FCC调查或令其自创的物联网安全认证计划陷入困境

美国政府正着手为物联网设备建立一项网络安全认证标志计划，但这一雄心勃勃的项目正面临来自其发起机构自身的严重威胁。

在拜登政府时期，美国联邦通信委员会（FCC）高调启动了美国网络信任标志计划。政府官员和科技行业高管曾表示，该认证流程将改变联网设备的安全现状，大幅提高黑客利用这些设备发动网络攻击的难度。然而，在唐纳德·特朗普总统就职数月后，FCC新任共和党主席对委员会工作人员刚刚选定负责该计划的公司——总部位于伊利诺伊州的检测巨头UL Solutions——就其与中国的关联展开调查。

FCC对此次调查透露甚少，外界不清楚调查进展如何，甚至不清楚调查具体要查明什么。这种模糊性令部分网络安全专家及拜登政府前官员感到担忧，他们认为旷日持久的调查可能削弱该计划，进而延长网络空间中的危险状态。

“如果长期推进而不尝试实施类似计划，”专注于电信事务的Squire Patton Boggs律所高级合伙人Paul Besozzi表示，“消费者面临的风险只会越来越大。”——这其中也包括众多为办公场所配备联网设备的企业。

放心购买

多年来，黑客一直劫持安全性薄弱的物联网设备，组建僵尸网络并发动导致业务中断和数据失窃的网络攻击。为改变制造商出货缺陷产品的激励结构，拜登政府与FCC合作，创建了一个政府背书的联网设备安全标签，类似于美国环保署的能源之星能效标签。

FCC在拜登政府任期尾声启动了美国网络信任标志计划，白宫当时称赞这一启动是一个转折点，将鼓励供应商改进产品，并鼓励从个人到企业的客户在购物时优先考虑安全性，尤其是在敏感使用场景中。

“许多设备的物联网安全现状并不理想，”战略与国际研究中心战略技术项目主任、曾参与启动网络信任标志计划的前国家安全委员会工作人员Matt Pearl表示，“我们的想法是创造一场‘逐顶竞争’。”

计划启动后，经UL及其他计划管理方批准的公司将对智能家电、监控摄像头等物联网设备进行测试，评估其在数据保护、访问控制、生命周期文档等功能上的表现。拟议的测试标准仍在审查中，要求包括组件清单、支持用户数据安全删除、限制安全设置变更以及能将产品恢复至安全默认状态等功能。

符合标准的产品将被授权展示该计划的标签，表明其获得政府认可，旨在让安全产品对企业及个人买家更具吸引力。一个公共数据库将收录每款认证产品的测试结果信息，包括制造商承诺提供支持的时间段。

聚焦“不良实验室”

随着特朗普新任FCC主席Brendan Carr着力阻止与美国对手有关联的公司参与FCC项目的认证工作，网络信任标志计划蒙上了阴影。今年5月，委员会禁止这些所谓的“不良实验室”参与其工作。拜登时期的FCC此前已阻止部分不受信任的公司担任网络信任标志计划的管理方。但曾投票支持该计划的Carr认为限制力度不够。6月，他确认了福克斯新闻的一篇报道，称FCC正在调查UL与中国政府所有企业的合资企业及其在华运营实验室的情况。

Squire Patton Boggs的Besozzi解释说，仅凭合资企业本身可能不足以触发FCC标准下对UL的排除，但如果委员会掌握更严重问题的证据，展开调查也不足为奇。

Pearl表示支持FCC的调查，尤其是如果调查聚焦于UL在华开展测试的“合理疑问”，但他补充说，“仅仅因为他们有合资企业”不应成为取消资格的理由。

UL拒绝就FCC的调查置评。UL首席企业传播官Kathy Fieweger表示，公司“非常重视网络安全，并且始终以透明和诚信的方式运营”。“我们理解该计划正在接受审查，”她说，“但目前尚未收到任何情况发生变化的迹象。”

对异常调查的质疑

其他观察人士对网络信任标志计划突然延迟持更为批评的态度，该计划曾获两党支持，并经历了多年的法律审查和公众意见征询期。

“这次调查是个笑话，”一位要求匿名的前政府官员直言。FCC选择UL“是因为他们在处理这类事务方面经验丰富”，这位前官员补充道。如果委员会担心北京可能利用其中国员工为筹码胁迫UL，“那我们面临的问题就更大了”，这位前官员说，“考虑到UL在美国消费品生态系统中对健康与安全测试所扮演的角色。”

FCC未回应多次置评请求。

鉴于业界对标签计划的广泛认可，进一步延迟可能考验科技行业对FCC调查的耐心。该计划“是个好主意”，Besozzi说，“应该努力推进”。Skadden, Arps, Slate, Meagher & Flom LLP合伙人兼网络安全业务联席主管David Simon表示，他“不知道”FCC此前是否曾对刚批准负责其项目的公司展开国家安全风险调查。

势头面临风险

专家表示，FCC调查持续越久，对网络信任标志计划的削弱就越严重。长期拖延可能使物联网供应商不愿提交产品进行测试，从而严重限制计划效力。

“我与一些公司交流过，他们告诉我，他们正在决定是否要费心参与这个计划，”Pearl说。计划成功的最关键因素“是要有源源不断的公司提交产品”，上述前政府官员表示，包括LG和三星在内的韩国主要联网设备制造商“已准备好启动”。

使其运转，或决裂

专家指出，FCC有几种方式可以结束调查并让网络信任标志计划重回正轨。一种选择是让UL承诺不在其中国实验室进行该计划的测试（该公司未回应关于是否已作出此类承诺的邮件询问）。“我认为将测试移出中国会是相当容易的缓解措施，”Pearl说。

如果合资企业是FCC最大的担忧，“他们很可能想出某种缓解办法，”Pearl说。如果公司领导层认为合资企业不如监督网络信任标志计划带来的声誉提升重要，UL可以选择终止合作。

FCC也可以选择撤销对UL担任首席标签管理方申请的批准。那将是最具破坏性的选项，因为这将迫使委员会重新启动选择首席管理方的流程。FCC可以将该职责交给其他标签管理方，但目前尚不清楚其中是否有任何一方准备好承担项目领导工作。

Besozzi表示，尚不清楚UL的中国关联“是否会导致其被取消资格”，但他补充说，鉴于Carr对排除“不良实验室”的关注，“我认为你必须想出某种机制来缓解这些担忧。”

来自欧洲与行业的压力

尽管FCC调查加剧了人们对网络信任标志未来的焦虑，但专家表示，该标签本来也并非即将推出。即使在UL调查开始之前，该计划距离接受产品提交还有数月之遥。测试标准仍需经过公众意见征询期并获得FCC批准（UL于6月提交了拟议标准），各方也尚未最终确定标签的设计。

“我们距离人们真正申请这些标志还很远，”Besozzi说，“还有很长的路要走。”

该计划的未来可能取决于科技行业如何与FCC互动。欧盟新《网络弹性法案》中的物联网安全强制要求，可能会增强供应商在美国宣传其安全性的意愿。Carr一直在“与业界对话”，Pearl说，企业“总体上非常支持该计划”。