《福布斯》女記者卡什米爾·希爾(Kashmir Hill)通過親身經歷證明，可聯網的智能家居產品存在諸多安全漏洞。“我能看到你家里的所有設備，我認為我能控制他們。”一個周四清晨，我粗魯地打電話叫醒托馬斯·哈勒(Thomas Hatley)，一個住在俄勒岡州的陌生人。

他和妻子還沒起床。表達驚訝之余，他讓我打開和關閉主臥里的電燈。坐在舊金山的臥室里，我輕輕點擊一下就完成開關操作，與此同時極力抑制打開電視機的惡作劇沖動。

“剛才打開了，現在又關了，”他說，“我真是活見鬼!”

根據路透社的消息，家居自動化市場2012年的市值達到15億美元。許諾能讓家居更智能化的產品呈現爆炸式發展。其中最知名的要數Nest恒溫器，它能夠監測房主的活動，學習他的日程安排和溫度偏好，據此給房間加溫或減溫。很多這種產品都開發了智能手機應用程序和網絡接口，方便用戶遠程操作設備。

過著如此高科技的生活也有不利之處。當我們把家里的東西都和網絡掛鉤時，那些聯網設備面臨的安全風險都會讓我們碰到：它們可能會“被黑”。

搜索了一條簡單的短語后，我就明白了一系列“智能家居”能干的傻事。這些家庭安裝了來自Insteon的自動化系統，用戶可遠程控制他們的燈光、浴室、電風扇、電視、水管、倉庫門、相機等等。主人可以借助智能手機或者網絡實現遠程控制。傻不傻啊?他們的系統可以在搜索引擎的結果抓取。由于Insteon默認不需要驗證用戶名和密碼，我點擊這些鏈接，就能“黑掉”別人的房間。打開倉庫門就能讓一個家庭成為被侵犯的目標。

托馬斯·哈勒的家只是我能入侵的8個家庭當中的一個。一些敏感信息遭到泄露，不僅包括他們使用的應用程序和設備，而且他們所處的時區、IP地址甚至孩子的名字都被獲取。顯然，當父母的希望能遠程控制家里的電視機。其中至少有3個家庭的網絡信息足以指向他們現實生活中所在的位置。

很多系統的名字都是普通的，但其中一家包含了街道信息，我能夠追蹤其至康涅狄格州的一所住宅。當我打電話時，一個名叫“克雷格”的家伙接了電話。他表示自己的副業是一名顧問，幫助有需要求的客戶安裝Insteon的設備。他本人使用該系統也有十年之久。當我自稱可以控制他家的系統時，他立刻有了敵意。

“有密碼的!”他暴躁地回應。“我希望潛在的客戶能夠看到系統，了解它的運行機制。你不可以控制它，只能看。”

我問他，我能打開他家的一個設備。他告訴我打開所在臥室的燈。我做完后，接著是一段意味深長的沉默。“有反應沒?”我問道。他說什么也沒發生就草草掛斷電話。我懷疑他說謊。第二天，他的系統上了鎖，只能通過用戶名和密碼進入。

Insteon的安全隱患是Trustwave公司安全專家大衛·布萊恩(David Bryan)丹尼爾·克洛利(Daniel Crowley)在智能家居設備中發現的個案之一。

去年12月份，布萊恩購買了Insteon的HUB設備，并在手機上安裝了應用，開始監視它的工作狀況。

“我看到的情況令人擔憂，”他說，“智能設備發送控制命令不需要授權。”

“你可以打開別人家的熱水器，讓他的電費賬單頂破天。”布萊恩說。他趕緊通過電子郵件聯系Insteon的技術支持，并詢問獲得用戶名和密碼的方法。 Trustwave近期曾就系統的脆弱性與Insteon溝通。Insteon后來解決了HUB的問題，并于2013年初召回該設備。當然，他們并未告訴消費者安全問題是召回產品的原因之一。

Insteon的首席信息官麥克·努爾斯(Mike Nunes)，他在網絡上看到的系統都來自一些停產的產品。它們之所以出現在搜索引擎中，完全是用戶的責任。他表示，老產品最初并非用于遠程控制，設置這種功能需要用戶費一點周折。裝置本身附帶操作手冊，告訴用戶如何將裝置聯網，并強烈建議他們增加用戶名和密碼。

“這需要用戶將一個鏈接粘貼至網絡，而用戶可能沒有設置用戶名和密碼。”努爾斯說。我告訴努爾斯，如果產品默認需要設置用戶名密碼，就不會犯這樣的錯誤。“我也支持和鼓勵這么做。”他說。

在托馬斯·哈勒的例子中，他創建了一個網站，作為接入家庭設備的入口。他的網站設置了密碼，但你可以繞開它，直接進入不受密碼保護的Insteon端口。 “可以這么說，我承擔一部分責任。因為家里的路由器是我親自配置的，”哈勒說，“但是我沒有意識到那個端口可以從外部網絡進入。”

Insteon公司當前的產品自動分配用戶名和密碼，這在產品發布的前幾個月是沒有的事情。布萊恩恰恰買的就是沒有被自動分配密碼的產品。布萊恩還表示，產品新的認證手段很“糟糕”。很多黑客只需很少的工作量就能夠破解它。

Insteon產品默認不需要密碼的問題和Trendnet IP相機幾年前的漏洞類似。不需要認證意味著任何人只要獲得相機的IP地址，就能觀看相機內的照片流。

即便沒有面向公眾的網站，只要產品具備這樣的隱患，任何人搞清楚系統的地址后就能控制他人的家居。

“這些技術的出現令人興奮，這些漏洞的存在令人心碎。”克洛利說。

他和同事發現的安全漏洞允許一個入侵者控制數個Insteon系統中的敏感設備，從Belkin WeMo開關到Satis 智能廁所。是的，他們發現廁所也能黑。你只要安裝了智能廁所的應用程序，離廁所的距離足夠近，那么你就可以與之通信。

“藍牙連接，無需用戶名或密碼，”克洛利說，“任何人在手機上安裝應用并接入網絡，就能控制別人的廁所。當有人如廁時，你可以打開坐浴盆。”

他們將在未來兩周舉辦的黑帽技術大會和Defcon黑客大會上公布發現。Trustwave指出公布這樣的漏洞是想讓公司知道產品發布前的安全測試有多重要。

還有一個問題，比如MIOS無線網關控制器，一旦它們接入網絡，那么它們就默認任何使用該網絡的都是授權用戶。所以，如果你能接入別人的熱點網絡，你就能控制他們的家居。“這些公司認為家庭網絡是防守的要塞，”克洛利說，“但大多數情況下，什么都不是。”

Insteon的漏洞之所以嚴重，是因為它允許任何人通過網絡接入。

研究人員能看到暴露在網上的系統，但是不想進一步搜索。我真的為此感到不安，在關掉其他人的燈之前，我都確保獲得這些用戶的許可，不然有可能面臨法律的指控。

“發現問題并報告給相關公司的人不用擔心觸犯法律，”一名擅長網絡安全法規的律師馬西亞霍夫曼(Marcia Hofmann)說。

“我們的演講重點是這些設備沒有良好的安全性，需要改善。”克洛利說，“很多缺陷研究幾個小時就能發現。”