《Schneier的安全忠告》（美）布鲁斯·施奈尔（Bruce Schneier）|(epub+azw3+mobi+pdf)电子书下载

图书名称：《Schneier的安全忠告》

【作　者】（美）布鲁斯·施奈尔（Bruce Schneier）

【丛书名】网络空间安全技术丛书

【页 数】 220

【出版社】 北京：机械工业出版社 , 2021.10

【ISBN号】978-7-111-69103-7

【分 类】计算机网络-网络安全-研究

【参考文献】 （美）布鲁斯·施奈尔（Bruce Schneier）. Schneier的安全忠告. 北京：机械工业出版社, 2021.10.

图书封面：

图书目录：

《Schneier的安全忠告》内容提要：

这本书是安全和隐私专家布鲁斯·施奈尔的新文集，在书中，他就广泛存在的网络安全、数据隐私和现实世界安全问题进行了探讨，其中不乏令人震惊的安全事件，也有人们可能忽略的问题，涉及国家安全、战争、交通运输、物联网等领域。施奈尔的文章面向的读者并不局限于技术专家，还有领导者、选民或者消费者。他鼓励没有技术背景的读者对现状多思考，以便做出更好的安全决策和投资。 随着互联网和其他技术在日常生活中的普及，我们有必要了解它们是如何工作的，以及它们如何对我们的生活产生影响。如今，社交媒体对公共话语权起着至关重要的作用，网络对商业领域也越来越重要。更重要的是，互联网正在以一种更直接和现实的方式影响着世界。在不久的将来，互联网将使无处不在的监控达到前所未有的水平。 本书对于关心安全和隐私对未来社会产生何种影响的读者来说是一本指南，并在以几下方面提供了深入的见解： 选举和投票； 旅行和安全； 隐私和监视； 犯罪、恐怖主义、间谍活动和战争； 物联网； 信息泄露和检举； 安全政策、自由和法律。

《Schneier的安全忠告》内容试读

第1章

犯罪、恐怖主义、间谍活动、战争

网络冲突与国家安全

合的

最初发表于《联合国纪事》(2013年7月18日)

每当讨论国家网络安全政策时，就会反复出现同样的故事。不管这些例子被称为网络战争、网络间谍、黑客行为还是网络恐怖主义，它们都会影响国家利益，我们需要相应地呼吁人们进行某种形式的国家网络防御。

不幸的是，我们很难确定网络空间中的攻击者及其动机。结果，各国将所有严重的网络攻击归为网络战争。这扰乱了国家政策，加剧了网络空间的军备竞赛，最终导致牵涉其中的国家的动荡。即使我们对网络安全采取更强有力的执法政策，并努力使网络空间非军事化，我们也需要遏制关于网络战争的言论。

让我们考虑两种具体情况：

·2007年，在俄罗斯联邦和爱沙尼亚之间的政治紧张时期，许多爱沙尼亚的网站，包括爱沙尼亚议会、政府各部、银行、报社和电视台运营的网站，遭受了

一系列拒绝服务网络攻击。据相关报道，尽管基于某些间接证据，有人将这些袭击归咎于俄罗斯，但俄罗斯政府从未承认参与其中。一位住在塔林的对爱沙尼亚的行动不满的人因参与这些袭击，在爱沙尼亚法院被判有罪。

·2010年在伊朗，震网(Stuxnet)计算机蠕虫严重破坏甚至摧毁了纳坦兹铀浓缩设施中的离心机，目的是挫败伊朗的核计划。对该蠕虫的分析表明，它是一种设计良好且执行良好的网络武器，由于该蠕虫需要高度的工程设计，这表明它

2

第1章

背后很可能是由国家来支持设计制作的。进一步的调查报告指出，美国和以色列可能是蠕虫的设计者和部署者，尽管这两个国家都没有对此表示正式认可。通常，你可以通过武器确定攻击者是谁。当你看到一辆坦克在街上行驶时，你知道有军队参与其中，因为只有军队才能负担得起坦克。在网络空间中却是不同的。网络空间中，技术正在广泛传播其功能，每个人都使用相同的武器：黑客攻击、网络罪犯、出于政治动机的攻击，国家间谍、军队甚至潜在的网络恐怖分子。他们都能利用相同的漏洞，使用相同的黑客工具，采用相同的攻击策略并留下相同的痕迹。他们都能窃听或窃取数据，都能进行拒绝服务攻击。他们都在探索网络防御漏洞，并尽力掩盖自己的足迹。

尽管如此，了解攻击者仍至关重要。作为社会成员，有几种不同类型的组织可以保护我们免受攻击。我们可以打电话给警察局或军队，可以请国家反恐机构或公司律师提供帮助，或者可以通过各种商业产品和服务来捍卫自己的安全。根据情况，所有这些都是合理的选择。

任何用于防御的法律制度都需要明确两件事：谁在攻击你以及为什么。不幸的是，当你在网络空间中受到攻击时，你最难确定的就是这两点。并不是一切攻击都可以定义为网络战争。事实是，在网络冲突中，越来越多的战争技术手段被使用。这使国防和国家网络防御政策的执行变得困难。

对于此，一个明显的趋势是假设最坏的情况。如果每次攻击都可能是外国军队实施的战争行为，那么合乎逻辑的假设是，军队必须负责所有网络防御，而对于军事问题则寻求军事解决方案。这是我们从世界许多领导人那里听到的言论：网络战争已经开始，我们每个人都在其中。但这是不对的。网络空间没有战争，但网络中有大量的犯罪活动，其中一些是有组织的，也有很多是国际性的。针对国家、公司、组织和个人的出于政治动机的黑客行为是存在的。也存在间谍活动，这些间谍有些是单独行动的，有些属于国家间谍组织。有些组织也采取了进攻性的行动，从探测彼此的网络防御到使用实际造成损害的网络武器，如震网病毒。

“战争”一词实际上有两个定义：让人想起枪支、坦克和前进的军队的字面意义上的战争，以及犯罪战争、贫困战争、毒品战争和反恐战争中的修辞意义上的战争。“网络战争”一词既指字面意义的战争，也有修辞意义，这在讨论网络安全和网络冲突时是一个非常重要的术语。

发声很重要。对于警察来说，我们是其要保护的公民。对于军队来说，我们是需

犯罪、恐怖主义、间渫活动、战争3

要管理的百姓。从战争的角度来看，网络安全体系的构建进一步强化了这样的观念，即面对威胁我们无能为力，我们需要政府（实际上是军队）来保护我们。

战争引发的问题影响了全世界的政策辩论。从政府控制互联网的概念，到全面的监视和窃听便利化，再到消除匿名的呼吁，不同国家提出的许多措施在战时可能有意义，但在和平时期却没有意义。除了像反毒品或恐怖战争一样，没有获胜条件，就意味着将人们置于永久的紧急状态。我们看到世界上的军事力量正在抢占网络空间。我们正处于网络战争军备竞赛的初期。

这种军备竞赛源于未知和恐惧：不清楚对方的能力，担心对方的能力强于自己。网络武器一旦存在，就会有动力使用它们。震网病毒破坏了其预定目标以外的网络。互联网系统中任何军方插入的后门都将使我们更容易受到犯罪分子和黑客的攻击。

网络空间的战争军备竞赛导致了世界的不安定。大事件的发生只是时间问题，这可能是某位低级军官的草率行动导致的，或者是某个为国家服务的黑客故意为之，也可能是偶然的原因引起的。如果目标国家进行报复，我们将陷入一场真正的网络战争。

我并不是说网络战争是完全虚构的。战争规模不断扩大，任何未来的战争都有可能涉及网络空间部分。各国在其军队内部建立网络空间指挥部并为网络战争做准备是有意义的。同样，网络间谍活动不会很快消失。间谍活动很早就出现了，甚至与文明

一样古老，网络空间中有很多有用的信息，各国无法利用黑客工具来获取信息。

我们需要抑制战争言论，加强国际网络安全合作。我们需要继续谈论网络战争条约。我们需要建立加入网络空间的规则，包括如何确定攻击源于何处，并明确定义哪些行为属于攻击行为，哪些不属于。我们需要了解网络雇佣兵的角色以及非国家行为者的角色。网络恐怖主义仍然是媒体和政治领域虚构的，但是它有可能成为现实。我们需要在基础架构中建立弹性机制。许多网络攻击，无论起源如何，都利用了网络中的薄弱环节。这些薄弱环节越少，我们就越安全。

网络空间的威胁是真实存在的，但是军事化的网络空间弊大于利。自由开放的互联网对我们来说太重要了，不能因为我们的恐惧而牺牲它。

反恐任务扩大

最初发表于TheAtlantic.com(2013年7月16日)

我不断听到美国政府保证仅会在恐怖主义案件中对美国公民进行监听。当然，恐

4第1章

怖主义是一种特殊的犯罪，其恐怖的性质被认为是允许采取一些过分的预防恐怖主义手段的理由。但是这种推理方式存在一个问题：任务扩大。“恐怖主义”和“大规模杀伤性武器”的定义正在扩大，这些巨大的权力正在被使用并将继续用于犯罪而不仅限于恐怖主义。

早在2002年，《爱国者法案》(Patriot Act)就将“恐怖主义”的定义扩大到包括各种“正常”暴力行为以及非暴力抗议活动。“恐怖分子”一词的定义覆盖的范围广泛得令人惊讶。自从“9·11”恐怖袭击以来，这个词已被用于形容实际上并不足以称为恐怖分子的人。

最令人震惊的例子是，2012年，三名反核和平主义者穿过了橡树岭核弹厂的铁丝网围栏。他们最初是因非法人侵罪被捕的，但由于核弹厂设施存在令人尴尬的漏洞，政府不断加重对他们的指控。现在，示威者被判犯有暴力和恐怖主义罪行，并被判入狱。

同时，田纳西州的一名政府官员声称，抱怨水质可被视为恐怖主义行为。值得称赞的是，他后来因这些言论而被降职。

提出恐怖主义威胁概念的时间比一连串疯狂的反恐行为出现的时间要早。从根本上讲，这意味着要威胁人们以恐吓他们，包括用假枪对准某人、威胁引爆炸弹等。去年，由于一些被误解的推文，两名爱尔兰游客被拒绝进入洛杉矶机场。

另一个含义扩大的术语是“大规模杀伤性武器”。法律中对此术语囊括的范围定义得出乎意料地广泛，其中包括所有可以爆炸的东西。著名的政治科学家和恐怖主义-恐惧怀疑论者约翰·穆勒(John Mueller)评论道：

“据我了解，不仅手榴弹是大规模杀伤性武器，没有弹头的儿童火箭也是。另外，如果烟花的制作者在设计时想将烟花当作大规模杀伤性武器，就可以将其视为大规模杀伤性武器，但如果以前被设计为武器，但后来又重新被设计成烟花，并且在某些情况下由陆军部长出售或赠予你，则不会如此…

从法律上讲，所有火炮以及几乎所有装有枪口的武器都有可能成为大规模杀伤性武器。它确实使萨姆特堡受到的轰炸变得更加险恶，更不用说美国的星条旗实际上是对美国海岸大规模杀伤性武器袭击的记录了。”

波士顿马拉松爆炸案发生后，一位评论员以这种方式描述了我们对术语的使用：

犯罪、恐怖主义、间谍活动、战争5

“在美国，恐怖主义暴力的含义在很大程度上是‘公共暴力，一些人竞胆敢用枪支以外的武器发动袭击’…用枪屠杀大量普通人的罪犯往往被当成与大的政治环境脱节的精神病患者。”可悲的是，这里面有很多是事实。

即使对恐怖主义的定义越来越广，我们也必须明确定义的边界在哪里。我们已经在其他领域使用了这些监视系统。一系列秘密的法院判决扩大了美国国家安全局

(NSA)的窃听权力，使之可以监听“可能参与核扩散、间谍活动和网络攻击的人”。

2008年的一项法律中一个“鲜为人知的规定”将“外国情报”的定义扩展到包括“大规模杀伤性武器”，正如我们刚刚看到的那样，这一范围过于宽泛了。

《大西洋月刊》(Atlantic)上发表的一篇文章开玩笑般地提出了一个问题：“如果

PRISM如此好，为什么要停止恐怖主义？”作者的目的是讨论第四修正案的价值，即

使它会使警察效率降低。但这实际上是一个很好的问题。一旦NSA对所有美国人进

行监视，它就能收集和处理我们所有的电子邮件、电话、短信、Facebook帖子、位置数据、实物邮件、财务交易记录等信息，那为什么国家安全局仅仅把这些数据用于反恐呢？如果是用来解决其他令人发指的罪行，例如绑架，或者针对儿童的犯罪，这样

做很容易得到公众的支持。在此基础上，将NSA监视系统纳人持续的毒品战争中也

会更容易。那么保证可以定期访问NSA的数据库将非常重要。又或者是为了识别非

法移民，毕竟我们已经在这个监视系统上投入了很多资金，需要从中获得尽可能多的利益。

接下来就是《大西洋月刊》文章中提及的琐碎示例：加速和非法下载。这种“逐渐过渡”论点在很大程度上是推测性的，但是我们已经开始出现这种倾向了。

刑事案件中的被告要求访问NSA数据，以此证明他们是无罪的。公正廉明的政

府又怎么能拒绝这样的请求呢？

更有趣的是，NSA可能创建了有史以来最好的备份系统

虽然技术的发展略慢，但是政治意图却可以快速变化。2000年，我在Secrets and

Lis一书中谈到了警察采用监视技术：“一旦使用了该技术，就总会想使用它。而且，由于糟糕的治安环境，使用这项技术可以大大缓解警察的压力。”今天，我们正在各处部署监视系统，使用它们的诱惑将是压倒性的。

6第1章

叙利亚电子军网络攻击

最初发表于《华尔街日报》网站(2013年8月29日)》

叙利亚电子军于本周再次发动攻击，破坏了《纽约时报》、Twitter、《赫芬顿邮报》等的网站。

政治黑客并不是什么新鲜事。早在商人和犯罪分子使用互联网技术之前，出于政治原因，黑客就已经开始了网络入侵。多年来，我们见证了英国与爱尔兰，以色列与阿拉伯国家，印度与巴基斯坦等国之间的对抗。

2007年发生了一个重大事件，当时爱沙尼亚政府在与俄罗斯发生外交冲突后，随即遭到了网络攻击。这被看作第一次网络战争，但克里姆林宫否认了俄罗斯政府参与其中。唯一能够确认的参与其中的人是一名居住在爱沙尼亚的年轻人。

扒开这些国际事件中的任何一个，你会发现这些政治事件就像一群孩子在玩游戏。叙利亚电子军似乎并不是一支真正的军队。我们甚至不知道它是否是由叙利亚人组成的。而且，平心而论，我不知道他们的年龄。从他们攻击的细节来看，很明显他们没有直接针对《纽约时报》和其他网站。据报道，他们入侵了一个名为Melbourne

T的澳大利亚域名注册商，并借此破坏了许多知名网站的服务。

去年，我们在黑客组织“匿名者”(Anonymous)那里看到了同样的策略：随机人侵，如果入侵成功，就为这些入侵行为寻找政治原因。这样的做法使得它的水平看起来比其真实技术水平高得多。

这并不意味着政府发动的网络攻击不是问题，也不是说网络战争是可以忽略的事情。美国一直在世界各地发动网络攻击，相关报道称，在2010年，美国就与以色列

一道，采用了一种先进的计算机病毒(Stuxnet)攻击了伊朗的核设施系统。

对于普通公司而言，防御这些攻击与你之前所做的保护自己在网络空间中不受攻击的事情没有什么不同。如果你的网络是安全的，你就不会被那些只想帮助自己国家的一般黑客攻击。

情报的局限

最初发表于CNN.com(2013年9月11日)】

我们最近获悉，美国情报机构至少连续三天接到警告说，有政府正准备对自己的

···试读结束···