010710 Cyber Kriminalität

駭客是怎麼進入你的電腦的

6月中，在愛莎尼亞的塔林市。查理‧米勒（Charlie Miller）剛對一台電腦實施了駭客攻擊。他是在一個以"網路衝突"為主題的大會上，向觀眾們進行演示。米勒是一名數學博士，同時是電腦安全專家，是世界十大最佳駭客之一。這位三十五、六歲的瘦瘦的、臉色蒼白的男子都做了些什麼呢？

"我發出了一個電子郵件，這個郵件你看得出來，是由你信任的一個人發來的。這個郵件裡有個鏈接。你按了這個鏈接。你看到的是，這個鏈接把你帶到一個網頁上，這也是一個你信任的網頁。在你看走眼之前，你來到了一個頁面，一個你認為你應該看看的頁面。一切看上去都很正常。根據你自己的判斷，沒有發生任何事情。但實際上發生的事情是：你的瀏覽器有問題，有一個漏洞，而我利用了它。我讓一個有害程序運轉起來，進入了這台電腦，可以做任何我想做的事情。我可以查閱你的電子郵件，我用你電腦上的相機拍攝了一張照片，我讓這台電腦對你講話。"

米勒用的是所謂的"零日漏洞"（Zero-Day exploit），這是一種新的電腦襲擊技術，對此，目前還根本沒有技術上的保護辦法。電腦技術是非常複雜的，所以通常的商業軟體的程序代碼會含有設計錯誤，這些錯誤是可以被找到與利用的。據數學家米勒介紹，到軟體商糾正這個錯誤，彌合安全漏洞，要用358天時間。在此之前，這些漏洞就被人利用了，比如刑事犯罪分子、間諜、網路恐怖分子、網路斗士。德國內政部長德梅齊埃在6月21日介紹聯邦憲法保衛局報告時，表達了他對網路裡泛濫成災的間諜活動深深的憂慮，"間諜活動的頻繁化尤其表現在數據交換頻率的增強方面，尤其在網路上。所以被間諜刺探的風險大大增加。一些國家加強了以網路为平台的刺探活動，針對德國企業和國家機構的網路和電腦系統。"

電腦裡的訊息源源流出

米可‧胡波能（Mikko Hyponen）對電腦系統的安全問題研究了近20年。這名戴著無邊眼鏡，留著馬尾巴式金發的芬蘭人是安全問題企業F-Secure的研究部主任。他的專業領域是所謂的Malware，即悄悄通過網路潜入電腦的惡意軟體。這種所謂的"特洛伊木馬"實際上能讓攻擊者在遠方遙控被攻擊的電腦。他介紹道，"我們經手的有一家英國軍事企業，該企業總經理的個人電腦中病毒達18個月，也就是說，這裡的訊息在一年半的時間裡源源不斷地流到台灣的一個IP地址那裡去。"

胡波能最近10年裡在更新換代迅速的訊息技術世界裡觀察到網路攻擊的兩個變化，"第一個變化是由出於樂趣和榮耀而做這種事的業餘駭客行為轉化為有組織的、以營利為目的的犯罪。而我們現在正在經歷的是第二個變化，也就是說，我們現在的對手在刑事犯罪分子之外又加上了網路間諜、網路戰爭，或者至少是各種類型的攻擊。"

刑事犯罪和網路間諜界限模糊

這一趨勢也得到納特‧維仁諾夫（Nart Villeneuve）的肯定和強調。這位加拿大高級駭客專家已經破獲了兩起網路間諜網，其源頭指向中國，"我調查的題目之一是網路刑事犯罪與網路間諜之間潛在的關係。我的印象是，兩者間的界限變得模糊不清了。我們看到一些網路刑事犯罪典型的工具和基礎設施，我是說用於盜竊信用卡號、銀行數據等的，被用在了看上去非常像是間諜行為的攻擊上，後者有著非常明確的目標，從敏感文件裡獲取訊息。"

網路空間的攻擊不僅危險，而且成本還相對的低。至少哈倫‧梅爾（Haroon Meer）是這麼說的。他是一個專門針對所謂"滲透試驗"（Penetration-Testing）的南非公司的員工。"滲透試驗"就是，由銀行等機構高薪聘請專業駭客來尋找自己安全系統裡的弱點。這個蓄著大鬍子的年輕人根據長年的工作經驗堅信，任何目標都是能夠被攻克的，"我問過一些最著名的滲透試驗專家，他們需要用什麼工具來成功地攻克任何一個目標。看上去，做成功這麼一件事所需要的費用在10萬至50萬美元之間。有了這筆錢，可以攻克大多數企業或者目標。"

那麼，為什麼人們並沒有經常聽到對電腦系統和網路展開攻擊的事情的呢？查理‧米勒對此的回答令人震撼，"如果你聽到有人破獲了一名駭客，或者有人滲入了電腦系統，那麼那通常不是比較聰明的駭客。因為好的駭客是不會被抓住的。"

作者：馮海因（Matthias von Hein）/編譯： 平心

責編：李京慧