Z6.05.4Storage location and exposure risk设计研究
存储位置决定了数据被访问或泄露的实际风险
别名: 数据驻留 · attack surface · 数据存在哪
概念解释
同样一段家庭录像，存在设备里的 SD 卡、家里的 NAS、厂商云、还是第三方云，实际风险完全不同。隐私风险不在「拍没拍」，而在「数据物理上在哪、谁能触达」——存储位置决定了攻击面的形状与大小。评估家用摄像头（以及一切产生敏感数据的家用传感设备）时，正确的问题不是「它录不录」，而是「录下的东西住在哪、有几份、谁能拿到」。
这个判断把隐私讨论从「采集时的同意」移到「存储后的可达性」：同意解决不了存储位置带来的暴露，一张存在错误位置的 SD 卡和一个被攻破的云账号，差别不靠当初同没同意来弥合。
机制
风险由触达路径决定，存储位置就是路径清单：
- 本地存储（卡、NAS）：触达要求物理接近或局域网入侵。攻击面窄——要偷你家录像，先要进你家门或你家网。
- 厂商云：数据进入「可远程触达」的空间。路径成倍增加：账号密码（钓鱼、撞库、共享密码）、平台漏洞、员工与外包访问、执法调取、公司并购后的数据转移。攻击面从一户扩大到全部用户——云端单点被攻破，泄露以百万计，历史上多起大规模摄像头流泄露事件都是这个模式。
- 存储位置还决定控制权的归属：本地数据可以物理处置（拔卡、断电、销毁）；云数据的生命周期由厂商策略决定——保留时长、删除是否真实、是否用于训练，用户说了不算，且条款可以单方变更。
同一份内容，存储位置每上移一级（设备→局域网→云端），触达它所需的最低门槛就下降一截——风险是位置的函数。
怎么研究
- 事件研究：以真实的云摄像头泄露事件为样本，归因架构共性（云端弱隔离、明文存储、可枚举接口），对照本地存储型产品在同类攻击下的暴露差异。这类研究为「存储位置决定风险」提供了自然实验。
- 威胁建模比对：对同一产品族分别做本地与云存储的攻击树分析，枚举路径并按所需能力分级（物理接近/网络入侵/凭据/平台漏洞），量化两类架构的攻击面差异。
- 用户认知研究：度量用户对「数据存在哪」的认知与现实的一致率——智能家居访谈里用户对云存储的默认状态普遍缺乏概念，以为自己「存在摄像头里」。
方法论注意点：云的风险不是静态的——厂商策略（保留期变更、接入第三方分析）会改变暴露面，横向比较要锁定同一时间点的策略，纵向跟踪才能捕捉策略漂移。
边界
- 本地存储不是绝对安全。 设备固件漏洞可被远程利用，内网横向移动是真实攻击模式，SD 卡可被物理盗取；本地只是攻击面更窄，不是免疫。
- 云的风险不是均匀的。 端到端加密的云方案把厂商侧触达基本移除（厂商也解不开），残余风险集中在元数据与账号安全——「云」内部至少要分「厂商可读」与「厂商不可读」两档讨论。
- 加密的前提是密钥管理。 「加密存储」若密钥托管在厂商或弱口令可推导，加密形同虚设；评估加密方案要连密钥归属一起看。
怎么落地
- 购买时把存储位置当第一规格看，排在分辨率、夜视之前：先问「原始数据存哪、能不能只存本地」。
- 敏感区域的视频只进本地存储（卡/NAS），并确认设备断外网时录像功能完整存活。
- 选云方案时确认三件事：传输与静态是否加密、是否端到端（厂商能否解密）、删除是否真实生效；默认开启端到端加密选项。
- 画数据路径图：设备 → 传输 → 存储 → 谁可访问，每段标出责任方；这张图贴在家庭配置决策里，比任何「隐私承诺」都可审计。
- 验证办法：断外网测试（本地功能是否存活）+ 从账号侧审计活跃会话与数据导出路径；两者结果与厂商宣称一致才算数。