Clavis Aurea：”黄金钥匙”是否真能解决加密问题

在《华盛顿邮报》最近刊登的一篇文章中，赋予了该种方法一种颇具诗意的名称–黄金钥匙。作者引用了一些绑架案和其他犯罪案件，均是由于未能部署’黄金钥匙’系统而导致调查人员无法取得案件进展。该文作者最后呼吁，所有包括：Google、苹果、Facebook和Telegram应向各国政府授予这些所谓的’黄金钥匙’。

随着近期恐怖袭击的愈演愈烈，对在线通讯加密方式的指责呼声可谓一浪高过一浪。然而，有关方面提出的几个解决方案可能导致更多问题的产生。

全球政府–从俄罗斯到美国，从中国到英国–似乎都口径一致：个人在线通讯采用极高强度的加密方式，即使在需要时政府也无法访问。据说主要的证据就是警察部门无法有效调查涉及恋童癖或恐怖分子的案件，但现在是该’采取行动的时候了’。

各国政府所提出解决方案的前提假设是：现有加密系统存在某些漏洞，因此国家机构能利用这些漏洞拦截他们认定为”有危险的”通讯内容。

在《华盛顿邮报》最近刊登的一篇文章中，赋予了该种方法一种颇具诗意的名称–黄金钥匙。作者引用了一些绑架案和其他犯罪案件，均是由于未能部署’黄金钥匙’系统而导致调查人员无法取得案件进展。该文作者最后呼吁，所有包括：Google、苹果、Facebook和Telegram应向各国政府授予这些所谓的’黄金钥匙’。

我们先将伦理道德暂且放到一边（否则讨论将永无休止），如果说代表正义的警察能得到’黄金钥匙’的话，那图谋不轨的犯罪分子也同样有很大的机会得到。

其实在我们生活中就有很多与’黄金钥匙’理念类似的例子。最明显的就是TSA海关锁，是美国运输安全管理局（TSA）的发明。该理念相当简单：旅行者使用TSA批准的行李锁，其锁眼能被美国海关当局打开（这样海关一旦认为有行李需要检查时，就无需敲坏锁扣再打开）。海关部门有10把万能（’金’）钥匙可用来打开几乎大部分类型的行李锁。这一方法行之有效的前提条件是：只有TSA才能使用这些万能钥匙，而犯罪分子要想打开行李只能”暴力破坏”。

然而，就在最近TSA钥匙的3D模型以及照片均被泄漏到了互联网上。目前在不少”中国黑市”上均能看到有一整套TSA’黄金钥匙’出售。那有关方面该采取哪些补救措施呢？事实上根本毫无办法–世界上有那么多像这样的行李锁，根本不可能一个个去更换。

对于此类系统的不安全性，还有另外一个例子可以佐证–应用商店，比如苹果的App Store。App Store的整个安全规范都是基于只有内部员工才能发布应用的原理：首先他们会检查应用是否是恶意软件，随后用数字证书签名。

显然，苹果并未将自己的’钥匙’外泄，但网络犯罪分子却找到了另一种能绕过严格安全检查的方法。一些开发者就不幸中招，他们在不知情的情况下使用了修改过的Xcode开发框架，使得恶意代码被神不知鬼不觉地植入开发的应用内。由于苹果安全工程师未能及时发现问题，导致原本被认为是坚不可摧”堡垒”的App Store一下子充斥了各种恶意应用程序，其中还包括了一款流行的即时通讯。

当我们回首历史时，可以看到曾经出现过一种风靡一时的DVD加密保护技术。在上世纪末，DVD采用的是基于安全性不佳的CSS算法。其目的旨在限制其他地区对DVD内容的访问。这一技术最终落得惨痛的下场，对此我们仍然记忆犹新。一些网络活动人士解密了大量密钥后，发布到互联网上供免费使用。而现在CSS内的区域编码则毫无用处科研，我们在任何地方都能观看DVD。

这些故事背后的道理其实很简单：该系统行之有效的前提条件是：只有’好人’才拥有必要的信息，而’坏人’无法拥有。但这种方式迟早会失败并带来巨大灾难。一旦’坏人’得到’钥匙’，他们就会千方百计地盗取人们的数据资料，而且成功概率将和警察部门或政府不相上下。

这是谁都不想出现的结果，因为就像不可能更换世界上的所有行李锁一样，想要更换所有智能手机上的固件也同样是痴人说梦。一旦’黄金钥匙’不幸落入不法分子手中，其危害性将远超政府使用’黄金钥匙’所带来的好处。

还有一种可能就是’黄金钥匙’根本无法行之有效：恐怖分子和犯罪分子只需借助一些不常见的加密系统，就能成功躲过政府机构的监视。考虑到这一点，各国政府应该想出一些更切实可行的方法来监视网络犯罪恶分子，同时使其对普通民众的影响降至最低。

500万伟易达账号惨遭黑客入侵–孩子数据不幸外泄

在网络星期一当天，伟易达突然发布惊人消息：在11月，其数据库遭到黑客入侵，总共有超过500万个用户账号被盗。黑客几乎将数据库内的用户名、密码、IP地址和下载内容”一网打尽”–可谓数据库外泄事件中的”典范”，不是吗？但这只是冰山的一角，除此之外，网络黑客们不仅能盗取孩子的生日、性别和姓名等数据资料，甚至包括数万张照片。

提示
注册