數(shù)月來,日本索尼公司、韓國農(nóng)協(xié)銀行、花旗銀行、RSA、洛克希德·馬丁、谷歌、美國公共廣播公司及國際貨幣基金組織等企業(yè)和機構(gòu),乃至美國的參議院和中情局、英國重大有組織犯罪局和馬來西亞的政府網(wǎng)站等,均遭到黑客破壞。網(wǎng)絡(luò)攻擊一波接一波,黑客與執(zhí)法部門間展開激烈較量。時至今日,這場“貓鼠游戲”似乎還看不到終結(jié)的可能。信息網(wǎng)絡(luò)的脆弱、安全保障的乏力和打擊手段的不足再次為全球網(wǎng)絡(luò)安全敲響了警鐘。
“黑客行為主義”重返?
此輪“黑客潮”可追溯到2010年底,當時一個名為“匿名”(Anonymous)的黑客組織挺身支持“維基解密”,攻克了亞馬遜、萬事達、Visa以及支付網(wǎng)站Paypal等,以報復(fù)其停止為“維基解密”提供域名服務(wù)并掐斷其資金來源?!澳涿币虼嗣暣笳?。隨后,“盧爾茲安全”(Lulz Security或Lulz See)、AntiSec等黑客組織加入了攻擊的行列。在近半年的攻擊波中,這些黑客組織展示出了巨大的能量,幾乎無所不能,只要是被它們看中的目標均全部落馬。
攻擊后果嚴重。黑客所選擇的攻擊對象,大多是掌握著巨量有價值信息的“要害”部門,用戶的個人身份、信用卡信息,以及更為敏感的商業(yè)機密和國家秘密都成了黑客的“囊中之物”,這些信息一旦被公之于眾,造成的損失和危害將無從評估。今年4月索尼公司的游戲平臺PlayStation和云音樂服務(wù)Qriocity近億用戶的個人信息被竊后,該公司分布在全球的眾多網(wǎng)站相繼遭遇大大小小的黑客攻擊十余次,該事件被業(yè)界視為“史上最嚴重的數(shù)據(jù)泄露事件”。6月,國際貨幣基金組織網(wǎng)絡(luò)資料庫遭“精密復(fù)雜”、“性質(zhì)嚴重”的入侵,庫內(nèi)收藏的187個成員金融系統(tǒng)的絕密敏感信息岌岌可危,黑客一旦掌握并泄露政府財政狀況的數(shù)據(jù)和背景資料、匯率條款和談判細節(jié)等相關(guān)數(shù)據(jù),就極有可能在國際貨幣和金融市場呼風(fēng)喚雨。更為嚴重的是,這些信息一旦為各國政治反對派及情報部門所利用,便會危及相關(guān)國家的政治和社會穩(wěn)定。值得注意的是,黑客的趨利性在系列攻擊中表現(xiàn)得并不是十分明顯,他們的目的更多的是利用這些機構(gòu)的特殊地位來制造聲勢和吸引眼球,向全球宣揚其信奉的自由、公平、正義和無政府狀態(tài)。一些安全專家認為這是“黑客行為主義”(hacktivism,多指具有政治動機的黑客)的重返,較之單純逐利的黑客,對他們的防范和打擊難度更大。
攻擊手法專業(yè)。多數(shù)安全專家認為,此輪黑客行動具有“非常縝密的規(guī)劃及執(zhí)行”,“擁有軍事突襲般的精準度”。一方面,除早已得心應(yīng)手的阻斷服務(wù)攻擊DDoS和編織僵尸網(wǎng)絡(luò)的病毒攻擊外,他們采用了時下最易得手的攻擊手段,如“魚叉式釣魚”攻擊等;另一方面,黑客團體內(nèi)部的組織結(jié)構(gòu)較過去更分散,既無領(lǐng)導(dǎo)核心,又無明確宗旨,甚至沒有固定成員,他們大多通過論壇、“推特”等進行聯(lián)系和協(xié)調(diào)。安全專家分析稱,他們“好似蜂群思維,沒有固定的控制位置,也沒有某個個體比其他人更有權(quán)威”,“‘匿名’組織真正想做些什么,沒有人可以阻止他們”。
黑客態(tài)度“囂張”。與以往低調(diào)的黑客組織不同,“盧爾茲安全”高調(diào)、公開且非?;钴S。他們以“推特”和自身的官網(wǎng)作為宣戰(zhàn)地,在襲擊前后不定時發(fā)布信息,嘲弄攻擊目標(Lul來自網(wǎng)絡(luò)語言,意為對他人的嘲笑)。他們還開設(shè)了攻擊熱線,號召“粉絲”們撥打電話,商討下一個攻擊目標。對于攻擊美國軍政網(wǎng)站的舉動,“盧爾茲安全”解釋說:“我們非常不喜歡美國政府。他們的‘戰(zhàn)船’太弱了,網(wǎng)站不安全,又缺乏樂趣。為了幫他們修補,我們決定帶來一些額外的歡樂?!苯衲?月以來,美、澳、法、英、挪及荷蘭警方相繼逮捕了21人,其中包括英國18歲的杰克·戴維斯和19歲的利安·克利里,他們被認為是“盧爾茲安全”的核心成員,此外還包括了15名“匿名”組織成員。面對執(zhí)法部門的窮追猛打,黑客實施了有力的報復(fù),又一次掀起攻擊狂潮。意大利政府國家關(guān)鍵基礎(chǔ)設(shè)施計算機犯罪防衛(wèi)中心電腦遭“匿名”攻擊,包括關(guān)于美國農(nóng)業(yè)部、澳大利亞國防部等政府部門以及埃克森石油公司、俄羅斯天然氣工業(yè)股份公司等私營企業(yè)多達8GB的秘密文件被竊且已被部分公開。AntiSec則攻擊了美國阿肯色、密西西比和密蘇里等70多個地方警察網(wǎng)站,聲稱要讓全美警察“難堪”,以報復(fù)警方正在進行的抓捕“匿名”成員的行動。
黑客的前世今生
黑客,起源于上世紀五六十年代的美國麻省理工學(xué)院,一群狂熱的電腦迷自稱為“黑客”(Hacker),即“肢解者”和“搗毀者”,要徹底“肢解”和“搗毀”大型主機的控制。80年代之后黑客的隊伍開始蓬勃發(fā)展。在30多年的發(fā)展過程中,黑客群體不斷壯大并逐步分化,出現(xiàn)了所謂的黑客、白客、灰客和紅客。無論出于何種動機、無論是哪種顏色,黑客群體的“泛濫”已是大勢所趨。
毋庸置疑,經(jīng)濟利益是黑客現(xiàn)象泛濫的主要動因。面對巨大的誘惑,黑客開始與犯罪團伙結(jié)合,或者直接轉(zhuǎn)變成網(wǎng)絡(luò)罪犯,其獲利手段大體包括制售惡意軟件(包括蠕蟲、木馬等)、制造和販賣僵尸網(wǎng)絡(luò)、出售各種信息、以攻擊為威脅進行敲詐勒索等。黑客產(chǎn)業(yè)鏈現(xiàn)今遍布全球,“地下網(wǎng)絡(luò)經(jīng)濟”規(guī)模龐大。犯罪分子通過“地下交易服務(wù)器”、“數(shù)據(jù)黑市”等渠道出售社會安全號碼、信用卡、銀行卡、電子郵件地址列表、網(wǎng)絡(luò)游戲裝備和貨幣、甚至是知識產(chǎn)權(quán)等一些商業(yè)機密。日益猖獗的網(wǎng)絡(luò)犯罪對各國電子商務(wù)、網(wǎng)絡(luò)經(jīng)濟乃至網(wǎng)絡(luò)誠信構(gòu)成嚴重威脅。今年2月,英國政府發(fā)表評估報告估算,2010年全英國因網(wǎng)絡(luò)犯罪遭受的損失達270億英鎊。美國、中國、日本、德國等每年所受的損失亦以億元計。
第一代黑客大多是無權(quán)無勢的孩子,在他們看來“擁有操控機器的能力真的太具有吸引力了,其他人是難以理解的”,他們的所作所為只是在炫耀技能和嘩眾取寵。而在此基礎(chǔ)上形成的黑客文化,本質(zhì)上是要推動技術(shù)進步,維護網(wǎng)絡(luò)正義和社會公正?!澳涿敝灾С帧熬S基解密”,就是因為認同其創(chuàng)始人阿桑奇推崇和宣揚的“絕對的信息自由”、“透明革命”理念。1996年,約翰·巴羅推出的《網(wǎng)絡(luò)空間獨立宣言》正是這種黑客文化和精神的最好詮釋:“真正沖突出現(xiàn)的時候,不公正出現(xiàn)的時候,我們自己會鑒定它,用自己的方式解決它?!覀冋趧?chuàng)造一個新世界,人人都可以進入這個世界……人人、處處可以表達他或她的信仰,無論這種信仰是多么古怪,而不再害怕被強制沉默或強制一律”。最近,24歲的艾倫·斯沃茲攻入全球極負盛名的期刊數(shù)據(jù)庫JSTOR,將約500萬份學(xué)術(shù)論文下載到電腦上并欲發(fā)布在網(wǎng)上與“全球共享”。上月他被波士頓警方逮捕后,已有4.5萬人簽署網(wǎng)上請愿書,表示“支持斯沃茲以及他關(guān)于政府和學(xué)術(shù)界道德倫理的畢生努力”?!熬S基解密”亦在“推特”上聲援:“斯沃茲繼續(xù)奮戰(zhàn),歷史站在你身邊。”
黑客將何去何從
信息時代,技術(shù)是王道。而信息技術(shù)的發(fā)展規(guī)律卻又產(chǎn)生了兩對矛盾,即攻擊技術(shù)永遠領(lǐng)先于防御技術(shù);信息技術(shù)和應(yīng)用越復(fù)雜、功能越全面,其脆弱性、漏洞和安全隱患亦越大。技術(shù)本身是中立的,它是向善還是向惡完全取決于使用者。
網(wǎng)絡(luò)攻擊手段在突飛猛進地發(fā)展著。在8月初召開的年度“黑帽”(BlackHat)和“動態(tài)防御”(DefCon)安全大會上,黑客們再次展示了讓世人震驚的攻擊手法。有黑客花500美元在eBay上買了一臺二手“可編程邏輯控制器”,并花2000美元從西門子購得軟件,便能操縱和控制發(fā)電站、化工廠、配水系統(tǒng)和全世界其他工業(yè)設(shè)施所使用的工業(yè)控制系統(tǒng)。有黑客還利用“可編程邏輯控制器”存在的漏洞,控制心臟起搏器、遠程操控胰島素注射泵和其他擁有“更智能”的計算機芯片的醫(yī)療設(shè)備,甚至控制監(jiān)獄大門等。有黑客還展示了一個經(jīng)過改造的二手無人機,充當無線網(wǎng)絡(luò)的空中監(jiān)視平臺,大規(guī)模破解WiFi無線網(wǎng)絡(luò)以及GSM通訊網(wǎng)絡(luò),隨意進行監(jiān)控和竊聽,而這只是“兩個閑著無聊的家伙在課余時間搞出來的”。
幸運的是,黑客們在大會上展示的技術(shù),通常只是為了提醒企業(yè)和政府,推動他們提升技術(shù)、填補漏洞和加強安全。也正是因為看中了黑客在這方面的積極作用,美國聯(lián)邦調(diào)查局、國家安全局等部門每年都到會進行政策宣傳和人員招募。不少黑客因此變身為白客,在企業(yè)和政府部門里充當其安全專家。據(jù)稱,美國、英國等國都在想盡辦法招安黑客,組建所謂的“網(wǎng)絡(luò)武士”,倚重他們的技術(shù)特長來尋找安全漏洞,觀察和分析網(wǎng)絡(luò)攻擊的跡象,更新和強化網(wǎng)絡(luò)防衛(wèi)。更重要的是,在必要時能充分利用他們的攻擊能力為國家而戰(zhàn)。面對黑客日益年輕化的趨勢,今年的“黑帽”大會組辦了首次“兒童訓(xùn)練營”,60多名年齡為8歲至16歲的兒童學(xué)習(xí)黑客歷史和密碼學(xué),并進行了實戰(zhàn)演練。國家安全局的官員還為“小黑客”們做了專場演講。
黑客的歸宿無非兩種,要么變白變紅,要么一黑到底。當然,如果更多的黑客能夠回歸本原,堅持真正的黑客文化,這將對政府網(wǎng)絡(luò)安全保障能力的提升有著積極的意義。但只要他們觸碰到法律禁區(qū),傷及個人、企業(yè)和國家的利益,就必然要接受法律的制裁。