《脆弱系統：從人性貪婪、網路詐騙到駭客入侵，探索資訊安全的歷史和未來 》
（A Vulnerable System: The History of Information Security in the Computer Age）
安德魯‧史都華（Andrew J. Stewart） 著
美國2022年資訊安全名人堂（Cybersecurity Canon Hall of Fame 2022）得獎作品
個資外洩、網路詐騙、駭客勒索猖獗，受害者卻求償無門。
一本書，分析資訊安全的歷史，以及網路系統如此脆弱的原因。
你常常這樣做嗎？
●定期更換各種網路密碼
●連網設備用畢之後，隨手登出、關機
●對於來路不明的電郵、網址心存懷疑，不會因為好奇而點開
●時常關心資訊安全新聞，例如：網路詐騙、駭客入侵、個資外洩事件等
網路科技急速發展，資訊安全卻有很多漏洞，導致個資外洩、詐騙頻傳，甚至遭到駭客和勒索軟體的攻擊。
事實上，資訊安全的本質其實很脆弱，並不像大家想像的「牢靠」。資安問題持續存在且難以根除的原因在於，許多開發者和企業在設計和推出系統時，往往採取「先行動，後補救」策略，導致許多系統在推出後，才發現存在嚴重的安全漏洞，不僅為後續的修補和維護帶來了巨大挑戰，更為潛在的攻擊者提供了可乘之機。
安德魯‧史都華（Andrew J. Stewart）在書中詳述資訊安全從發展初期至今的歷史，其實是連續失敗的過程，即使到了現在，嚴密的資安依然無法杜絕個資外洩、網路勒索的發生，從個人到企業的傷害，仍然持續擴大。
史都華介紹網路發展初期至今的資訊安全史，並從攻擊者、防禦者的角度分析過去的資安事件，也從政策層面探討人們在不同年代如何填補資安漏洞。
然而，造成資安破口的根源，不只是系統出現漏洞，往往人性的脆弱也是原因之一，例如因為好奇、貪圖方便而落入網路詐騙、個資外洩的陷阱。史都華認為，說不定我們可以藉由心理學和行為經濟學對人類行為得出新的見解，進而讓資訊安全問題獲得解決。
現在是過去的產物，想要面對當今的問題，就必須從了解歷史開始。一本書，詳述從電腦發明到駭客入侵的資訊安全史，以及人類如何展開橫跨半個世紀的資安攻防戰。讓活在虛偽又真實時代的我們，重新認識資訊安全的全貌。
｜專業推薦｜
李忠憲（成功大學資訊安全研究與教育中心主任）
林宜敬（數位發展部政務次長）
鄧惟中（亞洲・矽谷計畫人資長）
顧家祈（斜槓創業家／AI學習專家）
｜作者｜安德魯‧史都華（Andrew J. Stewart）
任職於投資銀行，英國倫敦大學皇家哈洛威學院 （Royal Holloway, University of London）資訊安全課程碩士，目前以兼職學生的身分在倫敦國王學院（King's College London）安全研究院戰爭所（Department of War Studies, School of Security Studies）攻讀博士學位，研究主題是銀行內線交易。《脆弱系統》（繁體中文版由經濟新潮社出版）是他的第一本書。作者網站：https://andrewinfosec.com/
｜譯者｜鄭煥昇
與文字朝朝暮暮，在書本中進進出出的譯者，近期譯作為《脆弱系統》、《多巴胺國度》（經濟新潮社出版）等；賜教信箱：huansheng.cheng@gmail.com。
｜目次｜
【導讀】資訊安全的過去，隱藏著當前資安發展困境的解方 文｜鄧惟中（亞洲・矽谷計畫人資長）
【推薦序】認識資訊安全的脆弱本質 文｜顧家祈（斜槓創業家／AI學習專家）
引言 三道聖痕
第一章 資訊安全的「新維度」
第二章 早期研究者的許諾、成功與失敗
第三章 網際網路暨全球資訊網的創建，與一個黑暗的先兆
第四章 網路泡沫，與有利可圖之反饋迴圈的起源
第五章 軟體安全與「痛苦的倉鼠滾輪」
第六章 易用的安全性、經濟學與心理學
第七章 弱點的揭露、獎勵與市場
第八章 資料外洩、民族國家的駭客行為，以及認識論的閉合
第九章 資訊安全的頑劣本質
結語 過去、現在與可能的未來
致謝
附註
精選參考資料
譯名對照
｜內容試閱｜
【引言】三道聖痕
一九九○年代尾聲，朱利安．亞桑傑（Julian Assange）人住在澳洲，每天的生活就是開發自由軟體。此時距離他推出「維基解密」（WikiLeaks）還有六年，但他對於人資訊安全的知識已經齊備。在這之前的五年中，他除了因為電腦駭客行為遭到定罪，還幫忙人寫了一本書來講述一群年輕電腦駭客從事的漏洞利用行為。此外亞桑傑和人合開了一間公司，旨在創造商用的電腦安全產品。
出於對資訊安全的興趣，他訂閱了好幾個郵件論壇（mailing list）。其中一份名為「資訊安全新聞」（Information Security News），當中流通著主流報刊裡以資訊安全為題的新聞報導。此外，論壇成員也會張貼各式有趣的東西，或在彼此之間討論資訊安全。
二○○○年六月十三日，一則訊息被張貼到論壇上，當中含有一個連結，點進去後是最早發表的其中一篇談電腦安全的研究論文。這篇研究的題目叫做〈電腦系統安全控管〉（Security Controls for Computer Systems），而這則貼文則形容這篇研究是「那篇基本上啟動了一切的論文」。看到這則訊息，亞桑傑相當犀利的回應是：「而那對人類而言是多悲傷的一天。肛門期還沒過，龜毛無比的被迫害妄想者，終於有了個機械化的方案可以活出他們威權主義的夢想，終於可以自動化地輾壓所有未經授權、出人意表的創意。」這一回應—做作、尖酸，或許還有點戲謔—算是小小地挹注了他後來對世人的貢獻，乃至於那貢獻所支持的，在駭客文化中的一個概念，那就是：「資訊想要自由。」
惟亞桑傑其實錯了。資訊安全的研究事實上令人類社會獲益良多。正是靠著各種安全科技與技術，我們今天才得以在網路上進行匿名的交流。異議分子可以一邊自我組織起來，一邊不受窺探。吹哨者可以安全地揭發企業與政府中的貪腐與非法行徑。「維基解密」本身能夠運作所不可或缺的那些科技與實務操作，也都直接起源自人類對資訊安全的研究。
亞桑傑錯在非黑即白，把人類研究資訊安全的努力一刀切，因為很顯然這麼做有得也有失。俄羅斯革命家里昂．托洛斯基（Leon Trotsky）據稱曾有言如下：「你不一定對戰爭有興趣，但戰爭肯定對你有興趣。」他這話的意思是人不應該忽視那些可能影響到他們的事物，而資訊安全的疑慮已與現代人的日常生活密不可分。第一批數位式電腦的問世，同時標註了電腦運算與資訊安全時代的來臨。隨著世界上的資訊益發數位化，確保這些資訊安全的能力也變得更為重要。資訊安全的重要性將只增不減，但確保資訊安全的挑戰卻還有待突破。資訊安全的嚴重失誤具有地方性流行病的性質，而其根源在於深層的結構性問題。
數十億美元的金錢被花費在商用的安全產品與服務之上，為的是保護智慧財產與機密性的客戶資料，同時也是要藉此展現出對統理資安實務之法律的遵循。但即便如此不惜重金，資料外洩仍既多且廣。二○○五年，駭客得以取得了超過一億名顧客的簽帳金融卡與信用卡資訊，苦主是總部在美國的TJ Maxx百貨。二○一三年，Yahoo!的一場資料外洩造成三十億使用者帳戶的資訊洩漏。個人資訊在資料外洩中被竊，受傷的是被突破的個人或組織。
在世界舞台上，電腦駭客行為經過民族國家的研究、發展與運用，發揮的作用包括竊取智慧產權、影響選舉結果，還有進行間諜活動。Stuxnet電腦病毒於二○一○年發現，而其被創造出來的目的是要感染並破壞伊朗用來生產核原料的離心機。同一年，擺在眼前的證據強力顯示中國政府使用了產業級的駭客行為，去竊取美國企業的智慧財產權。這之後又爆出有人使用電腦駭客技巧，在國際上從事廣泛的窺探，被鎖定的是美國國家安全局（NSA）與英國政府通訊總部（GCHQ）所使用的電腦，以及所進行的電子通訊。
資訊外洩與電腦駭客行為的雙重問題，會在今日的資訊安全領域中變得益發嚴重，是因為該領域陷入了一個只處理安全問題的症狀，而不設法去解決底層成因的循環。資安領域會陷入這麼個治標不治本的循環，不僅僅是因為新科技與新安全弱點有如源源不絕的洪流，讓人必須不斷跟上，也是因為人類先入為主地喜新厭舊。凡事只要新，就是潮，就會讓人想要。但想要永遠走在時代頂端的欲望，會阻礙了我們，讓我們沒機會去摸清事情的底細。現今被用來突破電腦系統之安全性的那幾種弱點，像是緩衝區溢位、網路釣魚與SQL注入等，都不是什麼新鮮的玩意。緩衝區溢位出現在書面上，是在一九七二年，網路釣魚是在一九九五年，SQL注入是在一九九八年。資訊安全領域內這種「認識論的閉合」現象—這個詞是用來形容有一群人從現實中退縮到想像的世界裡—造成了資安圈捨棄過往來遷就現在。而其不幸的後果就是造成了龐大的機會成本。
這三種深刻的失敗—資訊外洩、民族國家對電腦駭客行為的利用，還有認識論的閉合—是刻在資訊安全領域上三道顯而易見的聖痕。惟有面對問題的根源，而不是只處理表面的徵狀，這三道聖痕才能獲得解決，而在那之前，我們首先得對這三道聖痕的起源有所了解。
亞桑傑似乎沒把早年的資訊安全研究放在眼裡，但如今存在於資安領域中的各種挑戰，其根源都可以上溯至一九七○年代執行的基礎工作。就是在這個期間，一小群學者與研究人員發展出了各種觀念，而這些觀念也帶著我們通向了當時的未來。這些學者與研究人員在匯聚於一處之前，有人來自蘭德公司（RAND Corporation）等智庫，有人來自中央情報局與國家安全局等政府機關，也有人來自洛克希德飛彈與太空公司（Lockheed Missiles and Space Co.）等國防部的包商。
這些人是技術官僚，而把他們團結起來的信念是電腦系統的安全性可以循著理性、科學的法則獲得確保。他們為這種努力帶來了一種智識上的純淨。他們的願景是一個安全性與秩序能獲得保證的未來。但他們所未曾意識到的是從一開始，他們的方案核心裡就存在一個為他們所忽略，很危險的漏洞。這個不足之處，將對資訊安全的發展，也將對我們在今時今日要達成資訊安全的能力，產生非凡的影響。
留言列表
