下来的十年里衍生出了无数变种。

十年后的2026年，Mirai的"幽灵"仍然笼罩着物联网世界。根据安全公司Kaspersky和Palo Alto Networks Unit 42的数据，2026年全球IoT设备遭受的网络攻击次数比2025年增长了约40%，平均每天有超过100万次针对IoT设备的攻击尝试。

更令人担忧的是，全球400亿台IoT设备中，超过60%运行着存在已知安全漏洞的固件或操作系统。IoT设备已经成为网络攻击的"最薄弱环节"——它们数量庞大、分布广泛、安全防护薄弱，是攻击者入侵企业网络和家庭网络的"跳板"。

IoT安全的核心挑战

与传统IT设备（服务器、PC、手机）相比，IoT设备的安全挑战要严峻得多。这些挑战是系统性的，不是单一技术方案可以解决的。

1. 资源受限：大多数IoT设备是"资源受限"的——处理器性能低（通常几十MHz到几百MHz）、内存小（几十KB到几MB RAM）、存储有限（几MB到几百MB Flash）。这使得传统的安全方案（如全功能防火墙、杀毒软件、TLS加密）难以在IoT设备上运行。

2. 长生命周期：IoT设备的生命周期通常很长——智能电表可能在现场运行10-15年，工业传感器可能运行5-10年。在这期间，安全漏洞不断被发现，但设备可能无法（或不会）被更新。2026年，仍有大量运行着2015年固件的IoT设备在互联网上暴露。

3. 供应链复杂：一台IoT设备可能包含来自数十个供应商的软件组件——RTOS（实时操作系统）、TCP/IP协议栈、Wi-Fi驱动、蓝牙协议栈、应用代码。每个组件都可能引入安全漏洞。2026年，IoT设备的软件供应链安全（SBOM，软件物料清单）正在成为行业焦点。

4. 物理可访问性：IoT设备通常部署在物理上可被攻击者接触的位置——街头摄像头、智能路灯、农田传感器。攻击者可以物理接触设备，读取内存、提取固件、植入恶意代码。

5. 默认密码和弱认证：大量IoT设备使用出厂默认密码（如admin/admin或root/12345），且用户从不更改。2026年，这仍然是最常见的IoT设备被入侵的方式。

6. 缺乏安全更新机制：许多IoT设备没有OTA（空中下载）更新机制，或者有但从未被使用。一旦安全漏洞被发现，设备无法被修补，只能"带病运行"。

2026年的IoT安全法规

面对日益严峻的IoT安全形势，2026年全球各国和地区正在加速IoT安全立法。

欧盟：Cyber Resilience Act（网络弹性法案）

2024年通过的欧盟《网络弹性法案》（CRA）在2026年全面实施，这是全球最严格的IoT安全法规之一。CRA的核心要求包括：

  • 所有在欧盟销售的联网设备（包括IoT设备）必须满足基本安全要求（安全设计、默认安全、安全更新）
  • 制造商必须在设备上市前进行安全评估，并提交合规声明
  • 制造商必须为设备提供至少5年的安全更新支持
  • 制造商必须在发现安全漏洞后的24小时内向欧盟网络安全局（ENISA）报告
  • 违规处罚最高可达1500万欧元或全球年营收的2.5%

CRA的实施正在推动全球IoT设备制造商提升安全标准。即使是不在欧盟销售的产品，也可能因为"法规溢出效应"而受益。

美国：IoT Cybersecurity Labeling Program

美国在2026年推出了"美国网络信任标志"（U.S. Cyber Trust Mark）——一个类似于"能源之星"的IoT设备安全认证标签。获得该标签的设备需要满足NIST（美国国家标准与技术研究院）制定的安全基线要求，包括：

  • 唯一默认密码（每台设备出厂时有唯一的随机密码）
  • 安全更新机制（支持OTA更新，并承诺至少3年的安全更新）
  • 漏洞披露和修复流程
  • 数据安全保护措施

2026年，Cyber Trust Mark已经在智能家居设备（路由器、摄像头、门锁、灯泡等）中开始推行，预计将逐步扩展到更多IoT设备品类。

中国：物联网安全国标

中国在2026年发布了《物联网安全技术规范》系列国家标准（GB/T 37044系列），对IoT设备的安全要求进行了系统规定。同时，中国的《网络安全法》和《数据安全法》对IoT设备的数据采集、存储和传输提出了合规要求。

英国：PSTI法案

2024年生效的英国《产品安全和电信基础设施》（PSTI）法案在2026年进入全面执法阶段。PSTI禁止使用通用默认密码（如admin/admin），要求制造商提供漏洞报告渠道，并明确告知消费者设备的安全更新期限。

IoT安全技术方案

2026年，IoT安全技术正在从"被动防御"转向"主动安全设计"。

安全芯片（Secure Element）：在设备硬件层面提供安全根（Root of Trust），包括安全密钥存储、安全启动、安全加密引擎。2026年，越来越多的IoT设备开始集成安全芯片。

主要安全芯片供应商包括：NXP（EdgeLock系列）、Infineon（OPTIGA系列）、STMicroelectronics（STSAFE系列）、Microchip（ATECC608系列）、紫光国微（中国本土安全芯片）。安全芯片的成本在2026年已降至0.5-1美元，在大多数IoT设备BOM中可以接受。

PSA Certified（平台安全架构认证）：Arm主导的IoT安全认证框架，在2026年已经认证了超过200款芯片和平台。PSA Certified分为三个等级：Level 1（基础安全）、Level 2（防软件攻击）、Level 3（防物理攻击）。2026年，越来越多的大型企业客户要求IoT设备供应商通过PSA Certified认证。

零信任（Zero Trust）：将"零信任"安全理念扩展到IoT设备——每个设备在访问网络和应用之前必须经过身份验证和授权，不信任任何设备（即使它在"内网"中）。2026年，零信任架构正在从企业IT扩展到IoT和OT（操作技术）网络。

AI驱动的IoT安全：利用AI/ML（机器学习）技术检测IoT设备的异常行为。正常的IoT设备行为是高度可预测的（智能电表每天上报一次数据，传感器每30分钟发送一次读数），AI可以快速识别异常的通信模式，发现被入侵的设备。

主要AI IoT安全厂商包括：Armis（IoT设备安全平台）、Claroty（工控和IoT安全）、Nozomi Networks（OT/IoT安全）、长亭科技（中国IoT安全厂商）。

SBOM（软件物料清单）：IoT设备的"成分清单"——列出设备中使用的所有软件组件及其版本号。SBOM使设备制造商和用户能够快速了解设备是否受到已知漏洞的影响。2026年，SBOM正在成为IoT设备安全合规的基本要求。

安全OTA更新：确保设备固件可以被安全地远程更新——固件签名验证（防止恶意固件注入）、回滚保护（防止降级到有漏洞的旧版本）、断点续传（在网络不稳定时完成更新）。2026年，安全OTA更新是IoT设备安全更新机制的标准配置。

行业最佳实践

2026年，IoT设备安全的行业最佳实践正在形成：

设计阶段：

  • 安全设计（Security by Design）：从产品设计之初就考虑安全需求
  • 威胁建模（Threat Modeling）：识别产品的安全威胁和攻击面
  • 最小权限原则：设备只拥有完成其功能所需的最小权限

开发阶段：

  • 安全编码规范：避免常见安全漏洞（缓冲区溢出、注入攻击等）
  • 静态代码分析（SAST）：在编译前自动扫描代码安全漏洞
  • 第三方组件安全审计：检查所有开源和第三方组件的已知漏洞

测试阶段：

  • 渗透测试（Penetration Testing）：模拟攻击者测试设备的安全性
  • 模糊测试（Fuzzing）：向设备发送随机或异常数据，检测安全漏洞
  • 安全认证：通过PSA Certified、Cyber Trust Mark等认证

运营阶段：

  • 安全监控：持续监控设备的安全状态和异常行为
  • 漏洞管理：及时修复已知漏洞，推送安全更新
  • 事件响应：建立安全事件响应流程，快速处置安全事件

展望：IoT安全从"成本"到"竞争力"

2026年，IoT安全正在从"成本中心"变成"竞争差异化"。在法规的推动和市场的教育下，IoT设备的购买者（企业客户和消费者）对安全性的关注度正在提升。

“安全"将不再是IoT设备规格书上的一个"打勾项”，而是产品核心竞争力的重要组成部分。那些能够提供"默认安全"、“持续安全更新”、“透明安全承诺"的IoT设备制造商，将在2026年及以后的市场中获得竞争优势。”