物聯網(IoT)這個詞既寬泛又模糊，有一種說法是，它包含了任一一種能作為網絡一部分的“事物”。這個定義顯然不夠精準，事實上，沒哪種定義讓人滿意的。

細細琢磨，IoT似乎更多地是個心理范疇的概念，而非技術領域的概念。

對“什么是物聯網?”這個問題的回答，人們常常會以舉例子的方式，給出一長串實例。例子列表里可能包括：

· 智能家居

· SCADA/ICS

· 工廠自動化裝配機器人

· 自動駕駛汽車或聯網汽車

· 無線健身設備和其他可穿戴設備

· 聯網醫療機械

· 智能手機

· 家庭娛樂系統

· 計算機

這張列表對理解物聯網安全問題有什么幫助嗎?列表包含了那么多種事物和用例，以致很難看出期間有什么共性。其中一些東西在設計時就融合了安全思維，而其他的則完全無視了安全問題。有些是由用戶或管理員主動管理和維護的，其他則是一旦安裝上就拋之腦后再也不管了的。

想要圍繞物聯網問題展開有效討論，就得先對“物聯網”的定義達成共識。更具體來講，要討論物聯網安全，我們得定義和確認“有問題的物聯網(PIoT)”這個概念。上面那張列表里列出的東西里，或許有那么幾樣是可以不包含進來的。

這些設備的創造者和使用者的心理才是我們應該關注的，倒是它們工作的技術細節或者它們的設計目的反而沒那么重要。

桌面計算機位于物聯網設備列表的一端。計算機的創造者和用戶都默認這些機器應該定期更新，不時用殺毒軟件和其他安全工具查一查，理應好好維護機器的環境。計算機就是要有主動的管理才行。計算機安全，雖然遠未解決，卻一直是各方考慮的重點。每個人都清楚，他們重要的數據和資源處于風險之中，對計算機的攻擊行為一直都有。

相對比智能烤面包機(一個現實世界中或許尚未真實存在的典型例子)，很有可能無論是烤面包機的創造者還是用戶，都沒對烤面包機被黑的影響加以太多考慮。他們可能沒意識到烤糊了或者沒烤熟的面包也是會產生影響的。當然，安全專家們會將它們視作家庭網絡邊界中的脆弱設備。

安全專家知道，這些設備可被用于收集信息，捕獲網絡憑證，發起后續攻擊等等。確實，它們沒有用于管理和查看安全狀態的用戶界面。無論創造者還是用戶都沒期待一個烤面包機還要定期打補丁和更新。對大多數人而言，這種想法簡直太奇怪了。

一個相關的想法是：安全可不是設備可感知價值的一部分。用戶對他們的燈泡沒有安全需求，于是，他們不會為燈泡的安全支付額外的費用，創造者們(尤其是初創公司)也就不會在原始設計和架構中引入安全了。

而物聯網的麻煩(PIoT)直接誕生于創造者和用戶的思維。他們所做的第一個假設，就是設備不會被攻擊。他們可能會覺得，“不就一個智能燈泡嗎，根本沒有黑的價值啊”。或者，他們會認為，自己的技術都沒接入公共互聯網(比如SCADA設備)，沒有理由會被黑。

創造者和用戶經常默認這些設備不會、不能也不必要被好好維護。他們對用戶不可見，也不提供接口或界面來進行管理。

聯網汽車是個有趣的例子，完美闡述了某個單一的東西是怎么成為物聯網安全問題的。大多數現代汽車都會有很多不同的網絡，包括一個控制器局域網(CAN)總線、手機匹配藍牙和無線輪胎壓力傳感器。有些汽車甚至還有像安吉星 (OnStar)這樣的蜂窩連接。但是連入這些網絡的操作系統，直到最近才具備了自動更新的能力。之前，想要對受影響的車輛進行軟件升級和打補丁，都必須將車輛召回才行。用戶沒有為車輛網絡和計算機的安全買單義務。

不過，最近有些廠家已經能夠進行車輛軟件的自動升級了。比如說，特斯拉。這家電動車領軍企業，從一開始就將網絡安全放在了首位。除了在設計階段考慮安全，還提供經常性的無線補丁和更新。一輛特斯拉汽車，就是一臺主動管理和維護的設備。從心理視角，沒人會認為自家車庫里的特斯拉會是個PIoT設備。

但另一方面，其他車輛，那些從未托管，從未維護，從未打補丁的汽車，則落入了PIoT的范疇。有趣的是，隨著近年來對汽車黑客活動的關注，董事會層面上車輛網絡安全的價值倒是越來越被認可，只是要讓用戶轉化到新的車輛安全設計上可能要花去不短的時間。

為分析設備是否歸屬PIoTa范疇，我們可以將它們放到以設備創造者安全意識和終端用戶感知安全價值為坐標軸的二維空間里。

當創造者和用戶理解安全的重要性，IoT問題就會變少。這些設備會被謹慎設計，方便管理，通常也不會成為PIoT的一部分。至于其他3個象限，遭遇問題簡直是必須的。

如果用戶不渴求安全，設備中就很有可能摘除安全性——即使創造者知道安全的重要性。如果用戶需求安全，而創造者沒理會這一需求，那么安全將會跟個創可貼似的直到成品的最后一刻才松松垮垮地貼到產品上，不過是給用戶造成一種受到保護的假象而已，能賣出去就好。

而當用戶和創造者都不關心安全，那就真是絕望了。創造者對安全會連個眼神都欠奉。我們在智能燈泡之類的物聯網設備中所看到的就是這種景象，而這些被忽視的小設備往往會帶來新的漏洞。

想改善現狀，有幾條建議可用。

激勵措施(或懲罰措施)能鼓勵創造者在設計產品時更嚴肅認真地考慮安全問題。沒有安全經驗的程序員可以利用廣為使用的工具來創建更安全的產品。這樣能更容易地做正確的事。

我們還可以培養用戶的自我保護意識，教會他們該看哪些點來評估產品安全特性。雖然用戶常能體會到對隱私和安全的需要，其實沒幾個用戶能看出強安全性和騙人的萬靈油之間的差別。

美國保險商實驗室剛剛放出了一份物聯網設備認證，不過，至少目前，還不能在哪款產品上看到這一認證。這枚顯眼的小戳將讓用戶在做購買決策時將安全納入考慮范圍。

通過考慮物聯網設備用戶和創造者的心理，我們可以拿出更好的方法，看出這些設備中哪些是PIoT的一部分，幫助改善IT生態系統的整體安全。

這些建議中沒有哪一條是萬靈藥，但基于思維方式的方法可以產生根本性的改善，不僅僅是對設備自身的安全性而言，也是對接入我們網絡的每樣東西的安全性而言。而隨著我們踏入未來，物聯網將很快成為生活中必不可少的一部分。