面临什么新威胁 PC安全终极指南(4)

　　Internet犯罪：网络文明走向毁灭？(一）

　　一位分析人士认为，Internet是历史上最大的犯罪场所。Internet正陷入混乱，这是法律和秩序缺失的黑暗时代。

　　早期的黑客是具有创新精神的试验者，他们都很年轻，来自技术重镇，比如伯克莱或者剑桥。他们有很高的技术水平，同时蔑视法规。这种人现在仍然存在，并且在继续制造麻烦。不过，各种网络非法活动十年来不论在规模还是密集程度上都大大提高了。

　　在过去，病毒数量有限，而且比较简单。现在的病毒则四处泛滥，快速发展而且非常复杂。过去的信用卡欺诈案件都很蹩脚，而现在则出现了国际信用卡诈骗犯罪。计算机网络密码窃取活动正在演变成复杂的ID伪造，进而入侵银行以及在线拍卖网站。过去，发送垃圾邮件在网络中仅仅是“不道德的”行为，但是现在已经泛滥成灾。根据电子邮件安全公司IronPort的统计数据，去年五月份，世界上每天有129亿封垃圾邮件，很多垃圾邮件都是极其可恶的。

　　新的犯罪形式层出不穷，蔓延速度之快以至于一些专家都很难掌握出现的新术语，比如钓鱼（Phishing）、鱼叉捕鱼（Spear phishing）、网址嫁接（Pharming）、分布式拒绝服务攻击（DDOS）、DDOS勒索（DDOS protection rackets）、间谍软件（Spyware）、变脸软件（Scumware）、网站涂改（Web site defacement）、僵尸攻击（Botnets）和击键记录（Keylogging）等等。

　　Internet带来了犯罪形式花样翻新的“黄金时代”。由于“.com”泡沫的出现，寻找新商业模式的狂热运动促使了网络犯罪的大量出现。数据加密是一种防御手段，但是同样也能用来进行犯罪。网上曾经出现过这样古怪的事情——黑客入侵用户的计算机，加密其中的数据，然后进行勒索，要求计算机的主人付钱来得到解密数据的密码。这种犯罪形式如此之新，以至于现在连个名字都还没有。我们只能祈祷它永远不要有名字，因为如果有了名字，就意味着这种犯罪形式已经非常常见了。

　　来自计算机工业年鉴的数据显示，目前世界上网民的数量已经达到了10亿。充斥高技术的地球村正在逐步变成一个冷漠无情、犯罪丛生的大都会。所有那些骗子们用来诈骗刚刚进城的乡巴佬的伎俩都可以数字化。骗子们有着源源不断的犯罪对象：新网民、容易受骗的人、太年轻的人或者言语不通的人。

　　现实中存在一种现象，假设你是第一次购买计算机的新手，看上了一台计算机。这台计算机很便宜，软件安装的很合理，所有的配件都是即插即用的。如果售货员推荐你安装反病毒软件、系统工具以及防火墙，这时你就会想，真的有必要安装这些东西吗？

　　其实，一旦连接到网上，你会发现自己的计算机能和各种各样的其他计算机建立连接，这将为很多居心不良的人提供可乘之机。即便你有足够的勇气做这惊险的一跃，你装备的东西其实是不足以保护你自己的。“恶意软件的受害者不会是技术人员，而是那些没有定期查看安全公告的人，他们对于黑客来说就像成熟的果实一样唾手可得，” 一位安全专家如是说。

　　麻烦无处不在

　　安全问题存在于各个层面。

　　Richard Clarke在911袭击期间担任美国国家安全委员会反犯罪顾问，曾经写过一本书批评布什当局的反恐政策。他说，电子商务系统往往非常脆弱，因为这些系统都是仓促之间构建起来的，必须进行全面的再设计，必须使用更多的安全措施，否则将来就要不停地修修补补。Clarke以微软的Windows操作系统为例，十年前有几个人会想到Windows中隐藏了如此之多的足以导致系统被入侵的漏洞、缺陷和错误？

　　新兴产业总是仓促发展，因此很有可能重蹈早期Internet发展的覆辙：马虎草率、匆忙开发，那些天真的技术先锋人士往往忽略这样一个事实，即犯罪分子总有一天会变得和他们一样聪明。例如，Google的Web Accelerator用户反映，这种软件所使用的缓存技术可能导致陌生人访问受密码保护的站点，Google已经不再提供这种软件，同时表示这种软件不能再支持更多的用户了。 最根本的威胁是：网络恐怖袭击可能导致Internet本身瘫痪。

　　犯罪也外包

　　Internet是全球性的，而法律总是地区性的，当我们和网络犯罪浪潮作斗争时，必须面临这个根本问题。我们生活在这样一个世界中——在打击网络犯罪时，往往找不到罪犯分子的踪迹。

　　国际组织——比如ICANN、WSIS、 IETF、W3C——是培育Internet并促进其发展的主力，但他们力量有限，职能定位模糊，以至于很多人甚至不知道这些缩写词是什么意思。这四个组织分别是互联网名字与编号分配机构 （Internet Corporation for Assigned Names and Numbers）、世界信息社会高峰会议（World Summit on the Information Society）（下属于联合国）、互联网工程工作组（Internet Engineering Task Force）以及万维网论坛（World Wide Web Consortium）。

　　这些国际组织无法对付网络犯罪，他们没有枪、没有警徽，也没有监狱。从理论上说，这些组织以及其他组织能够解决一些随着Internet架构老化而出现的问题：例如，开发下一代Internet的计划，它将采用备受关注的IPv6，IPv6是对目前广泛采用的IPv4的改进。但是现在的互联网已经太老、太大，处于无政府的状态，靠某个组织来解决问题已经不可能。

    Internet与生俱来的全球性问题短期内不可能在世界范围内同步解决，因此各国政府必须捡起权杖，履行自己的职责。政府拥有制定并实施法律和规章的动力、手段和机会。他们有枪、钱以及监狱。如果要问哪个国家对互联网的发展具有根本影响，那肯定是美国。

　　如果有人怀疑美国对互联网的影响力，那他应该注意下面这件事情。美国政府最近将ICANN的DNS根服务器纳入了自己的管理之下。DNS根服务器是互联网域名和地址系统的核心，也是互联网国际化的基本架构。今年八月份，也就是在ICANN正式推出新的顶级域名.xxx之前几天（推出.xxx域名的意图是在互联网上建立色情业的虚拟红灯区），美国商务部命令ICANN将关于.xxx的合同暂时搁置。世界上很多其他国家也不欢迎这种域名，但是只有美国政府有能力阻止这种域名投入使用。

　　政府之外力量

　　反网络犯罪相关的组织或者会议将会越来越多，参与者包括银行、电话公司、安全机构、开发商、政府、以及安全专家。其目的在于，重建正在遭到蚕食的互信和相互理解。

　　事实上大型公司往往倾向于使用其自己的实力进行自我保护，预防网络犯罪造成的侵害，而不是依靠执法部门，从整体上看这会对反网络犯罪的努力产生负面的影响。她说，由美国计算机安全协会推出的每年一份的计算机犯罪和安全调查显示，政府当局收到的关于计算机犯罪的报告中只有一小部分来自公司。

　　目前而言，“隔离”可能是最为行之有效的安全措施，也就是将数据备份后离线保管。但这种方法并不是最好的。

　　Internet犯罪：网络文明走向毁灭？(二）

　　网络大扫除：专家意见

　　要想提高网络安全水平，可以采用的措施非常多，但是大多数措施都会影响到网络价值的发挥，包括知识、商业和娱乐价值。关键在于，网络安全的起点必须公平。保障安全的措施应当提高网络用户进行掌控的能力，而不是削弱这种能力。

　　——Whitfield Diffie，Sun公司首席安全官，同时是公钥加密体系的先驱者

　　开发者不能指望用户自己进行安全防护，开发者必须负起保障用户网络安全的责任。

　　——Blake Ross，Mozilla Firefox浏览器创始人之一

　　网络安全相关的社会团体必须提供信息和必要的激励帮助用户改变网络使用习惯。具体来说，就是要教育网络用户、开发者以及机构正确地使用网络；对犯罪行为进行认定和惩处；让用户对使用非安全的软件和未受保护的系统以及不恰当地处置敏感信息等行为负起责任。

　　——Art Manion，Internet安全分析师，来自US-CERT(美国计算机应急处理组织)

　　所有的人都是好人，而且通情达理——那样的时代远未到来，在那样的时代到来之前，我们仍然需要依靠立法和司法机构，至少要把他们带到网络世界中来。

　　——Patrick M. Kolla，Spybot Search & Destroy的开发者

　　发布那种用户无法控制的软件的行为必须禁绝，也就是那种非自由的并且不尊重用户自由的软件。

　　——Richard M. Stallman，自由软件运动奠基人

　　最重要的事情就是要教育最终用户。但是你要问了，谁来教育他们？我觉得这是开发商的责任，一个有用、有趣、安全的网络不仅符合最终用户的利益，更符合开发商的利益。关键的问题是，如何才能让这种教育既有趣又易懂，而不是令人厌烦和恐惧。另外，开发商还应当向最终用户提供进行自我保护的工具，因为网络安全不仅仅是技术问题，而且也是谁更值得信任的问题。

　　——Esther Dyson，CNet Networks’ Release 1.0的编写者，这是一篇关于正在涌现的数字技术的新闻通讯。