四州起诉TP-Link：路由器安全与供应链争议全解析

四州联合起诉TP-Link：路由器安全与供应链信任危机

美国四个州的司法部长在10月6日同时出手，佛罗里达、爱荷华、内布拉斯加和蒙大拿分别对TP-Link Systems提起消费者保护诉讼，指控这家路由器厂商在产品安全性和与中国业务的关系上误导了消费者。同一天，TP-Link给出了措辞强硬的回应。

这组诉讼的核心矛盾可以归结为三个待证事实：路由器的安全宣称是否站得住脚、零部件的真实来源在哪里、企业治理关系究竟如何。这三者都关系到安全决策，但没有一个能靠一份新闻稿或一纸诉状来定论。

诉讼的核心指控

四个州的起诉书用不同的法律语言表达了同样的两项指控：TP-Link夸大了路由器的安全程度，同时淡化了其研发和制造对中国供应链的依赖。佛罗里达州司法部长James Uthmeier指控该公司误导消费者，并寻求对每项故意违规行为处以最高10,000美元罚款，若违规行为针对老年人、残障人士、军人或退伍军人，罚款上限升至15,000美元。

爱荷华的起诉文件直接点出了安全宣称问题，引用了诸如"安全的访客Wi-Fi访问"、"精细化密码安全"和"全新网络安全水平"等产品宣传语。该文件还援引了联邦层面的材料，包括FCC公共安全和国土安全局的警告——被攻陷的路由器可能引发深度网络监控、数据外泄、僵尸网络攻击以及对政府或企业网络的未授权访问。

内布拉斯加的起诉文件提供了最具冲击力的数字：TP-Link控制着美国Wi-Fi系统及小型办公室/家庭办公室路由器零售市场至少60%的份额。该文件进一步主张，该公司越南工厂的绝大多数组件从中国进口或经由中国转运，建设该工厂的承包商与中国军方有关联。

FCC公共安全和国土安全局是美国联邦通信委员会（FCC）下设的两个关键机构。公共安全与国土安全局（PSHSB）主要负责在通信网络面临自然灾害、恐怖袭击或网络攻击等威胁时，协调应急通信和网络恢复工作，并发布相关安全警告；而FCC的国土安全职能则聚焦于通信供应链安全，包括对外国制造设备的风险评估。这两个机构对路由器的警告之所以具有分量，是因为它们并非普通的消费者提示，而是基于联邦层面对通信基础设施风险的评估。被攻陷的路由器之所以危险，在于它们位于网络边缘，是流量的必经之路，攻击者可借此实施中间人攻击、DNS劫持、流量镜像等操作，且普通用户几乎无法察觉。

可执行的安全细节：固件支持状态

在所有指控中，有一个细节独立于诉讼结果之外，买家今天就可以核实。佛罗里达的起诉书点名了若干旧型号，包括TL-WR940N、Archer C7和Archer AX21的早期版本，其中部分型号已不再接收安全更新，也不支持固件自动更新。

一台无法自我更新的设备会一直保留出厂时的漏洞，而这类硬件在小企业中往往无人专门盘点。未打补丁的路由器在小办公网络中是一个全网性问题——它能看到离开站点的每一条流量，还持有连接互联网服务提供商的凭证以及对Wi-Fi和访客访问的管理界面。

可以立即执行的规则很简单：对站点上每一台路由器，记录型号、固件版本和厂商最后发布更新的日期，然后替换或隔离厂商已不再维护的设备。如果设备位于访客网络或已分段的VLAN上，暴露面会缩小，替换的紧迫性也随之降低。

终止支持（End-of-Support, EoS） 是指厂商正式停止为某款产品提供固件更新、安全补丁和技术支持的日期。一旦设备进入EoS状态，此后发现的安全漏洞将不再获得修复，设备会永久停留在已知不安全的固件版本上。与之相关的概念是生命周期终止（End-of-Life, EoL），通常指产品停止销售，但可能仍在支持期内。对网络设备而言，EoS日期比EoL日期更关键，因为安全更新停止才是暴露风险急剧上升的节点。许多厂商会在官网公布EoS/EoL公告，但信息往往分散且不显眼，采购和运维人员需要主动查询并记录。对于不再接收更新的路由器，网络分段是一种缓解措施：将设备隔离在独立的VLAN或访客网络中，限制其被攻陷后横向移动和访问核心资源的能力，从而降低风险直至完成替换。

60%市场份额意味着什么

规模是单一厂商的支持政策变成公共议题的原因。当一个厂商持有这样的市场份额时，其固件政策的任何变化都会同时影响市场的很大一部分，包括那些从未对安全性做出明确采购决策的站点。

监管层面进一步叠加了压力。据Ars Technica报道，这些诉讼发生在FCC禁止在美国境内全部或部分生产的消费级路由器之后。10月7日，以在内布拉斯加为首的21位州司法部长致函FCC，就TP-Link申请有条件批准在美国销售新款路由器一事提出质疑，认为其与中国的关系构成了FCC做决定前必须解决的安全隐患。合规问题现在已经附着在产品类别本身之上，这改变了采购决策所覆盖的范围。

对于美国以外的中小企业，解读更窄但仍有用：供应商身份和司法管辖区会出现在威胁模型、更新流程以及支持承诺可被验证的速度中。实际做法是将这些问题视为购买前需要用证据来回答的事项。

FCC禁止在美国境内全部或部分生产的消费级路由器这一监管行动，通常依据的是FCC对通信设备授权（Equipment Authorization）的规则。FCC可以以国家安全为由，将特定厂商或特定来源的设备列入“涵盖清单”（Covered List），禁止其获得在美国销售所需的设备认证。路由器作为连接用户网络与互联网服务提供商的关键节点，被视为通信基础设施的一部分，因此受到FCC监管。当路由器被列入禁止清单后，厂商无法为新型号取得FCC ID，也就无法合法在美国销售。FCC的审批程序允许厂商申请有条件批准，但会附加安全审查条件，例如要求披露供应链信息或接受第三方审计。州司法部长致函FCC，正是试图在行政审批环节施加压力，将供应链安全问题纳入决策考量。

网络设备供应商风险评估清单

五个问题可以覆盖大部分暴露面，每一个都有可验证的答案：

• 该型号运行哪个固件版本，厂商公布的终止支持日期是什么？
• 设备是否自动更新固件，该过程能否在网络上验证？
• 厂商在哪里注册，哪个司法管辖区管辖其数据处理义务？
• 哪个第三方审查过该产品，审查结果是否公开？
• 如果支持在今年终止，替换路径是什么？

其中两个问题会立即改变结果，且都不需要法律裁决。有公布终止支持日期的设备让买家可以规划替换预算；无法自行更新固件的设备应移至分段网络，直到被替换，因为分段限制了被攻陷路由器能触及的范围。

TP-Link的回应称诉讼建立在虚假前提之上，表示在美国销售的产品在越南制造，公司独立于任何外国政府，不会与外国政府或未授权第三方共享客户网络数据。但这些主张与起诉书之间的分歧，最终需要法院来裁定。对于网络管理者而言，等待判决的时间可以用来清点自己网络中那些已经停止接收更新的设备。