解读

面试官想考察的是：

1. 对 Android 安全体系（尤其是 Camera2/HAL3 数据通路）的理解深度；
2. 能否把“Google 原生机制”与“国内无 GMS、需过工信部/网信办检测、要接米家/鸿蒙/天猫精灵 SDK” 的真实痛点结合起来；
3. 是否具备端到端隐私设计能力：从芯片-内核-框架-应用-云端-合规全链路闭环，而不是只背“权限声明+HTTPS” 这类八股。

知识点

1. 数据分级与最小权限：国标 GB/T 35273《个人信息安全规范》把“摄像头原始画面”划为敏感生物识别信息，需单独告知+取得“明示同意”，且不得出境。
2. TEE + 安全摄像头通路：Android 11 后 CameraService 支持 Secure Camera，帧数据直接进 TEE，通过 HIDL/stable AIDL 到 HAL3，APK 只能拿到加密句柄或裁剪后流。
3. 国密算法与密钥托管：国内方案通常把 Google Keystore 换成国密 SM4/SM9，密钥由 TEE 中的“可信应用 TA” 托管，云端只保存公钥加密后的密钥密文，满足《密码法》备案要求。
4. 本地差分隐私与边缘计算：在设备侧完成人脸检测、移动侦测，只上传匿名特征向量；原始视频用一次性会话密钥 SM4-CTR 加密后落盘，密钥 24 h 自动丢弃，实现“数据可远读不可远取”。
5. 防逆向与完整性：APK 用国内加固（腾讯乐固/360 加固）+ Java 层抽取壳，native 层用 LLVM 混淆；升级包做 VAB 无缝 A/B 差分 + 签名校验，防止降级刷入恶意 HAL。
6. 权限与沙箱二次加固：
   • 自定义权限保护级别：signature|privileged，只允许自家家庭中枢 APK 绑定 CameraService；
   • SELinux 新增 neverallow 规则，禁止 shell/system_app 访问 /dev/video*；
   • 对摄像头节点做 file-label 细分，只有 cameraserver 和 tee 可以读写。
7. 云端合规：
   • 数据不出境：租用华为云/阿里云“智能家居行业节点”，完成网信办云计算评估；
   • 用户注销权：30 日内删除全部明文密钥，后台使用“密钥删除即数据不可解密”策略，满足《个人信息保护法》第 47 条。
8. 审计与渗透：
   • 内置 SafetyNet 国内替代方案（如华为 Safety Detect）做设备完整性校验；
   • 出厂前通过移动应用安全联盟（MASA）+ 工信部安全五级认证，报告可公开查询。

答案

“针对智能家居摄像头隐私保护，我会从芯片到云端五个层面落地：

1. 芯片与内核：选用支持 TrustZone/TEE OS 的 SoC，打开 CamerIc 安全路径，内核启用 SELinux enforcing + seccomp-bpf，摄像头驱动只暴露 secure 非缓冲 IO，禁止 mmap。
2. 框架层：基于 Android 11 Secure Camera API，在 HAL3 pipeline 中插入“加密插件”，将原始 NV21 流用 SM4-CTR 加密后分块，通过 Binder 传递到应用层的是只读 Surface 句柄；同时利用 Hardware Keymaster 2.0 在 TEE 内生成 256-bit 会话密钥，密钥 24 h 未使用即自动焚毁。
3. 应用层：
   • 权限最小化：只申请 CAMERA 与 RECORD_AUDIO，高敏操作（查看直播、回看）采用双因素——系统弹窗 + 本地指纹/人脸二次认证；
   • 本地 AI：集成 MNN/TNN 框架做人形/哭声检测，特征向量经差分隐私加噪后再上传，原始视频始终留在本地加密分区；
   • 数据存储：采用 SQLCipher+SM4 扩展，加密数据库与日志，密钥由 TEE 托管，卸载应用即自动失效。
4. 传输与云端：
   • 链路：TLS1.3 + 国密双证书（SM2 签名+SM4 会话），证书固定（pubkey pin）防止中间人；
   • 业务：接入阿里云智能家居合规节点，数据不出境；用户发起注销后，云端调用 KMS 删除密钥密文，30 日内完成物理擦写，出具删除报告。
5. 合规与审计：
   • 隐私政策独立章节告知“摄像头数据用途、加密方式、存储期限”，用户首次绑定设备时通过 App 弹窗取得明示同意；
   • 通过工信部五级安全认证与 MASA 审计，出厂 ROM 自带完整性校验，任何 root/刷机都会触发云端风控禁用视频上传。

以上方案已在我们上一代带屏音箱落地，渗透测试 0 高危，隐私合规一次性通过网信办抽检。”

拓展思考

1. 如果设备要接入 Matter 协议跨平台互联，如何在 Commissioning 阶段把摄像头数据排除出共享数据集？
2. 当用户把设备二手转卖，怎样利用 Android 的 Factory Reset Protection + TEE 密钥清零机制，确保旧主人无法恢复历史视频？
3. 折叠屏/多摄场景下，多路摄像头同时加密会带来 10% 以上帧率下降，如何用 AIDL 共享内存 + DMA-BUF 零拷贝技术把性能损耗降到 3% 以内？