眼镜戴上脸，漏洞捅穿心：四月的可穿戴与安全

四月这个月，科技圈给我们上了一体两面的课。一面是”未来已来”：四月十五日，谷歌眼镜首次向美国普通消费者开放在线订购，只要你年满十八岁、人在美国，花一千五百美元就能把一台能拍照、能导航、能听你说话的小电脑戴到脸上。另一面却是一盆冷水：四月七日，一个名叫 Heartbleed 的安全漏洞被公开，几乎震碎了整个互联网——原来我们每天依赖的加密通道，心脏里藏着一道大出血的伤口。这篇文章，就想把这两件看似不相干的事放在一起聊聊。

先给判断：谷歌眼镜代表的可穿戴浪潮，正在把越来越多的传感器和镜头贴上我们的身体；而 Heartbleed 用最血淋淋的方式提醒我们，这个越连越密的世界，地基其实脆得很。未来越美好，我们越得回头看看脚下的安全。

一、谷歌眼镜向普通人敞开：一千五百美元的极客玩具

谷歌眼镜不是什么新面孔。它的探索者版早在一年前就发给了一批开发者和名人，售价一千五百美元，一直处在”少数人尝鲜”的状态。而四月这次开放订购，第一次把它从受邀制推向了所有美国成年人——虽然只开放了短短一天，但象征意义极大：谷歌正式把这台还很粗糙的设备，交到了普通消费者手里。

它能干什么？往轻了说，是一副能拍照、能录像、能看时间和短信、能靠”OK 眼镜”语音唤起的微型抬头显示器；走在路上它能给你导航，看到什么抬手就能拍下来，省去了掏手机的动作。往深了说，它代表着一种全新的交互方向——把屏幕从手里解放出来，贴到视野里，让计算真正”随身在侧”。配合谷歌此前展示的 Project Glass 愿景，这是在为后智能手机时代探路。

但争议从第一天起就没断过。最大的问题是隐私：一副永远可能在录像的眼镜戴在脸上，对面的人根本不知道自己是不是正在被拍。国外已经出现了一个略带嘲讽的词，形容那些戴着谷歌眼镜旁若无人录像的人。餐厅、影院、酒吧纷纷竖起了”禁止佩戴”的牌子。价格也是另一道坎——一千五百美元，对一个体验还很初级、续航也就一天的产品来说，实在不算便宜。所以这个四月，谷歌眼镜卖的与其说是一台硬件，不如说是一张通往未来的门票。

二、Heartbleed：藏在互联网心脏里的一道伤口

就在谷歌眼镜开放订购的大半个月前，四月七日，一个代号 Heartbleed（心脏出血）的漏洞被公开，整个安全圈瞬间炸锅。它藏在 OpenSSL 这个开源加密库的”心跳”扩展里——简单说，黑客可以发一个被恶意放大的请求，让服务器在回复时，把自己内存里本该保密的内容一并吐出来：私钥、会话、甚至用户的密码。更可怕的是，这个漏洞在公开之前，已经存在了两年多，而且几乎不留痕迹。

它为什么这么严重？因为 OpenSSL 是支撑整个互联网 HTTPS 加密的基石。全球大约三分之二的加密网站，包括大批银行、邮箱、社交网络，都在用它。这意味着，在漏洞曝光之后的那段时间里，无数人的登录状态和敏感数据，理论上都处在”可能被悄悄偷走”的状态。于是全球范围内上演了一场罕见的集体应急：各大网站紧急打补丁、更换证书、引导用户改密码。安全工程师们那几天几乎没合眼。

这件事最让我心里发凉的，不是漏洞本身，而是它背后的现实：整个互联网赖以安全运转的，是一个由极少数志愿者维护的开源项目，而它承载着天文数字的信任和资金。大公司们赚着海量的钱，却很少有人真正为这层地基的维护出力。一旦这几个人疏忽，整个世界跟着买单。Heartbleed 给所有技术人上了残酷一课——我们以为坚不可摧的安全大厦，其实建在几个业余爱好者的肩膀上。

三、当可穿戴遇上安全：我们究竟把身体交给了什么

把谷歌眼镜和 Heartbleed 放在一起看，那种错位感就特别强烈。一边，我们兴冲冲地把摄像头、麦克风、定位传感器戴到脸上、绑到手腕上，让设备二十四小时感知我们的一言一行；另一边，我们却刚发现，把这些数据加密送走的那条管道，居然漏了两年都没人知道。

可穿戴设备天然就是隐私和安全的重灾区。它采集的不是你坐在桌前主动敲下的几条信息，而是你一整天、你去过哪、你和谁说话、你看到了什么——这些被不间断记录下来的数据，价值极高，也敏感至极。一旦这类设备或者它背后的云端服务出现 Heartbleed 式的漏洞，泄露的就不再只是一个密码，而是一个人完整的生活轨迹。想想就让人后背发凉。

更麻烦的是，可穿戴设备往往把”上传”做得过于顺滑。为了让你无感，它默认开着定位、默认同步数据、默认连上云，用户几乎没有感知到自己正在交出什么。这种”便利即默认”的设计哲学，放在一个还在漏血的地基上，风险是成倍放大的。我接触过的不少团队，做手环、做手表时，满脑子想的都是怎么把步数和睡眠曲线做得更漂亮，却很少认真讨论一句：这些数据从设备传到手机、再传到服务器，中间每一跳，是不是都加密了？密钥谁管？保存多久？这些问题不解决，卖得越多，将来的麻烦越大。

所以我给做产品同行的建议是：安全在可穿戴时代绝不是一个可以后补的功能。你设计一个永远在线的设备时，第一件事就该问自己——这些数据存在哪、谁能看到、万一被拖库了用户会怎样。Heartbleed 之后还在把”回头再做安全”挂在嘴边的团队，迟早要还。对普通用户也是个提醒：越是方便、越是无感的设备，越值得多看一眼它的隐私设置。

四、照回国内

可穿戴这股风，国内一点都不慢。四月前后，智能手环、智能手表的讨论已经热起来，从国外的 Jawbone、Fitbit，到国内团队做的圆表和手环，各种各样”戴在身上”的小玩意层出不穷。大家都想抢占手腕这个继口袋之后的下一个贴身位置。但热闹之下，同样的隐私和安全问题，一点都不比海外少——而且我们的产品在用户数据保护上，往往走得更糙。

至于 Heartbleed，国内的网站和服务器一样没能独善其身。四月那几天，安全圈子里也在忙着自查 OpenSSL 版本、提醒用户改密码。这件事给国内从业者的启示尤其直接：我们有大量团队站在开源软件的肩膀上做生意，却很少有人回过头去给这些”地基项目”贡献代码或资金。与其等出了大事再连夜救火，不如平时就把依赖的开源组件摸清楚、盯紧安全更新。

结语。这个四月，谷歌眼镜让我们憧憬”把世界戴在眼前”的未来，Heartbleed 却把我们拽回现实：那个未来还没真正到来，我们脚下的安全地基就先裂了一道大口子。作为写代码的人，我最大的感触是——技术能把镜头送到脸上、把消息送到眼前，但如果连最基本的加密都靠不住，再炫的未来也不过是建在沙上的高楼。五月之后，可穿戴还会继续热，安全这根弦，却该永远绷紧了。