TMT观察网_独特视角观察TMT行业

“安全崩壞”可以說是3月份的主題詞了，先是數字貨幣交易平臺幣安遭黑客攻擊，破壞了數字貨幣絕對安全的形象，然后Facebook出現用戶數據泄露丑聞，形成了一場空前的危機。

其實這些還只是個開始，提醒大家一下，谷歌最近發布了一款72個量子比特的通用量子計算機Bristlecone，量子比特數量不斷提高、錯誤率不斷降低，人類所掌握的計算能力正在飛漲，很快就會把現存的一切加密措施一一突破。

在公眾認知里，我們保護信息的方式，僅僅是從數字密碼進化到指紋識別和人臉識別而已。這其中還存在著“橘子皮破解touchID”、“雙胞胎蒙騙人臉識別”這類Bug，簡直是弱爆了！

不過我們天生會給予危險更多關注，實際近年我們在網絡安全上也取得了大量進步，今天介紹的“密碼錨定”就是其中之一。

防止黑客跑的太快，不一定要靠拳頭

那些在影視劇中的黑客都是什么樣的？穿著緊身衣，潛入目標的辦公室或臥室，從智能手表中拔出一個小小的U盤插入電腦上，敲下幾行代碼后開始焦急的等待讀條。此時一定會有同伴在外圍配合，為黑客爭取時間。最后在緊要關頭，進度條終于從99.5%變成了100%，黑客得到了機密數據，取下U盤逃之夭夭。

這里有一點非常寫實，那就是駭侵一定要動作迅速。因為黑客的首要目標不是“不被發現的拿走數據”，而是“拿走數據”。實際上防追蹤的手段也很多，比如瀏覽暗網的洋蔥瀏覽器Tor就可以利用來防止追蹤。但如果目標服務器在入侵過程中就有所察覺，直接可以停止黑客的訪問，并且補上漏洞及時止損。

就拿前兩年索尼數據庫被盜來說，為人詬病的一點是黑客從索尼數據庫里拖出了上百T的數據，即使是千兆寬帶的速度也要拖上幾十天。持續時間如此之長的異常流量波動，竟然沒有被索尼的日常運維監測到。

黑客所做的，往往是長期潛伏尋找漏洞，一旦找到就用最短的時間獲取盡可能多的數據，直到自己的訪問被禁止或漏洞被填補。如果那些善于防追蹤的入侵者遇上了索尼這樣網絡安全技術欠佳的天然呆企業，后者可能會等到自己的數據在暗網上泛濫之后，才后知后覺的意識到發生了什么。

現在我們知道了，網絡安全問題的威脅程度很大一部分都取決于操作速度。那么有沒有什么辦法，讓入侵者的速度慢下來？

把黑客放進去……然后狠狠關上門

密碼錨定的作用就在于此。

這項技術由Docker的網絡安全工程師 Diogo Monica提出，可以被理解為一種對服務器底層交互的改變。通過將數據加密，將密鑰單獨存放在硬件之中，有了這種硬件安全模塊存在，黑客在拖數據的時候就無法像下載電影那么容易了。

密碼錨定的作用并不是防止黑客進入數據庫，而是在黑客進入數據庫之后縮緊閘門讓他們沒那么容易把數據拿出來。數據本身的加密算法并不復雜，但是數據出入數據庫需要經過經過硬件安全模塊的解密，僅僅是這一過程，就會大大拉長數據盜取行為的時間。以前用幾個小時就能拖完的數據，現在則需要幾十天。

這樣一來，盜取的行為被拉長，如同給企業劃定了一個范圍，讓企業在其中錨定盜取者的身影。黑客進去容易出來難，就成為了甕中之鱉。

舉例來講，去年美國知名信用評級機構Equifax自曝被黑客盜取數據庫，有1.4億美國的個人信息被泄露。其中原因就在于用戶的私密數據雖然被加密，但為了保證信息的正常調用，前端Web服務器同樣擁有解密的密鑰，黑客入侵之后可以直接在數據庫內完成解密。但有了密碼錨定，黑客在解密時需要反復向硬件安全模塊發送請求，即使每次請求只需要0.0001秒那么短的時間，加起來也會延緩駭侵的速度。

這種增加硬件安全模塊的方式正在越來越多樣化。比如亞馬遜和微軟的云服務都包含硬件安全模塊上云服務，用云存儲和云計算的方式減輕企業使用密碼錨定的負擔。

最近IBM推出的鹽粒大小的微型計算機，也被用來作為密碼錨定中的硬件模塊。IBM宣稱，這樣造價低廉、體量小的計算機可以用來作為傳感器收集數據，并對數據進行監控和分析。IBM提出了一個應用案例，微型計算機可以和區塊鏈物流相結合，被植入到商品中作為一種可驗證“電子指紋”，好讓消費者知道自己的商品沒有被掉包。

這樣的應用方式雖然有點遙遠，但云服務、微型計算機、微型芯片這些技術的確擴大了密碼錨定技術的應用可能。

企業信息泄露的成本有多低？

最高罰款不過百萬

不過就目前來看，真正應用上密碼錨定的企業還不算多。除了Docker之外，還有移動支付企業Square，以及Facebook（劃重點）和Uber。

其中一部分原因在于接入硬件模塊的成本，當企業意識到數據安全時，必然是已經建立好數據庫的時候。這時再以硬件方式進行耦合和加密，往往需要耗費大量的時間和金錢成本。讓企業花費這么多去交換一個抓住正在駭侵中黑客的機會，的確應該多加考慮。

當然，Facebook這次信息泄露和密碼錨定以及任何網絡安全技術無關，這次泄露甚至沒有黑客參與，僅僅是因為不當的第三方授權模式，才讓其他企業得到了用戶的數據。Facebook和Uber對密碼錨定的應用很可能是在支付方面。

不過這也揭示了一種現象，在平時，幾乎沒有任何人能感知到企業對信息安全的高成本投入，可一旦出現信息泄露事件，企業此前的努力就會被毀于一旦。最后形成了一種極端的結果：企業與其花重金提升信息安全水平，不如把費用留在出事后的公關上。

想要解決這種狀況，恐怕就需要所有人一起努力了。

比如當民眾的信息越來越多的被獲取時，政府可以加強對企業信息保護措施的硬性要求，并加強信息泄露后的追責和懲罰。目前我國的中華人民共和國網絡安全法中，對涉事企業以及企業中個人的懲罰罰款最高也只有一百萬。一家大企業每年花在安全運維上的費用就早已超過了這個數目。

而我們自己能做到的，或許就是在泄露事故發生后與企業的洗地行為進行對抗，加大企業發生信息泄露事件的成本，讓企業知道信息泄露不是交幾十萬罰款、找公關洗洗地就能解決的事。和這次Facebook事件一樣，用戶的發聲和選擇，可能會讓信息泄露成為企業中的一場颶風。

如果類似的事件發生在中國網民身上，請不要忘記、不要沉默。