O2.03.4Hardware-coupled privacy indicator设计研究
硬件指示灯比软件图标更难被恶意程序伪造或屏蔽
别名: 硬件耦合指示灯 · 物理采集指示 · hardwired indicator
概念解释
硬件耦合隐私指示器（hardware-coupled privacy indicator）把灯或其他物理信号与传感器供电、时钟或数据通路连接，使采集发生时指示也必然激活。相比由应用或普通界面进程绘制的软件图标，它更难被窗口覆盖、截图伪造或通过应用权限关闭。“硬件”本身不是保证；可信度来自采集与指示在电路或受保护固件中的不可分离关系。
机制
软件图标与传感器访问若经过独立控制路径，攻击者只需破坏显示路径就能产生“采集开、提示关”的状态。硬件耦合把两者合并成一个物理不变量，绕过通常需要修改固件、电路或更高特权层。它也减少复杂显示栈、全屏模式和崩溃造成的漏报。不过硬件灯的信息带宽低，常只能表达开或关，来源和用途仍需软件详情补充。
怎么研究
安全评估应从电路图、固件状态机和驱动接口验证耦合点，再尝试绕过正常 API、直接访问设备、覆盖显示、降级固件和快速脉冲采集。故障注入可测试灯损坏、供电异常与传感器仍可用的组合。结论应说明攻击者能力；抵抗普通应用不代表抵抗内核、固件或物理攻击。
边界
硬件方案增加成本、能耗、空间和可维修性，且灯被贴纸遮挡或损坏后仍可能失效。某些处理读取的是先前缓存而非实时传感器，物理灯不会说明后续使用。虚拟传感器、屏幕捕获和远程数据源也不一定有对应电路。软件指示可提供应用、时间与权限控制，适合作为硬件信号的解释层而非简单替代。
怎么落地
- 将指示触发接入传感器实际可产生数据的供电或受保护控制路径，记录无法耦合的例外。
- 设计故障安全状态：指示器故障应阻止敏感采集或产生明确硬件故障信号。
- 用软件详情补充应用来源和停止控制，但保持物理信号不受应用窗口与主题影响。
- 对威胁模型中的每种权限级别做采集—指示状态矩阵和故障注入；任何“可读数据且灯灭”的路径必须被消除或显著公开限制。