某工业物联网设备厂商近日就其工业网关产品发布安全通告，披露两项安全缺陷，其中一项被评估为高危。通告显示，该设备系统管理程序中内置了硬编码的加密密钥，攻击者只要处于设备相邻网络，即可提取私钥材料，进而破坏设备通信的保密性与完整性；另一项缺陷为内部密钥管理接口缺少授权校验，低权限账户可直接读取密钥材料与敏感配置。厂商已在后续版本中修复，并建议用户尽快升级。

　　这两项缺陷的共同点在于"密钥治理失序"。硬编码密钥意味着同一固件版本的所有设备共用同一份密钥材料，一旦某台设备被拆解分析，整个产品批次的通信保护同时失效。而接口缺少授权则是更基础的设计问题——把最敏感的密钥读写能力暴露给低权限账户，相当于给设备后门留了一把备用钥匙，只是这把钥匙本来不该配。

　　受影响设备主要部署在关键制造、能源与水务场景，通常作为现场设备与上层系统之间的数据通道。这类产品的使用寿命普遍在十年以上，固件更新往往依赖现场工程人员逐台操作，修复率远低于消费级产品。因此，硬编码密钥这类问题一旦出现在工业网关上，实际风险窗口会被拉长到难以预估的程度。

　　从标准视角看，密钥生命周期管理本来就是信息安全评估的核心条款之一。以 ISO/IEC 15408 体系为代表的评估方法要求，被测设备的安全功能必须经受独立验证，包括密钥的生成、存储、分发与销毁各环节是否有可审计的保护措施，以及不同权限主体之间的访问是否被严格隔离。国内 GB/T 41789-2022 等标准同样对智能设备的身份鉴别与访问控制提出了明确要求。对设备厂商而言，把密钥从代码里搬到受保护的安全模块，并对外部接口实施最小权限，应作为产品设计阶段的基本前提而非后期补丁。