美國通訊遭駭、CALEA 法案的歷史、加密與後門

Good morning,

在上週四的 Sharp Tech 節目中,我們討論了 Waymo 和自動化、AR 形態因素以及 Notebook LM。

On to the Update:

美國通訊遭駭

一場與中國政府有關的網路攻擊入侵了美國大量寬頻供應商的網路,可能獲取了聯邦政府用於法院授權網路監聽請求的系統資訊。據知情人士透露,這些駭客可能已經長達數月或更長時間擁有存取用於配合美國合法通訊資料請求的網路基礎設施的權限,這構成了重大的國家安全風險。他們表示,攻擊者還可以存取其他更普遍的網路流量。

知情人士指出,Verizon Communications、AT&T 和 Lumen Technologies 等公司的網路都遭到了這次新發現的入侵。這次廣泛的入侵被視為一場潛在的災難性安全漏洞,是由一個被稱為「鹽颱風」的複雜中國駭客組織所實施的。據稱,這次攻擊似乎是針對情報收集而進行的。

據信受到影響的監控系統用於配合與刑事和國家安全調查相關的國內資訊請求。根據聯邦法律,電信和寬頻公司必須允許當局根據法院命令攔截電子資訊。目前尚無法確定支援外國情報監視的系統是否也在這次入侵中受到威脅......一位熟悉此次攻擊的人士表示,美國政府認為這些入侵具有歷史性的重要意義,令人擔憂。

你可能注意到這個章節的標題使用了被動語態;原因是主動語態的主詞並不像你想像的那麼清楚。從狹義上講,主詞應該是中國:「中國駭入美國通訊系統」。這確實是發生在這裡的事情。

CALEA 法案的歷史

事實上,這次駭客入侵早在很久以前就已經發生了。最早可能的日期是 1994 年,而罪魁禍首是美國國會。那一年,《通訊協助執法法案》(CALEA)通過了。

過去,竊聽確實涉及到「竊聽」電話線。執法部門會獲得電話線的實體存取權限,並安裝設備來捕獲電話對話的音訊。這之所以可行,是因為電話過去的工作方式是將音訊轉換成類比電子訊號,然後再由接收方的電話將其轉換回音訊。然而,中間的類比訊號並未加密;任何設備都可以將其重新轉換回音訊。

現在的電話系統已不再如此運作,這是可以預料的;你的設備確實會將音訊轉換成類比電子訊號,但隨後會進一步將該類比電子訊號轉換成數位訊號——基本上就是 1 和 0,這些可以被加密。

然而,加密可能意味著多種情況;我在今年夏天討論 Telegram 案例時曾談到端對端加密和傳輸層加密之間的區別,簡而言之:

端對端加密意味著數位訊號在發送設備上使用只有設備擁有者知道的金鑰進行加密,並且只能由接收者在他們的設備上使用與發送者私鑰對應的公鑰進行解密。
傳輸層加密意味著數位訊號在發送設備上使用由接收通訊的服務授予(或至少已知)的金鑰進行加密;一旦抵達,該訊號就可以被該服務解密。但在傳輸過程中,它是加密的。

傳輸層加密是大多數數位通訊的標準;你的裝置與你正在存取的伺服器之間的通訊,無論是電子商務網站、像 Stratechery 這樣的網站,還是通訊服務,通常都能安全地防範所謂的「中間人(Man-in-the-middle,MITM)」攻擊,即第三方捕獲你的通訊並以某種方式干擾它。

不過,請注意,傳統的竊聽其實就是一種典型的中間人攻擊:執法機關實際上是在竊聽你用來通訊的線路並進行監聽。執法機關相當喜歡這種能力,並擔心在轉向數位訊號的過程中失去這種能力。

因此,CALEA 應運而生:國會要求通訊供應商——請記住,他們提供傳輸層加密的金鑰——建立讓執法機關能夠監聽對話的能力,也就是利用他們對加密金鑰的控制來獲取底層資料的存取權。這就是在這些攻擊中被利用的能力,所以說「國會駭入了美國的通訊系統」並非錯誤,因為他們首先創造了這種能力。

但這種說法也不完全正確;CALEA 實際上明確排除了資料。其目的是重建竊聽語音通話的能力,而非擴大監控範圍。此外,即使電話通話變成數位化,其運作方式仍與網際網路不同。

但最後這一點很快就改變了。在 CALEA 通過後的十年裡,將語音數位訊號與其他數位訊號用相同方式處理,即使用網際網路協議語音(VoIP),變得越來越合理。現在所有內容都變成了一串串的 0 和 1,將 CALEA 僅限於語音既在技術上變得更具挑戰性,也顯得有些不合邏輯;同時,執法機關也提出,越來越多的犯罪通訊正通過語音以外的方式進行。

為此,2004 年,司法部、酒菸槍炮管理局、FBI 和緝毒局向聯邦通訊委員會(FCC)提出請願,要求將 CALEA 擴展到涵蓋所有 IP 流量,包括寬頻網際網路通訊;FCC 同意了這一請求,當在法庭上受到挑戰時,由於 Chevron 尊重原則(該原則賦予機構在缺乏明確國會指示的情況下大量的立法能力),FCC 獲勝。在這個具體案例中,法院認為國會明確排除「資訊服務」的規定不一定適用於寬頻,這一點坦白說仍然讓我感到困惑;事實上,這個案例是反對 Chevron 原則的一個有力論據,而 Chevron 原則已於今年早些時候被推翻。

無論如何,本文的重點在於:你可以說「FCC 駭入了美國的通訊系統」,原因如下:是的,中國人確實駭入了美國的通訊系統,但他們是通過 CALEA 強制要求的後門來做到這一點的,而 CALEA 又被 FCC 擴展到包括網際網路通訊。如果沒有 CALEA 和 2004 年的擴展,中國人就不會有可利用的漏洞來進行駭客攻擊。

加密與後門

這個案例是關於加密和後門的古老爭論的另一種表現,最近在端對端加密的背景下再次引發爭議。包括我在內的許多科技界人士堅決反對在端對端加密中創建後門的任何嘗試,即使我們承認這樣做會帶來權衡。

這個案例解釋了原因:後門遲早會被駭客入侵。確保通訊真正隱私的唯一方法是端對端加密;破壞這一點可能會讓抓捕罪犯變得更容易,但也會讓每個人都面臨來自其他——通常是更糟糕的——壞人的風險。

這正是此處所發生的情況。顯然,有支持電話監聽的論點,而且毫無疑問,隨著數位化的轉變,電話監聽變得更加困難和複雜。支持 CALEA 的論點很清楚,甚至 FCC 擴展到寬頻網路的做法也是如此(即使法律依據不太明確)。然而,在每一個美國電信供應商中植入這些後門,意味著為所有人的通訊創造了一個漏洞,而這個漏洞被利用只是時間問題。如今,這個時刻已經到來,透過中國駭客;他們應該為這個混亂負責,但並非唯一該負責的人。

本次更新稍後將以播客形式發布。若要在您的播客播放器中收聽,請造訪 Stratechery。

Stratechery 的更新內容原本僅供單一收件人使用,但偶爾轉發是完全可以的!如果您想為您的團隊訂購多份訂閱並享有團體折扣(最少 5 份),請直接與我聯繫。

感謝您的訂閱,祝您有個美好的一天!