黑客如何窃密？互联网战场漏洞成武器

　　参考消息网7月18日报道 美国《时代》周刊7月21日(提前出版)一期发表题为《零世界大战——黑客如何窃取你的秘密》的封面文章，作者是列夫·格罗斯曼。文章称，互联网是一个战场，战利品是你的信息，而漏洞则是武器。

　　漏洞成为网战武器

　　网络战不是未来，而是已经存在，并且已经司空见惯。在这场战争中，随处都是战场，漏洞是武器，而黑客则是军火商。

　　一个软件漏洞的价值能以金钱来衡量，这有点让人匪夷所思。漏洞即错误。通常，我们要花钱修复漏洞。而漏洞大有市场则是我们所处的科技时代更令人匪夷所思的结果。在这个科技时代，我们的整个世界——我们的商业活动、医疗记录、社会生活和政府——正在一点一点地脱离现实世界，以数据形式进入由软件构成的计算机内核。很多人出于善意或恶意对这些数据抱有兴趣。其中一些人是间谍，还有一些人是罪犯。漏洞就是他们用以获取数据的武器。

　　几年前的一个例子能充分说明，是什么让漏洞如此有用。当时，美国和以色列联合研发了一种复杂的计算机病毒，其目的是侵入并破坏位于伊朗纳坦兹市的某个进行铀浓缩的核设施。这种名为“震网”(Stuxnet)的病毒或许是第一个真正的网络武器。一名双重间谍利用U盘将这种病毒植入核设施的计算机系统。该病毒在查看整个计算机系统后向主人传回详细的情报，随后开始大规模侵入控制离心机的计算机，并最终导致大约20%的离心机陷入瘫痪。(由于美国和以色列政府在这个问题上仍然保持沉默，以上均为通过安全专家和媒体提供的事实推演所得。)

　　是什么让“震网”病毒如此有效？一个词：漏洞。要成功侵入目标系统，“震网”病毒至少利用了4个不同的系统漏洞，包括一个微软视窗操作系统的漏洞。这些漏洞——更确切地说，利用这些漏洞所需的知识——本身就像伊朗人正在提炼的浓缩铀，但是以软件的形式存在：它们是昂贵且高度精密的武器，构成了极端复杂的武器系统的核心。当“震网”病毒从纳坦兹市的核设施扩散并导致全球大约10万台计算机受到感染后，这些漏洞让“震网”病毒具有更大的破坏力。

　　美国大肆滥用漏洞

　　早在“震网”病毒出现之前，为漏洞埋单的想法就已经出现。1995年，美国网景通信公司(Netscape)推出了“漏洞奖金”计划，任何人只要找出该公司浏览器的漏洞都能获得现金奖励。2002年，美国信息防护公司(iDefense)开始购买各种漏洞。2005年，TippingPoint 公司也推出了类似的购买计划。鉴于公开市场上的“零日漏洞”交易日趋活跃和混乱，这两项计划作为安全的“零日漏洞”处理厂(类似于放射性废物库)，提供了一种安全的选择。(“零日”这个术语是指漏洞的新鲜程度。“零日漏洞”是指漏洞公开的时间为零天，因此还没有人尝试修复它。)如果你发现了一个漏洞，你能以公道的价格卖给iDefense或TippingPoint公司，而不是卖给出价最高但天知道会做出什么事情来的买家。iDefense和 TippingPoint公司会提醒客户警惕这些漏洞，并与软件开发商合作修复它们。这两家公司还有一个共同点：在2005年和2006年连续两年聘用实习生阿龙·波特努瓦。

　　波特努瓦是一个超级网络攻击专家。2006年，波特努瓦从美国东北大学辍学，开始全职在TippingPoint公司工作。2012年，他从该公司辞职，并创立了自己的Exodus公司。在这个不大的精英领域中，还有总部位于法国南部的Vupen公司、马耳他的Revuln公司、美国的 Netragard公司和加拿大的Telus公司。(Netragard公司的信条是：“我们保护你们不受我们这种人的攻击。”)Exodus公司总部位于奥斯汀的一栋办公楼内，与会计师和地产经纪人为邻。即使以新创立的科技公司为标准，这家公司的总部也过于简朴：仅有一个室内装饰——一面挂在墙上的海盗旗。

　　Exodus公司9名研究人员的日常工作就是攻击目标软件，寻找侵入系统的办法。他们的目标包括浏览器、电邮客户端、即时通讯客户端、Flash、Java、工业控制系统，以及任何可以被攻击者作为突破口的东西。

　　通常，Exodus公司的研究人员发现一个漏洞后，会起草一份专业报告和技术文件，说明这个漏洞是什么？在哪里？如何发现它？它在什么版本的软件上运行？如何修复？等等。最重要的是，Exodus公司会告诉你如何激活并利用这个漏洞。购买Exodus公司的漏洞需要注册成为会员，年费在20万美元左右。

　　基于漏洞交易提供的漏洞正在被用于犯罪或不道德目的这个假设，对于该行业的评价可谓毁誉参半。总部位于华盛顿特区的Endgame公司多年以来向美国政府出售软件漏洞，它被《福布斯》杂志称为“黑客领域的黑水公司”。

　　Exodus公司的客户基本可以分为两类：攻击型和防守型。防守型的包括安全公司和反病毒软件开发商，他们希望获取可以用于产品的信息，或为客户提供有关系统威胁的最新信息。攻击型的包括侵入测试者，他们利用Exodus公司的“零日漏洞”模拟攻击自己或别人的网络。

　　还有一些客户可不是模拟而已。众所周知，美国国家安全局和联邦调查局喜欢在目标计算机上植入监视软件，以收集情报；联邦调查局甚至正在游说法院，以更容易地获得采取这种行动的授权。如何在别人的计算机上植入软件，而又不被别人发现？其中一个办法就是利用漏洞。

　　根据《华盛顿邮报》对爱德华·斯诺登泄露的机密文件的分析，在美国国家安全局的预算中，有2510万美元用于“额外秘密购买软件漏洞”；还有 6.52亿美元用于代号GENIE的秘密计划——在外国计算机网络上植入恶意代码。截至2013年底，GENIE计划预计已经控制全球大约8.5万台计算机。

　　根据斯诺登提供的机密文件，2011年美国对中国、俄罗斯、伊朗和朝鲜等国家发起了231次网络攻击。而这还只是2011年的数字。在2015年美国国防预算中，有50亿美元用于网络空间行动，而我们对这个领域却知之甚少。

　　漏洞黑市令人担忧

　　鉴于软件漏洞的潜在攻击性，你可能认为，美国政府希望像控制战斗机和地雷交易一样控制软件漏洞交易。但事实上，监管者才着手进行控制。去年12 月，由美国和其他40个国家签署的《瓦瑟纳尔协定》进行了修订，将“侵入软件”纳入受到限制的军民两用技术名单，但到目前为止，这项修订尚未得到落实。美国政府一名高级官员说，目前，美国政府还不想真正控制这个市场。市场行为更多地依赖自愿和自律。卖给谁？不卖给谁？这让波特努瓦和他的团队有时不得不做出道德选择。

　　尽管如此，滥用漏洞的可能性却切实存在。零日漏洞可不管你侵入的是谁的计算机，或者为什么侵入？今年4月28日，卡巴斯基实验室的研究人员透露，Adobe Flash软件存在一种零日漏洞。如果能诱使目标计算机的使用者访问一个特定的网站，就能利用这个漏洞在目标计算机上植入恶意代码。经研究人员查实，这个特定的网站属于叙利亚司法部。我们有理由推断，叙利亚政府正在利用零日漏洞监视国内的异见人士。

　　如果一个不受任何国家控制的政治组织对公共设施发起攻击，那将是一场真正的梦魇。例如，恐怖主义组织。美国联邦调查局在纽约负责网络和特殊行动的前特工玛丽·加利根说：“如果你能确定其中一种零日漏洞，就能利用它们造成严重破坏。”她以控制工业系统的软件“数据采集与监视控制系统” (SCADA)为例，该系统就是“震网”病毒攻击的目标。她说：“我们能想到的一切工业系统——制造车间、电网、供水或电梯——都是由与互联网连接的数据设备运行的。真正令人担忧的是，这是保护力度最弱的环节。”

　　即使无足轻重的独裁者和网络犯罪分子不能从Exodus公司购买漏洞，他们也能从活跃的漏洞黑市上购买。有人认为这是一个严重的问题，有人则不以为然。兰德公司在今年3月的报告中指出，漏洞黑市是“一些受金钱驱使、具有高度组织性和复杂性的组织的竞技场”。

　　波特努瓦对黑市漏洞的质量嗤之以鼻。他说，黑市上的大部分漏洞都不具备“零日”新鲜度。通常，犯罪分子会选择那些已经推出安全补丁的较老的漏洞下手，他们要做的就是在网络上猎捕那些尚未更新软件的目标。根据美国赛门铁克(Symantec)公司《2014年互联网安全威胁报告》，在该公司扫描的所有网站中，有1/8的网站存在一个未经修复的严重漏洞。

　　还有一种与黑市截然相反的市场，这个市场由最初编写存在漏洞的软件的程序员运行。越来越多的大型软件公司意识到，购买自己产品的漏洞并赶在别人利用这些漏洞之前修复它们(有点类似于对出厂产品进行Beta测试)，其实是一种节省成本的办法。2010年，谷歌公司推出奖励发现Chrome浏览器漏洞的计划，并帮助推动了这种趋势。今年，谷歌公司用于这项计划的支出累计达到330万美元。现在，奖励发现漏洞的做法已经成为惯例，就连网络商店平台 Etsy也有类似的计划。微软公司给予发现视窗操作系统一个严重漏洞的奖金最高达到10万美元。去年，脸谱公司为687个漏洞支付了150万美元的奖金。

　　数据防护千疮百孔

　　当然，我们梦想生活在一个没有漏洞的世界：我们的软件完美无瑕，安全性能绝佳。然而，现实却与我们的梦想背道而驰。我们让计算机为我们做得越多，对其安全性的需求就越迫切；但计算机需要做得越多，它们的软件就必须越复杂，它们的漏洞也就越多。如此就形成了一种恶性循环。以你的笔记本电脑为例，其操作系统由数千万行代码组成，其安装的应用软件大多数仅完成3/4就匆匆上市。当你的笔记本电脑与数以百万计的其他设备(包括平板电脑和手机)连接，形势就会迅速失控。

　　修复漏洞有点像排干海洋，你永远也不可能完成。尽管编码水平和标准都在提高，但提高的速度还不够快。目前，美国国家漏洞数据库列出的漏洞有 63239个。去年，研究人员平均每天发现13个漏洞。今年3月，美国联邦政府通报，去年共有3000家美国公司遭到黑客攻击。保护我们数据的防护墙实际上千疮百孔。与计算机安全领域的人士接触越久，就越会意识到，根本就不存在保护数据的防护墙。

　　我们如此成功地创造了一个相互连通的“天堂”，在这里，信息可以自由流动，我们又如此迫不及待地想生活在这个“天堂”，以至于我们已经无法按照自己的意愿控制信息的流动。其结果是，一场新的战争。这场战争并不引人瞩目，但持久、广泛。它模糊了军事与民事、个人与公共、政治与商业的界限。其受害者损失的是个人数据和知识产权，等他们发现自己遭受了攻击，往往已为时过晚。美国政府一名高级官员说：“零日漏洞将一直存在。这不仅仅涉及保护措施——网络空间的‘防护墙’、‘护城河’和‘铁丝网’。你必须在一种假设下工作：有时，坏人会侵入。”