活动 | 奖池50万！【第六期】小米米家智能门锁安全守护计划

 

活动简介

小米米家智能门锁是小米公司于2018年12月5日正式发布的一款智能门锁，支持指纹密码等6种开锁方式（指纹解锁/小米手机NFC开锁/蓝牙解锁/20位的虚位密码解锁/临时密码解锁/机械钥匙解锁），采用C级智能锁芯配置，能与小米智能设备联动

 

测试时间

2019年7月1日 – 2019年8月15日

 

活动详情

测试固件版本 ：>= 2.2.1_0121

漏洞提交地址：https://sec.xiaomi.com/submit/project/6

注：本期仅接受智能锁设备自身安全漏洞报告，APP、控制插件安全漏洞参照小米SRC奖励标准进行评估。

评分标准

小米重视该产品在任何使用场景中面临的安全风险（开锁为主要目的，对使用造成影响为次要目的），并按利用条件与影响等因素进行威胁评估，具体分为 5 个维度：

1. 漏洞危害
   未授权开锁 20 分，固件植入后门开锁 10 分 ，越权篡改设置 5 分，非人为物理破坏造成的电子锁失灵而导致无法开锁 1 分
2. 影响范围
   所有用户 10 分，特定条件下的大量用户（>100） 5 分，极个别用户 1 分
3. 隐私风险
   获取用户开锁凭据（密码、指纹、KEY、NFC等） 10 分，蓝牙通信解密 5 分，设备动态获取 1 分
4. 利用难度
   近场非接触开锁 40 分，外面板接触（短时 < 2分钟）开锁 20 分，外面板接触（长时 > 2分钟）开锁 10 分，PCB板接触开锁 1 分
5. 前置条件
   无需交互开锁 20 分，需用户行为交互（被动）开锁 10 分，强交互/拆解/留痕/非默认设置开锁 1 分

使用破拆工具（如电钻、切割机、特殊工具等）通过锁芯、锁体等门锁部件而开锁的，不计入评分

PCB 板接触开锁仅限门锁前（外）面板内的PCB板接触

奖励细节

1. 本期小米智能生活安全守护计划奖金池总额 50 万元人民币
2. 根据漏洞得分进行奖励，得分 / 100 * 奖励系数 ，90 分以上奖励系数 200000，70 – 90 分奖励系数 100000 ，70 – 50 分奖励系数 50000，50 及以下奖励系数 10000

3.终极目标除可获得满分奖励外，还可获取奖池最终剩余奖金，不同终极漏洞报告均分剩余奖金

1. 提前公布细节、虚假漏洞、已知重复漏洞等行为不予奖励
2. 如最终结果超过奖池 50 万上限，则对奖励进行等比稀释

本期终极目标

通过漏洞可以已 近场非接触方式 打开任意小米米家智能门锁。

需要目标测试设备信息请联系 security@xiaomi.com

已知行业问题

智能门锁行业常用模组存在一些已知低风险安全隐患，为了防止重复提交，本期活动排除几处行业性质的已知问题，在测试个人或团队提交相同问题时我们会提供电子声明的原件，以下为原件 hash 值。

本期已知问题声明地址：https://github.com/MiSecurity/PublicTest/blob/master/mijia_lock.md

注意事项

1. 违反测试条款泄露漏洞细节危害用户安全的，小米有权拒绝对其奖金发放并追究其相关法律责任
2. 测试过程与项目结束后，请对漏洞报告中所有细节严格保密，不得进行细节披露、公开PR、细节公开演讲等行为，违反者小米公司有权追究法律责任
3. 测试过程中不得影响正常用户使用，禁止使用 DDOS 等暴力测试攻击服务器，任何以测试为理由造成用户或者小米公司损失的，小米公司有权追究法律责任
4. 任何因测试规则与测试过程中产生的争议情况可联系 security@xiaomi.com 协商解决
5. 小米安全中心在法律允许的范围内对本活动评判标准和规则拥有解释权与修改权

 

 

文末福利

微信朋友圈转发此文章集赞截图联系运营小姐姐，获赞前三名的小白帽可以领取小米安全定制卫衣一件

感谢小白帽们与我们共同守护小米数亿用户的数据安全，长按关注我们，随时知晓MiSRC动态