本文作者：Tyler Elliot Bettilyon

進入互聯網大數據時代以後，數據安全危機日益加重，個人信息隨意泄露，公民的隱私得不到保護，無論是政府機構還是一些有預謀的公司都在不斷的收集個人信息，在互聯網大數據時代，每個人都像裸奔在互聯網上。我們不是患上了被害妄想癥，是數據安全危機比想象的要更糟糕。本文作者旨在呼籲保護數據安全和個人隱私。

小說家喬治?奧威爾在他的經典小說《1984》裏，描繪了一個無可逃避的被監視的狀態，每個房間的監視屏幕監控每一個動作，記錄每一個聲音，並將這一切報告給獨裁者。奧威爾刻畫了一個令人感到窒息的恐怖世界，在假想的未來社會中，獨裁者以追逐權力為最終目標，人性被強權徹底扼殺，自由被徹底剝奪，思想受到嚴酷鉗制，人民的生活陷入了極度貧困，下層人民的人生變成了單調乏味的循環。他可能從來沒有想到，在2018年，人們會花600美元（外加上每月一次的費用）來換取口袋裏裝著監視屏幕的特權（手機時刻被監控定位）。

一些國家的監控設備包括臉部識別技術，連接著一個龐大的中心網絡以及警官佩戴著的帶照相功能的太陽鏡；不久它將連接到一群偽裝成鳥的無人機上。作為不斷發展的搜索網絡的一部分，火車站將很快要求進行面部掃描。

美國擁有自己的一些令人恐懼的工具，包括國家安全局的PRISM（“棱鏡”）計劃，著名的告密者愛德華?斯諾登揭露了這一計劃，這就是所謂的“棱鏡門”。在棱鏡下，國家安全局收集並存儲了大量互聯網流量數據。斯諾登轉儲和隨後披露的信息表明，國家安全局多次（有時是成功的）試圖打破公共加密標準，例如Diffie-Hellman密鑰交換算法。這樣做可以讓他們讀懂大量被認為是隱私的信息。“棱鏡”直接進入美國網際網路公司的中心服務器裏挖掘數據、收集情報，包括微軟、雅虎、谷歌、蘋果等在內的9家國際網絡巨頭皆參與其中。

打著安全的旗號，類似的高科技監控和數據收集政策正在全歐洲展開。世界範圍的獨裁主義正在興起，每年的《網絡自由》報告都表明，在線內容審查也相應上升。從2017年的報告看：

在線內容操控導致互聯網自由度連續七年全面下降，同時移動互聯網服務中斷增加，對人權捍衛者和獨立媒體的物理和技術***增加。

2017年《網絡自由》評估的65個國家中，將近一半的國家在評估期內經歷了網絡自由度下降，而只有13個國家取得了進展，他們大部分都是小國家。不到四分之一的用戶居住在互聯網被認定為自由的國度，這意味著在這些網絡自由的國度，沒有通過重大網絡訪問障礙，對內容的嚴格限制，或者以不受限制的監視形式或對合法言論的不公正影響等形式嚴重侵犯用戶權益。

世界各國政府變得愈來愈精通科技。在獨裁政體中，這意味著更好的監視，更多的內容審查和強有力的虛假信息戰術。有些人認為間諜機構存在以保護他們的公民，因此這些技術進步是最好的，但是即使相信這一點，監視和網絡戰爭的進步也不是沒有風險的。

這種非比尋常的火焰病毒和震網病毒是由美國和以色列政府聯合開發的，它們共享多個組件。有些人認為震網病毒是有史以來最令人印象深刻的軟件。它劫持了微軟基礎設施的關鍵部分，並把自己偽裝成合法的微軟更新，向世界各地數百萬臺計算機傳播。這兩個蠕蟲病毒自動復制並安裝到USB驅動器和其它外圍設備。火焰病毒變種能夠打開照相機和麥克風，監控網絡流量，以及更多。

這兩種病毒在世界範圍內傳播，其目標是感染和破壞伊朗的核設施（如果感興趣，震網病毒***伊朗核設施的事件可以在網上查閱到更詳細的介紹），震網病毒***導致了伊朗核設施癱瘓。即使你相信政府會用這個軟件做正確的事情，但是完全掌握病毒代碼後會使政府成為一個***目標。

影子經紀人（TSB）是一個***組織。令人氣憤的是，影子經紀人竊取了美國國家安全局的關鍵技術，在2016年，變成了WannaCry勒索病毒感染了數百萬臺計算機。如果沒有***組織影子經紀人，勒索病毒WannaCry的影響力絕不會像現在這樣遍布全球。也許美國國家安全局從來沒打算使用這些技術作惡，但是如果無法防止代碼被盜，那麽意圖還重要嗎？

作為一個社會，才開始摸索出對付數據可能被武器化的各種方式，然而，我們正處在大數據革命的漩渦中。

好像這還不夠，間諜活動不僅僅是為了政府。Facebook，Google和其它許多公司都致力於全天候的監控，旨在幫助公司銷售廣告，做出更多“數據驅動”的決定，以及“理解它們的客戶”。（這就像我們通過搜索引擎搜索了某個東西後，很快就會不斷有類似的廣告推送到我們面前。）銷售廣告是一個非常普通的目標，但捕獲的信息可用於更邪惡的目的，例如劍橋分析醜聞。更重要的是，他們收集的數據對於政府機構或非國有***組織來說是一個高價值的目標，這些***組織可能正在尋求施壓、敲詐或竊取那些他們可截取數據的人的身份。

作為一個社會，才開始摸索出對付數據可能被武器化的各種方式，然而，我們正處在大數據革命的漩渦中。處理龐大數據集的機器學習算法在矽谷和其它領域都是眾人矚目的焦點。它讓每天從繁雜的互聯網上提取有價值的數據變得更容易。
不幸的是，最嚴重的脆弱性在很大程度上是看不見的，數據最嚴重的濫用還沒有到來。更糟糕的是，一些最相關的***面已被嵌入到互聯網本身的結構中，使所有人都處於危險之中。

這個問題令人恐懼的範圍

也許你認為你是安全的。

你使用密碼管理器，為每個網站生成強大的獨一無二的密碼。你攝像頭有錄像功能。你已經禁用JavaScript腳本，阻止廣告。你從來沒有連接過不安全的WIFI接入點。你加密。你使用預付費的電話機。你使用Tor的×××。不，你地下室的那個房間不是一個“榮耀的錫箔帽”，它是一個法拉第籠。

不幸的是，即使是非凡的個人安全承諾也不足以完全保護你的數據。

事實是，現代的網絡基礎設施已經創造了一系列脆弱的系統。如果數據通過不安全的中介傳輸，那麽不管自己的行為如何，你現在都處於風險之中。你的朋友正在存儲你發送給他們的短信。Facebook存儲你朋友為你拍的照片。谷歌存儲你的網頁搜索歷史和你的位置歷史，然後把這些數據賣給廣告商。快照存儲你的快照。監控清單還有很多。

谷歌為用戶提供了一個選項來關閉這種跟蹤（深深地埋藏在它們的設置中），但是確保數據永遠不會在不安全系統上的唯一方法是永遠不要使用互聯網發送數據。

開玩笑吧。即使從你未使用過互聯網，現代世界也已經為你使用了它。

Equifax是一種服務，實際上沒有人選擇在1.45億個社會安全號碼上暴露自己。美國人口大約有3.25億，這意味著僅在一次***中，你的數據就有44%的機會被竊取。順便說一句，駕照號碼、出生日期、信用卡號碼、電話號碼和稅務識別碼也會一同在這種數據竊取中泄露。這些被竊取數據的公民中，很有可能有從未使用過互聯網的公民，屬於被動式的個人數據泄露。

無論何時你從事金融交易，都有很好的機會將相關數據錄入到數據庫，並且該數據庫可能連接到互聯網。政府愈來愈多地在網上提供公民信息。你的朋友、同事和熟人也會在網上留下一些信息；推特，Facebook帖子，圖片以及關於你的個人信息，甚至連你自己都不知道，這些信息可以被試圖跟蹤你的組織使用。“人肉搜索”往往也基於這些信息。

巴拉唐德?瑟斯頓的精彩（美國專欄作家巴拉唐德?瑟斯頓也許是和互聯網關系最緊密的一個人。在一年之中,他發了1518條臉書消息;11541條推特,處理了59409封郵件。）和令人不安的數據排毒，在數不清的輕松步驟中捕捉到一部分纏結的網，組成一個人的數字足跡。Facebook與第三方App共享數據，開發者可以將這些數據存儲在自己的數據庫中。正如我們在劍橋分析公司看到的那樣，數據可以賣給第四方（第五，第六）。這些數據最終可能落入到一個政治行動組織、俄羅斯政府、一家廣告公司……甚至任何人。

冰山一角

我們對組織如何使用我們的數據幾乎沒有什麽控制，對如何通過互聯網的物理機器傳輸我們的數據的控制甚至更少。

今天，超過兩個百萬的三次方字節的數據，也就是2後面有18個0的字節數據將在互聯網上傳輸。有時作為無線電波，有時作為電信號，有時作為光的爆發，通過激光或光纜。在到達目的地的路上，數據將通過幾個不同的計算機，其中任何計算機都可以記錄關於你的IP地址、你發出的請求類型、你的數據流量通過這臺計算機的頻率、你發送和接收的數據大小，你發送數據並接收數據的IP地址列表。斯諾登轉儲的數據透露，美國國家安全局實際上正在大規模地記錄此類信息。

關於你看過哪些電影、你多久給媽媽打一次Skype、你最喜歡的歌曲，以及你在互聯網上做的其它事情的信息都是通過可能受***的基礎設施傳輸的。一旦它到達目的地，你的數據被存儲在其它潛在受***的基礎設施中。在許多情況下，有野心的第三方可以憑空輕而易舉地攫取驚人數量的信息。

物聯網上的設備也容易受到智能的***，這些***會導致設備以意想不到的方式運行。如果連接沒有加密，數據路徑上的任何人都可以輕松地記錄發送和接收的所有數據。加密有助於保護消息內容。但不幸的是，僅僅加密是不夠的。加密與匿名結合的工具，如×××和混合網可以幫助減輕這些元數據的泄露。Tor就是這樣一個工具，它是一個系統，試圖通過使用幾個代理來隱藏源和目的地IP地址，這些代理本身對於真正的源和目的地的知識有限。技術細節是巨大的，但也許以下的隱喻可以幫助理解。

想象一下你正在給你的朋友提姆寫信。你想偽裝你的位置，所以你組建了一個私人網絡，愛麗絲，鮑勃，和查理，他們負責轉發信件。沒有問題（他們是Tor網絡）。你把信放在寄給提姆的信封裏，然後把信封放在寄給查理的信封裏，然後把查理的信封放在寄給鮑勃的信封裏，然後把鮑勃的信封放在寄給愛麗絲的信封裏。然後在郵件中放入嵌套的信封。

有人窺探你的信件，但不窺探愛麗絲，就會發現你給愛麗絲寄了一封信。有人監視你的朋友提姆會知道查利給提姆寄了一封信。有人監視鮑伯，甚至連你和提姆都不認識，但是也會監控到你和提姆。這不是一個完美的比喻，但這大致就是Tor如何幫助保護你的匿名性：通過混淆網絡流量的真正來源和目的地。

Tor和其它類似的系統仍然容易受到所謂的相關性***。通過監視你的連接和Tim連接的對手可以使用元數據推斷你倆正在通信。這更難，需要一個成熟、強大、有動力的對手，但值得註意的是，沒有什麽系統能給你完美的匿名性。

擴展***面

正如比以往任何時候有更多的方法來傳輸數據一樣，更多的機器正在交互和偵聽對方。隨著手表、烤箱、冰箱、魚缸、恒溫器，以及更多設備連接到互聯網，物聯網持續發展。微型計算機已經***到我們現代生活的方方面面，所有這些設備都是一個新的潛在的安全風險，要麽作為一個創造值得竊取數據的設備，捕獲值得竊取的數據，要麽作為***到網絡的潛在弱點。

物聯網上的設備也容易受到智能的***，這些***會導致設備以意想不到的方式運行。例如，***已經找到了把揚聲器變成麥克風的方法，甚至在只能發出聲音的設備上也能聽到你的聲音。在一項特別令人毛骨悚然的研究中，科學家能夠聽到受試者在鍵盤上輸入密碼的聲音，並且80%的時候能夠準確地猜出這些密碼。順便說一下，那是在2005年，音頻處理領域從那時起有了顯著的進步。想象一下，從你認為無害的聲音中可以推斷出什麽。

魚缸溫度計是用來從×××偷錢的。這並不是因為魚缸可以直接訪問金融交易，而是因為魚缸在其它安全的×××網絡中是一個弱點。雖然***的***細節沒有公開，但是***者可能利用了糟糕的安全措施（例如，×××員工認為魚缸溫度計不需要像其它網絡設備那樣被保護）和糟糕的安全基礎設施（例如，溫度計制造商的硬件/軟件比網絡上的其它設備更容易破解）。

***已經能夠闖入汽車的計算機系統，遠程關閉發動機，猛的剎車，轉動車輪，突然加速等等。每個具有互聯網連接的設備都是潛在的***向量。

更突出的問題是，所有這些設備連接它們的基礎設施常常由不安全的軟件提供動力。以域名系統（DNS）為例，域名系統是計算機基礎設施的重要組成部分，也是眾所周知的隱私和安全風險。

如果不手動配置計算機的DNS設置，那麽當你訪問這些網站的時候，可能正在發送你訪問的每個網站的列表，以及使用零加密的公共信道訪問這些網站的頻率。默認情況下，這些信息將被發送到你的ISP，然後ISP將為你發送的域名（如“google.com”）提供IP地址。所有這些信息都可以無限期地存儲在猶他州的Bluffdale由國家安全局操作的數據存儲設施中（假設地說）。

DNS的弱點也在高科技數據劫持中得到了利用。***者不記錄DNS信息，而是使用DNS中的弱點和支持互聯網流量路由的主要協議之一（邊界網關協議或BGP）,以便在釣魚***中竊取登陸憑據。在一次這樣的***中，超過15萬美元的數字加密貨幣被竊取，這些錢是從交易網站MyEtherWallet的用戶那裏偷來的。

這種***相當復雜。首先，***者利用一個眾所周知稱為BGP泄漏的漏洞惡意地將互聯網流量重新路由到受損的基礎設施。其次，重定向的流量被破壞，具體來說，與MyEtherWallet.com網站相關的DNS查詢被“毒害”，將用戶引誘到釣魚網站。再次，當用戶無意中將密碼輸入到釣魚網BGP泄漏，DNS中毒，諸如OpenSSL的心臟出血漏洞尤其令人關註，因為它們影響所有互聯網用戶，並且為受影響的用戶提供幾站時，***者使用竊取的證書來盜取用戶的數字加密貨幣。

數據處理與預防

隨著可用數據的範圍不斷擴大，數據處理能力也在不斷提高。大數據是新常態，而機器學習的進步對大規模數據集產生了更大的需求。隨著人工智能的不斷向前發展，收集的數據數量變得越來越有價值。

與此同時，我們逐漸意識到機器學習和數據科學不是客觀的。數據集反映了它們構建條件相同的偏見。算法和統計模型是由人和具有議事日程的公司構建的，它們的主觀意識反映在這些算法和模型的功能中。

有大量算法偏見的例子。當人們發現搜索“非專業發型”時，Google的搜索算法受到了審查，Google不相稱地顯示了黑人婦女的形象（她們擁有專業發型）。Google將一些黑人照片歸類為大猩猩後，從它的一些圖像識別算法中去除了“大猩猩”的分類。ProPublica報道了一個令人深感不安的算法偏見的例子，在法庭程序中，作為保釋、判決和假釋程序所使用的程序算法，黑人一貫受到過重處罰，白人一貫受到過輕處罰。算法都帶有種族歧視。

接受新的互聯現實將是一個過程，而不是目的

這些結果表明“數據驅動”與“客觀”並不完全一致。他們質疑當前最先進的機器學習算法的適用性，尤其是在諸如執法等已經陷入種族偏見的領域。即便如此，大多數獻身技術的新手仍然懷著算法可以解決政府歧視的天真想法。

也出現了一些令人鼓舞的懷疑主義跡象。當谷歌和亞馬遜披露向軍方出售產品的談判時，谷歌的Maven項目和亞馬遜的Rekognition人工智能工具都成為頭條新聞。兩家公司的員工都舉行抗議活動，給公司領導寫信，並威脅要辭職。技術工人的團結，他們的訴求很大，產生了作用。Rekognition被奧蘭多警察局拖走了。谷歌退出了Maven項目。監視產業綜合體很好的建立起來，它並不是不可抗拒的。

歐盟一直引領著數字監管。被遺忘的權利導致超過650000個請求刪除數據。通用數據保護條例（GDPR）正在打擊臉譜網和谷歌公司，它們將面臨十億美元左右的罰款。
個人緩解措施，諸如使用密碼管理器，安裝隱私工具（如EFF的HTTPS Everywhere瀏覽器擴展），以及切換DNS供應商（如CloudFlare的1.1.1.1，它使用加密的DNS協議），可能會有幫助。不幸的是，個人行為永遠不夠。打擊像美國國家安全局、谷歌和其它監控巨頭這樣的大型組織的聯合力量需要有組織的努力。

隨著科技侵入我們生活中最隱私的方面，我們必須將這一現實更可怕的方面帶到光明之中，必須要求公司和政府對他們收集的數據更加透明。接受新的互聯現實將是一個過程，而不是目的。對數據、隱私和監視的了解越多，就越能將這些問題帶入到主流意識中，在那裏，這些問題或許可以得到解決。

知物由學 |“網狀世界”下，無處可逃的信息安全