“知物由學”是網易雲易盾打造的一個品牌欄目，詞語出自漢·王充《論衡·實知》。人，能力有高下之分，學習才知道事物的道理，而後才有智慧，不去求問就不會知道。“知物由學”希望通過一篇篇技術乾貨、趨勢解讀、人物思考和沉澱給你帶來收穫的同時，也希望開啟你的眼界，成就不一樣的你。當然，如果你有不錯的認知或分享，也歡迎通過郵件投稿 ：[email protected] 

本文作者：Tyler Elliot Bettilyon 進入網際網路大資料時代以後，資料安全危機日益加重，個人資訊隨意洩露，公民的隱私得不到保護，無論是政府機構還是一些有預謀的公司都在不斷的收集個人資訊，在網際網路大資料時代，每個人都像裸奔在網際網路上。我們不是患上了被害妄想症，是資料安全危機比想象的要更糟糕。本文作者旨在呼籲保護資料安全和個人隱私。

小說家喬治•奧威爾在他的經典小說《1984》裡，描繪了一個無可逃避的被監視的狀態，每個房間的監視螢幕監控每一個動作，記錄每一個聲音，並將這一切報告給獨裁者。奧威爾刻畫了一個令人感到窒息的恐怖世界，在假想的未來社會中，獨裁者以追逐權力為最終目標，人性被強權徹底扼殺，自由被徹底剝奪，思想受到嚴酷鉗制，人民的生活陷入了極度貧困，下層人民的人生變成了單調乏味的迴圈。他可能從來沒有想到，在2018年，人們會花600美元（外加上每月一次的費用）來換取口袋裡裝著監視螢幕的特權（手機時刻被監控定位）。

一些國家的監控裝置包括臉部識別技術，連線著一個龐大的中心網路以及警官佩戴著的帶照相功能的太陽鏡；不久它將連線到一群偽裝成鳥的無人機上。作為不斷髮展的搜尋網路的一部分，火車站將很快要求進行面部掃描。

美國擁有自己的一些令人恐懼的工具，包括國家安全域性的PRISM（“稜鏡”）計劃，著名的告密者愛德華•斯諾登揭露了這一計劃，這就是所謂的“稜鏡門”。在稜鏡下，國家安全域性收集並存儲了大量網際網路流量資料。斯諾登轉儲和隨後披露的資訊表明，國家安全域性多次（有時是成功的）試圖打破公共加密標準，例如Diffie-Hellman金鑰交換演算法。這樣做可以讓他們讀懂大量被認為是隱私的資訊。“稜鏡”直接進入美國網際網路公司的中心伺服器裡挖掘資料、收集情報，包括微軟、雅虎、谷歌、蘋果等在內的9家國際網路巨頭皆參與其中。

打著安全的旗號，類似的高科技監控和資料收集政策正在全歐洲展開。世界範圍的獨裁主義正在興起，每年的《網路自由》報告都表明，線上內容審查也相應上升。從2017年的報告看：

線上內容操控導致網際網路自由度連續七年全面下降，同時移動網際網路服務中斷增加，對人權捍衛者和獨立媒體的物理和技術攻擊增加。

2017年《網路自由》評估的65個國家中，將近一半的國家在評估期內經歷了網路自由度下降，而只有13個國家取得了進展，他們大部分都是小國家。不到四分之一的使用者居住在網際網路被認定為自由的國度，這意味著在這些網路自由的國度，沒有通過重大網路訪問障礙，對內容的嚴格限制，或者以不受限制的監視形式或對合法言論的不公正影響等形式嚴重侵犯使用者權益。

世界各國政府變得愈來愈精通科技。在獨裁政體中，這意味著更好的監視，更多的內容審查和強有力的虛假資訊戰術。有些人認為間諜機構存在以保護他們的公民，因此這些技術進步是最好的，但是即使相信這一點，監視和網路戰爭的進步也不是沒有風險的。

這種非比尋常的火焰病毒和震網病毒是由美國和以色列政府聯合開發的，它們共享多個元件。有些人認為震網病毒是有史以來最令人印象深刻的軟體。它劫持了微軟基礎設施的關鍵部分，並把自己偽裝成合法的微軟更新，向世界各地數百萬臺計算機傳播。這兩個蠕蟲病毒自動複製並安裝到USB驅動器和其它外圍裝置。火焰病毒變種能夠開啟照相機和麥克風，監控網路流量，以及更多。

這兩種病毒在世界範圍內傳播，其目標是感染和破壞伊朗的核設施（如果感興趣，震網病毒攻擊伊朗核設施的事件可以在網上查閱到更詳細的介紹），震網病毒攻擊導致了伊朗核設施癱瘓。即使你相信政府會用這個軟體做正確的事情，但是完全掌握病毒程式碼後會使政府成為一個攻擊目標。

影子經紀人（TSB）是一個黑客組織。令人氣憤的是，影子經紀人竊取了美國國家安全域性的關鍵技術，在2016年，變成了WannaCry勒索病毒感染了數百萬臺計算機。如果沒有黑客組織影子經紀人，勒索病毒WannaCry的影響力絕不會像現在這樣遍佈全球。也許美國國家安全域性從來沒打算使用這些技術作惡，但是如果無法防止程式碼被盜，那麼意圖還重要嗎？ 作為一個社會，才開始摸索出對付資料可能被武器化的各種方式，然而，我們正處在大資料革命的漩渦中。

好像這還不夠，間諜活動不僅僅是為了政府。Facebook，Google和其它許多公司都致力於全天候的監控，旨在幫助公司銷售廣告，做出更多“資料驅動”的決定，以及“理解它們的客戶”。（這就像我們通過搜尋引擎搜尋了某個東西后，很快就會不斷有類似的廣告推送到我們面前。）銷售廣告是一個非常普通的目標，但捕獲的資訊可用於更邪惡的目的，例如劍橋分析醜聞。更重要的是，他們收集的資料對於政府機構或非國有黑客組織來說是一個高價值的目標，這些黑客組織可能正在尋求施壓、敲詐或竊取那些他們可擷取資料的人的身份。

作為一個社會，才開始摸索出對付資料可能被武器化的各種方式，然而，我們正處在大資料革命的漩渦中。處理龐大資料集的機器學習演算法在矽谷和其它領域都是眾人矚目的焦點。它讓每天從繁雜的網際網路上提取有價值的資料變得更容易。 不幸的是，最嚴重的脆弱性在很大程度上是看不見的，資料最嚴重的濫用還沒有到來。更糟糕的是，一些最相關的攻擊面已被嵌入到網際網路本身的結構中，使所有人都處於危險之中。

這個問題令人恐懼的範圍

也許你認為你是安全的。

你使用密碼管理器，為每個網站生成強大的獨一無二的密碼。你攝像頭有錄影功能。你已經禁用JavaScript指令碼，阻止廣告。你從來沒有連線過不安全的WIFI接入點。你加密。你使用預付費的電話機。你使用Tor的VPN。不，你地下室的那個房間不是一個“榮耀的錫箔帽”，它是一個法拉第籠。

不幸的是，即使是非凡的個人安全承諾也不足以完全保護你的資料。

事實是，現代的網路基礎設施已經創造了一系列脆弱的系統。如果資料通過不安全的中介傳輸，那麼不管自己的行為如何，你現在都處於風險之中。你的朋友正在儲存你傳送給他們的簡訊。Facebook儲存你朋友為你拍的照片。谷歌儲存你的網頁搜尋歷史和你的位置歷史，然後把這些資料賣給廣告商。快照儲存你的快照。監控清單還有很多。

谷歌為使用者提供了一個選項來關閉這種跟蹤（深深地埋藏在它們的設定中），但是確保資料永遠不會在不安全系統上的唯一方法是永遠不要使用網際網路傳送資料。

開玩笑吧。即使從你未使用過網際網路，現代世界也已經為你使用了它。

Equifax是一種服務，實際上沒有人選擇在1.45億個社會安全號碼上暴露自己。美國人口大約有3.25億，這意味著僅在一次攻擊中，你的資料就有44%的機會被竊取。順便說一句，駕照號碼、出生日期、信用卡號碼、電話號碼和稅務識別碼也會一同在這種資料竊取中洩露。這些被竊取資料的公民中，很有可能有從未使用過網際網路的公民，屬於被動式的個人資料洩露。

無論何時你從事金融交易，都有很好的機會將相關資料錄入到資料庫，並且該資料庫可能連線到網際網路。政府愈來愈多地在網上提供公民資訊。你的朋友、同事和熟人也會在網上留下一些資訊；推特，Facebook帖子，圖片以及關於你的個人資訊，甚至連你自己都不知道，這些資訊可以被試圖跟蹤你的組織使用。“人肉搜尋”往往也基於這些資訊。

巴拉唐德•瑟斯頓的精彩（美國專欄作家巴拉唐德•瑟斯頓也許是和網際網路關係最緊密的一個人。在一年之中,他發了1518條臉書訊息;11541條推特,處理了59409封郵件。）和令人不安的資料排毒，在數不清的輕鬆步驟中捕捉到一部分纏結的網，組成一個人的數字足跡。Facebook與第三方App共享資料，開發者可以將這些資料儲存在自己的資料庫中。正如我們在劍橋分析公司看到的那樣，資料可以賣給第四方（第五，第六）。這些資料最終可能落入到一個政治行動組織、俄羅斯政府、一家廣告公司……甚至任何人。

冰山一角

我們對組織如何使用我們的資料幾乎沒有什麼控制，對如何通過網際網路的物理機器傳輸我們的資料的控制甚至更少。

今天，超過兩個百萬的三次方位元組的資料，也就是2後面有18個0的位元組資料將在網際網路上傳輸。有時作為無線電波，有時作為電訊號，有時作為光的爆發，通過鐳射或光纜。在到達目的地的路上，資料將通過幾個不同的計算機，其中任何計算機都可以記錄關於你的IP地址、你發出的請求型別、你的資料流量通過這臺計算機的頻率、你傳送和接收的資料大小，你傳送資料並接收資料的IP地址列表。斯諾登轉儲的資料透露，美國國家安全域性實際上正在大規模地記錄此類資訊。

關於你看過哪些電影、你多久給媽媽打一次Skype、你最喜歡的歌曲，以及你在網際網路上做的其它事情的資訊都是通過可能受攻擊的基礎設施傳輸的。一旦它到達目的地，你的資料被儲存在其它潛在受攻擊的基礎設施中。在許多情況下，有野心的第三方可以憑空輕而易舉地攫取驚人數量的資訊。 物聯網上的裝置也容易受到智慧的攻擊，這些攻擊會導致裝置以意想不到的方式執行。如果連線沒有加密，資料路徑上的任何人都可以輕鬆地記錄傳送和接收的所有資料。加密有助於保護訊息內容。但不幸的是，僅僅加密是不夠的。加密與匿名結合的工具，如VPN和混合網可以幫助減輕這些元資料的洩露。Tor就是這樣一個工具，它是一個系統，試圖通過使用幾個代理來隱藏源和目的地IP地址，這些代理本身對於真正的源和目的地的知識有限。技術細節是巨大的，但也許以下的隱喻可以幫助理解。

想象一下你正在給你的朋友提姆寫信。你想偽裝你的位置，所以你組建了一個私人網路，愛麗絲，鮑勃，和查理，他們負責轉發信件。沒有問題（他們是Tor網路）。你把信放在寄給提姆的信封裡，然後把信封放在寄給查理的信封裡，然後把查理的信封放在寄給鮑勃的信封裡，然後把鮑勃的信封放在寄給愛麗絲的信封裡。然後在郵件中放入巢狀的信封。

有人窺探你的信件，但不窺探愛麗絲，就會發現你給愛麗絲寄了一封信。有人監視你的朋友提姆會知道查利給提姆寄了一封信。有人監視鮑伯，甚至連你和提姆都不認識，但是也會監控到你和提姆。這不是一個完美的比喻，但這大致就是Tor如何幫助保護你的匿名性：通過混淆網路流量的真正來源和目的地。

Tor和其它類似的系統仍然容易受到所謂的相關性攻擊。通過監視你的連線和Tim連線的對手可以使用元資料推斷你倆正在通訊。這更難，需要一個成熟、強大、有動力的對手，但值得注意的是，沒有什麼系統能給你完美的匿名性。

擴充套件攻擊面

正如比以往任何時候有更多的方法來傳輸資料一樣，更多的機器正在互動和偵聽對方。隨著手錶、烤箱、冰箱、魚缸、恆溫器，以及更多裝置連線到網際網路，物聯網持續發展。微型計算機已經滲透到我們現代生活的方方面面，所有這些裝置都是一個新的潛在的安全風險，要麼作為一個創造值得竊取資料的裝置，捕獲值得竊取的資料，要麼作為滲透到網路的潛在弱點。

物聯網上的裝置也容易受到智慧的攻擊，這些攻擊會導致裝置以意想不到的方式執行。例如，黑客已經找到了把揚聲器變成麥克風的方法，甚至在只能發出聲音的裝置上也能聽到你的聲音。在一項特別令人毛骨悚然的研究中，科學家能夠聽到受試者在鍵盤上輸入密碼的聲音，並且80%的時候能夠準確地猜出這些密碼。順便說一下，那是在2005年，音訊處理領域從那時起有了顯著的進步。想象一下，從你認為無害的聲音中可以推斷出什麼。

魚缸溫度計是用來從賭場偷錢的。這並不是因為魚缸可以直接訪問金融交易，而是因為魚缸在其它安全的賭場網路中是一個弱點。雖然黑客的攻擊細節沒有公開，但是攻擊者可能利用了糟糕的安全措施（例如，賭場員工認為魚缸溫度計不需要像其它網路裝置那樣被保護）和糟糕的安全基礎設施（例如，溫度計製造商的硬體/軟體比網路上的其它裝置更容易破解）。

黑客已經能夠闖入汽車的計算機系統，遠端關閉發動機，猛的剎車，轉動車輪，突然加速等等。每個具有網際網路連線的裝置都是潛在的攻擊向量。

更突出的問題是，所有這些裝置連線它們的基礎設施常常由不安全的軟體提供動力。以域名系統（DNS）為例，域名系統是計算機基礎設施的重要組成部分，也是眾所周知的隱私和安全風險。

如果不手動配置計算機的DNS設定，那麼當你訪問這些網站的時候，可能正在傳送你訪問的每個網站的列表，以及使用零加密的公共通道訪問這些網站的頻率。預設情況下，這些資訊將被髮送到你的ISP，然後ISP將為你傳送的域名（如“google.com”）提供IP地址。所有這些資訊都可以無限期地儲存在猶他州的Bluffdale由國家安全域性操作的資料儲存設施中（假設地說）。

DNS的弱點也在高科技資料劫持中得到了利用。攻擊者不記錄DNS資訊，而是使用DNS中的弱點和支援網際網路流量路由的主要協議之一（邊界閘道器協議或BGP）,以便在釣魚攻擊中竊取登陸憑據。在一次這樣的攻擊中，超過15萬美元的數字加密貨幣被竊取，這些錢是從交易網站MyEtherWallet的使用者那裡偷來的。

這種攻擊相當複雜。首先，攻擊者利用一個眾所周知稱為BGP洩漏的漏洞惡意地將網際網路流量重新路由到受損的基礎設施。其次，重定向的流量被破壞，具體來說，與MyEtherWallet.com網站相關的DNS查詢被“毒害”，將使用者引誘到釣魚網站。再次，當用戶無意中將密碼輸入到釣魚網BGP洩漏，DNS中毒，諸如OpenSSL的心臟出血漏洞尤其令人關注，因為它們影響所有網際網路使用者，並且為受影響的使用者提供幾站時，攻擊者使用竊取的證書來盜取使用者的數字加密貨幣。

資料處理與預防

隨著可用資料的範圍不斷擴大，資料處理能力也在不斷提高。大資料是新常態，而機器學習的進步對大規模資料集產生了更大的需求。隨著人工智慧的不斷向前發展，收集的資料數量變得越來越有價值。

與此同時，我們逐漸意識到機器學習和資料科學不是客觀的。資料集反映了它們構建條件相同的偏見。演算法和統計模型是由人和具有議事日程的公司構建的，它們的主觀意識反映在這些演算法和模型的功能中。

有大量演算法偏見的例子。當人們發現搜尋“非專業髮型”時，Google的搜尋演算法受到了審查，Google不相稱地顯示了黑人婦女的形象（她們擁有專業髮型）。Google將一些黑人照片歸類為大猩猩後，從它的一些影象識別演算法中去除了“大猩猩”的分類。ProPublica報道了一個令人深感不安的演算法偏見的例子，在法庭程式中，作為保釋、判決和假釋程式所使用的程式演算法，黑人一貫受到過重處罰，白人一貫受到過輕處罰。演算法都帶有種族歧視。

接受新的互聯現實將是一個過程，而不是目的

這些結果表明“資料驅動”與“客觀”並不完全一致。他們質疑當前最先進的機器學習演算法的適用性，尤其是在諸如執法等已經陷入種族偏見的領域。即便如此，大多數獻身技術的新手仍然懷著演算法可以解決政府歧視的天真想法。

也出現了一些令人鼓舞的懷疑主義跡象。當谷歌和亞馬遜披露向軍方出售產品的談判時，谷歌的Maven專案和亞馬遜的Rekognition人工智慧工具都成為頭條新聞。兩家公司的員工都舉行抗議活動，給公司領導寫信，並威脅要辭職。技術工人的團結，他們的訴求很大，產生了作用。Rekognition被奧蘭多警察局拖走了。谷歌退出了Maven專案。監視產業綜合體很好的建立起來，它並不是不可抗拒的。

歐盟一直引領著數字監管。被遺忘的權利導致超過650000個請求刪除資料。通用資料保護條例（GDPR）正在打擊臉譜網和谷歌公司，它們將面臨十億美元左右的罰款。 個人緩解措施，諸如使用密碼管理器，安裝隱私工具（如EFF的HTTPS Everywhere瀏覽器擴充套件），以及切換DNS供應商（如CloudFlare的1.1.1.1，它使用加密的DNS協議），可能會有幫助。不幸的是，個人行為永遠不夠。打擊像美國國家安全域性、谷歌和其它監控巨頭這樣的大型組織的聯合力量需要有組織的努力。

隨著科技侵入我們生活中最隱私的方面，我們必須將這一現實更可怕的方面帶到光明之中，必須要求公司和政府對他們收集的資料更加透明。接受新的互聯現實將是一個過程，而不是目的。對資料、隱私和監視的瞭解越多，就越能將這些問題帶入到主流意識中，在那裡，這些問題或許可以得到解決。