URL：https://www.nytimes.com/2018/10/11/opinion/internet-hacking-cybersecurity-iot.html
計(jì)算機(jī)不安全不算什么新聞。最近的Facebook數(shù)據(jù)泄露，兩年前的美國(guó)民主黨全國(guó)委員會(huì)(DNC)郵件泄露事件，2015年的美國(guó)人事管理局(OPM)遭網(wǎng)絡(luò)攻擊致400萬(wàn)現(xiàn)任和前任員工信息被盜事件，還有2014年的12306遭黑客撞庫(kù)攻擊致用戶信息外泄事件……頻繁見(jiàn)諸報(bào)端的各種重大計(jì)算機(jī)安全事件已經(jīng)讓人們見(jiàn)怪不怪習(xí)以為常了。這些消息或許只是占據(jù)頭條位置幾天時(shí)間就煙消云散，但它們所暴露出來(lái)的問(wèn)題還僅僅是冰山一角。
因?yàn)橛?jì)算機(jī)已超出數(shù)據(jù)處理，正在浸入影響我們生活乃至生命的各種物理設(shè)備，計(jì)算機(jī)安全的風(fēng)險(xiǎn)也在擴(kuò)大。而且這種安全風(fēng)險(xiǎn)并不是市場(chǎng)能解決的問(wèn)題，需要政府介入并履行監(jiān)管職責(zé)。
計(jì)算機(jī)不安全的主要原因，是絕大多數(shù)客戶都不愿意投入時(shí)間和金錢(qián)供市場(chǎng)將安全澆筑進(jìn)他們想要的產(chǎn)品和服務(wù)中。讓市場(chǎng)急于推出低價(jià)產(chǎn)品的后果，就是人們始終被可攻擊的互聯(lián)網(wǎng)協(xié)議、滿是漏洞的計(jì)算機(jī)和容易被滲透的網(wǎng)絡(luò)包圍。在安全問(wèn)題上，既想馬兒跑又不給馬兒吃草是不會(huì)有好結(jié)果的。
但我們卻容忍了這種安全缺乏的局面，因?yàn)殚L(zhǎng)期以來(lái)計(jì)算機(jī)安全主要圍繞數(shù)據(jù)展開(kāi)。金融機(jī)構(gòu)存儲(chǔ)的銀行記錄或許很重要，但沒(méi)人會(huì)因?yàn)殂y行數(shù)據(jù)被盜而死。微信賬戶數(shù)據(jù)也很重要，但即便賬戶被盜，也不至于有人因此喪生。無(wú)論這些數(shù)據(jù)泄露或網(wǎng)絡(luò)攻擊事件有多嚴(yán)重，一直以來(lái)接受既成事實(shí)都比解決根本問(wèn)題要廉價(jià)得多。但是，如今我們使用計(jì)算機(jī)的方法已經(jīng)發(fā)生了改變，而這種改變令計(jì)算機(jī)安全問(wèn)題不再只是數(shù)據(jù)的問(wèn)題，設(shè)備或網(wǎng)絡(luò)不安全，是有可能致命的。
今天的很多新型計(jì)算機(jī)不再是一臺(tái)主機(jī)加一塊顯示屏，而是現(xiàn)實(shí)生活中與我們互動(dòng)的各種物體。冰箱成了可以制冷的計(jì)算機(jī)；汽車(chē)就是安了四個(gè)輪子和一臺(tái)引擎的計(jì)算機(jī)。這些計(jì)算機(jī)感知人體和人體周?chē)沫h(huán)境，影響人類和人類所處的環(huán)境。它們都是一個(gè)個(gè)的自治系統(tǒng)，通過(guò)網(wǎng)絡(luò)相互溝通，還有著各種形式的實(shí)體代理。嵌入到各種設(shè)備中的計(jì)算機(jī)駕駛著我們的車(chē)輛，操縱著我們的飛機(jī)，運(yùn)營(yíng)著我們的電廠。它們控制交通，管理注入我們身體的藥劑，調(diào)遣城市的消防和急救服務(wù)。這些相互連接的計(jì)算機(jī)與將它們連接起來(lái)的網(wǎng)絡(luò)就組成了我們所謂的“物聯(lián)網(wǎng)(IoT)”——能直接以物理方式影響世界的網(wǎng)絡(luò)。
我們已經(jīng)見(jiàn)證了對(duì)吸塵機(jī)器人的黑客攻擊，體驗(yàn)過(guò)能讓醫(yī)院無(wú)法進(jìn)行手術(shù)的勒索軟件攻擊，見(jiàn)識(shí)到能讓剎車(chē)失靈、電廠停轉(zhuǎn)的惡意軟件攻擊……而且此類攻擊還將更為常見(jiàn)，更具災(zāi)難性。計(jì)算機(jī)故障與大多數(shù)其他機(jī)器故障不同：計(jì)算機(jī)不僅能被遠(yuǎn)程攻擊，還能被同時(shí)批量攻擊。老式冰箱是不會(huì)感染計(jì)算機(jī)病毒或被征召進(jìn)拒絕服務(wù)僵尸網(wǎng)絡(luò)的，沒(méi)有互聯(lián)網(wǎng)連接的汽車(chē)也不會(huì)被遠(yuǎn)程侵入。但如果是一臺(tái)裝了輪子和引擎的計(jì)算機(jī)呢？一臺(tái)聯(lián)網(wǎng)智能汽車(chē)，還有與它同廠家同型號(hào)的兄弟們，是有可能被人遠(yuǎn)程操縱同時(shí)沖出路面的。
隨著威脅態(tài)勢(shì)的升級(jí)，我們長(zhǎng)久以來(lái)對(duì)于安全的一些假設(shè)就不成立了。安全漏洞修復(fù)操作就是個(gè)例子。傳統(tǒng)上，面對(duì)源源不斷的計(jì)算機(jī)漏洞，我們通過(guò)定期給系統(tǒng)打補(bǔ)丁、應(yīng)用各種更新等手段來(lái)緩解安全風(fēng)險(xiǎn)。但這種方法對(duì)廉價(jià)設(shè)備無(wú)效，因?yàn)榱畠r(jià)設(shè)備的制造商沒(méi)有安全團(tuán)隊(duì)來(lái)編寫(xiě)補(bǔ)丁程序：如果你想要更新你的數(shù)碼錄像機(jī)(DVR)或監(jiān)控?cái)z像頭，那你只有扔掉舊的，買(mǎi)套新的。補(bǔ)丁方法對(duì)昂貴設(shè)備也不起作用，甚至有可能非常危險(xiǎn)。大家都不會(huì)想在等待新安全補(bǔ)丁被編寫(xiě)、測(cè)試和推送前的幾個(gè)星期里讓有漏洞的聯(lián)網(wǎng)汽車(chē)跑在各種路面上。
另一個(gè)不再有效的假設(shè)是供應(yīng)鏈安全。最近幾年，有關(guān)俄羅斯和中國(guó)制造的計(jì)算機(jī)和軟件中存在政府植入漏洞的政治口水戰(zhàn)一直在打。但供應(yīng)鏈安全遠(yuǎn)不止嫌疑公司的地理位置問(wèn)題：芯片在哪兒制造的？軟件在哪兒編寫(xiě)的？程序員是哪國(guó)的？一系列問(wèn)題都需要考慮。
比如說(shuō)，今年10月4日，彭博社就拋出爆炸性消息，稱中國(guó)在銷往亞馬遜、蘋(píng)果等美國(guó)公司的硬件中植入了信息流劫持芯片。涉事公司均嚴(yán)厲駁斥了該報(bào)告的準(zhǔn)確性，但該報(bào)道確實(shí)點(diǎn)出了供應(yīng)鏈安全問(wèn)題。隨著越來(lái)越多的物品變成各種形式的計(jì)算機(jī)，隨著這些計(jì)算機(jī)被嵌入到事關(guān)國(guó)家安全的應(yīng)用中，供應(yīng)鏈安全問(wèn)題也越來(lái)越不容忽視。
這些都是市場(chǎng)解決不了的問(wèn)題。消費(fèi)者無(wú)力辨別產(chǎn)品是否安全，于是賣(mài)家更傾向于在消費(fèi)者能看到的功能上砸錢(qián)?；ヂ?lián)網(wǎng)和供應(yīng)鏈的復(fù)雜性令追查特定漏洞來(lái)源十分困難。法庭一直以來(lái)都沒(méi)有裁決軟件制造商應(yīng)為漏洞負(fù)責(zé)。而大多數(shù)公司企業(yè)通常吝于安全，不愿銷售雖然安全，但成本更高、功能更少且晚于同類產(chǎn)品上市的東西。
問(wèn)題很復(fù)雜，解決方案也不可能簡(jiǎn)單。技術(shù)挑戰(zhàn)肯定存在，但還不是不可逾越，困難的是政策方面的問(wèn)題?；ヂ?lián)網(wǎng)安全的未來(lái)應(yīng)被當(dāng)做政策問(wèn)題視之，從多方面多角度加以考慮，這其中每一步都需要政府的參與。
首先，政府需出臺(tái)各種標(biāo)準(zhǔn)，嚴(yán)格產(chǎn)品準(zhǔn)入，讓不安全產(chǎn)品無(wú)法損害他人。互聯(lián)網(wǎng)無(wú)國(guó)界，但監(jiān)管是有適用范圍的，需根據(jù)本地狀況加以設(shè)計(jì)。這些標(biāo)準(zhǔn)至少應(yīng)包含最低限度的安全規(guī)范。比如美國(guó)加利福尼亞州就剛剛頒布了《物聯(lián)網(wǎng)安全法》，禁止留默認(rèn)口令。默認(rèn)口令不過(guò)是眾多安全漏洞之一，要完成的工作還很多，但這是個(gè)不錯(cuò)的開(kāi)端。
這些標(biāo)準(zhǔn)還應(yīng)足夠靈活，能適應(yīng)不同公司、組織和行業(yè)的需求。美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所(NIST)的《網(wǎng)絡(luò)安全框架》就是個(gè)極好的樣例，因?yàn)樵摽蚣艿母黜?xiàng)建議能夠適應(yīng)各類組織的個(gè)別需求與風(fēng)險(xiǎn)。NIST《網(wǎng)絡(luò)安全框架》包含了如何發(fā)現(xiàn)、防止、恢復(fù)和響應(yīng)安全風(fēng)險(xiǎn)的指南，目前還處于自愿應(yīng)用的階段，也就是說(shuō)根本沒(méi)人遵從。在關(guān)鍵行業(yè)強(qiáng)制應(yīng)用該框架會(huì)是個(gè)不錯(cuò)的開(kāi)端。而比較合適的下一步動(dòng)作，就是為汽車(chē)制造、醫(yī)療設(shè)備、消費(fèi)品和關(guān)鍵基礎(chǔ)設(shè)施之類的行業(yè)實(shí)現(xiàn)更具體的標(biāo)準(zhǔn)。
其次，監(jiān)管機(jī)構(gòu)應(yīng)懲罰安全沒(méi)做好的公司，并建立健壯的責(zé)任機(jī)制。只有讓安全違規(guī)的代價(jià)比安全投資大得多，才有希望遏制住因違法成本過(guò)低帶來(lái)的種種不安全產(chǎn)品。在這方面，歐盟給世界樹(shù)立了榜樣。歐洲于2018年5月25日全面生效的《通用數(shù)據(jù)保護(hù)條例》(GDPR)是一套涵蓋廣泛而嚴(yán)厲的隱私保護(hù)法律，不僅是在歐盟國(guó)家注冊(cè)的公司需遵守，只要產(chǎn)品或服務(wù)的用戶是歐盟成員國(guó)公民，相應(yīng)的公司企業(yè)也必須遵守該條例；且違規(guī)代價(jià)非常巨大——最高可致違規(guī)公司全球總營(yíng)業(yè)額4%的巨額罰款！正如醉駕入刑后中國(guó)因酒駕、醉駕導(dǎo)致的一般、較大以上交通事故起數(shù)大幅下降，造成的人員傷亡數(shù)量明顯減少；重典之下公司企業(yè)自會(huì)加大安全投入，避免承受安全違規(guī)帶來(lái)的重大聲譽(yù)、經(jīng)濟(jì)、業(yè)務(wù)影響。
我們需確保公司企業(yè)對(duì)其產(chǎn)品和服務(wù)負(fù)責(zé)，且受不安全影響的用戶可以獲得賠償。一直以來(lái)，美國(guó)司法機(jī)構(gòu)都拒絕對(duì)軟件漏洞追究責(zé)任，受數(shù)據(jù)泄露影響的用戶也無(wú)法證明具體的傷害?！罢l(shuí)主張誰(shuí)舉證”的原則不適用于信息安全領(lǐng)域，這個(gè)領(lǐng)域里的用戶是絕對(duì)弱勢(shì)群體，我們應(yīng)設(shè)置法定損害賠償——法律明文規(guī)定無(wú)需任何進(jìn)一步證明即可獲得賠償?shù)膿p害。
最后，安全優(yōu)先應(yīng)被當(dāng)成最高準(zhǔn)則。互聯(lián)網(wǎng)連通全球，人人可用，我們對(duì)安全所做的任何改善也會(huì)惠及那些我們希望還是保持不安全狀態(tài)比較好的人，比如罪犯、恐怖分子、敵對(duì)政府……但我們沒(méi)有選擇。修復(fù)計(jì)算機(jī)漏洞的安全收益遠(yuǎn)超保留可利用漏洞的所謂“安全優(yōu)勢(shì)”。(此處打臉收集漏洞秘而不宣的NSA、CIA、FBI一黨。)
監(jiān)管無(wú)可避免。這不是在政府監(jiān)管與不監(jiān)管之間的選擇，而是在明智的政府監(jiān)管與欠考慮的政府監(jiān)管之間的選擇。沒(méi)必要恐懼政府監(jiān)管。監(jiān)管不是為了扼制創(chuàng)新，設(shè)計(jì)良好的監(jiān)管方案反而有可能刺激創(chuàng)新，因?yàn)榭梢誀I(yíng)造出安全技術(shù)產(chǎn)品市場(chǎng)。
若無(wú)政府干預(yù)，沒(méi)有哪個(gè)行業(yè)會(huì)大幅提升其產(chǎn)品的安全性。汽車(chē)、飛機(jī)、食品、藥品、消費(fèi)品、、醫(yī)療設(shè)備、工作場(chǎng)所、飯店、金融產(chǎn)品，這一系列民生行業(yè)都需要政府監(jiān)管以保障安全。
互聯(lián)網(wǎng)安全需要人來(lái)維護(hù)，需要那些愿意投入時(shí)間、金錢(qián)去做正確之事的人；那些決意引入最佳法律和政策的人?；ヂ?lián)網(wǎng)一直在成長(zhǎng)進(jìn)化；我們還有時(shí)間來(lái)完善安全，但必須加緊動(dòng)作，趕在下一次信息安全災(zāi)難襲來(lái)之前。是時(shí)候讓政府介入并加以監(jiān)管和疏導(dǎo)了。不是明天，不是下周，不是明年，也不是下一個(gè)大科技公司或政府機(jī)構(gòu)被黑的時(shí)候，就是現(xiàn)在！
加州《物聯(lián)網(wǎng)安全法》相關(guān)新聞鏈接：https://www.cnet.com/news/california-governor-signs-countrys-first-iot-security-law/
NIST網(wǎng)絡(luò)安全框架：https://www.nist.gov/cyberframework
