對(duì)凱文·米特尼克（Kevin Mitnick）來說，有些事情從來都沒改變過。不說別的，單是從他的名片就能看出這一點(diǎn)。
他的名片是用不銹鋼切片制成的，包含可以拆卸的組件，能組成一套功能齊備的撬鎖工具。對(duì)于他這樣一個(gè)最早是罪犯、現(xiàn)在則擁有了合法身份的撬鎖高手——無論是虛擬的數(shù)字鎖，還是真的鎖——來說，這是一種很合適的象征。
我們會(huì)面的地點(diǎn)是在德國(guó)的漢諾威，他在本月被邀請(qǐng)出席CeBit科技大會(huì)做有關(guān)網(wǎng)絡(luò)安全的講座。大會(huì)組織者承擔(dān)了相關(guān)費(fèi)用，而對(duì)米特尼克給出的身份介紹則是“世界上最有名的黑客”。這個(gè)頭銜是他在上個(gè)世紀(jì)賺來的，當(dāng)時(shí)整個(gè)世界對(duì)于互聯(lián)網(wǎng)的存在還處在半夢(mèng)半醒的懵懂狀態(tài)。在那時(shí)，米特尼克曾是美國(guó)聯(lián)邦調(diào)查局（FBI）在兩年時(shí)間里最想抓到的罪犯，到最后這場(chǎng)追逐以1995年他在北卡羅來納州被捕而告終。
《紐約時(shí)報(bào)》曾在1994年專文介紹過米特尼克，對(duì)他的描述是其在十幾歲時(shí)就曾黑進(jìn)北美防空指揮司令部的計(jì)算機(jī)，這是一種“驚艷”到令人屏息的“戰(zhàn)績(jī)”。雖然這其實(shí)并非事實(shí)，但卻已經(jīng)成為了米特尼克傳奇的一部分。
在1999年，他與美國(guó)當(dāng)局達(dá)成協(xié)議，承認(rèn)了后者對(duì)其列出的四項(xiàng)電訊欺詐罪名、兩項(xiàng)計(jì)算機(jī)欺詐罪名以及一項(xiàng)非法攔截通信罪名。數(shù)罪并罰的結(jié)果是，他在美國(guó)聯(lián)邦監(jiān)獄中蹲了五年，到2000年出獄。在這期間，他曾被單獨(dú)監(jiān)禁過八個(gè)月，原因是一名聯(lián)邦法官認(rèn)為他能“通過電話吹口哨來發(fā)射一枚核彈”。好吧，這又是一個(gè)傳奇。
歲月流轉(zhuǎn)至今，現(xiàn)年51歲的他承認(rèn)曾黑進(jìn)過屬于微軟、諾基亞和太陽(yáng)微系統(tǒng)公司（Sun Microsystems）的計(jì)算機(jī)，目的則是“尋找知識(shí)和冒險(xiǎn)”，而并不是為了個(gè)人利益或帶來任何重大破壞。在當(dāng)今這個(gè)黑客受雇于犯罪集團(tuán)或第三世界國(guó)家，日復(fù)一日地從全球跨國(guó)企業(yè)那里竊取數(shù)據(jù)，然后放到黑市上待價(jià)而沽的時(shí)代里，這種單純只是為了好奇心而做黑客的陳詞瞬間將聽眾們帶回到了那個(gè)更加純真的年代。
在今天，米特尼克已經(jīng)是一名成功的高薪安全顧問，受聘于全球規(guī)模最大的一些公司，比如說聯(lián)邦快遞、東芝、哥倫比亞廣播公司、IBM和洛克希德馬丁等。在這個(gè)領(lǐng)域中，他確實(shí)是一把好手。
“我的主要業(yè)務(wù)就是進(jìn)行滲透測(cè)試。”他說道。“測(cè)試的對(duì)象包括物理安全、技術(shù)安全和人。我們對(duì)它們的無線網(wǎng)絡(luò)和網(wǎng)絡(luò)電話進(jìn)行測(cè)試，確切地說是所有東西都會(huì)全面測(cè)試，以便找到其中存在的漏洞，這樣一來我們的客戶就能修復(fù)這些漏洞了。”
所謂的“測(cè)試”，其實(shí)就是米特尼克向這些跨國(guó)企業(yè)收取高額費(fèi)用——他并沒有透露到底是多少——然后做一些曾在二十年前讓他鋃鐺入獄的事情：不惜一切手段侵入它們的計(jì)算機(jī)、網(wǎng)絡(luò)、電話甚至是建筑物，只要不被探測(cè)到就行；然后將結(jié)果回饋給這些公司，告訴它們他是怎么做到的。
最有意思的是，米特尼克以及他領(lǐng)導(dǎo)下的成員不斷發(fā)生變化的專業(yè)黑客團(tuán)隊(duì)從來就沒失過手。這一次可不是什么“傳奇”了。“這可不是吹牛。”他說道。“事實(shí)就是如此。”
談話進(jìn)行至此，米特尼克拋出了他最近一份工作的詳細(xì)清單，也就是為紐約一家大型零售公司做的“測(cè)試”。他用15分鐘時(shí)間編織了一個(gè)傳說，其中充斥著各種技術(shù)細(xì)節(jié)和規(guī)格。他回憶了自己及其團(tuán)隊(duì)是如何騙過一名店長(zhǎng)，讓其相信他是來自警報(bào)器公司的一名技術(shù)人員的。據(jù)他所說，任何通情達(dá)理的人都會(huì)上當(dāng)。他用一張印有警報(bào)器公司標(biāo)志的工作大樓通行卡蒙混過關(guān)，進(jìn)到了“作案”現(xiàn)場(chǎng)，編造的借口是他要到那里去對(duì)警報(bào)器系統(tǒng)的動(dòng)作傳感器“做一些調(diào)整”。
這項(xiàng)任務(wù)的最終目標(biāo)不僅是滲入這家零售公司的計(jì)算機(jī)網(wǎng)絡(luò)——米特尼克后來找到了這個(gè)網(wǎng)絡(luò)的弱點(diǎn)，那就是一臺(tái)使用了默認(rèn)密碼的網(wǎng)絡(luò)打印機(jī)——而且還要潛入其知名度最高的一家曼哈頓連鎖店，而且還要在幾個(gè)小時(shí)的時(shí)間里不被抓現(xiàn)行。米特尼克花了四個(gè)星期時(shí)間來進(jìn)行偵查和研究工作，其中還包括專門制造了一臺(tái)機(jī)器，用于復(fù)制員工通行卡。
任務(wù)完成后米特尼克向其雇主的高管提交了一份報(bào)告，其中包括如何糾正他所發(fā)現(xiàn)的每個(gè)問題的詳細(xì)指導(dǎo)步驟。需要特別說明的一點(diǎn)是，他不是通過電子郵件發(fā)送這份報(bào)告的。“那時(shí)我仍掌握著他們的網(wǎng)絡(luò)訪問權(quán)，因此我就在他電腦的桌面上留下了一份報(bào)告副本。”米特尼克說道。“這樣做比用電子郵件發(fā)送更安全。他也覺得那樣做很帶感。”
他所講述的這個(gè)故事反映了一種思路，這種思路既貫穿在他的實(shí)際工作中，同時(shí)也隱含在他所編著的三本書里，那就是：人的因素。
在米特尼克接到的任務(wù)中，大多數(shù)都不僅是要求他攻擊一家公司的計(jì)算機(jī)，同時(shí)還要求他騙過這家公司的員工，允許他暢通無阻地進(jìn)入到禁區(qū)中去。這種所謂的“社會(huì)工程”攻擊實(shí)際上就是欺騙那些管理著一臺(tái)計(jì)算機(jī)、一座建筑物或是其他什么資產(chǎn)的準(zhǔn)入權(quán)的人，讓他們放棄自己身后被“鎖著”的信息。
米特尼克說道，“黑”人比黑計(jì)算機(jī)更簡(jiǎn)單。“發(fā)動(dòng)攻擊的最有效的方式就是讓客戶——也就是一個(gè)人——干蠢事兒。”他說道。正如老話所說的那樣，笨是無藥可救的。
當(dāng)任務(wù)目標(biāo)是攻破一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)時(shí)，最好的辦法就是讓目標(biāo)公司中的某些人打開本來不該打開的文件。“舉例來說，如果你的目標(biāo)是一家法律事務(wù)所，那么通常來說你能讓人迫不及待地點(diǎn)擊打開一個(gè)PDF文件。”他說道，而這個(gè)貌似無害的PDF文件可能已被加載了惡意軟件，從而讓攻擊者的一只腳踏進(jìn)目標(biāo)公司網(wǎng)絡(luò)的大門。
一只腳就足夠了。在米特尼克鍥而不舍的探查下，這扇大門以及其他很多大門不用多久就會(huì)一一敞開：他會(huì)尋找其他計(jì)算機(jī)及其所運(yùn)行之軟件的清單、員工名錄、用戶名和密碼、電話號(hào)碼及其他任何有用的信息，從而更加徹底地侵入一個(gè)網(wǎng)絡(luò)。只用一種方式是絕對(duì)行不通的。
回首往事，他對(duì)二十年前因做黑客而入獄、之后二十年卻以做黑客為生的辛辣對(duì)比看得很淡。但是，如果沒有了入獄的歲月，也就沒有了傳奇；如果沒有了傳奇，也就沒有了高額的顧問費(fèi)。（到底有多高呢？他還是不肯說。）“我只是作為一種興趣愛好而開始了這一切，而現(xiàn)在則是以此謀生。”他說道。“即便給我一百萬(wàn)年的時(shí)間去做夢(mèng)，也從來都沒想過會(huì)有這樣的機(jī)會(huì)。”
如果你還是不信這個(gè)坐過大牢的人已經(jīng)改過自新，那么不妨這樣想想：他所做的工作可能已經(jīng)讓你直接受惠。最近，三大征信所中的一家——他不愿透露是哪一家——已經(jīng)聘用他進(jìn)行了一次“測(cè)試”。
這次“測(cè)試”的結(jié)果跟他對(duì)上文中那家零售公司所作測(cè)試的結(jié)果幾乎沒什么分別。米特尼克又一次天花亂墜地描述了來自他記憶中的各種細(xì)節(jié)；用一句話來概括的話，那就是：“我們占領(lǐng)了他們，不管是網(wǎng)絡(luò)、建筑物還是人，所有一切盡皆為我們敞開了大門。他們要花三年時(shí)間才能修補(bǔ)完我們發(fā)現(xiàn)的所有問題。”
京公網(wǎng)安備 11010502049343號(hào)