DEF CON 33 Recon Village - Investigating Foreign Tech from Online Retailers - Michael Portera

這場網路安全演講深入揭露了從亞馬遜購買低價中國智能手表隱藏的供應鏈與隱私風險。講者Michael Cordeira是華盛頓特區中型國防承包商Secure Inc.的網路安全副總裁，曾在四大咨詢公司工作八年，並於2020年創辦一家公司（2023年被收購）。他因朋友詢問一款30美元智能手表是否安全而開始這項調查。

亞馬遜的中國卖家問題根深蒂固。中國卖家占據前10,000名卖家的50%，這一現象源於2015年亞馬遜推行商標要求政策後，中國卖家採取的應對策略：大量註冊隨機字母組合的品牌名稱。這個做法巧妙地利用美國專利局自動審核系統的弱點——無意義的隨機商標申請幾乎肯定會被自動批准，而普通品牌名稱反而容易觸發人工審查並被拒。一旦某個品牌被禁用，卖家只需改註冊新商標、新公司名稱，即可重新上架同樣的產品。這形成了無限循環，導致亞馬遜上充斥著虛假評論、假冒產品與質量問題。

講者通過多層追蹤揭露了供應鏈的刻意隱瞞。這款手表的品牌「永新鼎」（Rxing Eggs）由vipvipasg.com註冊，但進一步調查發現，另一家名為Fospat的公司也銷售類似產品，使用相同的硬體、相似的品牌名稱，聘用的美國專利局律師都是同一人（Roy）。通過YouTube搜尋，講者找到相關頻道Hake Fit（已於2023年8月23日棄用），涉及一位「施密特博士」。供應鏈涉及中國、意大利、英國等多個地點，WhatsApp號碼來自英國，但聲稱公司位於意大利。FCC報告透露了進口商信息，但當監管機構質疑地址準確性時，對方回覆稱谷歌圖片已模糊化，FCC接受了這一答覆。這一系列跡象表明，單一運營商持有1,600+商標並刻意分散身份。

硬體拆解相對簡潔。講者自製（而非從FCC報告獲取）的內部照片顯示，該手表採用台灣瑞昱的藍牙晶片、上海普亞的固件、深圳製造的藍牙模組和LCD屏幕。這些都是市場上大量使用的通用低成本元件，沒有發現隱藏的Wi-Fi模組或特殊的惡意設計。講者強調，以30美元的價格，硬體本身沒有什麼可抱怨的——消費者所付代價與所得組件相符。真正的威脅不在硬體。

隱私風險集中於軟體層。這款手表配套的Android應用通過藍牙連接到手機，收集用戶的位置、心率、睡眠周期、卡路里攝入、月經週期等詳細健康數據，並擁有麥克風用於語音交互。更令人警惕的是，該應用以明文HTTP（而非加密的HTTPS）方式傳輸所有數據至中國伺服器，涉及QQ等中文基礎設施。應用還要求過多系統權限，包括後台定位和接聽電話功能。使用開源的Mobile Security Framework工具進行逆向工程分析極為簡單：只需從網站下載APK檔案，放入Docker容器或Linux虛擬機，即可輕易識別出明文傳輸、權限過多、加密缺失等致命漏洞。任何網路監聽者都可以截獲這些未加密的敏感信息。

講者還指出，這類低價產品的危害遠超隱私，還涉及物理安全。歷史上曾有易燃材料、含鉛杯子、電浸式加熱器起火、失效的烟霧探測器、熔化的充電寶傷人等案例，均被美國消費者產品安全委員會記錄。供應鏈的複雜性與卖家的匿名性使得追究責任極為困難，被禁的品牌輕易改名重來。