美國《時代》周刊7月21日(提前出版)一期發(fā)表題為《零世界大戰(zhàn)——黑客如何竊取你的秘密》的封面文章，作者是列夫·格羅斯曼。文章稱，互聯(lián)網(wǎng)是一個戰(zhàn)場，戰(zhàn)利品是你的信息，而漏洞則是武器。

漏洞成為網(wǎng)戰(zhàn)武器

網(wǎng)絡戰(zhàn)不是未來，而是已經(jīng)存在，并且已經(jīng)司空見慣。在這場戰(zhàn)爭中，隨處都是戰(zhàn)場，漏洞是武器，而黑客則是軍火商。

一個軟件漏洞的價值能以金錢來衡量，這有點讓人匪夷所思。漏洞即錯誤。通常，我們要花錢修復漏洞。而漏洞大有市場則是我們所處的科技時代更令人匪夷所思的結(jié)果。在這個科技時代，我們的整個世界——我們的商業(yè)活動、醫(yī)療記錄、社會生活和政府——正在一點一點地脫離現(xiàn)實世界，以數(shù)據(jù)形式進入由軟件構(gòu)成的計算機內(nèi)核。很多人出于善意或惡意對這些數(shù)據(jù)抱有興趣。其中一些人是間諜，還有一些人是罪犯。漏洞就是他們用以獲取數(shù)據(jù)的武器。

幾年前的一個例子能充分說明，是什么讓漏洞如此有用。當時，美國和以色列聯(lián)合研發(fā)了一種復雜的計算機病毒，其目的是侵入并破壞位于伊朗納坦茲市的某個進行鈾濃縮的核設施。這種名為“震網(wǎng)”(Stuxnet)的病毒或許是第一個真正的網(wǎng)絡武器。一名雙重間諜利用U盤將這種病毒植入核設施的計算機系統(tǒng)。該病毒在查看整個計算機系統(tǒng)后向主人傳回詳細的情報，隨后開始大規(guī)模侵入控制離心機的計算機，并最終導致大約20%的離心機陷入癱瘓。(由于美國和以色列政府在這個問題上仍然保持沉默，以上均為通過安全專家和媒體提供的事實推演所得。)

是什么讓“震網(wǎng)”病毒如此有效?一個詞：漏洞。要成功侵入目標系統(tǒng)，“震網(wǎng)”病毒至少利用了4個不同的系統(tǒng)漏洞，包括一個微軟視窗操作系統(tǒng)的漏洞。這些漏洞——更確切地說，利用這些漏洞所需的知識——本身就像伊朗人正在提煉的濃縮鈾，但是以軟件的形式存在：它們是昂貴且高度精密的武器，構(gòu)成了極端復雜的武器系統(tǒng)的核心。當“震網(wǎng)”病毒從納坦茲市的核設施擴散并導致全球大約10萬臺計算機受到感染后，這些漏洞讓“震網(wǎng)”病毒具有更大的破壞

美國大肆濫用漏洞

早在“震網(wǎng)”病毒出現(xiàn)之前，為漏洞埋單的想法就已經(jīng)出現(xiàn)。1995年，美國網(wǎng)景通信公司(Netscape)推出了“漏洞獎金”計劃，任何人只要找出該公司瀏覽器的漏洞都能獲得現(xiàn)金獎勵。2002年，美國信息防護公司(iDefense)開始購買各種漏洞。2005年，TippingPoint公司也推出了類似的購買計劃。鑒于公開市場上的“零日漏洞”交易日趨活躍和混亂，這兩項計劃作為安全的“零日漏洞”處理廠(類似于放射性廢物庫)，提供了一種安全的選擇。(“零日”這個術(shù)語是指漏洞的新鮮程度。“零日漏洞”是指漏洞公開的時間為零天，因此還沒有人嘗試修復它。)如果你發(fā)現(xiàn)了一個漏洞，你能以公道的價格賣給iDefense或TippingPoint公司，而不是賣給出價最高但天知道會做出什么事情來的買家。iDefense和TippingPoint公司會提醒客戶警惕這些漏洞，并與軟件開發(fā)商合作修復它們。這兩家公司還有一個共同點：在2005年和2006年連續(xù)兩年聘用實習生阿龍·波特努瓦。

波特努瓦是一個超級網(wǎng)絡攻擊專家。2006年，波特努瓦從美國東北大學輟學，開始全職在TippingPoint公司工作。2012年，他從該公司辭職，并創(chuàng)立了自己的Exodus公司。在這個不大的精英領域中，還有總部位于法國南部的Vupen公司、馬耳他的Revuln公司、美國的Netragard公司和加拿大的Telus公司。(Netragard公司的信條是：“我們保護你們不受我們這種人的攻擊。”)Exodus公司總部位于奧斯汀的一棟辦公樓內(nèi)，與會計師和地產(chǎn)經(jīng)紀人為鄰。即使以新創(chuàng)立的科技公司為標準，這家公司的總部也過于簡樸：僅有一個室內(nèi)裝飾——一面掛在墻上的海盜旗。

Exodus公司9名研究人員的日常工作就是攻擊目標軟件，尋找侵入系統(tǒng)的辦法。他們的目標包括瀏覽器、電郵客戶端、即時通訊客戶端、Flash、Java、工業(yè)控制系統(tǒng)，以及任何可以被攻擊者作為突破口的東西。

通常，Exodus公司的研究人員發(fā)現(xiàn)一個漏洞后，會起草一份專業(yè)報告和技術(shù)文件，說明這個漏洞是什么?在哪里?如何發(fā)現(xiàn)它?它在什么版本的軟件上運行?如何修復?等等。最重要的是，Exodus公司會告訴你如何激活并利用這個漏洞。購買Exodus公司的漏洞需要注冊成為會員，年費在20萬美元左右。

基于漏洞交易提供的漏洞正在被用于犯罪或不道德目的這個假設，對于該行業(yè)的評價可謂毀譽參半。總部位于華盛頓特區(qū)的Endgame公司多年以來向美國政府出售軟件漏洞，它被《福布斯》雜志稱為“黑客領域的黑水公司”。

Exodus公司的客戶基本可以分為兩類：攻擊型和防守型。防守型的包括安全公司和反病毒軟件開發(fā)商，他們希望獲取可以用于產(chǎn)品的信息，或為客戶提供有關系統(tǒng)威脅的最新信息。攻擊型的包括侵入測試者，他們利用Exodus公司的“零日漏洞”模擬攻擊自己或別人的網(wǎng)絡。

還有一些客戶可不是模擬而已。眾所周知，美國國家安全局和聯(lián)邦調(diào)查局喜歡在目標計算機上植入監(jiān)視軟件，以收集情報;聯(lián)邦調(diào)查局甚至正在游說法院，以更容易地獲得采取這種行動的授權(quán)。如何在別人的計算機上植入軟件，而又不被別人發(fā)現(xiàn)?其中一個辦法就是利用漏洞。

根據(jù)《華盛頓郵報》對愛德華·斯諾登泄露的機密文件的分析，在美國國家安全局的預算中，有2510萬美元用于“額外秘密購買軟件漏洞”;還有6.52億美元用于代號GENIE的秘密計劃——在外國計算機網(wǎng)絡上植入惡意代碼。截至2013年底，GENIE計劃預計已經(jīng)控制全球大約8.5萬臺計算機。

根據(jù)斯諾登提供的機密文件，2011年美國對中國、俄羅斯、伊朗和朝鮮等國家發(fā)起了231次網(wǎng)絡攻擊。而這還只是2011年的數(shù)字。在2015年美國國防預算中，有50億美元用于網(wǎng)絡空間行動，而我們對這個領域卻知之甚少。

漏洞黑市令人擔憂

鑒于軟件漏洞的潛在攻擊性，你可能認為，美國政府希望像控制戰(zhàn)斗機和地雷交易一樣控制軟件漏洞交易。但事實上，監(jiān)管者才著手進行控制。去年12月，由美國和其他40個國家簽署的《瓦瑟納爾協(xié)定》進行了修訂，將“侵入軟件”納入受到限制的軍民兩用技術(shù)名單，但到目前為止，這項修訂尚未得到落實。美國政府一名高級官員說，目前，美國政府還不想真正控制這個市場。市場行為更多地依賴自愿和自律。賣給誰?不賣給誰?這讓波特努瓦和他的團隊有時不得不做出道德選擇。

盡管如此，濫用漏洞的可能性卻切實存在。零日漏洞可不管你侵入的是誰的計算機，或者為什么侵入?今年4月28日，卡巴斯基實驗室的研究人員透露，Adobe Flash軟件存在一種零日漏洞。如果能誘使目標計算機的使用者訪問一個特定的網(wǎng)站，就能利用這個漏洞在目標計算機上植入惡意代碼。經(jīng)研究人員查實，這個特定的網(wǎng)站屬于敘利亞司法部。我們有理由推斷，敘利亞政府正在利用零日漏洞監(jiān)視國內(nèi)的異見人士。

如果一個不受任何國家控制的政治組織對公共設施發(fā)起攻擊，那將是一場真正的夢魘。例如，恐怖主義組織。美國聯(lián)邦調(diào)查局在紐約負責網(wǎng)絡和特殊行動的前特工瑪麗·加利根說：“如果你能確定其中一種零日漏洞，就能利用它們造成嚴重破壞。”她以控制工業(yè)系統(tǒng)的軟件“數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)”(SCADA)為例，該系統(tǒng)就是“震網(wǎng)”病毒攻擊的目標。她說：“我們能想到的一切工業(yè)系統(tǒng)——制造車間、電網(wǎng)、供水或電梯——都是由與互聯(lián)網(wǎng)連接的數(shù)據(jù)設備運行的。真正令人擔憂的是，這是保護力度最弱的環(huán)節(jié)。”

即使無足輕重的獨裁者和網(wǎng)絡犯罪分子不能從Exodus公司購買漏洞，他們也能從活躍的漏洞黑市上購買。有人認為這是一個嚴重的問題，有人則不以為然。蘭德公司在今年3月的報告中指出，漏洞黑市是“一些受金錢驅(qū)使、具有高度組織性和復雜性的組織的競技場”。

波特努瓦對黑市漏洞的質(zhì)量嗤之以鼻。他說，黑市上的大部分漏洞都不具備“零日”新鮮度。通常，犯罪分子會選擇那些已經(jīng)推出安全補丁的較老的漏洞下手，他們要做的就是在網(wǎng)絡上獵捕那些尚未更新軟件的目標。根據(jù)美國賽門鐵克(Symantec)公司《2014年互聯(lián)網(wǎng)安全威脅報告》，在該公司掃描的所有網(wǎng)站中，有1/8的網(wǎng)站存在一個未經(jīng)修復的嚴重漏洞。

還有一種與黑市截然相反的市場，這個市場由最初編寫存在漏洞的軟件的程序員運行。越來越多的大型軟件公司意識到，購買自己產(chǎn)品的漏洞并趕在別人利用這些漏洞之前修復它們(有點類似于對出廠產(chǎn)品進行Beta測試)，其實是一種節(jié)省成本的辦法。2010年，谷歌公司推出獎勵發(fā)現(xiàn)Chrome瀏覽器漏洞的計劃，并幫助推動了這種趨勢。今年，谷歌公司用于這項計劃的支出累計達到330萬美元。現(xiàn)在，獎勵發(fā)現(xiàn)漏洞的做法已經(jīng)成為慣例，就連網(wǎng)絡商店平臺Etsy也有類似的計劃。微軟公司給予發(fā)現(xiàn)視窗操作系統(tǒng)一個嚴重漏洞的獎金最高達到10萬美元。去年，臉譜公司為687個漏洞支付了150萬美元的獎金。

數(shù)據(jù)防護千瘡百孔

當然，我們夢想生活在一個沒有漏洞的世界：我們的軟件完美無瑕，安全性能絕佳。然而，現(xiàn)實卻與我們的夢想背道而馳。我們讓計算機為我們做得越多，對其安全性的需求就越迫切;但計算機需要做得越多，它們的軟件就必須越復雜，它們的漏洞也就越多。如此就形成了一種惡性循環(huán)。以你的筆記本電腦為例，其操作系統(tǒng)由數(shù)千萬行代碼組成，其安裝的應用軟件大多數(shù)僅完成3/4就匆匆上市。當你的筆記本電腦與數(shù)以百萬計的其他設備(包括平板電腦和手機)連接，形勢就會迅速失控。

修復漏洞有點像排干海洋，你永遠也不可能完成。盡管編碼水平和標準都在提高，但提高的速度還不夠快。目前，美國國家漏洞數(shù)據(jù)庫列出的漏洞有63239個。去年，研究人員平均每天發(fā)現(xiàn)13個漏洞。今年3月，美國聯(lián)邦政府通報，去年共有3000家美國公司遭到黑客攻擊。保護我們數(shù)據(jù)的防護墻實際上千瘡百孔。與計算機安全領域的人士接觸越久，就越會意識到，根本就不存在保護數(shù)據(jù)的防護墻。

我們?nèi)绱顺晒Φ貏?chuàng)造了一個相互連通的“天堂”，在這里，信息可以自由流動，我們又如此迫不及待地想生活在這個“天堂”，以至于我們已經(jīng)無法按照自己的意愿控制信息的流動。其結(jié)果是，一場新的戰(zhàn)爭。這場戰(zhàn)爭并不引人矚目，但持久、廣泛。它模糊了軍事與民事、個人與公共、政治與商業(yè)的界限。其受害者損失的是個人數(shù)據(jù)和知識產(chǎn)權(quán)，等他們發(fā)現(xiàn)自己遭受了攻擊，往往已為時過晚。美國政府一名高級官員說：“零日漏洞將一直存在。這不僅僅涉及保護措施——網(wǎng)絡空間的‘防護墻’、‘護城河’和‘鐵絲網(wǎng)’。你必須在一種假設下工作：有時，壞人會侵入。”