昏暗的機(jī)房?jī)?nèi)，一名管理員借著微弱的顯示器燈光，與一名女子開(kāi)始偷歡，卻渾然不覺(jué)身后的屏幕已提示系統(tǒng)重啟，而后，一行“未找到操作系統(tǒng)”出現(xiàn)在屏幕之上……
西太平洋上空，一架波音787客機(jī)正從美國(guó)出發(fā)飛往歐洲，突然間機(jī)組人員發(fā)現(xiàn)飛機(jī)正在逐漸拉升，在完全計(jì)算機(jī)操作的客機(jī)上機(jī)組人員甚至無(wú)法手動(dòng)操控飛機(jī)，不得已之下機(jī)長(zhǎng)不得不選擇重啟計(jì)算機(jī)……
福特汽車(chē)的組裝流水線上，八條機(jī)械手臂已取代流水線工人的工作，正有條不紊的組裝著新式越野車(chē)的外殼，負(fù)責(zé)監(jiān)工的一名工人卻突然發(fā)現(xiàn)一條機(jī)械手臂停止了工作，正待他上前檢查時(shí)機(jī)械手臂突然啟動(dòng)，將其擊倒在流水線上，待工人反應(yīng)過(guò)來(lái)，傳送而來(lái)的越野車(chē)車(chē)皮已碾過(guò)其脖頸……
美國(guó)西部的一臺(tái)核電站，三名運(yùn)維人員正百無(wú)聊賴(lài)地享受著周末，時(shí)不時(shí)盯著一臺(tái)臺(tái)監(jiān)視儀檢查核電站運(yùn)行狀況，突然間工作人員發(fā)現(xiàn)反應(yīng)堆溫度正逐漸升高且無(wú)法操控其降溫，為避免核電站爆炸，工作人員不得不手動(dòng)機(jī)械式切斷鈾棒與反應(yīng)堆的接觸……
以上情節(jié)并非現(xiàn)實(shí)，而是出自微軟公司windows內(nèi)核專(zhuān)家馬克.拉希諾維奇的小說(shuō)《黑客的代碼》，書(shū)中以小說(shuō)的形式描述了一對(duì)阿拉伯兄弟與塔利班恐怖組織合作，并雇傭俄羅斯黑客編寫(xiě)名為“超級(jí)癮君子”的超級(jí)病毒，在法國(guó)通過(guò)各類(lèi)雇傭人群之手散步病毒，以企圖擾亂西方國(guó)家社會(huì)秩序，擊垮西方民眾精神。在醫(yī)療、電力、交通、航空等多個(gè)行業(yè)逐漸推行甚至完全信息化的今天，或許可以從該書(shū)中一窺信息安全之要害——水電站泄洪卻無(wú)法阻止、醫(yī)院配藥系統(tǒng)紊亂而造成多名病人死亡、律師事務(wù)所被病毒攻擊而瀕臨倒閉……看似遙遠(yuǎn)的情節(jié)現(xiàn)實(shí)中卻并不離我們太遠(yuǎn)，比如2010年6月白俄羅斯安全公司VirusBlokAda發(fā)現(xiàn)的“震網(wǎng)”病毒。
工控體系的“木已成舟”
震網(wǎng)(Stuxnet)是2010年6月發(fā)現(xiàn)的一種針對(duì)工業(yè)控制系統(tǒng)且基于windows平臺(tái)的蠕蟲(chóng)病毒，它的傳播從2009年6月甚至更早些時(shí)候開(kāi)始，它利用西門(mén)子公司控制系統(tǒng)(SIMATIC WinCC/Step7)存在的漏洞感染數(shù)據(jù)采集與監(jiān)控系統(tǒng)(SCADA)，能向可編程邏輯控制器(PLCs)寫(xiě)入并隱藏代碼。震網(wǎng)的目標(biāo)是工控體系，據(jù)稱(chēng)已感染伊朗納坦茲的鈾濃縮設(shè)施，并導(dǎo)致伊朗布什爾核電站項(xiàng)目推遲啟動(dòng)。
震網(wǎng)病毒同時(shí)利用了包括MS10-046、MS10-061、MS08-067等在內(nèi)的7個(gè)最新漏洞進(jìn)行攻擊。這7個(gè)漏洞中，5個(gè)針對(duì)Windows系統(tǒng)(其中四個(gè)屬于0day漏洞)，2個(gè)針對(duì)西門(mén)子SIMATIC WinCC系統(tǒng)，它最初通過(guò)感染USB閃存驅(qū)動(dòng)器傳播，然后攻擊被感染網(wǎng)絡(luò)中的其他WinCC計(jì)算機(jī)。一旦進(jìn)入系統(tǒng)，它將嘗試使用默認(rèn)密碼來(lái)控制軟件。因?yàn)槠錁O大的破壞力、隱蔽性以及針對(duì)性，震網(wǎng)病毒也被稱(chēng)為第一個(gè)以關(guān)鍵的工業(yè)基礎(chǔ)設(shè)施為目標(biāo)的蠕蟲(chóng)病毒。
2012年5月，俄羅斯卡巴斯基公司發(fā)現(xiàn)一款名為“火焰(Flame)”的病毒，該病毒的代碼量約為震網(wǎng)病毒的20倍，被稱(chēng)為史上最復(fù)雜的惡意病毒。盡管火焰病毒主要針對(duì)的是基于windows平臺(tái)的個(gè)人電腦，但作為與震網(wǎng)如出一轍的手段，被認(rèn)為是與震網(wǎng)相輔相成，以政治為目的的惡意代碼。但其長(zhǎng)達(dá)5年的隱蔽期，以及利用藍(lán)牙、加密等多種手段的監(jiān)聽(tīng)、對(duì)抗措施，已然可見(jiàn)工控體系下信息安全之重要，之嚴(yán)峻。
也正因?yàn)檎鹁W(wǎng)與火焰的曝光，才使得一個(gè)古老而又新鮮的概念“APT”出現(xiàn)在公眾視野，說(shuō)其古老，是因APT的概念早在2005年便由美國(guó)和英國(guó)CERT機(jī)構(gòu)提出，盡管當(dāng)時(shí)未使用APT的名字，說(shuō)其新鮮，也是因震網(wǎng)與火焰的長(zhǎng)期潛伏、巨大威脅以及智能化第一次讓公眾對(duì)其有了著實(shí)深刻的印象。
且不論震網(wǎng)與火焰是否是美國(guó)和以色列的“得意之作”，至少就工業(yè)控制行業(yè)，APT攻擊的威脅已然是木已成舟：早在2011年美國(guó)伊利諾伊州首府斯普林菲爾德的一處水利系統(tǒng)便曾經(jīng)遭受過(guò)不明黑客的攻擊。
智能汽車(chē)的“火燒眉毛”
2012年，英國(guó)警方發(fā)現(xiàn)一年之內(nèi)超過(guò)300輛寶馬汽車(chē)被盜，被盜的寶馬型號(hào)包括1系列到X6系列。通過(guò)監(jiān)控錄像方得知竊賊的作案手法(見(jiàn)視頻)：運(yùn)用一個(gè)特殊的設(shè)備接通車(chē)輛的OBD(On-Board Diagnostics 車(chē)載自動(dòng)診斷系統(tǒng))端口，同時(shí)執(zhí)行一個(gè)空白的電子鑰匙鏈程序，讓車(chē)輛成功驗(yàn)證密鑰，便可以大搖大擺把車(chē)開(kāi)走。
按照規(guī)定，在歐洲銷(xiāo)售的所有車(chē)都必須開(kāi)放無(wú)限制權(quán)限的OBD系統(tǒng)的代碼，以便非官方的機(jī)器及車(chē)間可以讀取OBD的代碼，而B(niǎo)MW只是其中的一家汽車(chē)長(zhǎng)商。
2011年3月，美國(guó)華盛頓大學(xué)(University of Washington)與加州大學(xué)圣地牙哥分校(University of California-San Diego)的研究團(tuán)隊(duì)，共同發(fā)表了一份《汽車(chē)攻擊面的綜合實(shí)驗(yàn)性分析(Comprehensive Experimental Analyses of Automotive Attack Surfaces)》技術(shù)論文，其中提到：“我們發(fā)現(xiàn)能通過(guò)撥打車(chē)用電話號(hào)碼，或是播放特制的聲音信號(hào)(用iPod編碼)，就能取得汽車(chē)的控制權(quán)，威脅車(chē)內(nèi)嵌入的車(chē)用資通訊系統(tǒng)。”而攻擊智能汽車(chē)的手段遠(yuǎn)不止這些，還包括藍(lán)牙、Wi-Fi等各種短距離無(wú)線連結(jié)接口，遙控?zé)o鑰匙門(mén)鎖、RFID門(mén)鎖、胎壓監(jiān)測(cè)系統(tǒng)，以及手機(jī)通訊接口、GPS、衛(wèi)星/數(shù)位收音機(jī)系統(tǒng)等。
那些看似遙不可及的汽車(chē)黑客，正逐漸出現(xiàn)在公眾視野，相比傳統(tǒng)的軟件行業(yè)、互聯(lián)網(wǎng)行業(yè)的安全補(bǔ)丁，修補(bǔ)汽車(chē)安全漏洞的成本要高出一大截，其或關(guān)系著汽車(chē)召回、硬件更換等市場(chǎng)運(yùn)作，也意味著周期更為漫長(zhǎng)的安全更新。而現(xiàn)實(shí)的情況是，多數(shù)汽車(chē)制造商面對(duì)安全漏洞的態(tài)度均是“眼不見(jiàn)、心不煩”，哪怕對(duì)于安全問(wèn)題已然是心知肚明。
面對(duì)汽車(chē)智能化的趨勢(shì)，安全問(wèn)題也愈加火燒眉毛，“安全改變未來(lái)”對(duì)于軟硬兼施的系統(tǒng)/設(shè)備顯得愈加可貴和重要：2013年4月，美國(guó)加州長(zhǎng)灘市警方發(fā)現(xiàn)兩名利用無(wú)線設(shè)備攔截汽車(chē)解鎖信號(hào)盜取汽車(chē)的嫌犯。
智能家電的“嶄露頭角”
2012年2月，黑客組織GTV Hacker破解了采用Google TV的索尼NSZ-GT1藍(lán)光播放器和NSX-GT1系列高清電視，允許用戶(hù)播放任意內(nèi)容，破解后的Google TV設(shè)支持修改后的Flash插件，允許用戶(hù)瀏覽所有限制內(nèi)容，如來(lái)自Hulu、NBC、CBS、ABC和FOX的內(nèi)容。
同樣作為家電，電視機(jī)相比其他家用電器的智能化要發(fā)展的快的多，關(guān)注度也較高，3D電視、機(jī)頂盒、互聯(lián)網(wǎng)電視等等產(chǎn)品層出不窮，而黑客的焦點(diǎn)同樣也因這些家電的發(fā)展而逐漸聚焦，比如2012年三星公司推出的一款高清等離子電視，這款電視機(jī)內(nèi)置高清數(shù)碼攝像頭、麥克風(fēng)和面部、聲音識(shí)別軟件，或會(huì)被黑客利用獲取個(gè)人隱私，好在目前還未曝出這類(lèi)案件。
物聯(lián)網(wǎng)的發(fā)展，在于家電只是冰山一角，智能手機(jī)、智能交通、智能電網(wǎng)、無(wú)線網(wǎng)絡(luò)、電話線路等等這些終究會(huì)與發(fā)展中的智能家電融為一體，而多維聯(lián)網(wǎng)且智能化、信息化的后果便是木桶短板的增多：千里之堤毀于蟻穴。從目前曝光的智能電視安全研究來(lái)看，智能家電的信息安全挑戰(zhàn)卻已是嶄露頭角：如果破解只是出于好奇與興趣，那么這篇文章或許可以給予我們關(guān)于智能家電安全的更多啟示：《我是如何入侵智能電視的》。
智能交通的“星星之火”
2013年4月的阿姆斯特丹，德國(guó)IT咨詢(xún)公司N.Runs的安全研究員Hugo Teso表示，名為Aircraft Communications Addressing and Report System(ACARS)的數(shù)據(jù)交換系統(tǒng)存在缺陷，利用這個(gè)缺陷以及飛行管理軟件中的bug, 比如Honeywell, Thales, 以及Rockwell Collins, Teso公司的管理軟件。黑客可以通過(guò)發(fā)送自己的惡意無(wú)線電信號(hào)，來(lái)接管飛機(jī)。
ACARS本身沒(méi)有任何保護(hù)或者加密的功能，所以飛機(jī)本身不能辨別無(wú)線信號(hào)是來(lái)自黑客還是機(jī)場(chǎng)地面站的，所以黑客就有機(jī)會(huì)影響飛行員的行為。TESO在會(huì)上演示：用一個(gè)Android App可以控制一臺(tái)虛擬飛機(jī)，而他實(shí)驗(yàn)的硬件就是從eBay上面購(gòu)買(mǎi)的硬件加上一個(gè)FMS仿真訓(xùn)練軟件。
作為曾經(jīng)接受過(guò)商業(yè)飛行訓(xùn)練，且擁有12年飛行架勢(shì)經(jīng)驗(yàn)的Teso來(lái)說(shuō)，挖掘和發(fā)現(xiàn)ACARS缺陷似乎是意料之中。但不可否認(rèn)，未來(lái)的某天不會(huì)出現(xiàn)《黑客的代碼》一書(shū)中的壞家伙，利用自己的所長(zhǎng)受雇發(fā)掘交通領(lǐng)域的信息安全問(wèn)題。
IBM于2008年提出“智慧地球”的概念，其中便包含智慧城市、智慧交通，但智慧、智能的系統(tǒng)也意味著安全的脆弱，一觸即發(fā)、摧枯拉朽成為這種脆弱性的可以想象的災(zāi)難性后果。《黑客的代碼》一書(shū)中美國(guó)某水電站遭受病毒攻擊，閘門(mén)無(wú)法關(guān)閉，造成蓄水水位急劇下降，不僅造成下游的生態(tài)災(zāi)難，同時(shí)亦需將近20年時(shí)間方能恢復(fù)原有蓄水量。可以預(yù)見(jiàn)，雖然當(dāng)前的智能交通已有星星之火，但未來(lái)其所面臨的信息安全挑戰(zhàn)卻不容小覷。
以上雖僅列出部分行業(yè)的信息安全之勢(shì)，卻也僅僅是眾多行業(yè)信息化進(jìn)程中的一角，包括銀行系統(tǒng)、醫(yī)療系統(tǒng)在內(nèi)的行業(yè)應(yīng)用當(dāng)前已然出現(xiàn)諸多缺陷與挑戰(zhàn)，如：2013年2月紐約8人小組“紐約幫”通過(guò)入侵銀行系統(tǒng)、偽造信用卡在10小時(shí)內(nèi)竊取240萬(wàn)美金、美國(guó)食物與藥品管理局(FDA)今年(2013年)6月稱(chēng)他們已發(fā)現(xiàn)上百臺(tái)醫(yī)療系統(tǒng)遭受惡意軟件感染……
結(jié)束語(yǔ)
面對(duì)安全成本的越來(lái)越高，以往亡羊補(bǔ)牢的安全觀念早已不適用于當(dāng)下各行業(yè)的信息化發(fā)展，在諸多廠商仍然信奉功能至上、性能至上、市場(chǎng)至上的今天，倘若能緩一緩腳步，將安全自始至終作為產(chǎn)品的至高點(diǎn)，對(duì)于用戶(hù)、對(duì)于企業(yè)豈不善哉?
面對(duì)未來(lái)信息安全兵臨城下之挑戰(zhàn)，以上也僅僅是行業(yè)挑戰(zhàn)，我們要面臨的還有來(lái)自法律、制度、人員、觀念的挑戰(zhàn)，正如本文開(kāi)頭所介紹的小說(shuō)情節(jié)：“超級(jí)癮君子”病毒的編寫(xiě)者包括俄羅斯人、巴西人，始作俑者為阿拉伯人，支持者為阿富汗塔利班組織，病毒散發(fā)和傳播者來(lái)自法國(guó)等歐洲國(guó)家，協(xié)從者有美國(guó)人，受害企業(yè)/機(jī)構(gòu)包含西方主要國(guó)家，化解危機(jī)的“英雄主人公”是美國(guó)人、俄羅斯人。如此多國(guó)籍的人員參與其中，正如小說(shuō)版的“紐約幫”網(wǎng)絡(luò)犯罪案件，該案件的涉案人員牽涉日本、俄羅斯、羅馬尼亞、希臘、哥倫比亞、英國(guó)、斯里蘭卡和加拿大等27個(gè)國(guó)家，網(wǎng)絡(luò)犯罪的國(guó)際化趨勢(shì)也愈加明顯，而面對(duì)這樣的挑戰(zhàn)，需要各國(guó)執(zhí)法部門(mén)的通力合作，但絕非易事(關(guān)乎政治blah、blah、blah……)
技術(shù)對(duì)抗的升級(jí)、個(gè)人隱私的門(mén)檻提高、個(gè)人信息的網(wǎng)絡(luò)化，也使得社會(huì)工程成為信息安全的一大挑戰(zhàn)，比如《敘利亞電子軍攻擊<洋蔥報(bào)>啟示錄》，社工之重要源于三點(diǎn)：①單項(xiàng)技術(shù)水準(zhǔn)越來(lái)越高，攻擊相比過(guò)去更難;②信息化也意味著依賴(lài)與懶惰，人員的脆弱性愈加明顯;③系統(tǒng)互聯(lián)/信息互聯(lián)導(dǎo)致防御維度及難度增加，社工手段愈加豐富、愈加簡(jiǎn)單。
總之，面對(duì)技術(shù)、行業(yè)、法律、制度、人員、觀念的挑戰(zhàn)，信息安全從業(yè)者任重而道遠(yuǎn)——安全既需未雨綢繆，何不早日風(fēng)雨同舟!