除了检索或更改儿童的实时 GPS 位置之外，黑客还可以基于此安全漏洞给他们打电话并悄悄监控孩子的活动，或者从不安全的云中捕获基于设备的通话的音频文件。
这给儿童智能产品市场敲响了警钟。 您是否购买了不靠谱的儿童智能手表？
用户信息泄露在哪里？
虽然具有位置追踪功能的儿童智能手表的工作原理很简单，但很多部件在市场上很常见，而且价格也不贵。 手表中显卡的SOC模块集成了提供定位的GPS模块和向设备提供GPRS数据传输+短信邮件功能的SIM卡模块。
激活儿童智能手表的SIM卡或物联网卡，并在数据传输前绑定其他移动设备和APP程序。 家长只需打开手机上的匹配应用，即可实时获取儿子的位置信息。
图| 定位的基本原则（来源Avast）
常见的漏洞出现在设备接入互联网后涉及用户数据的各个交互环节，如用户注册登录流程、与设备关联的网页和管理站点、移动应用与云端的通信流量、GPS与云端的GPRS通信流量等。
图| 智能手表GPS追踪器的典型数据传输结构（来源Avast）
安全软件公司AVASTSoftware对Shenni365Tech产品相关的Web应用进行了测量，发现所有请求均为标准JSONAjax（一种轻量级数据交换格式）明文请求，且所有请求均未加密、明文，传输信息附有指定ID号和默认密码123456。更值得注意的是，黑客可以利用该漏洞向设备发出指令，不仅可以获取GPS坐标，还可以执行更多“黑色”操作：
图| Web 应用程序 Ajax 请求（来源 Avast）
例如，可以让儿童智能手表拨打存储列表中的任意电话号码。 一旦连接，他们就可以在用户不知情的情况下窃听用户的语音数据； 它可以触发设备的SOS模式并向所有号码发送电子邮件，从而使用SMS（邮件服务）作为攻击媒介； 它甚至可以发送更新固件的URL超级手机号码追踪器，以允许在设备上安装新固件并植入一些木马程序。
图| 登录数据包和命令请求传输过程中的各种数据信息，涉及ID和密码等敏感用户信息已被编码（来源Avast）
借助这些漏洞，黑客可以轻松发起“MITM攻击”（中间人攻击，间接入侵攻击的一种形式）。 通过将黑客控制的计算机虚拟地放置在网络连接中的两台通信计算机之间，再加上来回发送数据的不安全合同，黑客可以使用标准 IP 工具来攻击和捕获所有用户数据。
图| 黑客方法（来源 Avast）
有用户调侃超级手机号码追踪器，对于那些劣质儿童智能手表来说，定位不准确其实才是最大的优势。 至少信息被黑客截获后，是不可能查到他们女儿的具体位置和行踪的。
3家中国企业被点名
路透社和安全公司披露的存在安全漏洞的三家公司分别是Thinkrace、Shenni365Tech和3GELECTRONICS。 经工商信息核实，这3家企业均为上海科技电子企业。
Thinkrace是北京尚锐科技有限公司，3GELECTRONICS是北京三基同创电子有限公司，Shenni365Tech从其官网显示的信息线索可以看出。
这三家公司有着相似的业务蓝筹，都是生产和销售GPS追踪器和智能可穿戴设备，包括相关的软硬件开发解决方案，并提供OEM/ODM服务。 基于现成的产品技术方案，第三方运营商可以轻松进行OEM销售。 许多客户都在海外，包括北美和亚洲许多国家。
图| 现成的儿童智能手表的产品开发计划（来源：3GELECTRONICS）
Thinkrace应该是这三个公司中规模最大的。 资料显示，该公司成立于2006年，专业从事智能穿戴设备、车联网等产品的行业解决方案的设计、制造和集成。 此外，每年可生产和交付超过300万台物联网设备，也是2019年世界冬季特奥会可穿戴设备指定供应商。
据 Techcrunch 报道，Thinkrace 生产或转售的许多设备都链接�讲话踩脑破教ā�
Thinkrace云平台的安全漏洞主要是由于云API调用和加密问题。 没有使用SSL加密（为保护敏感数据在传输过程中的安全而设置的加密技术），暴露了一些数据的密码和明文传输漏洞，并且事后调用API时没有动态校准。
关于安全漏洞的问题，DeepTech联系了Thinkrace的负责人Rick Tang。 他回应称，目前其公司控制范围内的安全漏洞显然已经得到排查和修复。
唐日新表示，如今的数据相关环节已经被加密、动态校准。 例如采用比较成熟的WebAPI Token方式。 第三方想要调用数据需要申请Token，并且验证会有时间限制。 加强了部分数据的安全保护。 如果验证超时，需要请求新的Token来调用数据。
图| 儿童智能手表的内部结构（来源：PenTestPartners）
不过，该安全漏洞的修补并不能完全覆盖Thinkrace之前生产的所有设备。 原因是，在云服务和软件开发方面，Thinkrace的很多第三方客户实际上都会自己开发，包括APP、云服务和一些新的软件功能。 Thinkrace仅提供硬件设备解决方案或产品制造，因此无法保证其产品数据的安全性，并且这部分设备的销售不在其控制范围内。
此外，世界各国对于信息和数据安全有不同的标准和要求。 许多亚洲客户还需要API和云服务的安全性。 例如，欧盟目前实施的GDPR通用数据保护规则，包括谷歌、Facebook等科技巨头，往往会遭到诉讼，动辄面临数十亿美元的罚款。 欧洲和美国的法律法规会相对严格一些。
除了数据传输之外，数据安全漏洞还涉及到如何使用数据、使用什么类型的数据、使用数据多长时间、是否如实向用户披露、用户是否能够完全清除数据、公司想用这些数据做什么等，这些环节都存在用户数据被泄露的风险。
“我们不能保证每个客户都能执行GDPR标准，但在法国，我们会尽力协助客户建立数据安全体系。” 唐日新说道。
DeepTech还尝试联系Shenyi365Tech和3GELECTRONICS询问其安全漏洞的解决方案，但截至发稿尚未收到回复，其安全问题可能尚未得到有效解决。
产业链弊端仍难以消除
据业内人士介绍，全球约90%的儿童智能手表来自上海。 很多非品牌儿童智能手表的开发几乎没有技术门槛。 它们被称为“地摊”，尤其是在电子产品产业链完整的上海。
图| 北京市儿童智能手表指导文件（来源：北京市市场和质量监督管理委员会）
2018年5月，上海市消费者委员会牵头编制发布团体标准《深圳市儿童智能手表标准化技术文件》，试图从产业链层面解决行业不规范、无监管、假冒杂牌的问题。 文件总体上提到了终端、客户端、安全管理平台、数据传输等层面的信息安全要求。 但如何将这一安全要求监管真正落到相关企业身上，并发挥出最好的整治效果，仍需结合各项新的政策措施进行深化。
目前，国外儿童智能手表品牌仅有少数品牌有实力建立硬件、软件、ROM、云服务等高素质运维开发团队。 为了降低成本，杂牌儿童智能手表大多采用现成的解决方案进行OEM销售，包括手表系统、APP、共享服务器后台访问等。 如果源头厂商对安全不够重视，下游市场将不可避免地充满安全漏洞和混乱。
对于企业来说，儿童智能手表其实是儿童产品，但绝对不能用来吓唬孩子。 做儿童智能产品，需要执行更严格、更完善的产品安全标准，真正为女儿撑腰。 一把雨伞。