《零時差攻擊》讀後心得:比核武更致命的終極武器 1

如果真的有第三次世界大戰,你認為造成世界毀滅的起因是什麼?你腦中的畫面是核彈爆炸之後的蕈狀雲嗎?還是某場戰爭之後滿目瘡痍的斷垣殘壁?真正的答案可能跟你想的相距甚遠,它是一個你看不見的東西:「網路資安攻擊」。


這本書在說什麼?

零時差攻擊》的作者是《紐約時報》的資深網路安全記者妮可.柏勒斯(Nicole Perlroth),在這本書裡她揭露了一個鮮為人知的地下產業鏈「零時差漏洞的數位軍火庫」。其中牽扯到俄羅斯對美國核電廠、機場和選舉的網路攻擊,北韓對索尼影業、銀行和醫院的網路攻擊,就連美國本身也是這些數位軍火的關鍵玩家。

零時差」(Zero Day)是軟體或硬體中「尚未」被修補的瑕疵。只要這個零時差漏洞尚未曝光,軟體和硬體公司自然不會去修復它(因為他們根本還不知道有這漏洞),網路攻擊就能持續進行。這種攻擊包含了資料竊取、資料監聽、檔案銷毀…等,各種虛擬甚至實體的破壞,這種攻擊就被稱為「零時差攻擊」。

作者花了七年時間追蹤300位關鍵人物,說明了這種原本流傳於駭客之間的工具,如何搖身一變成為價值數億的國家級軍武。作者深度剖析了歷年發生過的各大資安事件,串連起了背後複雜離奇的因果關係。令人不安的是,這場數位軍火競賽,已經從國家與國家之間的較量,滲透到跟我們每個人切身相關。

《零時差攻擊》讀後心得:比核武更致命的終極武器
攝影師:Tima Miroshnichenko,連結:Pexels

我為什麼想看這本書?

以前我還在台積電任職的時候,經歷過2018年令所有人餘悸猶存的「想哭病毒」(WannaCry)事件。這場號稱台灣史上最大的資安事件,造成了實質52億元的損失,以及後續數不盡的系統補救行動。這隻病毒透過攻擊 Windows 的零時差漏洞,快速擴散和癱瘓了許多電腦,最後導致工廠停擺。我不免產生好奇,這些攻擊到底從何而來?以後還會不會發生?更糟的狀況會是什麼?

去年,我讀完前國安局外包雇員愛德華.史諾登(Edward Snowden)的自傳《永久檔案》之後,才知道美國國安局濫權利用稜鏡計畫,監控全世界每天超過17億筆的網路與通信資料,窺視全球所有人的一舉一動。直到最近,才知道史諾登洩密的東西只是冰山一角。

如同《零時差攻擊》書中引述了國安局內部人員對史諾登洩密事件的評論:「史諾登只是一個低階管理員,國安局的能耐遠遠超過他所洩漏的部分。」漸漸地,在我閱讀這本書的過程中,得以窺見這個黑暗且不能見光的世界。令我不寒而慄的是,美國雖然擁有非常強大的數位軍力,但是一旦當這些軍力洩漏出去,可能會帶來了什麼可怕的後果?接下來介紹幾個讓我印象深刻的故事,而且,我們最害怕的事情,已經發生了。


化解伊朗核武危機

2007年,美國發現了伊朗在過去十年時間偷偷建立了核濃縮廠,這表示伊朗擁有了建造核武的能力。以色列也急著要美國快點想出辦法,否則以色列就要發動軍事攻擊。美國當時的總統小布希苦思著對策。第一,美國無法透過外交手段說服伊朗。第二,美國在中東其他區域的軍事負擔已經太重。小布希把腦筋動到第三種選項上面:零時差攻擊

詳細分析局勢之後,美國決定瞄準核濃縮廠裡面的關鍵設備「離心機」進行破壞。離心機每分鐘以超音速旋轉超過十萬次,用來分離出鈾的同位素。美國打算對整個機構最脆弱的部分動手腳,藉由異常的轉速,來漸漸破壞離心機的「旋轉輪」。美國國家安全局的駭客打造了一隻名為「震網」(Stuxnet)的超級電腦蠕蟲,並透過以色列特務把蠕蟲弄進去核設施的其中一台電腦。

震網利用了微軟 Windows 的四個零時差漏洞,以及西門子 PLC 工業軟體中的三個零時差漏洞,開始對離心機的轉速動手腳。這隻蠕蟲很狡猾,它被設計來「讓維修人員發瘋」,也是就是說它可以躲過平常的監測,慢慢地破壞旋轉輪的穩定度,等到離心機真的壞掉時才被發現。最後,這支蠕蟲破壞了上千座的離心機,讓伊朗的核武野心倒退了好幾年,一個無形的零時差攻擊竟然摧毀了伊朗的核武計畫。

隨著震網的感染傳播開來,從中東、歐洲、美國都開始發現有感染的蹤跡,世界各國的資安公司才警覺到這件事情,然後發布緊急公告和更新程式。但是,震網就像是開啟了「潘朵拉的盒子」,在傳統戰爭中無法與美國匹敵的國家,似乎都了解那些程式碼用來做些什麼。

作者說:「或許美國阻止了一場傳統形式的戰爭,然而在向全世界散播震網的過程中,卻也開啟了一道全新的戰線。」如同二戰末期美國在日本投下的第一顆原子彈之後開啟的核武時代,當有人使用了一種新式武器,這種新式武器將不會被收回原處。

《零時差攻擊》讀後心得:比核武更致命的終極武器 2

零時差攻擊浮上檯面

2015年在美國加州發生的節日派對槍擊掃射事件,槍手法魯克(Farook)和馬立克(Malik)手持步槍殺害了十四人,重傷二十二人。聯邦調查局曾要求蘋果公司駭入法魯克的 iPhone 協助查案,但是蘋果執行長提姆.庫克(Tim Cook)堅守客戶的隱私權,拒絕交出駭入手機後門的手段。兩方甚至對簿公堂,社會輿論也鬧得沸沸揚揚。

但是,在輿論吵到最熱之際,司法部突然撤銷了這個案件,宣稱已經找到了取得法魯克手機資料的辦法。原來,是一位駭客找上了聯邦調查局,提供一了一種零時差駭入 iPhone 手機的方法,並獲得了 130萬美元左右的報酬。聯邦調查局事後也不願意幫助蘋果修復這個漏洞。在這次的事件裡,美國政府等於第一次公開承認他們支付高額報酬,請私人駭客入侵大家廣泛使用的科技軟體。

其實在這次事件之前,包含美國國家安全局在內的許多政府機構,就已經在檯面下購買各種零時差漏洞,並用來打造成入侵和攻擊敵人的程式工具。只是他們最不希望發生的事情「如果這些工具洩漏到敵人手上會怎樣?」,最後還是發生了。

2016年,一個名為「影子仲介商」的組織,把美國國安局最先進、最複雜的二十款零時差軍械庫洩漏到網路上兜售,任由其他國家、網路犯罪或恐怖分子取用,強化他們的網路軍團。截至今日這個組織仍然沒有被查獲。作者評論道:「如果說史諾登洩密的資料只是投影片,那麼影子仲介商洩密的軍械庫,就是實實在在的子彈。」可怕的是這些子彈,已經開始被有心人士利用。


俄國駭翻了烏克蘭

2017年6月27日,俄羅斯用國安局的網路武器向烏克蘭全面開火,這是歷史上最具破壞力且代價最高的網路攻擊。一瞬間,烏克蘭到處都是變黑的電腦螢幕,人們無法從自動提款機領錢、無法在加油站刷卡、無法寄送或接收電子郵件、無法在網路上購買車票或雜貨、無法領到薪水。他們也無法監控車諾比核電廠的輻射量。烏克蘭人對這一天仍然餘悸猶存。

截至2019年作者親自訪問烏克蘭時,俄羅斯那次攻擊造成的損失累計已經超過100億美元。烏克蘭的航運和鐵路系統還沒恢復滿載量,人們仍在尋找在貨運追蹤系統關閉時遺失的包裹。大家還沒收到在那次攻擊中被延誤的退休金支票。誰該領多少金額等等的電腦紀錄全部被刪除了。

這場攻擊被取名為「NotPetya」,因為烏克蘭資安專家一開始以為是一種名為 Petya 的勒索軟體,後來才發現 NotPetya 是俄羅斯駭客的特別設計,看起來像是普通的勒索軟體,但完全不是這麼回事。即使你支付贖金,也沒有機會取回任何資料。因為這是一種設計來進行大規模毀滅的國家武器。諷刺的是,這些武器的背後,都已經被證實有國安局軍械庫的痕跡。

作者訪談許多資安專家之後,得到了一個令人不安的評論:「這只不過是俄羅斯的一場模擬演習」。烏克蘭的網路和自動化程度還算是落後的程度,如果一樣規模的攻擊發生在高度網路和自動化的……美國,災情會如何?這本書揭露了網路戰爭最大的秘密:地球上在網路攻擊領域擁有最大優勢的國家,也恰好是最弱勢的國家之一。

「以牙還牙,以眼還眼」這句古諺讓每個人都瞎了眼。

美國民權運動領袖馬丁.路德 . 金恩(Martin Luther King)
《零時差攻擊》讀後心得:比核武更致命的終極武器 3
攝影師:Tima Miroshnichenko,連結:Pexels

後記:世界將如何終結?

零時差攻擊》這本書厚達480頁的書,讀起來就像是一部精采連貫的美劇,充滿懸疑和抽絲剝繭的劇情張力(會改編成電影)。只不過,這不是虛構的情節,而是每天都在真實世界上演的數位攻防戰。我覺得讀完之後的感嘆是,這些零時差攻擊已經等同於國家級的武器,但是這些武器卻在「非戰爭時期」被用來攻擊平民和民間企業。零時差攻擊往往會演變成無差別攻擊。

對於我們個人而言,可以怎麼保護自己?基本的防守:採用雙重認證登入、時常更新軟體、不要點擊來路不明的連結、不要開啟奇怪的網站和檔案。絕對的防守:沒有。說實話,沒有「任何」防毒軟體擋得住零時差攻擊,只要有人想駭你,沒有駭客做不到的事情。

隨著更多國家加入這個戰局,其複雜和傷害的程度只會愈來愈大。更可怕的是,愈是極端和獨裁的政權,就愈喜歡使用這種相對廉價、無形的武器來對付自己的人民。這是一個不斷邁向失控邊緣的地下戰場,而且已經不再由美國掌控大局,更遑論,下一個遭受重大打擊的,很可能就是美國自己。

如同電子郵件附加檔案的發明人納森尼爾.波倫斯坦(Nathaniel Borenstein)說的:「大多數的專家都同意,這個世界最有可能的毀滅方法是因為意外。這就是我們得以發揮作用之處,我們是電腦專業人員,我們專門製造意外。」第三次世界大戰很可能不是哪一位總統按下的核武發射鈕,而可能是某個國家的網路駭客不小心觸動的大規模零時差攻擊。

這就是這本書告訴我,世界將會如何終結的故事。


延伸閱讀

如果你對「資訊安全」的概念仍然非常陌生,以下這段十分鐘的 YouTube 教學影片「不明的網址別亂點!萬一不小心點了該怎麼辦?又該如何防範?」可以幫你快速建立一些基本觀念。只是我還沒找到比較完整,又夠簡單、夠白話文的資安教學資源(我們個人能做的已經很有限了,連教學資源都這麼有限…)。如果大家有推薦的教學資源,歡迎留言告訴大家。


您可能也會有興趣的其他文章


若喜歡《零時差攻擊:一秒癱瘓世界!《紐約時報》記者追蹤7年、訪問逾300位關鍵人物,揭露21世紀數位軍火地下產業鏈的暗黑真相》這本書可透過此連結購買,你不會有任何損失。本站獲得的回饋金,全額捐款給家扶助學金,詳見本站公益計劃


《零時差攻擊》抽獎贈書活動

你喜歡這篇文章嗎?

讓我們透過閱讀成為更好的自己。加入 20,000+ 名愛書訂閱者,每週一收到 1 篇 閱讀筆記、3 則好書金句、1 個激發思考的問題;每週五收到 2 集 Podcast 說書節目 通知;每季還有 1 篇 選書,兩好三壞 專題,幫你精選12本暢銷書的正反兩面評論。

如果內容不適合你,可以隨時取消訂閱。

這篇文對你有幫助嗎?歡迎分享

用行動支持我持續創作

加入 2500+ 位學員一起學習

化輸入為輸出 課程

你是想要提升學習成效的朝九晚五忙碌上班族?還是被正職工作壓到喘不過氣的斜槓創作者?我善用以前在台積電的下班時間,運用一套高槓桿的知識內化方法,成功斜槓創立自媒體事業。這堂課程我會教你這套有效吸收、精準整理、高品質輸出的訣竅。

其他相似的文章

追蹤最新的留言
通知我:
guest
0 則留言
內文留言
查看全部的留言