安全更新标签：为物联网消费产品的安全补丁建立经济激励
密码学与安全
2019-06-27 v1
摘要
随着物联网（IoT）的扩展，由于不安全及配置错误的物联网设备导致的安全事件数量正在增加。特别是在消费市场，制造商以牺牲全面的安全策略为代价，专注于新功能和尽早发布。因此，专家们开始呼吁对物联网消费市场进行监管，而政策制定者正在寻找合适的监管方法。我们研究了如何激励制造商为物联网产品增加可持续的安全投入。我们提出了强制性的安全更新标签，在消费者做出购买决定时告知其制造商未来提供安全更新的意愿。强制性意味着标签会明确说明何时不保证提供安全更新。我们进行了一项超过1400名参与者的用户研究，通过联合分析评估安全更新标签对消费者选择的重要性。结果表明，安全更新的可用性（保证更新到何时）对消费者整体选择的影响占8%到35%，具体取决于产品类别的感知安全风险。对于感知安全风险高的产品，这种可用性的重要性是其他高排名产品属性的两倍。此外，安全更新的提供时间（漏洞发现后产品将多快被修补）额外占消费者选择影响的7%到25%。所提出的标签易于被消费者直观理解，无需第三方在产品发布前进行评估，并具有激励制造商提供可持续安全支持的潜力。
引用
@article{arxiv.1906.11094,
title = {Security Update Labels: Establishing Economic Incentives for Security Patching of IoT Consumer Products},
author = {Philipp Morgner and Christoph Mai and Nicole Koschate-Fischer and Felix Freiling and Zinaida Benenson},
journal= {arXiv preprint arXiv:1906.11094},
year = {2019}
}
备注
To appear in the Proceedings of the IEEE Symposium on Security and Privacy (S&P) 2020