北京時間4月14日上午消息，美國政府高級官員上周六表示，奧巴馬總統(tǒng)已經決定，當美國國家安全局(以下簡稱“NSA”)發(fā)現重大互聯網漏洞時，多數情況下都應該將其公之于眾，以便修復漏洞，而不應該默不悄悄地利用該漏洞展開間諜活動，或發(fā)動網絡攻擊。但奧巴馬也給出了一些例外情況。
總統(tǒng)決定
該官員表示，奧巴馬列出了很多與國家安全和執(zhí)法需求相關的例外情況，從而給NSA留下了可乘之機，使之可以繼續(xù)利用安全漏洞監(jiān)聽互聯網信息，并設計網絡武器。
白宮并未公開奧巴馬的詳細決定。這項決定是今年1月作出的，當時，奧巴馬針對總統(tǒng)顧問委員會就如何應對“棱鏡門”事件的建議，開始了為期3個月的的評估。
但這項決定的一些內容卻在上周五浮出水面。當時，白宮否認提前知曉在互聯網上引發(fā)軒然大波的“心臟流血”漏洞。白宮在聲明中表示，當這樣的漏洞被發(fā)現后，政府內會形成一種“傾向”，要求與電腦和軟件廠商分享相關信息，以便開展修復工作。
NSA發(fā)言人凱特琳·海登(Caitlin Hayden)稱，針對相關建議的評估目前已經完成，他們已經因此啟動了一項流程，當發(fā)現某項安全漏洞后，會就應該對外披露還是對內保留，展開具體的評估。
“該流程傾向于負責任地披露這類漏洞。”她說。
直到現在，白宮都拒絕透露奧巴馬對白宮顧問委員會的建議究竟作何反應。但這份報告更為人所知的是，它建議美國政府停止繼續(xù)批量搜集普通美國人的電話通訊數據。奧巴馬上月表示，他將不再批量監(jiān)聽這類數據，而是會將數據保留在電信公司手中，而政府則可以在有需要時憑借法院傳票獲取這些數據。
冷戰(zhàn)陰影
不過，盡管有關監(jiān)聽行為的建議值得關注，但圍繞加密和網絡行動提出的其他建議，也引發(fā)了很大的爭論，甚至令人回想起曾經在長達半個世紀的時間內，主導華盛頓決策方向的“冷戰(zhàn)”。
有人建議，NSA不應再破解商用加密系統(tǒng)，或者通過設置“后門”來方便其破解其他國家的通訊信息。盡管這類行為可以方便美國政府開展間諜活動，但總統(tǒng)顧問委員會認為，這種行為可能會令美國的軟件和硬件產品喪失信譽。
硅谷公司最近就呼吁美國政府放棄這種行為，而德國和巴西等國也表示，他們考慮棄用美國生產的設備和軟件。當然，這些國家的動機也并不單純：外國企業(yè)也希望借助“棱鏡門”事件來阻止美國競爭對手的發(fā)展。
還有一些建議呼吁美國政府僅在有限的時間內臨時使用“零日”漏洞。之所以被稱作“零日”漏洞，是因為在漏洞披露當日，黑客便可對其加以利用，導致用戶沒有反應時間。
NSA曾經在對伊朗核設施發(fā)動進攻時使用了四個“零日”漏洞。那次代號為“奧運會”的行動大約破壞了1000個伊朗離心機，從一定程度上迫使該國重新回到談判桌上。
但NSA和“美國網絡司令部”曾經警告稱，放棄使用未經披露的漏洞相當于“單邊裁軍”。“除非俄羅斯也削減核武器，否則我們不會這么做。”一位美國高級情報官員最最近說，“中國也不會因為我們放棄‘零日’漏洞而采取相同的做法。”一位白宮高級官員也在上月表示：“我無法想象總統(tǒng)完全放棄可能讓他通過某種秘密方式避免戰(zhàn)爭的技術，任何一位總統(tǒng)都不會這么做。”
軍備競賽
這些技術的核心就是“心臟流血”這樣的漏洞在互聯網上制造的各種隱形問題。沒有證據顯示，NSA在“心臟流血”漏洞的創(chuàng)造過程中扮演了任何角色，或者該機構是否對其加以利用。而當美國白宮上周五否認提前知曉“心臟流血”漏洞時，似乎也是NSA首次對具體漏洞作出回應。
但“棱鏡門”揭秘者愛德華·斯諾登(Edward Snowden)披露的文件卻表明，NSA早在兩年前就在通過各種方法來尋找意外出現的漏洞。作為一個長達10年的網絡破解行動的一部分，他們還成立了一個代號為“Bullrun”的項目。這些文件并未明確披露該項目的最終成果，但NSA可能已經獲得了比“心臟流血”漏洞更有效的機密數據搜集能力。
美國官員承認，美國政府已經成了最大的“零日”漏洞開發(fā)者和相關信息購買者。這些漏洞意義重大，微軟甚至為發(fā)現這些漏洞并將相關信息提交給該公司的人提供15萬美元的獎金。而其他國家也在努力搜集這一漏洞，從而在現代網絡戰(zhàn)爭中開展“軍備競賽”。中國和俄羅斯是其中的主要國家，伊朗和朝鮮也在開展相關行動。
“作為一種攻擊性武器，網絡將變得越來越重要。”英特爾旗下McAfee電腦安全部門主管邁克爾·德賽薩利(Michael DeCesare)說，“我不認為單憑任何政策就能阻止這種行動。正因如此，我們才應該部署有效的指揮和控制戰(zhàn)略。”
美國總統(tǒng)顧問委員會并未呼吁NSA徹底停止這類行動，但卻表示，政府應該確保NSA不要針對商業(yè)加密系統(tǒng)設計漏洞。另外，如果美國發(fā)現了“零日”漏洞，應該對其進行修復，不應該對其加以利用。只有一種情況例外：為了開展高優(yōu)先級的情報保護工作，高級官員可以短暫授權使用“零日”漏洞。
