網絡安全與網絡威懾

網絡安全與網絡威懾

2016年的美國總統選舉無論從什麽角度來看，都遠勝好萊塢電影大片，其情節之跌宕起伏、一波三折實在令人歎為觀止。大選結束已經一月有餘，原以為塵埃落定大戲可以收場了。誰料餘波未盡，即將下任的總統奧巴馬於上星期四正式指控俄羅斯利用網絡黑客幹涉美國大選。這幾天，圍繞俄羅斯黑客事件，華府重量級的政客們紛紛亮相表態，媒體的報道也連篇累牘，人們方才明白美國的大選劇原來還有續集，情節可能比上集更為精采。

故事可以回溯到2016年7月22日，美國民主黨全國委員會（DNC）電子郵箱被黑客入侵，維基解密公布了民主黨內部時間跨度長達16個月中近兩萬封電郵及29份錄音。這些機密文件揭露了DNC排擠希拉裏對手桑德斯和操縱媒體等等黑幕。郵件顯示，希拉裏的競選團隊還準備把聯邦政府機構的職位作為對基金捐贈者的“報答”。該事件直接導致DNC主席舒爾茨下台，並嚴重打壓了希拉裏的支持度。同時希拉裏競選團隊成員的許多電子郵箱帳號也受到網絡攻擊。

美國白宮認準俄羅斯是這些網絡攻擊背後的推手。指控的主要根據是這些攻擊的IP地址來自俄羅斯，而且作案手法與烏克蘭、土耳其和前蘇聯加盟共和國遭受的攻擊非常相似，而這些受害國無一例外都是俄羅斯的心腹之患。但是單憑這兩條對普京定罪似乎證據也不夠充分。國際黑客常常操控它國網絡設備發出攻擊以嫁禍於人，而本次的犯罪手法又極為低劣，怎麽看也不像俄羅斯黑客精英所為。所以普京的回答很幹脆：“拿出證據來，或者閉上你的嘴。”美國候任總統特朗普對此事件也有表態，他認為這些網絡攻擊可能來自俄羅斯，也可能是中國，同樣可能就是躺在床上重二百磅的美國人。這話倒是不錯，可惜中國躺著又中槍。“燭影斧聲，千古奇冤。白宮黑客，百年之謎。”網絡攻擊的真相恐怕最終很難說得清。

無論如何，網絡攻擊影響美國大選一定會成為重大事件載入史冊，其影響即廣泛又深遠。其中最為重要的一條是：首次把國家的安全和民主製度的實施與網絡安全緊密聯係在一起。

據美國聯邦機構統計，網絡攻擊事件從2005年到2015年增加了1300％。顯然，我們需要更好的策略來處理日益嚴重的威脅。冷戰以來核威懾手段有效地抵抗了核武器的威脅，在某種程度上勉強維持了世界和平幾十年。網絡安全領域的專家們開始思考是否可以釆用核威懾的思維和策略來維護世界互聯網的安全，由此引入了“網絡威懾”這樣一個新概念。

什麽是“威懾”？“威懾是一種讓敵人在發動攻擊時產生內心恐懼感的藝術。”——記住了：威懾是一種“藝術”而不是“科學”，它需要的是將“恐懼感”有效地傳達到潛在的破壞者的腦筋裏麵，長時期地保持高壓態勢，讓敵人不敢輕舉妄動。

威懾重點在於使潛在對手攻擊前必須三思而行，迫使他們認真考慮破壞和攻擊的巨大成本，以及由此可能引起的毀滅性後果。西方理論界把威懾的手段分為"抑阻性威懾"和“懲罰性威懾”。前者亦稱“防禦性威懾”，即以足夠的、有效的防禦能力，使敵方感到無法實現預期的目的，要讓他們付出的成本和代價遠超出他們的意願，其關鍵是防禦能力。後者亦稱“進攻性威懾”，即采取迅速和壓倒一切的強烈報複行為，迫使進攻者感受到無法承受之傷害，其立足點是反擊能力。

實施網絡威懾的難度

核威懾比較容易實施且卓有成效，因為隻有少數國家擁有核武器，企圖成為核俱樂部的新成員必需投入大量資源。他們也認識到發動第一次核攻擊有可能導致毀滅性的核打擊。此外，國際社會設立了國際原子能等有效機構，簽訂了諸如“不擴散核武器條約”等協定，以應對核戰爭造成的災難性威脅。

但網絡攻擊不像核武器。它們很容易由個人及小團體進行開發和實施，不一定是國家行為。它們很容易被複製和分布在網絡各處，使得“網絡防擴散”幾乎不可能。網絡攻擊者通常使用匿名或者盜用他人帳戶作掩護，使得很難弄清誰是真正的犯罪者。網絡攻擊後果嚴重、損失昂貴，但仍不是災難性的，至少目前還不是。

但這也並不意味著網絡威懾注定會失敗。網絡攻擊的現狀要求我們必須及時釆取措施阻止事態進一步惡化。我們可以做三件事來加強網絡威懾：提高網絡安全，采用主動防禦和建立互聯網的國際安全規範。前兩個措施可顯著提高我們的網絡安全，要做到即使攻擊不能被完全阻止，但至少不能讓其得逞，並要讓攻擊者付出慘重的代價。

網絡安全的防禦性措施

為了維護網絡安全，目前主要是通過拒絕和隔離等手段使各種網絡攻擊無法實現它們既定的目標。這其中包括了提高登錄的安全性，在數據的存取和傳送全過程中進行加密，防範和殺滅各類電腦病毒和其他各種惡意軟件，以及保持軟件不斷更新，發現安全漏洞必須立即進行修正升級。

網絡安全的主動性威懾

首先必須大力加強網絡的實時監視係統，猶如創建立體的防空網，對網絡惡意攻擊行動全程進行識別和監視，及時預警，阻止和“擊落”攻擊信號。或者使用網絡煙幕彈和誘餌，將來襲信號引導至假目標——又稱之為“蜜罐”的安全區域，在那裏，他們不再能傷害目標網站，甚至反而可以用來作解剖分析，對網絡惡客的技術作更深入的研究。

另一類主動防禦包括收集，分析和共享潛在威脅的相關信息，以便網絡運營商能夠及時應對各種不安全因素。例如，運營商可以定期掃描檢查有關的網絡設備，尋找易受到Mirai或其他惡意軟件攻擊或受其影響的設備。有潛在威脅的設備一旦被確認，立即采取措施作切割手術。

互聯網麵臨的新威脅——物聯網

物聯網（Internet of Things）是一個龐大且迅速膨脹的虛擬世界，其中有汽車、醫療設備、工業裝置和越來越多的消費電子產品。而消費電子產品主要包括了大量的視頻遊戲機，智能揚聲器和連網的室溫控製器（如Nest），還有智能家居組合器和將這些設備連接到互聯網的網絡路由器。根據消費者技術協會的數據，過去15年中，智能技術產品占了美國每年節日禮品消費支出的73％以上。今年預計約有1.7億人購買各種物聯網的禮品，到2020年，物聯網將在全球範圍內擴大到500億台設備。

不幸的是，這些海量的設備已經成為互聯網安全的最大隱患，造成今日之局麵，此類設備的製造者和用戶群都難辭其咎。由於這些設備都是沒有什麽技術含量的低端產品，生產廠商的獲利已經很低，誰還有心思為提高網絡安全再化費銀子？這些物聯網設備如蝗蟲般飛入千家萬戶，絕大多數的用戶對這類設備的網絡安全問題旣缺乏基本的知識，也沒有時間和耐心作必要的處置和防範。人們錯誤地認為這些設備與電腦手機不同，不會構成安全隱患？即使有什麽安全問題，隻要不影響我的電腦手機就可以。這種“事不關己高高掛起”的心態和“以鄰為壑”的處世原則是導致今日網絡犯罪日趨猖獗的重要原因。

“麻雀雖小五髒俱全”，這些低廉的智能設備裏麵也有中央處理器和內存，也運行著簡單的操作係統，它們就是一隻小電腦。對於網絡上病毒和惡意軟件而言，物聯網上成千上萬的這些小電腦就是網上惡狼們口中的小綿羊。其中的原因很簡單：這些設備中的係統軟件絕大多數漏洞百出，而且從來沒有什麽更新換代和打補丁。更嚴重的是這些設備的密碼口令形同虛設，統計顯示43％的受訪者表示沒有更改他們的路由器默認口令，或者根本不確定他們是否有。而且很多這些設備的口令很難更改，有些甚至隻是做死在固件裏的永久性口令。

網上的惡意軟件可以輕而易舉地逐一攻擊和占領這些物聯網上的智能產品，星星之火可以燎原，電腦病毒一傳十、十傳百，很快傳遍物聯網。當網絡黑客掌控了大量的物聯網上的這些智能設備後，他可以發出指令讓成千上萬的智能設備對網站進行協同攻擊，任何網站麵對潮水般撲來的攻擊信號都隻能屈膝投降，今年十月推特（Twitter）、索尼PlayStation等世界著名網站就因此而被擊倒。

物聯網設備對互聯網的危害性非常類似於市場失靈後導致的工業化汙染，或者可以說它們本是一回事。歸根到底，市場喜歡廉價的不安全設備，而不是昂貴但安全的設備。解決方案可能還得是加強政府監管，政府要為物聯網設備製造商指定基本的產品網絡安全標準，並通過立法讓肇事產品的製造商承擔相關的法律責任。

互聯網安全的九字戰略方針

為平定天下，朱元璋的謀士提出了“高築牆，廣積糧，緩稱王。”的九字戰略方針。為天下互聯網的安全，我也提出九字策略：“高築牆，勤加密，重合作。”【高築牆】指的是提高各級網絡防火牆的安全級別和保護功能，嚴防死守不給網絡病毒和惡意軟件有肆虐的機會和空間；【勤加密】就是對一切重要數據、識別口令和各種文件進行全麵及時地加密處理，同時加速發展量子密鑰分配技術；【重合作】網絡安全關係千家萬戶，牽連方方麵麵，這就要求企業之間、各級政府之間和各國之間互通情報，協同作戰，盡量消除三不管地帶，不能給網絡黑客有可乘之機。一定要讓網絡黑客陷入人民戰爭的汪洋大海之中，讓其惶惶不可終日。

本文首發於觀察者網 2016年12月21日。