史蒂芬·克劳斯是美国软件工程研究所主任ˇ他在一篇关于网际网络的脆弱性的文章中写到ˇ网际网络ˇ一个温床ˇ是网络"骇客"利用网络使用者给予的"信任"进行攻击活动的滋生地。由于软件程序具有可复制性ˇ即使是略通电子计算机技术的人也可能对网络发动毁灭性的攻击。
网际网络的脆弱性对政府、军事单位、商界以及每个使用者都构成了威胁。网际网络世界是一个复杂、动态的环境ˇ各种网络互ˇ联接ˇ没有明确界ˇ和集中控制。在最初设计网际网络时ˇ并未考虑到安全问题ˇ所以很难保障网络的完善、健全、有效及信息的保密性。
由于网络正以惊人的速度发展ˇ网络正逐步取代其它电子通讯手段ˇ网络安全已成为一个值得关注的重要问题。与网络发展同步ˇ袭击手段和技术也越来越精密ˇ简单易学并广泛传播。
计算机应急反应组/协调中心(CERT/CC)是在 软件工程研究所支持下建立的ˇ旨在对付计算机安全事故及处理日常电子商务活动中的违规行为。下面列举的是已被披露的几宗计算机安全事故。
· 一名袭击者从十几家网上售货的零售商处获得了10万个信用卡号码ˇ这些信用卡的信用额度从2000美元到25000美元不等ˇ总值10亿美元。这名袭击者在企图将这些号码卖给由联邦调查局伪装成的犯罪集团时被抓获。
· 另外一些袭击者侵入了一家知名美国公司的网络系统ˇ从网上获得了这家公司的专有信息ˇ使这家公司不得不中断网际网络联络72小时ˇ故而使合法用户也无法进入ˇ使顾客无法从正常渠道获得该公司信息。
· 在一宗计算机敲诈案中ˇ一名袭击者从一家网上音乐商处盗取了30万个信用卡号码。在给《纽约时报》的电子邮件中ˇ这名袭击者自称是来自俄罗斯的19岁男孩ˇ号称已利用音乐商网络软件的漏洞获得了该公司财务资料。后来ˇ这名袭击者ˇ该音乐商敲诈10万美元ˇ作为ˇ毁这些信用卡号码的交换条件。被该公司拒绝后ˇ袭击者将数千信用卡号码在网际网络上公之于众ˇ使这个公司声誉遭到重创。计算机安全专家至今仍未搞清该网站是因何被攻破的ˇ也无法确定该网站顾客所遭受的损失。信用卡公司只得取ˇ和更换被盗号码ˇ用电子邮件通知有关持卡人。电子商务分析人士指出ˇ还有许多类似案件ˇ只是未被披露而已。
· 2000年3月ˇ英国出ˇ了历史上最为严重的公司计算机系统入侵案。在英国的一伙骇客侵入了至少12家跨国公司的系统ˇ盗走了机密文件ˇ事后索要1000万英镑的赎金。伦敦警察厅和联邦调查局正在调查此案ˇ并密切监视英格兰和苏格兰之间的电子邮件来往。他们认为ˇ该组织ˇ当专业ˇ可能受雇于专事商务情报间谍活动的情报掮客。
与其它设施ˇ比ˇ网际网络就ˇ滋生袭击案的温床。有些袭击看上去是恶作剧(如学生ˇ要体验一下网络的威力)ˇ有些则明ˇ是恶意攻击ˇ这些都会对通过网际网络进行的交易活动造成损害。在作案时ˇ袭击者获得了对某一系统的优先使用权ˇ实际上占领了这一系统ˇ使之为其所用。例如ˇ在非法占用一个系统后ˇ他们可以利用这个系统作为平台ˇ对其它系统发出攻击ˇ或在使用系统分配袭击工具时将这个系统作为一个节点。这种方法使袭击者可同时使用大量网站ˇ让这些网站集中攻击一个或多个受害网络。还有其它袭击技术被用于获取敏感信息ˇ如密码和商业机密。从计算机应急反应组/协调中心(CERT/CC)网站http://www.cert.org可以找到介绍各种袭击方法的具体案例。
袭击网际网络非常容易是因为网际网络使用者给予了网络过分的"信任"。网站拥有者往往意识不到他们的网络设施及服务协议载有多么大的信任。遗憾的是ˇ最初设计网际网络时ˇ只考虑了防御从网络设施以外而来的攻击力量ˇ如攻击组成网络的有形的ˇ路和计算机ˇ而没考虑到来自于网络内部的攻击ˇ即使用网络的人对网络进行的攻击。如今网际网络已发展成了包容众多网站的系统ˇ数以百万计的使用者实际已身处其中。
袭击网际网络之所以简单易行ˇ还有其它原因。的确ˇ有一部分袭击者具有ˇ当于大学计算机专业的技术知识ˇ但许多次成功袭击是由只略通计算机和网络知识的人干的。那些精通技术的袭击者将破坏程序复制成简单易学的形式ˇ再低价出售给初学者ˇ使新手也具有极大的破坏性。
不幸的是ˇ袭击网际网络非常容易ˇ但追踪作案者却很难ˇ故而对袭击者来讲风ˇ很小。通过运用名为"IP伪装"的技术ˇ袭击者可以伪造其身份及网络位置。在网际网络上ˇ信息以资料包的形式传递ˇ每一个资料包都含有来源和目的地的信息。可以把一个数据包比做一张明信片ˇ发信人可提供回信地址ˇ但也可提供假地址。大多数网际网络设施只负责将信息ˇ目的地一步一步传递ˇ而未记录信息来源ˇ连一个"邮戳"都没有。所以ˇ在一次袭击中ˇ需各个站点使用先进设备密切合作才能追踪可疑资料包。
另外ˇ网际网络原义是使资料包能在不同地理、行政和政治范围内顺利流动。因此ˇ追踪一次袭击就牵扯到多个组织和司法管辖区ˇ中间的许多环节可能未直接受到袭击影ˇˇ就不愿花费大量时间和力量参与此事。
由于袭击者跨越了多个地理和法律区域ˇ这也为追捕和审理工作增添了额外的司法困难。
从上述案例及许多其它案例可以看出ˇ在保障电子网络安全以满足日益增长的商务需求方面ˇ我们仍任重而道远。但若采取一些措施还是可以减少风ˇ的。下面是一些建议采取的的解决方案。
· 搜集、分析和传播信息
为保障网际网络以及整个信息框架的安全ˇ执法部门和事故处理机构应不断监控对计算机构成的威胁ˇ判断袭击活动的趋势ˇ并使有关信息在网际网络界广泛传播。
· 支持建立并使用全球侦察系统
运用事故处理机构的经验来判断出新的威胁并加以预防。计算机应急反应组/协调中心就可为计算机系统管理者提供帮助。ˇ该中心这样的计算机安全信息机构ˇ搜集了大量的资料ˇ他们可预测袭击活动趋势并协调解决新出ˇ的问题。网际网络服务商也应建立安全事故反应组ˇ为顾客提供更加安全的服务。
· 发展教育和培训
为保证"安全使用计算机"ˇ政府应支持发展计算机安全教育计划ˇ对所有使用者ˇ包括成人和儿童ˇ包括系统管理人员、网络管理人和信息负责人进行安全教育。
· 发展研究
应树立长远观念ˇ投资研究系统和应用技术来对付袭击和保护宝贵资料。