互联网监控项目“棱镜计划”曝光对安全监控机构和人员的警示

prism-whistleblower

“棱镜计划”被爆料者一公开,便成为全球特别是中美大众和媒体关注的一个重要话题,泄密者斯诺登选择了一个“出名”的最佳时机——恰逢中美两国元首会晤洽谈国家黑客主义和网络安全之际。

观看互联网舆情,媒体和大众多在对美国国家安全局进行指责,不少计算机网络信息安全业者更是抓住这个监控“把柄”,大释宣扬国外信息系统服务的不可靠,其目的无疑是推广信息安全要使用“自主创新”产品的目标。

不过,在我们多数人的有生之年,美国创新精神仍将会引领世界潮流,核心产品和营销理念仍将领先中国多年,拨开“自主创新”的外衣,我们依然要做多年的“跟随者”。

要说核心战略行业和领域早已开始在安全保障方面“国产化”,政策层面各网络信息安全主管机关以及重点行业监督委员会不断出台相关信息安全法规和指南,要求信息系统在本土登记、注册和使用经授权的本土信息安全产品和服务,大批的产品和服务如防火墙等设备的使用、信息安全管理等保体系的建立等等让国内的一批网络信息安全公司乘势得到快速成长和扩张。

不过,“跟随者”们在崛起的过程中,仍然被领先者美国牵制着信息技术的应用,如我国关键的行业如电力、银行等的核心信息系统仍然有90%以上使用国外的领先产品。

近几年,由美国引头儿折腾的“云计算”风水渐起,特别表现在“公有云”——互联网领域,美国的志向和眼光早已不局限于北美,而是全球,这让信息化相对落后的“跟随者”们很惊恐。加之美国不断输出西方文化理念和普适价值观,冲击着其他的文明,于是各国纷纷启用国家防火墙,监控和过滤着不利的信息流。

对使用者的信息流进行监控是拥有互联网主权的国家和组织的正常行为,甚至各国和一些商业公司都有实施一些间谍活动,这都是些常识并且无可厚非。泄密者斯诺登正好参与了对民众进行互联网信息监控的“棱镜计划”,从广义上讲,将范围由国家缩小到组织机构,有多少信息安全从业人员甚至IT人不是也有从事类似的工作呢?那些IDS、网络审计、内容过滤、上网行为管理、文档安全、数据安全之类的信息系统不都或多或少在监控着员工们的通讯信息吗?

在国家层面,美国不时出台国家安全和互联网监控相关的法律法规,授权相关机构合法监听监控国民的通讯信息。而在组织机构如公司层面,多数也有信息系统使用规范,强调信息数据和信息系统归公司所有,公司有权查看和监控员工工作相关的通讯信息。

所以,我们不必要跟风起哄或赞扬或鄙视或同情斯诺登,或责怪美国政府的网络安全双重标准。我们需要分析研究泄密者斯诺登的动机,以及如何防止事情发生到自身或自己的组织里面。

问题的根本原因在哪里?斯诺登是个异类或叛徒?不是,他自称并没有反对美国国家和人民的利益,他坚持自己的民主价值观,认为民众应该有知情权并且投票决定这一政策。我们从美国的政治文化上看起来,这合乎逻辑,是正常的。

斯诺登在受采访时提到周边人员对他的疑问的漠视,他称“在圈子里已经无法解决这个问题,只有交给大众。”这才是问题的核心所在,在他周边的从业人员可能和我们多数IT及安全从业人员一样,认为这是天经地仪的事,不需要大惊小怪。他服务的组织可能也觉得给了他丰厚的金钱报酬,甚至让他签定了保密协议,再说他看起来也是个正常人,也就没把他放在心上。

正是这些漠视,激起了他在大范围内进行爆料的想法,让大众知道,让大众来评断……他爆料的想法越来越强烈,最终他选择了行动!

人是有思想的复杂的动物,要防范人们做出偏激甚至怪异的行动,要从内心活动抓起。昆明亭长朗然科技有限公司信息安全分析师James Dong说:这就是我们常说的“把恶念消除在萌芽状态”。试想,如果斯诺登的同事和领导们对他进行一些必要的开导,让他正确认识到互联网信息监控的合法性,或许他对监控工作的认识会更进一步,他可能根本都不会有爆料的想法。

说到底,要有效解决这种问题,防范未来再次发生类似事故,还是得从安全意识沟通开始,这也确确实实是一个信息安全认知的问题。当然到目前为止,斯诺登还算是一个好人,没有泄漏手头上所有的更多内幕信息。要知道,来自内部的安全威胁要远远高于外部,掌握更多内幕信息的IT人干起坏事儿来杀伤力更是强大。

回顾起差不多十年前的一起员工网络通讯监控案例,再看看今天的事情,深深觉得雇佣双方在安全认知方面的沟通不足,危害甚大。而解决之道,无疑是强化对员工进行信息安全意识教育,将相关的安全政策、标准、制度和规范详细告知员工,并将此作为一项常规培训活动,而不是简单地让员工们签定一下信息安全和保密相关的法律文件。

互联网云端服务与个人隐私保护相悖吗

放弃邮件客户端、只使用Web邮件的人越来越多,不过这些仅仅是云计算的初级用户。使用在线文档、记事、相册、音乐、存储的人也越来越多,更不用说各类与生产生活密切相关的应用系统。

在人们享受互联网便利的同时,也有不少人担心隐私问题。昆明亭长朗然科技有限公司互联网安全研究员James Dong说,互联网大佬们当然可以访问你我的数据,那就去访问吧,只要是在法律条款及双方同意的使用协议之下,爱怎么访问怎么访问。

极其重视个人隐私保护的,您就别用互联网服务了,最好到深山老林中,断开一切电子设备,过与世隔绝的生活得了。要不,您就得让步,在您注册帐户时,就已经在分享自己的个人信息吧?!您一旦用了谷歌、微软、百度和腾讯,这些互联网大佬们想看一看您的个人信息当然不费吹灰之力了。

不过,话说过来,谷歌、微软、百度和腾讯他们不仅仅能获取您的数据,更能保护您的数据安全。个人数据放在本地电脑或存储设备中会面临不少失窃或损毁的风险,放在互联网大佬们那儿至少不用怕这些,他们有强大的数据安全保护措施,超过一般的企业级用户。所以,均衡一下利弊,如果是互联网公司的机器自动读取您的个人信息,比如Gmail内容被后台广告系统读取,以便给您一个定制的广告,如果是使用免费的邮箱服务,您应该接受这广告啊。对此,James无奈地笑称:当您在看着互联网的时候,互联网也在看着您!

但是如果互联网公司里的员工有强烈的偷窥欲望,正好您的帐户被看中了,那您只能让人家看了,除非您觉察出来,或能抓住人家的把柄。尽管互联网公司对员工访问客户的帐户有严格规定,但总难免有不守规矩的员工吧。特别是在诱惑之下,类似什么恶意差评或删除负面新闻的这些金钱驱动。

放在互联网大佬们那儿也有新的危险,黑客可能发现一些安全漏洞,进而获取了海量的用户和密码,当然也包括您的。这样黑客也就能看您的个人数据了,黑客如果将这些信息公开泄露,那就有更多人可以访问了。不过,通常,这种事情不能百分百避免,但是互联网大佬们会有安全事故应急响应措施,立即修改您的密码。只要抢在黑客访问您的数据之前,也没什么大不了。

爱德华·斯诺登的爆料让我们知道,除了互联网公司和黑客以外,监管机关也会看您的个人数据,那没办法,网络警察总是有正当理由和方法来监听和分析人们的语音、邮件和及时通讯。您只要不干坏事儿,就不用怕。但是您如果是国家领导人或很有影响力的人物,那就不行了,NSA放不过您吧,粉丝、狗仔队和黑客也都放了不您吧。

互联网世界是个人隐私信息保护就是这个样子,如何在这个充满不确定性风险的互联网空间中相对安全的生存,需要一些基本的安全防范技能。亭长朗然公司James表示,其实,稍稍用功,便可在享用互联网云端服务的同时,轻松抵挡“第三只眼”的偷窥和监视。

人们可以蒙起面来,使用加密电话或暗语来防止不必要的骚扰和窃听。其实在互联网使用上,也可以使用同样的招数。比如使用匿名注册,但是得小心,如同公安人员和社会大众会对蒙面人员格外提高警惕,匿名者在互联网上也不受其他用户的欢迎。所以信息安全业界的专业人士们并不建议人们使用假名来注册互联网服务,反倒有不少人强烈支持实名制。而对通讯和存储的数据进行加密倒是最为推崇的最佳安全实践,使用VPN,HTTPS或其它加密通讯是受欢迎的,同样,在文件存储方面,可以使用简单的访问密码或强大的加密功能。

不过,这些基本的安全加密技术仍然不被业界广泛认识和理解,所以除了对安全要求极高的金融行业,以及几家大型的领导型电商之外,使用HTTPS的网站远远都还不够普及,不少小型的如行业类的电商还是在明文传输用户名和密码。无疑IT人员的安全意识需要提升,更广阔范围内的互联网用户的信息安全意识和基本技能都需要加强。

总之,积极使用互联网云端服务是好事,也是社会大分工及信息资源的最佳配置结果,互联网厂商及监管机关可以查看和监视您的个人信息数据,不过是在法律授权及双方约定许可的情况之下,所以您不用担心。不过,也不能掉以轻心,不良的员工和黑客等等未授权人员仍然可能伺机偷窥您我的个人数据,这需要我们提升安全防范意识,使用简单的加密方案可以击退它们。互联网安全威胁客观存在,我们需要信息安全方面的智慧,进而可以趋利避害。互联网云端服务与个人隐私保护相悖,但是前题条件是我们有足够的安全能力保护自己。

我们推出了一套针对互联网从业人员的个人信息保护培训课程,以及适合互联网大众网民的简单的互联网信息安全基础在线课件。欢迎有兴趣的人员联系我们,获得课程的预览以及洽谈购买合作事宜。

  • 电话:0871-67122372
  • 微信、手机:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898