URL：https://www.nytimes.com/2018/10/11/opinion/internet-hacking-cybersecurity-iot.html
計算機不安全不算什么新聞。最近的Facebook數(shù)據(jù)泄露，兩年前的美國民主黨全國委員會(DNC)郵件泄露事件，2015年的美國人事管理局(OPM)遭網(wǎng)絡(luò)攻擊致400萬現(xiàn)任和前任員工信息被盜事件，還有2014年的12306遭黑客撞庫攻擊致用戶信息外泄事件……頻繁見諸報端的各種重大計算機安全事件已經(jīng)讓人們見怪不怪習以為常了。這些消息或許只是占據(jù)頭條位置幾天時間就煙消云散，但它們所暴露出來的問題還僅僅是冰山一角。
因為計算機已超出數(shù)據(jù)處理，正在浸入影響我們生活乃至生命的各種物理設(shè)備，計算機安全的風險也在擴大。而且這種安全風險并不是市場能解決的問題，需要政府介入并履行監(jiān)管職責。
計算機不安全的主要原因，是絕大多數(shù)客戶都不愿意投入時間和金錢供市場將安全澆筑進他們想要的產(chǎn)品和服務(wù)中。讓市場急于推出低價產(chǎn)品的后果，就是人們始終被可攻擊的互聯(lián)網(wǎng)協(xié)議、滿是漏洞的計算機和容易被滲透的網(wǎng)絡(luò)包圍。在安全問題上，既想馬兒跑又不給馬兒吃草是不會有好結(jié)果的。
但我們卻容忍了這種安全缺乏的局面，因為長期以來計算機安全主要圍繞數(shù)據(jù)展開。金融機構(gòu)存儲的銀行記錄或許很重要，但沒人會因為銀行數(shù)據(jù)被盜而死。微信賬戶數(shù)據(jù)也很重要，但即便賬戶被盜，也不至于有人因此喪生。無論這些數(shù)據(jù)泄露或網(wǎng)絡(luò)攻擊事件有多嚴重，一直以來接受既成事實都比解決根本問題要廉價得多。但是，如今我們使用計算機的方法已經(jīng)發(fā)生了改變，而這種改變令計算機安全問題不再只是數(shù)據(jù)的問題，設(shè)備或網(wǎng)絡(luò)不安全，是有可能致命的。
今天的很多新型計算機不再是一臺主機加一塊顯示屏，而是現(xiàn)實生活中與我們互動的各種物體。冰箱成了可以制冷的計算機；汽車就是安了四個輪子和一臺引擎的計算機。這些計算機感知人體和人體周圍的環(huán)境，影響人類和人類所處的環(huán)境。它們都是一個個的自治系統(tǒng)，通過網(wǎng)絡(luò)相互溝通，還有著各種形式的實體代理。嵌入到各種設(shè)備中的計算機駕駛著我們的車輛，操縱著我們的飛機，運營著我們的電廠。它們控制交通，管理注入我們身體的藥劑，調(diào)遣城市的消防和急救服務(wù)。這些相互連接的計算機與將它們連接起來的網(wǎng)絡(luò)就組成了我們所謂的“物聯(lián)網(wǎng)(IoT)”——能直接以物理方式影響世界的網(wǎng)絡(luò)。
我們已經(jīng)見證了對吸塵機器人的黑客攻擊，體驗過能讓醫(yī)院無法進行手術(shù)的勒索軟件攻擊，見識到能讓剎車失靈、電廠停轉(zhuǎn)的惡意軟件攻擊……而且此類攻擊還將更為常見，更具災(zāi)難性。計算機故障與大多數(shù)其他機器故障不同：計算機不僅能被遠程攻擊，還能被同時批量攻擊。老式冰箱是不會感染計算機病毒或被征召進拒絕服務(wù)僵尸網(wǎng)絡(luò)的，沒有互聯(lián)網(wǎng)連接的汽車也不會被遠程侵入。但如果是一臺裝了輪子和引擎的計算機呢？一臺聯(lián)網(wǎng)智能汽車，還有與它同廠家同型號的兄弟們，是有可能被人遠程操縱同時沖出路面的。
隨著威脅態(tài)勢的升級，我們長久以來對于安全的一些假設(shè)就不成立了。安全漏洞修復(fù)操作就是個例子。傳統(tǒng)上，面對源源不斷的計算機漏洞，我們通過定期給系統(tǒng)打補丁、應(yīng)用各種更新等手段來緩解安全風險。但這種方法對廉價設(shè)備無效，因為廉價設(shè)備的制造商沒有安全團隊來編寫補丁程序：如果你想要更新你的數(shù)碼錄像機(DVR)或監(jiān)控攝像頭，那你只有扔掉舊的，買套新的。補丁方法對昂貴設(shè)備也不起作用，甚至有可能非常危險。大家都不會想在等待新安全補丁被編寫、測試和推送前的幾個星期里讓有漏洞的聯(lián)網(wǎng)汽車跑在各種路面上。
另一個不再有效的假設(shè)是供應(yīng)鏈安全。最近幾年，有關(guān)俄羅斯和中國制造的計算機和軟件中存在政府植入漏洞的政治口水戰(zhàn)一直在打。但供應(yīng)鏈安全遠不止嫌疑公司的地理位置問題：芯片在哪兒制造的？軟件在哪兒編寫的？程序員是哪國的？一系列問題都需要考慮。
比如說，今年10月4日，彭博社就拋出爆炸性消息，稱中國在銷往亞馬遜、蘋果等美國公司的硬件中植入了信息流劫持芯片。涉事公司均嚴厲駁斥了該報告的準確性，但該報道確實點出了供應(yīng)鏈安全問題。隨著越來越多的物品變成各種形式的計算機，隨著這些計算機被嵌入到事關(guān)國家安全的應(yīng)用中，供應(yīng)鏈安全問題也越來越不容忽視。
這些都是市場解決不了的問題。消費者無力辨別產(chǎn)品是否安全，于是賣家更傾向于在消費者能看到的功能上砸錢?；ヂ?lián)網(wǎng)和供應(yīng)鏈的復(fù)雜性令追查特定漏洞來源十分困難。法庭一直以來都沒有裁決軟件制造商應(yīng)為漏洞負責。而大多數(shù)公司企業(yè)通常吝于安全，不愿銷售雖然安全，但成本更高、功能更少且晚于同類產(chǎn)品上市的東西。
問題很復(fù)雜，解決方案也不可能簡單。技術(shù)挑戰(zhàn)肯定存在，但還不是不可逾越，困難的是政策方面的問題?；ヂ?lián)網(wǎng)安全的未來應(yīng)被當做政策問題視之，從多方面多角度加以考慮，這其中每一步都需要政府的參與。
首先，政府需出臺各種標準，嚴格產(chǎn)品準入，讓不安全產(chǎn)品無法損害他人。互聯(lián)網(wǎng)無國界，但監(jiān)管是有適用范圍的，需根據(jù)本地狀況加以設(shè)計。這些標準至少應(yīng)包含最低限度的安全規(guī)范。比如美國加利福尼亞州就剛剛頒布了《物聯(lián)網(wǎng)安全法》，禁止留默認口令。默認口令不過是眾多安全漏洞之一，要完成的工作還很多，但這是個不錯的開端。
這些標準還應(yīng)足夠靈活，能適應(yīng)不同公司、組織和行業(yè)的需求。美國國家標準與技術(shù)研究所(NIST)的《網(wǎng)絡(luò)安全框架》就是個極好的樣例，因為該框架的各項建議能夠適應(yīng)各類組織的個別需求與風險。NIST《網(wǎng)絡(luò)安全框架》包含了如何發(fā)現(xiàn)、防止、恢復(fù)和響應(yīng)安全風險的指南，目前還處于自愿應(yīng)用的階段，也就是說根本沒人遵從。在關(guān)鍵行業(yè)強制應(yīng)用該框架會是個不錯的開端。而比較合適的下一步動作，就是為汽車制造、醫(yī)療設(shè)備、消費品和關(guān)鍵基礎(chǔ)設(shè)施之類的行業(yè)實現(xiàn)更具體的標準。
其次，監(jiān)管機構(gòu)應(yīng)懲罰安全沒做好的公司，并建立健壯的責任機制。只有讓安全違規(guī)的代價比安全投資大得多，才有希望遏制住因違法成本過低帶來的種種不安全產(chǎn)品。在這方面，歐盟給世界樹立了榜樣。歐洲于2018年5月25日全面生效的《通用數(shù)據(jù)保護條例》(GDPR)是一套涵蓋廣泛而嚴厲的隱私保護法律，不僅是在歐盟國家注冊的公司需遵守，只要產(chǎn)品或服務(wù)的用戶是歐盟成員國公民，相應(yīng)的公司企業(yè)也必須遵守該條例；且違規(guī)代價非常巨大——最高可致違規(guī)公司全球總營業(yè)額4%的巨額罰款！正如醉駕入刑后中國因酒駕、醉駕導(dǎo)致的一般、較大以上交通事故起數(shù)大幅下降，造成的人員傷亡數(shù)量明顯減少；重典之下公司企業(yè)自會加大安全投入，避免承受安全違規(guī)帶來的重大聲譽、經(jīng)濟、業(yè)務(wù)影響。
我們需確保公司企業(yè)對其產(chǎn)品和服務(wù)負責，且受不安全影響的用戶可以獲得賠償。一直以來，美國司法機構(gòu)都拒絕對軟件漏洞追究責任，受數(shù)據(jù)泄露影響的用戶也無法證明具體的傷害?！罢l主張誰舉證”的原則不適用于信息安全領(lǐng)域，這個領(lǐng)域里的用戶是絕對弱勢群體，我們應(yīng)設(shè)置法定損害賠償——法律明文規(guī)定無需任何進一步證明即可獲得賠償?shù)膿p害。
最后，安全優(yōu)先應(yīng)被當成最高準則。互聯(lián)網(wǎng)連通全球，人人可用，我們對安全所做的任何改善也會惠及那些我們希望還是保持不安全狀態(tài)比較好的人，比如罪犯、恐怖分子、敵對政府……但我們沒有選擇。修復(fù)計算機漏洞的安全收益遠超保留可利用漏洞的所謂“安全優(yōu)勢”。(此處打臉收集漏洞秘而不宣的NSA、CIA、FBI一黨。)
監(jiān)管無可避免。這不是在政府監(jiān)管與不監(jiān)管之間的選擇，而是在明智的政府監(jiān)管與欠考慮的政府監(jiān)管之間的選擇。沒必要恐懼政府監(jiān)管。監(jiān)管不是為了扼制創(chuàng)新，設(shè)計良好的監(jiān)管方案反而有可能刺激創(chuàng)新，因為可以營造出安全技術(shù)產(chǎn)品市場。
若無政府干預(yù)，沒有哪個行業(yè)會大幅提升其產(chǎn)品的安全性。汽車、飛機、食品、藥品、消費品、、醫(yī)療設(shè)備、工作場所、飯店、金融產(chǎn)品，這一系列民生行業(yè)都需要政府監(jiān)管以保障安全。
互聯(lián)網(wǎng)安全需要人來維護，需要那些愿意投入時間、金錢去做正確之事的人；那些決意引入最佳法律和政策的人?；ヂ?lián)網(wǎng)一直在成長進化；我們還有時間來完善安全，但必須加緊動作，趕在下一次信息安全災(zāi)難襲來之前。是時候讓政府介入并加以監(jiān)管和疏導(dǎo)了。不是明天，不是下周，不是明年，也不是下一個大科技公司或政府機構(gòu)被黑的時候，就是現(xiàn)在！
加州《物聯(lián)網(wǎng)安全法》相關(guān)新聞鏈接：https://www.cnet.com/news/california-governor-signs-countrys-first-iot-security-law/
NIST網(wǎng)絡(luò)安全框架：https://www.nist.gov/cyberframework
