不久前，作為互聯(lián)網(wǎng)基礎(chǔ)協(xié)議之一的OpenSSL爆出了“心臟流血”漏洞，據(jù)估算該漏洞涉及了網(wǎng)絡(luò)上數(shù)百萬(wàn)的服務(wù)器，堪稱互聯(lián)網(wǎng)歷史上最大的安全事件之一。
由于OpenSSL是最著名的安全傳輸協(xié)議，幾乎所有對(duì)安全性要求比較高的傳輸比如銀行交易等都使用了此協(xié)議。這使得大量使用了OpenSSL進(jìn)行安全傳輸服務(wù)器里的重要數(shù)據(jù)都面臨著數(shù)據(jù)被盜的風(fēng)險(xiǎn)。
全球第一個(gè)被攻擊通告的案例是拿大稅務(wù)局，他們確認(rèn)“心臟流血”漏洞導(dǎo)致了900個(gè)納稅人的社會(huì)保障號(hào)被盜，這900個(gè)納稅人的社保號(hào)被攻擊者在系統(tǒng)中完全刪除。
從去年的斯諾登事件到今年攜程信用卡泄密事件，再到這次的“心臟流血”漏洞，人們看到了整個(gè)互聯(lián)網(wǎng)安全體系的脆弱。但與此同時(shí)，作為一個(gè)現(xiàn)代人，越來(lái)越離不開(kāi)互聯(lián)網(wǎng)，我們所有的信息數(shù)據(jù)行為正在被各種互聯(lián)網(wǎng)服務(wù)存儲(chǔ)、分析、利用。
我們的數(shù)據(jù)該怎么被儲(chǔ)存，怎么被利用，安全由誰(shuí)負(fù)責(zé)，這些問(wèn)題在如今變得越來(lái)越復(fù)雜。
正在被電子化的世界和個(gè)人
越來(lái)越多的電子設(shè)備正在以一種前所未有的方式工作著。它們?cè)谀闶掷铩⒃谀闵砩稀⒁只蚴谴粼谀慵依?。但這并不是它們的全部，它們的“大腦”正在千里之外的數(shù)據(jù)中心里。在那里信息被匯集、分析，分析結(jié)果被用來(lái)指導(dǎo)它們出色的完成相應(yīng)的工作。
當(dāng)下最了解你的可能并不是你的朋友、親人，而是你的手機(jī)。他知道你認(rèn)識(shí)誰(shuí)，和誰(shuí)聯(lián)系最多，幾點(diǎn)起床，今天有沒(méi)有會(huì)議，愛(ài)玩什么游戲等等。
隨著云時(shí)代的到來(lái)，為了方便人們的生活，手機(jī)已經(jīng)不僅僅是你手上的設(shè)備而已。方便的云服務(wù)可以把手機(jī)上的一切都自動(dòng)備份到云上，這樣不管你走到哪里，是否更換設(shè)備，都可以保證你的數(shù)據(jù)可以方便的被使用和轉(zhuǎn)移。
而在越來(lái)越近的物聯(lián)網(wǎng)時(shí)代，很多時(shí)候，輸入可能都會(huì)變的多余。你的智能手表知道你睡了多久，心率齊不齊，血壓高不高。你的智能冰箱知道你吃了多少，含多少熱量。
這一切不會(huì)只是想象，據(jù)IDC的最新報(bào)告顯示，預(yù)計(jì)到2017年，物聯(lián)網(wǎng)的市場(chǎng)規(guī)模將超過(guò)200億美元，我們的生活將被各種智能設(shè)備連接起來(lái)。而這些數(shù)據(jù)理所當(dāng)然的也會(huì)被上傳到云端上去。
這些來(lái)自你的PC、你的手機(jī)、你的智能設(shè)備的數(shù)據(jù)，在被處理后，形成一個(gè)個(gè)”用戶畫(huà)像“（這并不是一個(gè)比喻，”用戶畫(huà)像“是大數(shù)據(jù)中常用的一個(gè)正式的名詞），供開(kāi)發(fā)商進(jìn)一步使用。當(dāng)然當(dāng)?shù)男畔⒈粣阂猥@取以后，不法分子也可以通過(guò)這些數(shù)據(jù)對(duì)你進(jìn)行“畫(huà)像”。
云上的“炸彈”
多年前馮小剛的影片《手機(jī)》里就有這樣一個(gè)經(jīng)典的論斷——“手機(jī)就是手雷“，原因就是因?yàn)槟愕氖謾C(jī)知道的太多了。
無(wú)論是您的服務(wù)賬號(hào)密碼被他人獲得，還是服務(wù)商服務(wù)被攻破，甚至是某次登陸時(shí)不小心在陌生電腦上勾選了“記住密碼”都可能導(dǎo)致個(gè)人信息的泄露、財(cái)產(chǎn)損失。在云上的手機(jī)可能從”手雷“這種近距離武器變成了“導(dǎo)彈”這樣遠(yuǎn)距離攻擊武器。
“黑色產(chǎn)業(yè)鏈在手機(jī)的安全方面的滲透，越來(lái)越猖獗。”在百度手機(jī)衛(wèi)士百日突擊媒體開(kāi)放日上百度移動(dòng)安全總經(jīng)理張磊介紹說(shuō)，“從去年開(kāi)始，真正黑色產(chǎn)業(yè)鏈進(jìn)來(lái)了，不是小毛賊偷流量了，有背景的有組織的進(jìn)來(lái)了，直接盯上你的錢袋子，（開(kāi)始研究）怎么從手機(jī)中盜取現(xiàn)金盜取財(cái)產(chǎn)。”
現(xiàn)代電子設(shè)備體型雖小，但結(jié)構(gòu)卻極度復(fù)雜，且還環(huán)相連構(gòu)成一個(gè)巨大的系統(tǒng)。從最底層的芯片，到上面的操作系統(tǒng)，再到應(yīng)用，最后到相關(guān)云服務(wù)，都可能面臨著不同的安全風(fēng)險(xiǎn)。除了傳統(tǒng)的惡意軟件，市面上還出現(xiàn)了偽基站、不安全的WIFI等新形勢(shì)的安全威脅。
攻擊者在獲得一定信息以后可以通過(guò)各種技術(shù)和社會(huì)化手段發(fā)起攻擊。一個(gè)真實(shí)案例是，鈦媒體一個(gè)同事的機(jī)票信息被不法分子獲得后，他們偽裝成航空公司通知航班因特殊原因被取消，要求對(duì)機(jī)票進(jìn)行改簽，并收取一定的差價(jià)，最后該同事在向航空公司核實(shí)后發(fā)現(xiàn)這是一個(gè)詐騙。雖然這次詐騙沒(méi)有成功，但個(gè)人重要信息的泄漏已經(jīng)是事實(shí)。而至今為止，是哪個(gè)環(huán)節(jié)導(dǎo)致的個(gè)人信息泄露也無(wú)法查證?？赡苁鞘謾C(jī)上有惡意軟件讀取了機(jī)票信息，可能是航空公司信息泄露，也可能是訂票代理出了問(wèn)題。
安全已經(jīng)不僅僅是殺毒軟件的事情，整個(gè)信息傳播環(huán)境任何一環(huán)出問(wèn)題都可能導(dǎo)致嚴(yán)重的問(wèn)題。正如周鴻祎在極客公園奇點(diǎn)大會(huì)上所說(shuō)：“越來(lái)越多的安全問(wèn)題已經(jīng)不是在設(shè)備上殺病毒、清理流氓軟件就能解決的，現(xiàn)在對(duì)于許多互聯(lián)網(wǎng)公司來(lái)說(shuō)，用戶的安全已經(jīng)與公司的安全緊密結(jié)合在一起。”
這是誰(shuí)的安全
針對(duì)越來(lái)越多的安全威脅，安全市場(chǎng)也風(fēng)起云涌，無(wú)論是黑色產(chǎn)業(yè)鏈，還是專業(yè)安全廠商，亦或是設(shè)備廠商、傳統(tǒng)互聯(lián)網(wǎng)大佬都加入到這場(chǎng)戰(zhàn)爭(zhēng)中來(lái)。
從商業(yè)角度來(lái)看，只要有需求，那就有市場(chǎng)。既然安全是如此基礎(chǔ)的需求，那做安全就意味著巨大的市場(chǎng)空間，于是大家都開(kāi)始拍著胸脯說(shuō)：你的安全我負(fù)責(zé)！
“從今天開(kāi)始百度保護(hù)支付寶，保護(hù)微信，只要你安裝這個(gè)軟件（百度手機(jī)衛(wèi)士）就不會(huì)出現(xiàn)安全上的隱患，一旦出現(xiàn)安全隱患百度全部進(jìn)行賠付。”張磊在百度手機(jī)衛(wèi)士百日突擊媒體開(kāi)放日上這樣向在場(chǎng)的媒體保證。
作為一款安全軟件，這樣的保證確實(shí)讓人振奮，但為什么其他的支付軟件的安全卻需要交由一個(gè)第三方軟件來(lái)承擔(dān)賠付責(zé)任，這個(gè)邏輯總讓人覺(jué)得有些奇怪。
而在像聯(lián)想這樣的設(shè)備廠商來(lái)看，安全是和設(shè)備最相關(guān)的軟件環(huán)節(jié)，要由硬件廠商來(lái)做最合適，所以重點(diǎn)投入布局樂(lè)安全。聯(lián)想生態(tài)和云服務(wù)集團(tuán)總裁賀志強(qiáng)說(shuō)：”樂(lè)安全和硬件融為一體，我們的樂(lè)安全真的是從根上開(kāi)始具有的安全。”
雖然大家都意識(shí)到了安全是非常重要的，也花費(fèi)巨資進(jìn)行投入。但現(xiàn)實(shí)是，像OpenSSL這樣重要的安全項(xiàng)目，卻長(zhǎng)期缺少資金支持。這樣一個(gè)關(guān)乎上億人安全的項(xiàng)目，其維護(hù)人員只有4個(gè)人，其中兩個(gè)核心員工，只有一個(gè)全職員工。
另外一方面，對(duì)于漏洞的歸屬權(quán)問(wèn)題，業(yè)界也沒(méi)有統(tǒng)一的界定。
在黑帽黑客們看來(lái)，自己發(fā)現(xiàn)的漏洞當(dāng)然就是自己的，是可以拿來(lái)賣錢換酒的好東西。據(jù)張磊介紹，應(yīng)用級(jí)的漏洞在黑產(chǎn)行內(nèi)的標(biāo)價(jià)10萬(wàn)到20萬(wàn)。如果是系統(tǒng)級(jí)的，那價(jià)值就更高了。
在烏云網(wǎng)創(chuàng)始人方小頓看來(lái)，因?yàn)檫@些安全漏洞涉及到了廣大用戶的安全，所以這些漏洞是屬于公眾的，他創(chuàng)辦的烏云網(wǎng)就旨在公布最新發(fā)現(xiàn)的漏洞。
而在百度等企業(yè)看來(lái)，漏洞是屬于企業(yè)的。“我們發(fā)現(xiàn)微信巨大的漏洞，我們就第一時(shí)間通知了騰訊的團(tuán)隊(duì)。”張磊說(shuō)：“這樣的事件外面不知道的原因，我們第一時(shí)間通知廠商，進(jìn)行修復(fù)，這是他們的領(lǐng)地。”
大家站在不同的角度，對(duì)安全的理解都不太相同。
安全是一個(gè)“道高一尺魔高一丈的”的行業(yè)，不存在沒(méi)有漏洞的系統(tǒng)。安全事故爆發(fā)是用戶的責(zé)任？還是黑客的責(zé)任？抑或是服務(wù)商的責(zé)任？其界定并不是那么清晰。
似乎每次大型安全事故出現(xiàn)，其結(jié)果都是抓一兩個(gè)惹事之徒以后不了了之。在整個(gè)安全領(lǐng)域，其涉及到的利益各方盤根錯(cuò)節(jié)，紛繁復(fù)雜。安全似乎和所有人都有關(guān)，但似乎又不是任何人都直接責(zé)任。
在這個(gè)所有人都離不開(kāi)電子設(shè)備和云服務(wù)的今天，我們不禁要問(wèn)，我們的安全到底是誰(shuí)負(fù)責(zé)。
京公網(wǎng)安備 11010502049343號(hào)