# 妮科爾·珀爾羅思：網路安全與網路戰武器 > 安全記者講述網路武器軍備競賽的內幕、零日漏洞交易與國家之間的數字攻防。 - 原標題：#266 – Nicole Perlroth: Cybersecurity and the Weapons of Cyberwar - 期數：第 266 期 - 釋出日期：2022-02-20 - 嘉賓 / 主題：妮科爾·珀爾羅思 - 網頁版：https://lex.qiaomu.ai/tw/ep/nicole-perlroth/ - 官方頁面：https://lexfridman.com/nicole-perlroth/ - 精讀字數：約 16079 字（閱讀約 36 分鐘） > 本文為 lex.qiaomu.ai 基於原始訪談的 AI 改寫中文精讀，非官方翻譯；引用請註明出處並連結網頁版。 一個遠端零點選的 iOS 漏洞利用程式，2015 年前後在暗網上能賣到 250 萬美元。買家付錢時會附上一個條件：你永遠不能跟任何人提起它。只要走漏一個字，蘋果就會知道，幾天內釋出補丁，這筆投入立刻變成廢鐵。這門生意的價值，完全建立在"漏洞不被修復"之上。 妮科爾·珀爾羅思（Nicole Perlroth）在《紐約時報》跑了近十年網路安全報道，後來把調查寫成《世界是如何終結的》（This Is How They Tell Me the World Ends）。她跟 Lex Fridman 聊了三個多小時，談零日漏洞、網路戰、勒索軟體，以及一個更根本的問題：當一種能力可以悄無聲息地控制任何人的手機，人類的道德計算還撐不撐得住？ ## 零日：名字就是字面意思 零日（zero day）這個叫法很直白。一個漏洞被發現的當天，軟體廠商有"零天"時間去修復它。在這之前，誰先發現，誰就擁有它。 發現漏洞只是第一步。真正危險的動作，是把它變成一個可執行的攻擊程式，也就是零日利用（zero day exploit）。在 iOS 上，駭客夢寐以求的是"遠端零點選"：不用碰到目標手機，不用誘騙對方點開連結，只要知道號碼，就能把程式植進去，讀取位置、聯絡人、通話記錄，遠端開啟攝像頭，對方毫無察覺。 > "基本上，你等於給對方戴上了一隻隱形腳環，而他自己完全不知道。"（妮科爾·珀爾羅思） 這種能力對間諜機構太有用。它可以監控異見人士、記者、政敵、外交官。過去十年，這個市場從暗處走到明處，價格一路水漲船高。 ## 價格反轉：安卓為什麼超過蘋果 很長一段時間裡，iOS 遠端零點選漏洞是這條市場上的皇冠。它的價格天花板在 250 萬美元左右，原因有兩個。蘋果的安全做得更密實，挖到這種級別的漏洞極其困難；iPhone 的使用者裡有大量政商精英，買一個有戰略價值。 就在 2020 年前後，安卓的遠端零點選利用在暗網上第一次超過了 iOS。很多人的第一反應是：蘋果的安全是不是在退步？妮科爾給了另一個解釋，市場份額。全球用安卓的人更多，願意出高價的國家也換了。現在最捨得掏錢的是海灣國家，他們要監控的目標，是本國那些在 Twitter 上抱怨政權的人，或者正在策劃下一次"阿拉伯之春"的人。安卓基數大得多，撞上"這些人"的機率自然更高。 攻擊目標分兩類。一類高度定向：美方情報機構判斷有一場恐怖襲擊迫在眉睫，需要在 24 小時內進入某個人的手機，他們會直接找駭客開價幾百萬美元，要求"現在就要"。另一類是大面積覆蓋。幾年前有一個水坑攻擊（watering hole attack），針對維吾爾人：某個介紹維吾爾族資訊的網站，訪客只要開啟頁面，iOS 零日利用就自動落進手機。全球維吾爾僑民，以及任何對這個議題感興趣的人，包括一個正在寫作業的美國高中生，都會中招。 ## 這段歷史是被大公司親手推出去的 妮科爾寫這本書，最想搞明白的是一個心理問題：什麼樣的人，會把一個能攻破核電站安全聯鎖的漏洞賣出去？ 她一路追溯到了 1980 年代和 1990 年代。那時候的駭客，多數是出於好奇的修補匠，就像鄰居家那個成天掀開父親車蓋搗鼓的小孩。他們找到微軟、Sun、甲骨文軟體裡的漏洞，會主動跑去告訴公司：嘿，我發現你們軟體裡有個洞，我能用它進 NASA。 公司的回應幾乎千篇一律：法務函、警告、別再碰我們的軟體。感謝這類話很少出現。 > "駭客本來是想做正確的事，結果被一遍遍地告知：閉嘴，別幹了。"（妮科爾·珀爾羅思） 被堵死的善意往下走，就變成了地下交易。駭客開始在論壇上私下交換漏洞。90 年代那場關於"要不要公開漏洞"的激烈爭論，就是這麼來的。公開了，任何指令碼小子都能拿去搞破壞；不公開，就等於朝那些天天威脅你的公司豎中指。 真正把這件事推向產業化的，是政府和它的承包商。他們悄悄在論壇上找到這些駭客，說：你剛才扔出來的那個漏洞，能不能給我做一個定製版？六位數，條件是永遠不告訴任何人。90 年代一批小型承包商開始幹這件事，政府的錢就這樣流進了駭客的口袋。 最初，這些漏洞只用於傳統的情報蒐集。當 Windows、施耐德電氣、西門子的工業軟體被嵌進核電站、工廠、電網、石化和管道系統之後，同一個漏洞的用途就變了。它可以用來偷看，也可以用來破壞、用來做戰爭規劃。 ## 蘋果為什麼不該出 250 萬美元 有人會問：既然政府願意出 250 萬美元買漏洞，科技公司為什麼不也出這個價？把漏洞買回來修掉，不就完了？ 妮科爾的回答是：**它們不應該這麼出價**。蘋果如果給一個零日開價 250 萬美元，第二天它自己的工程師就會問：我每天朝九晚五寫程式碼，憑什麼拿得比這個少？這會製造一種反向激勵，把防守方的人才往進攻端趕。出價越高，越是在給進攻做廣告。 公司手裡有政府沒有的東西：**名聲**。拿公司的漏洞賞金，你可以公開說，可以寫進簡歷，可以在安全會議上演講，可以拿到"我發現了那個沒人發現的漏洞"的江湖地位。賣給中間商，這些全部歸零。妮科爾說，這種"不能說出來"的憋屈，會實實在在地消耗人。 過去十年，Google、Facebook、微軟，以及抗拒了很久的蘋果，陸續建立了漏洞賞金計劃。同時冒出一批中介：HackerOne、Bugcrowd、Synack。Synack 的模式是付費的私有賞金計劃，你付錢，它組織全球駭客來打你的系統，然後私下告訴你結果。美國國防部把這三種模式都用了。妮科爾也承認，真正涉密的高階系統，五角大樓還是不太敢讓外部駭客碰，她說這算小步前進。 至今仍常有駭客私信她：某個國家正在利用一個漏洞，我兩年前就告訴過微軟，他們只肯給點零頭，所以這東西一直沒修。 ## 阿根廷：扔塊石頭就能砸到一個賣漏洞的 書裡最讓人印象深刻的段落之一，是妮科爾去阿根廷的調查。2015 年前後，阿根廷還買不到 iPhone，沒有亞馬遜 Prime，那些全世界習以為常的應用，當地人根本用不上。一個孩子想拿到這些東西，唯一的方法就是破解出來。整個文化就是"MacGyver 式的文化"：用鐵絲和膠帶把東西撬開。 結果就是，阿根廷聚集了大量頂尖的零日漏洞開發者。她去了布宜諾斯艾利斯一個叫 Eko Party 的駭客大會，問組織者：能不能介紹一個向政府出售零日的人？對方說：隨便扔塊石頭，就能砸到一個。會場裡到處是隻講阿拉伯語、一看就是從海灣國家來的人。 她請當地駭客圈一位"教父"吃飯，問了一個後來自己都覺得丟人的問題：這些人是不是隻把零日賣給西方的好政府？ > "妮科爾，我上次查的時候，美國可不是什麼'好政府'。上一個把別國炸成廢墟的國家，不是中國，也不是伊朗，是美國。"（阿根廷駭客） 然後他說：按你這套道德計算，我們這兒用的是另一套演算法。我們可能更願意賣給伊朗、俄羅斯或者中國。 妮科爾說，那一刻她意識到，這個市場的第一規則是搏擊俱樂部的第一規則：沒人談論搏擊俱樂部。駭客不談，怕丟了 250 萬美元的賞金；政府不談，因為漏洞被捲進機密專案。在這麼暗的地方待久了，道德感會被一點點磨掉。 ## 一個叫 Gruck 的中間商，和說錯話的代價 這個圈子有個著名的反面教材。一個南非人，住在泰國，做零日中間商，外號 Gruck。妮科爾剛接手這個選題時，他接受了《福布斯》採訪，還抱著一隻裝滿現金的大旅行袋拍了照。後來他聲稱那是"非正式談話"，不懂規則。 根據跟他做過生意的人的說法，報道一出，他立刻被拉黑，生意至少腰斬。沒人願意跟一個會上鏡頭談自己怎麼把零日賣給政府的人打交道。她還聽說，有幾位"安全方面的人"上門拜訪過他。 這件事的教訓有兩層。公開說話在這個行業裡等於自斷財路。更要緊的一層，如果外界知道你手裡握著零日，你本人就成了各國情報機構的目標。你的操作安全（opsec）必須完美無缺，否則連自己都保不住。 這讓妮科爾很矛盾。透明對教育公眾有用，對吸引更多工程師去做防守也有用。可這個行業的激勵機制，恰好把透明這條路堵死了。她能做的，只有自己當記者，把資訊寫出來，同時把訊息源藏好。 ## 社會工程：那個每天來上班的"John" 技術之外，更難防的是人。所有首席資訊保安官最怕的就是社會工程。 幾年前有個帖子在網上瘋傳：一家公司招了個叫 John 的員工，入職之後，每天來上班的那個"John"，行為舉止跟面試時的 John 完全不像。一個人可以僱個演員去面試，拿到工作，進入組織內部，接觸全部資料。想想這條路徑的價效比。 沙特在 Twitter 內部安插過間諜。他們想知道，在 Twitter 上批評本國政權的到底是些什麼人。從外部黑不進去，那就從內部放人。 這種攻擊還有一個惡劣的副作用，它會在組織裡催生排外情緒。如果公司必須考慮"這個人會不會是間諜"，一個從中國來應聘的工程師就會被格外審視。美國商務部出過這種事：把不是間諜的人當成間諜來查。 妮科爾說，這是最難解的問題，而且現在是最難解的時點，遠端辦公的壓力空前大。她提到一位曾在 NSA 做過頂級駭客的朋友的段子：每次去俄羅斯，都有十分美女來搭訕。回國跟朋友一說，朋友回答：抱歉，你不是十分。 ## 元宇宙：三歲兒子問她什麼是網際網路 Lex 提到，扎克伯格在設想元宇宙。未來人們最有意義的體驗，戀愛、求職、跟朋友分享快樂的瞬間，可能越來越多地發生線上上。那個世界裡有一個數字化身，它本身就是一個入侵人心的介面。 妮科爾說，她腦子裡全是她三歲的兒子。有一天他問她：媽媽，網際網路是什麼？她差點哭出來。她不希望兒子一生中最有意義的事情都發生在網上。等那一天到來，你怎麼知道螢幕對面那個化身是人？ > "我支援言論自由。我不支援給機器人和水軍言論自由。"（妮科爾·珀爾羅思） 過去六年，我們見過假裝"黑人的命也是命"活動家的機器人，見過假裝德州獨立支持者的機器人，見過組織反希拉里抗議的機器人。它們的目的只有一個：把我們困在自己的政治鬥爭裡，癱瘓到什麼都做不成，更沒法應付那些在做長期規劃的外部對手。 她也承認，人類從來沒有因為一項新技術有風險就停下過。我們一直的說法是：這項技術的前景值得繼續往前走，我們只需要想辦法管理風險。加密貨幣就是眼下的例子。 ## 加密貨幣：勒索的助推器，也是追蹤器 報道勒索軟體的那段時間，妮科爾一度以為加密貨幣要完了。五年前，駭客劫持你的電腦，會讓你去附近藥店買張禮品卡，報出密碼，換 200 美元。現在他們會說：給我們五個比特幣。加密貨幣毫無疑問助推了勒索軟體。 Colonial Pipeline 的贖金被追回之後，她的看法變了。FBI 從 DarkSide 手裡拿回了一部分。她採訪了 TRM Labs 的人，那是一家區塊鏈情報公司，很多員工來自財政部。對方告訴她：換成法幣，要找到塞席爾某家空殼公司的某個賬戶，需要好幾年；有了區塊鏈，資金流動可以實時追蹤。這些支付遠沒有人們想的那麼匿名，老一套的情報手段加上零日，照樣能查出私鑰錢包的主人是誰。 > "我們從來沒有因為一項有前景的新技術帶來風險就關掉它。我們只是想辦法管理風險。"（TRM Labs 員工，轉述） 順著這個邏輯，她對元宇宙的態度是：問題在於怎麼在裡面把身份問題解決掉。也許是一個"真人認證"，一個能證明"你是你"的標記，同時又不把資料全部交給某一家公司。她提到一家叫 PII Ono（發音近似 Piano）的公司，想法是在每個組織裡為你的個人資訊建一個保險庫。你打電話給達美航空訂票，對方不需要知道你的社保號、生日，只需要你手機或 FIDO 金鑰發回一個一次性令牌：對，是她。航空公司只跟一個隨機令牌打交道，拿不到你的個人資訊。 Lex 接過話頭，說他受夠了每次註冊服務都要填手機號郵箱，被迫用一堆假號碼假郵箱，因為不知道哪個網站哪天會被黑，然後一路擴散。他希望能一鍵訂閱、一鍵退訂、一鍵授權必要資訊。妮科爾說這些都是舉手之勞，國會至今沒動作是失職。老年人每天被"汽車延保"詐騙電話轟炸，她父親住院時手機在旁邊不停響，全是想套社保號和個人資訊的。她說，應該把這些人判終身監禁，也應該追問：憑什麼每個零售商都有權索要你的社保號、家庭住址和護照？ ## Snowden：既不是英雄，也不是叛徒 Lex 問，在歷史的長河裡，斯諾登是英雄還是反派？妮科爾的回答是：都不是，她的感受很複雜。 她是記者，相信透明是好的。她感激後斯諾登時代那場關於監控邊界和隱私價值的討論。秘密法庭在做什麼你完全不知道的時候，你憑什麼相信這個國家真的在乎公民自由？ 另一面，她走進那間存放 NSA 機密檔案的儲藏室時，剛花了兩年時間報道中國的網路間諜活動，也一直在追蹤俄羅斯越來越具破壞性的攻擊。中國對本國公民的監控沒有邊界，俄羅斯在網路攻擊上、乃至暗殺記者上，似乎也沒有邊界。所以走進那個房間時，她坦白說，有一部分她鬆了一口氣：NSA 確實像她希望的那樣強。據她所知，美國沒有拿這些能力去暗殺記者，也沒有去搞垮製藥公司，大部分還是用於傳統間諜活動。 她最大的不滿是報道方式。當時幾乎所有報道都在說"NSA 有這個專案""NSA 進了默克爾的手機"，沒人同時說：順便一提，中國一直在黑我們的管道，偷走我們的智慧財產權；俄羅斯一直在黑我們的能源基礎設施，用同樣的手段監控、追蹤，很多時候還殺害本國記者；沙特也在對本國批評者做同樣的事。你不能把這些國家孤立起來談。 > "你不能只報道我們這邊的越界，卻對另一邊正在發生的事保持沉默。"（妮科爾·珀爾羅思） 她還提到一個細節。那幾千份檔案裡，大部分是沒什麼價值的 PPT，上面卻有具體的人名。她希望當時的披露能更有針對性、更剋制一些。 Lex 追問：那一個吹哨人應該怎麼做才更好？妮科爾說這是真正的難題。她拿 Facebook 前員工洩露 Instagram 內部研究的事舉例。站在公司角度，開放文化是好事；可如果任何一個吹哨人都能把一份研究從上下文裡抽出來交給媒體，媒體照單全收，然後形成一個"Facebook 顯然很邪惡"的敘事，公司只會變得更保守、更保密，這就是一場比爛的競賽。 她心目中做得對的例子，是舉報特朗普與澤連斯基通話的那位吹哨人。走了正規渠道，沒有出書，沒有靠這個賺錢，也沒有住在莫斯科。 ## 情報機構：官僚氣，也有例外 Lex 問了一個有點危險的問題：這些情報機構，到底是有能力的，還是邪惡的？ 妮科爾說，得看是哪家。摩薩德這些年在伊朗暗殺核科學家，它有沒有推遲伊朗造出核彈的時間？有。它有沒有阻止針對本國公民的恐怖襲擊？大機率也有。情報就是情報，簡單貼標籤沒意義。 她在這一行遇到的人，大多不是國慶節海灘上那種捶胸頓足的愛國者，很多人對老東家感情複雜。在 NSA，要做一件外界以為他們在做的事，比如監控美國人，需要填的表格、走的流程、繞的官僚體系多得嚇人。Snowden 檔案裡也爆出一個叫 LOVEINT 的專案：少數 NSA 分析師用許可權去監控前女友。每個規則都有例外。 她也承認自己有西方視角的偏向。她認為西方情報機構和某些國家幾乎沒法相提並論。中國對維吾爾人的監控規模和對外輸出程度，是另一回事。前面提到的水坑攻擊，不只打擊境內維吾爾人，也打擊境外任何關心這個問題的人。 > "維吾爾人是中國監控技術的試驗田。就像烏克蘭對俄羅斯來說是網路攻擊的試驗廚房。"（妮科爾·珀爾羅思） 2015 年奧巴馬與習近平達成協議，雙方承諾不為商業利益互相攻擊。之後大約 18 個月，中國對美國企業的網路攻擊大幅下降。有些攻擊沒停，針對的是航空公司和萬豪這樣的酒店集團。為什麼？在中國看來這不算竊取智慧財產權，屬於"反間諜"，是合法的。他們想知道某個時間住在這座城市的中國公民是誰，好交叉比對，找出可能被策反的人。妮科爾說，美國大概也在做類似的事，反間諜就是反間諜，在規則之內算公平遊戲。 她認為真正越界的是把監控用於審查、壓制異見。阿聯酋的批評者 Ahmed Mansour 在 Twitter 上呼籲更多投票權，結果護照被沒收，手機被入侵，連嬰兒監視器都被黑了，孩子在被人盯著，車也被偷了。後來阿聯酋專門立法，禁止在 Twitter 上批評統治家族。Mansour 從此被單獨監禁，一直在絕食。 > "那是邪惡。那種事我們不幹。我們這裡有規則，我們不越那條線。"（妮科爾·珀爾羅思） 她說自己不會去迪拜，也不會去阿布扎比。如果想去馬爾地夫，那也沒辦法，大部分航班要經停迪拜。有些線，她不跨。 ## 卡舒吉之後，"隱形盾牌"碎了 Lex 問她：調查過世界上最有權勢的一些人和組織，會不會害怕？ 她說有過幾個瞬間。《紐約時報》的安全團隊曾打電話告訴她：暗網上有人出價，誰能黑進她的手機或筆記本，就能拿錢。阿根廷那場駭客大會之後，她帶回來一臺"一次性"筆記本，鎖在保險櫃裡，裡面什麼都沒存。回來一看，保險櫃被人開啟過，電腦被挪了位置。 也有走向另一個極端的時刻。她寫過中國入侵《紐約時報》的報道，也寫過好幾起中國駭客攻擊事件，有人家裡的恆溫器被黑，各種裝置被控制。那時她一個人住在舊金山，某天半夜，電視的機頂盒發出怪聲。她爬起來，一把把線從牆上扯下來，好像還罵了一句"去你的，中國"。第二天早上醒來，晨光正好照在那個被扯下來、扔在地板上的機頂盒上。她對自己說：不行，我不能走這條路。 她形容那一刻站在一個岔路口。要麼戴上錫箔帽，徹底離開網路，不開帶導航的車，不用谷歌地圖，不買 iPhone，不在亞馬遜買尿布，用假身份生活；要麼就儘自己所能，在這個新的數字世界裡正常活著。 她給所有人的建議是：想清楚你的"皇冠珠寶"是什麼。你不可能什麼都保護，你可以保護最重要的那部分。對她來說，很長一段時間裡，皇冠珠寶是訊息源。她會跟訊息源約在同一家早茶店，或者同一個季度的同一天、換一家餐廳，雙方都不開車、不打 Uber、不帶任何電子裝置，她只帶一支鉛筆和一本筆記本。有幾次對方沒來，但她們從不透過數字方式聯絡。 > "但你不能對所有人都這樣。"（妮科爾·珀爾羅思） 對其他人，就是 Signal、雙因素認證、及時更新裝置、不點釣魚郵件、用密碼管理器，那些我們全都知道應該做的事。她說，別走火入魔，因為那才是終極的入侵：他們黑進了你的腦子。盡你所能就好。 她有個在冷戰時期擔任《紐約時報》莫斯科分社社長的導師。她寫完中國網路間諜的系列報道後，他請她吃午飯，講自己當年送孩子去幼兒園，克格勃會跟著他，還故意按喇叭、弄出很大動靜，就是要讓他知道被盯著。他說：他們其實什麼也沒做，但我要讓你知道我們在跟著你，然後我據此行事。在數字世界裡也一樣：知道大概有人在跟著你，有時候他們會弄出點聲音。 他還告訴她：你在《紐約時報》，身上有一層隱形盾牌。真出了事，那是國際事件，是很大的事。她帶著這層盾牌活了很多年。 然後卡舒吉遇害了。他是沙特人，也是《華盛頓郵報》的專欄作家，大部分時間住在美國，是記者。對方几乎公開地做了那件事，而且沒付出代價。美國為了維持與沙特的邦交，也讓它過去了。那一刻，她的世界觀被掀翻了。她說，那等於向很多國家發出訊號：記者可以隨便動了。她認為那是上一屆美國政府任內最具破壞性的事情之一。 > "我現在不知道該怎麼看待我那層隱形盾牌了。"（妮科爾·珀爾羅思） ## 自我審查才是真正的攻擊面 Lex 提出了一套自己的"安全哲學"：不藏秘密，公開地做個怪人。他說，如果有什麼東西你特別想藏，先問問自己為什麼要藏、到底在怕什麼。網際網路熱愛真實，它想看你怪，那就怪到底。那種"這句話別人會怎麼解讀""這會不會被拿來對付我"的小聲音，才是創造力的殺手。 妮科爾同意，並且把這件事上升到了隱私層面。她說蒂姆·庫克之所以在隱私上寸步不讓，就是因為那個自我審查的小聲音。長期來看，它對自由思考和創新的傷害是什麼？ 她引用了《紐約時報》頭版的經典說法：不要往郵件裡寫任何你不希望出現在《紐約時報》頭版的東西。她也承認這套做法有代價。你不能偷偷當個混蛋，這算好事；可同時，那個"別人會怎麼讀"的念頭，也會一點點掐死創意。 Lex 說 Twitter 的設計就是為了激起皮質醇反應，每天開啟手機看熱搜，全是"今天什麼話題最能讓人憤怒"。妮科爾說，這就是為什麼她一半時間在 Twitter 上就會對人類失去希望。一旦去超市、去徒步、有人對她笑一下、有人說句好話，她又會想起來：人本質上是好的，只是這些人的聲音我們聽得太少。 ## 給年輕人的建議：去當駭客，然後做防守 Lex 問，對今天在高中、大學裡思考未來的年輕人，有什麼建議？ 妮科爾的回答很直接：如果你對技術有興趣，去當駭客，然後去做防守。 美國有一些很好的獎學金專案，很早就找到你，幫你付大學學費，條件是畢業後要為聯邦機構做一段時間的網路安全工作。每年這些人最想去哪兒？NSA，或者網路司令部。他們想去做進攻，想做那些"性感"的活。招人做防守極其困難。 > "當海盜永遠比當海岸警衛隊有趣。"（妮科爾·珀爾羅思） 結果是全球有 350 萬個網路安全崗位空缺。她把這稱為終極的職業保障：去當駭客，做網路安全，你永遠有工作。自由市場經濟在這一行是吃虧的，政府開不出 Palantir、Facebook、Google、微軟那樣的薪水。 有些國家用另一種方式解決這個問題：某種程度的強制徵召。中國會告訴駭客：你白天該幹嘛幹嘛，在阿里上班也行，接點勒索軟體的活也行，但哪天我們拍拍你的肩膀，要你來做一次敏感行動，答案必須是"是"。俄羅斯也一樣。幾年前雅虎被黑，起訴書裡寫得很清楚：兩個網路罪犯，加兩個聯邦安全域性（FSB）的人。罪犯可以隨便玩，但他們一旦撞見某個在白宮、國務院或軍方工作的人的個人雅虎賬號密碼，就必須交給 FSB。 美國不這麼幹，所以防守端的人手缺口更大。 她說，如果你是個修補匠，對程式碼有興趣，去學怎麼黑。SANS 等機構有各種駭客競賽。然後把這些技能用在正道上：把那些被威權政權用來把別人的生活變成監獄的漏洞堵上；保護工業系統；保護水處理廠，別讓人進來把水給投毒。這份工作在好幾個層面都成立：智力上刺激，你可以告訴自己是在報效國家、是在救人，而且永遠不缺工作。如果你想要那份年薪兩百萬的工作，你也可以去。 她還提到一個反直覺的點：在網路安全這行，很多時候**最有意思的威脅在私營部門**，因為攻擊都打向那裡。網路罪犯和國家對手來打美國，不會直接去打網路司令部或 NSA，他們打銀行、打 Google、打微軟、打關鍵基礎設施。這些私營公司能見到最先進的攻擊。你在 FireEye 工作，第一個喊出 SolarWinds 攻擊，你救下的系統數量難以估量。 ## Lex 自己的勒索軟體遭遇 採訪前，Lex 第一次成了網路攻擊的受害者。他有一臺 QNAP 的 NAS，大約 60TB，RAID 5，裝了 50TB 資料。一個叫 Deadbolt 的勒索軟體攻擊了大約 4000 到 5000 臺 QNAP 裝置，逐個檔案加密，然後彈出一個措辭禮貌得驚人的頁面。 頁面上寫著：你所有的檔案已被加密，包括但不限於照片、文件和表格。為什麼是我？這不是針對你個人的攻擊。你成為目標，是因為你的裝置供應商 QNAP 提供的安全不足。現在怎麼辦？向以下地址支付 0.03 個比特幣（約 1000 美元），我們會給你解密金鑰。頁面裡還附了一段給 QNAP 的話：你們所有受影響的客戶都是透過你們產品中的一個零日漏洞被攻擊的。給你們兩個選項，支付 5 個比特幣，我們告訴你們漏洞在哪；或者支付 50 個比特幣（約 180 萬美元），我們給你所有客戶的萬能解密金鑰。 Lex 說，這一下挺疼。他沒給這些資料做備份，因為他覺得這些資料丟了也無所謂。裡面有一堆 4K 的個人影片，有采訪的原始素材，不涉及任何見不得人的東西，只是捨不得。他以為 RAID 5 能保護他。 妮科爾接著分析：這次的特別之處在於，**勒索軟體開始利用零日漏洞了**。這在過去 18 個月才成為現實。在此之前，大約 80% 的勒索軟體入侵，根子上都是沒開雙因素認證、員工用了弱密碼。那種情況以後可以防。這一次，QNAP 自己恐怕都還不知道漏洞在哪。就算付了錢，如果漏洞沒被找到，誰能保證他們不會再來一次，再打你一次？ 她提到一個挪威的案例。一家心理診所被攻破，罪犯直接去找病人，說：付錢，不然我們公開你的精神科病歷。 該不該付錢，她說這遠不是一句"別付"能解決的。臺灣一家蘋果供應商被勒索 5000 萬美元。Baltimore 市被攻擊時，最初的贖金要求大概只有 7.6 萬美元，市政府硬扛著沒付，最後重建系統的成本是 1800 萬美元。那是本該用於公立教育、道路和公共衛生的錢。很多市民事後質問：為什麼不付那 7.6 萬？ 更被低估的是 Colonial Pipeline。公司被攻擊後主動關停管道，因為計費系統凍住了，沒法向下遊收費。妮科爾和同事 David Sanger 拿到一份機密評估：作為國家，我們最多還能承受兩到三天的停運。她原以為是汽油和航空燃油的問題，其實不是，真正要命的是柴油。沒有柴油，煉油廠就轉不動，整個經濟會被拖垮。那次付贖金，背後幾乎有國家經濟安全的考量。 她寫過的最觸目驚心的案例，是佛蒙特州一家醫院被攻擊。你可能會想，大不了就是 IT 系統癱了，病人總還能看吧。事實是，癌症病人做不了化療了。因為"誰該用哪種藥"的方案極其複雜，系統一停，護士和醫生查不到。有位護士說：我見過的唯一能跟眼前這一幕相比的，是波士頓馬拉松爆炸案之後我在燒傷病房工作的那幾天。 去年《華爾街日報》還有一篇報道，把一名嬰兒的死亡歸因於勒索軟體攻擊。母親入院後，監測胎兒的裝置因攻擊而失靈。 規模更大、離個人更遠的是 NotPetya。那是俄羅斯對烏克蘭的攻擊，透過一家烏克蘭稅務軟體公司投遞，不只打烏克蘭的政府機構和企業，還打到了全世界任何一家有員工在烏克蘭遠端辦公的公司：馬士基、輝瑞、FedEx，還有 Merck。Merck 的工廠全部癱瘓，公司陷入生存危機，那年不得不動用 CDC 的 Gardasil 疫苗應急儲備，因為整條疫苗生產線被這次攻擊凍住了。 > "如果這件事發生在今天的輝瑞、Moderna 或者強生身上，那就是一場全球性的網路恐怖襲擊。"（妮科爾·珀爾羅思） 她過去一直把這類後果稱為"附帶損害"（collateral damage）。就在採訪當天，思科旗下威脅情報部門 Talos 的一位研究員說：別再叫它附帶損害了。他們在投放惡意軟體之前，就能看到誰會中招。那不是附帶損害，那是故意的。他們就是要打任何跟烏克蘭有生意往來的公司，也是要給他們發一個訊號。 ## 中國、臺灣，和美國柔軟的腹部 Lex 問，中美之間會不會打一場純粹發生在網路空間的戰爭？ 妮科爾的判斷是：從現在起，任何地緣政治衝突都必然帶有網路成分。美國司法部最近解密了一份報告，說中國一直在入侵美國的管道系統。目的不在竊取智慧財產權，是預先埋點：一旦臺海局勢升級，他們已經在需要的位置上，可以隨時關掉管道。 Colonial Pipeline 那次，讓所有人瞥見了那會是什麼樣子：恐慌性搶購、航空燃油短缺，還有那份關於柴油的評估。 > "每次我讀到中國戰機在臺灣附近、俄羅斯在烏克蘭邊境集結的新聞，我都是戴著網路的透鏡去看的。讓我不安的是，別人不這麼看。"（妮科爾·珀爾羅思） 她現在兼任美國國土安全部網路安全與基礎設施安全域性（CISA）的顧問。她強調自己沒在講任何機密，但認為公眾必須理解：這些衝突一旦升級，美國企業和關鍵基礎設施會承受什麼樣的連帶損害。 對手們已經想明白了一件事。在傳統軍費和戰鬥機數量上，他們也許永遠追不上美國，但美國在網路空間有一個非常柔軟的腹部**美國 80% 以上的關鍵基礎設施，包括管道、電網、核電站、供水系統，由私營部門擁有和運營。**絕大多數情況下，沒有任何法律要求這些公司上報入侵情況，它們甚至不必告訴政府自己被攻擊了，也沒有任何法律強制它們達到最低的網路安全標準。 > "如果你要設計一個儘可能盲目、儘可能脆弱的系統，那差不多就是我們現在這個樣子。"（妮科爾·珀爾羅思） 她的批評落在一個詞上，軟體吃掉世界（software eats the world）。所有人都在講連線、講便利、講成本，沒人停下來問過一句：這些系統到底該不該連上網際網路？大家只問"能不能"，然後就說"那就幹吧"。 僅去年一年，公開披露的零日攻擊就創下紀錄，大約 80 起，可能是 2019 年的兩倍多，其中很多來自國家行為體。當今世界熱點密佈的地方，恰恰是這些國家過去幾年在進攻性網路工具上砸錢最多的地方。它們的算盤很直接：手裡握著別人不知道的零日，就等於握著一張隨時可以打的牌。 ## 相互確保的數字毀滅 核武器在某種意義上阻止了核戰爭。網路武器會不會也形成某種"相互確保的數字毀滅"？ 妮科爾說，核類比經常站不住腳，有兩個關鍵原因。 第一，**門檻太低**。你不需要裂變材料，一臺筆記本加技能就能上桌。除南極洲之外，現在每個國家都在找進攻性工具和零日。不會的國家可以直接買，250 萬美元對不少國家來說是零錢，比造下一代戰鬥機便宜太多。 第二，**歸因太難**。國家會故意攪渾水。俄羅斯黑進過伊朗的指揮控制伺服器；還攻擊過沙特一家石化廠，把工廠的安全聯鎖給廢掉了。所有人第一反應都認定是伊朗乾的，因為伊朗常年盯著沙特石油公司。結果不是，出手的是莫斯科郊外一家研究生院。國家在歸因上動手腳，動機很簡單：我得讓這件事看起來不像是我乾的，我承擔不起對方的報復。 還有一個勉強成形的默契，叫"對等回應"。你打了我，我可以在自己選定的時間和地點做出相稱的反擊。奧巴馬在朝鮮攻擊索尼之後就是這麼說的：我們會在自己選擇的時間和地點回應。沒人真的知道那個回應長什麼樣。於是大量攻擊停在了"差一點就是戰爭"的位置上。俄羅斯在烏克蘭關過兩次電，沒讓燈滅上一整星期，只滅了幾個小時。NotPetya 把那些公司打得極慘，沒有人死。 > "問題是：當真的有人死了，會發生什麼？"（妮科爾·珀爾羅思） 更麻煩的一層：國家行為體能不能偽裝成一個網路犯罪團伙、一個勒索軟體組織？這一點幾乎堵死了通往"數字日內瓦公約"的路。微軟的布拉德·史密斯一直在呼籲籤這麼一個公約，表面上看毫無爭議，大家不都該同意不去攻擊對方的民用醫院、選舉系統、電網和管道嗎？跟西方官員聊，他們會說：我們當然願意籤，跟普京、跟金正恩籤沒有意義。他們經常把行動外包給網路罪犯。中國很多攻擊來自一批鬆散的個人，他們在國家安全部的授意下幹活。你怎麼跟跨國行為體和罪犯談國家間的協議？你怎麼確認那個人是單幹，還是受了國安部或聯邦安全域性的指派？ 她記得普京說過一句話：駭客就像藝術家，早上醒來心情好，就開始畫畫。言下之意，我管不了他們幹什麼。而他剛剛把 Merck、輝瑞和另外幾千家公司打得稀爛。 ## 如果只能修一件事 Lex 問：假設不許動威權政體，不許改人性，只讓你在網路安全的層面上啪一下手指修好一件事，修什麼？ 答案乾脆：雙因素認證，多因素認證。 Colonial Pipeline 斷掉了通往美國東海岸的汽油、航空燃油和柴油的最大通道，起因是什麼？一個離職員工的舊賬號沒被停用，密碼在暗網上被人交易過，他們從來沒開過雙因素認證。佛羅里達州那家水處理廠被入侵，起因是什麼？還在用十幾年前、根本打不上補丁的 Windows XP，同樣沒有雙因素認證。這樣的例子一遍又一遍。 她解釋這兩個因素是什麼。第一個是你知道的密碼，第二個是另一臺裝置或另一個渠道，確認"是我"。通常是簡訊驗證碼，更好的做法是花二十美元在亞馬遜買個 FIDO 硬體金鑰，那東西不在你手上，你就進不去。 她在《紐約時報》頭五年報道的全是資料洩露，家得寶、塔吉特、內曼·馬庫斯，那五年裡誰沒被黑過？這些公司被拿走了什麼？憑證，密碼。密碼能在暗網上賣個好價錢，而人們到處複用同一個密碼。駭客從某個不知名的地方搞到一組密碼，拿去試你的郵箱、你的券商賬戶、你的冷錢包。你開了多因素認證，他有密碼也沒用，他沒有你的手機，沒有你的 FIDO 金鑰。 > "我經常收到提醒，說有人在試圖登入我的 Instagram 或者 Twitter 或者郵箱。我不慌，因為我開了多因素認證。他們可以試一整天。"（妮科爾·珀爾羅思） 眼下的遊戲規則跟"做到完美安全"無關，完美安全不存在。規則是：讓你比你的同行、比其他人稍微難打一點，攻擊者就會放棄，換個目標。如果你真的是某個先進國家或者 SVR 的目標，那不管怎樣都會被黑。你可以讓 Deadbolt 這種犯罪團伙的活變得難得多，代價只是做點最基本的功課。 然後她說了一句聽起來很掃興但很實在的話：安全最大的問題，是它很煩人。它給我們這個無摩擦社會帶來了摩擦。我們需要一個安全界的史蒂夫·喬布斯，把它做得毫無痛感。 她認為蘋果在這一點上的貢獻比誰都大，先是指紋，然後是面容 ID。八年前，人們手機上要麼沒密碼，要麼可選密碼，要麼四位數密碼，隨便誰撿到你的 iPhone 都能看到一切。那一步並不完美，跨得很大。 接下來該邁出下一步。她說：我想看到密碼死掉。它已經走到了它能走的盡頭。 Lex 提到自己在 Google 做過這方面的研究，叫主動認證或被動認證。不止用指紋，還用你的身體本身：走路姿態、從口袋裡掏出手機的姿勢、聲音、帶活體檢測的面部識別，一層層疊上去，讓別人難以偽造。他也承認，在安全強度上要贏過密碼非常難。 妮科爾舉了一家叫 Abnormal Security 的公司，做郵件攻擊防護。創始人之前在 Twitter 做廣告技術，如今廣告技術對人的瞭解已經到了荒唐的地步，總有人開玩笑說，你多看了一眼某雙鞋，它就出現在你手機上。他們把這套能力搬到了防守端。正常人的郵件往來有固定的模式，對 Lex 和妮科爾這種天天給陌生人發郵件的人未必適用，對大多數人而言高度可預測。一旦有東西偏離模式，就攔下來查。用精準廣告的技術來保護人，這個方向她覺得對。 ## 希望來自不上網的地方 Lex 最後問，如果世界沒有終結，希望在哪裡？ 她說她必須有希望，因為她有一個孩子，另一個還在路上，沒有希望就不會要孩子。這也是個讓人害怕的時點：疫情、氣候、虛假資訊、越來越先進、可能致命的網路攻擊。 讓她有希望的是，她跟 Lex 持同樣的世界觀：人本質上是好的。提醒她想起這一點的時刻，幾乎從不發生在網上。在 Twitter 上泡上半天，你會對人類失去信心。去趟超市、去爬次山、有人衝你笑一下、有人說句好話，你就想起來了：人是好的，只是這些人不常發出聲音。 她還有一個判斷：當前的糟糕政治氣候已經觸底，這是最糟的狀態了。她把希望放在代際更替上。她自稱"高齡千禧一代"或者"年輕 X 世代"，這個群體有一種獨特的責任。成長時沒有網際網路、沒有社交媒體，又是數字原生代，好與壞都見過。這一代人小時候沒有氣候焦慮，現在有了，也就知道氣候並非註定如此；虛假資訊也一樣。 > "很多我們面對的問題，只是把長期以來的惰性暴露出來了。我覺得需要一次代際交接。"（妮科爾·珀爾羅思） 她期待新一代人進來說：我們不按你們那套做事了，我們不會再去掠奪地球，不會再去挑動人們互相對立、玩髒手段，也不會再讓遊說集團決定這個國家做什麼、不做什麼。 Lex 順著說，每當那些年長的政客和領導者表現糟糕，他反而看到積極的一面，他們在激勵大量年輕人來取代他們。你甚至需要有人表現得足夠糟糕，才能提醒大家：我們需要好的領導者，需要偉大的創造者、建設者、企業家、科學家、工程師、記者。關於"新聞業已經壞了"的那些討論，本身就是激勵新機構、新記者站出來把新聞做得更好的動力。 ## 真實是最後一道防線 妮科爾接過"真實"這個詞。沒人再能靠塑膠感往上爬了，人們渴望真實。網際網路的好處是，你在每個平臺上都很難長期藏住自己是誰，某種程度上它總會露出來。她希望等她的孩子長大時，沒人在乎他們在網上犯過一次錯，只要他們是真實的。 她講了自己的一個轉變。她侄子在她大學畢業那天出生，一出生就活在 Facebook 裡。她一直想：這樣的孩子怎麼可能當上美國總統？如果她上大學時有 Facebook，天啊，那些孩子怎麼辦？總會有一張照片，記錄下某個錯誤，然後一切就完了。後來她把這個想法收回去了。不對，每個人都會犯錯，每個人都會有一張照片，我們只能一起長大，接受一個事實：作為人，我們會犯大錯，只希望這些錯沒有大到毀掉餘生。 她希望我們走到這樣一個共識：判斷一個人的標準變成他是否真誠，一張舊照片不再等於永久判決。這需要整個社會一起變得更寬容一點，也更謙遜一點。否則每個人都會被取消，而沒人能活在一個所有人都在互相取消的世界裡。 ## 這個行業為什麼沒人願意出鏡 Lex 問她，採訪這種題材有什麼經驗，為什麼幾乎沒人願意露臉。她笑著說，這就是她當紙媒記者的原因。她見過有人做到，鏡頭前永遠是躲在陰影裡的人，聲音被處理過。 她講了 Gruck 的例子作為反面教材。她剛開始跑這個選題時，他接受了《福布斯》採訪，談自己做中間商的生意，還抱著一個裝滿現金的大旅行袋擺了姿勢拍照。後來他說那是"非正式談話"，不懂規矩。她從他生意夥伴那裡聽說：報道一出來，他立刻被拉黑，沒人跟他往來，生意至少砍半。沒人願意跟一個會上電視談自己怎麼把零日賣給政府的人做買賣。她還聽說，有幾位安全方面的人上門拜訪過他。 更要緊的一層：如果外界知道你手裡握著零日，你本人就是各國情報機構的靶子。你的操作安全必須完美無缺，否則連自己都保不住。這讓她很矛盾。透明在這裡本可以教育世界，也能激勵更多工程師去做正事；可一旦有人在陰影裡幹活，資訊就不流動，防守端就永遠招不到人。她能做的，是自己當記者，把採訪到的資訊整理出來，同時把訊息源藏好。 她提到 HackerOne 給她的一個啟發。先別管那些整天靠漏洞吃飯的人，想想全世界還有幾百萬程式設計師，從來都沒聽說過"零日漏洞"這個詞。為什麼不去找他們？告訴他們：只要能在美聯航的軟體、施耐德電氣的裝置、福特或特斯拉的系統裡找出一個漏洞，我們就付錢給你。這是一支沒被動員過的軍隊，讓他們在那些會把漏洞賣給政府的人之前，先把漏洞補掉。 ## 把代價算進來 妮科爾在這期訪談裡反覆回到一個詞：代價。她講 Baltimore 市那 7.6 萬美元的贖金，和最後 1800 萬美元的重建費用。講 Colonial Pipeline 那兩三天柴油斷供的臨界點。講 Merck 那年要靠 CDC 的應急疫苗儲備撐住。講佛蒙特那家醫院裡做不了化療的癌症患者。講挪威那家被罪犯直接上門威脅病人的心理診所。 她也在講另一件事：那些被當成"附帶損害"的東西，可能從來就不是附帶的。思科 Talos 的研究員說得直白，投放惡意軟體之前，他們就能看到誰會中招。這不是手滑，這是故意的。 那麼個人能做什麼？她給出的思路是做有重點的安全，不做完美主義的安全。想清楚你的皇冠珠寶是什麼，把它護住；其他部分做到基本動作，不要讓摩擦大到你會把防護關掉；剩下的時間，去過線下生活。 節目最後，放了一段她書裡的話：我們把整個數字生活，密碼、簡訊、情書、銀行記錄、健康檔案、信用卡、訊息源、最深的想法，全部託付給一個神秘盒子。盒子裡的電路，我們大多數人一輩子都不會去檢查；驅動它的程式碼，寫在我們大多數人一輩子都不會完全理解的語言裡。 這段話放在整期訪談的末尾，讀起來像墓誌銘，也像提醒。我們對這個盒子的依賴，已經遠遠超出了我們對它的理解。 ## 可以馬上做的事 - **今天就開啟雙因素認證**，先開郵箱、銀行、券商和主要社交賬號。能用 FIDO 硬體金鑰的地方就用硬體金鑰，簡訊驗證碼是次優選項，因為 SIM 卡可以被劫持。 - **停止複用密碼**，上一個密碼管理器，讓它為每個站點生成獨立的隨機密碼。你唯一需要記住的，是管理器的那一個主密碼。 - **列一份皇冠珠寶清單**，不超過五樣：訊息源、客戶資料、家庭照片、私鑰、身份憑證。這幾樣做離線或異地備份，並且接受"保護不了全部"這件事。 - **把 NAS、路由器、攝像頭這類裝置劃到獨立網路**，不要和主力電腦混在一起。關掉不用的遠端訪問埠，廠商補丁出來的第一週就打上。記住 RAID 不是備份，它只防硬碟壞，防不住勒索軟體逐個檔案加密。 - **假設你的郵箱和密碼已經在某個洩露庫裡**，去 Have I Been Pwned 查一遍，把出現過的密碼全部換掉，並檢查這些賬號是否已經開啟多因素認證。 - **給自己定一條公開發言標準**，不往郵件和私信裡寫任何不願被人截圖的內容。把公開的你和私下的你儘量變成同一個人，這樣你既沒有可以被勒索的把柄，也不用每天消耗精力做自我審查。 - **搞清楚你所在組織被攻擊時的上報路徑和責任人**。如果你在一家擁有工業裝置、醫療系統或基礎設施的公司工作，問清楚：出了事誰決策、要不要付贖金、備份多久恢復一次。這些問題在平靜的日子裡問，成本最低。 - **如果你在考慮職業方向**，網路安全全球有三四百萬個空缺，去學攻防，然後選擇防守端。這個方向永遠缺人，尤其缺願意做基礎工作的人。