加密的現(xiàn)實(shí)與虛幻
加密技術(shù)主要是竊賊、國(guó)際恐怖分子及其他惡棍干壞事的時(shí)候用——這種常見認(rèn)知并不正確。
事實(shí)上，很多政府監(jiān)管機(jī)構(gòu)、技術(shù)人員和隱私及安全倡導(dǎo)者都熱衷加密。加密已成為在線商務(wù)與通信的事實(shí)標(biāo)準(zhǔn)，受到世界各地技術(shù)人員和安全專家的歡迎。
相反，有些政府則慣于通過立法、監(jiān)管或獨(dú)裁命令來(lái)破壞加密。要求設(shè)備制造商和技術(shù)提供商實(shí)現(xiàn)后門就是常見做法之一，這么做往往是要破壞端到端加密以監(jiān)視所謂高風(fēng)險(xiǎn)的會(huì)話。隱私權(quán)倡導(dǎo)者對(duì)此種行徑提出了強(qiáng)烈抗議。
此外，或許是由于歐盟《通用數(shù)據(jù)保護(hù)條例》(GDPR) 已然生效實(shí)施，且激發(fā)了世界其他地方的隱私立法行動(dòng)，大眾對(duì)用戶隱私的關(guān)注度也在提升。各項(xiàng)監(jiān)管規(guī)定與來(lái)自用戶的關(guān)注迫使技術(shù)供應(yīng)商改變了隱私實(shí)現(xiàn)操作，比如說(shuō)：
- 蘋果在其世界開發(fā)者大會(huì)上宣布：數(shù)據(jù)隱私是一項(xiàng)基本人權(quán)，居于蘋果所有產(chǎn)品的核心;
- 谷歌撤銷了第三方開發(fā)者對(duì)谷歌用戶數(shù)據(jù)的訪問權(quán);
- Facebook 在近期多件丑聞壓力下修正公司隱私立場(chǎng)。
所有這些匯聚到一起，就將隱私推到了主流業(yè)務(wù)、政府和社會(huì)變遷的中心舞臺(tái)。事實(shí)是，加密是數(shù)字時(shí)代保護(hù)設(shè)備及信息安全極為可靠的方法，是現(xiàn)代計(jì)算與協(xié)作的事實(shí)基礎(chǔ)。雖然企業(yè)可能面臨的所有問題不能經(jīng)由加密全部解決，但加密確實(shí)在遭遇入侵和數(shù)據(jù)泄露時(shí)能提供有力支撐與最后的保障。
舉個(gè)例子，或許有人會(huì)認(rèn)為加密對(duì)防止數(shù)字資產(chǎn)被盜沒什么用處。但網(wǎng)絡(luò)罪犯對(duì)技術(shù)是相當(dāng)敏感的，一直在提升安全保衛(wèi)戰(zhàn)的難度;事實(shí)上，公司資產(chǎn)每天都在被各類人士盜取。無(wú)論是放在公司網(wǎng)站上、政府?dāng)?shù)據(jù)庫(kù)中，還是別的什么地方，只要是資產(chǎn)，就有被盜取的風(fēng)險(xiǎn)。而一旦數(shù)據(jù)被盜，加密就是防止竊賊利用數(shù)據(jù)的最后一道防線。
就在最近幾周，涉及敏感客戶信息的重大數(shù)據(jù)泄露就發(fā)生了幾起：
- 美國(guó)醫(yī)療托收機(jī)構(gòu) (AMCA) 大型數(shù)據(jù)泄露事件令醫(yī)療測(cè)試巨頭 Quest Diagnostics(1,190 萬(wàn)患者記錄)和 Lab Corp(770 萬(wàn)患者記錄)的數(shù)據(jù)落入未知黑客之手。
- 房地產(chǎn)產(chǎn)權(quán)保險(xiǎn)巨頭 First American Financial 泄露數(shù)億數(shù)字化客戶文檔。
- Digital Shadows 發(fā)表的研究也報(bào)告稱有 23 億文件被盜。
- vpnMentor 研究團(tuán)隊(duì)的報(bào)告揭示某錯(cuò)誤配置的云服務(wù)暴露 1,100 萬(wàn)張照片。
這些數(shù)據(jù)泄露事件自然占據(jù)了各大媒體頭條，引發(fā)客戶持續(xù)擔(dān)憂，但若被泄文件加了密，情況就會(huì)大不一樣了。
加密錯(cuò)誤認(rèn)知及其意外后果
如果隱私問題暫且不論，只考慮政府后門接入需求，這種動(dòng)作實(shí)際上可能會(huì)招致意外的反效果。比如說(shuō)，政府會(huì)強(qiáng)迫手機(jī)制造商安裝后門，以便恐怖主義事件之類險(xiǎn)情發(fā)生時(shí)突破加密取得信息。但只要存在這種機(jī)制，在當(dāng)今網(wǎng)絡(luò)威脅十分活躍的環(huán)境下，似乎不太可能只有政府機(jī)構(gòu)能訪問并利用該后門。切合實(shí)際地講，好人和壞人都有可能利用該后門，設(shè)置后門可能引發(fā)的問題會(huì)比原本想解決的問題多得多。
關(guān)于加密，還有其他一些常見的錯(cuò)誤認(rèn)知需要消除。比如：因?yàn)楹茈y用，只有高級(jí)用戶才能利用加密技術(shù)。實(shí)際上，加密已不再僅僅是鎖定硬盤，而是事關(guān)信息創(chuàng)建時(shí)的防護(hù)與數(shù)據(jù)傳輸、存儲(chǔ)及使用過程中的策略動(dòng)態(tài)更新問題?，F(xiàn)代加密方法應(yīng)用起來(lái)并不難。
另外一個(gè)常見錯(cuò)誤認(rèn)知，是加密很容易被破解。確實(shí)，資源充足的國(guó)家黑客能動(dòng)用龐大算力解密受保護(hù)的資產(chǎn)，但這并非一般情況。說(shuō)實(shí)話，換個(gè)沒加密的數(shù)據(jù)存儲(chǔ)來(lái)攻擊對(duì)黑客而言更方便。
最后， 還有很多人都以為加密助長(zhǎng)了大量不好的行為——只有竊賊/國(guó)際恐怖分子和其他大壞蛋才用加密。這種認(rèn)知并不現(xiàn)實(shí)。加密實(shí)際上是我們數(shù)字生活的核心，驅(qū)動(dòng)著以萬(wàn)億美元計(jì)的安全商業(yè)行為，從銀行交易到無(wú)數(shù)日常在線消費(fèi)及企業(yè)服務(wù)都離不開加密。
加密塑造了虛擬世界的基礎(chǔ)。談及加密應(yīng)用方式的時(shí)候，我們需要慢下來(lái)，分清現(xiàn)實(shí)與虛幻，負(fù)責(zé)任地應(yīng)用該有力工具來(lái)推動(dòng)系統(tǒng)及數(shù)據(jù)安全，讓我們的現(xiàn)代生活方式更加愜意舒服。
【本文是51CTO專欄作者“李少鵬”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】
