网络好danger

最近在Netflix平台观看一部纪录片：《网路炼狱：揭发N号房》（Cyber Hell: Exposing an Internet Horror）。它是一部讲述南韩N号房事件。纪录片是从追查角度出发，首先是一位记者得悉有人透过网络通讯软件来作传送女性裸照，后来慢慢查出，是一位以「博士」作代号的男子。

「博士」如何让女子跌落这个深渊？是一个赚快钱的机会。而这些女子不虞有诈，将个人性感照，甚至个人资料上传网上。结果，「博士」以此作把柄，要求女子按他要求拍摄更多裸照，否则公开。这些受害女子被称为「奴隶」。而「博士」亦将此开设收费聊天室，订阅者要付费：当然是加密货币才能收看。

其实，早在「博士」营运这「N号房」前，有另一位以「嘎嘎」（Godgod）来营运。他是用最直接不过的技术：钓鱼技术（phishing）。 「嘎嘎」向目标女子发出讯息：「这网站好似有你的不雅照片，你是否要查证？」。受害人如果按下，手机的个人资料都会被拿到手。结果，又是跌落万劫不复的深渊。而「博士」恐怖之处，是因为他可以控制受害者、看影片的，还有帮他做事的人。

经过警方的暗中调查，「博士」终于落网。当记问对他的罪行有什么回应，他说：

「我向所有受害者道歉，同时也谢谢你们给我无法自拔的恶魔人生，按下了停止键。」［注1 ］

影片中警察讲到，他们要确保「博士」的网络帐户是在线才能拘捕，否则，他可能会删帐户，那所有证据会消灭。所以，警察选在「博士」与他父亲回家途中拘捕。

我在想，他父亲怎会想到，儿子被警方拘捕；更无法想像，他竟然犯下这样的恐怖罪行。

～～～～～～～～～～

看完这纪录片后，让我想起几个月前阅毕的书《零时差攻击》，作者妮可．柏勒斯，纽约时报资深资安记者。

零时差攻击是什么一个概念？它是来自于「零时差漏洞」——即在你没预料的情况下，被骇客攻击：

所谓的零时差漏洞，是指软体存在可被利用的安全漏洞，然而多数人、包括该软体开发者与供应商却对漏洞的存在一无所知。从零时差漏洞的生命周期来看，一开始软体开发者写好了程式，而程式码存在一些错误（这其实是寻常的事）；然而这些错误并不影响程式运作，因此连程式开发者自己都未察觉，可想而知，使用者更不会知道这些漏洞的存在。
但是，可能在某一天，这个软体错误被人发现了，心存善意的发现者，会通知软体开发者，以提供使用者修补更新程式。但若是遇到心怀不轨的人，例如别有居心的网军、黑帽骇客或网路犯罪组织，他们就可能投入研究该漏洞是否有机否乘，一旦发现利用价值很高，例如可借此入侵大多数人使用的微软视窗作业系统或苹果iOS作业系统，骇客便会进一步设计攻击程式，利用这个漏洞入侵电脑。而只要这个漏洞尚未曝光，网路攻击便能持续进行，这就是零时差漏洞。 （页5）

作者访问了白帽骇客（White Hat）、资安公司，甚至政府前官员达300人。当中有一些令我「大开眼界」，比如，某位受访的程式开发员说除非整个程式都是自己写，只要有一段是用开源软体（Open Source Software, OSS），那就会有漏洞。 OSS就如预制组件，大家可以有条件下免费使用。但「免费」的东西总会有风险，保安漏洞就是其一。

就是因为有这种「隐形炸弹」，随时影响甚大。作者的前言，就以2017年6月27日至28日，乌克兰输电网遭俄罗斯骇客攻击。结果，切尔诺贝尔的辐射监测系统被离线，政府部门、银行受影响，但因为「物联网」没那么普及，没有更大的影响。

回看今日乌俄战争，骇客跟「军人」一样，在看不到的「环境」，互相攻击。

作者在书中亦明确指出，中国亦加入这场国际级资安大战，对美国进行攻击。当然，美国也不是个好国家，因为它的国家安全局亦在利用漏洞去监控，直到斯诺登透露国家安全局的不当行为，才叫「收敛」。

资安永远是一个每个人每日都要面对的事——即使你不用智能手机、电脑。唯一可以做的，就是自己先小心翼翼，之后的，就只能寄望世界没有黑骇、坏心肠政府。

只是，后者不会出现。

～～～～～～～～～～

［注1 ］陈庆德，〈让他人陷入「恶魔人生」的「 N号房」赵博士：不照我的话做，个资就准备流传到网路上吧〉（换日线）
https://crossing.cw.com.tw/article/13210

N号房事件（维基百科）
https://zh.wikipedia.org/zh-tw/N号房事件#cite_note-34

网路炼狱：揭发N号房（Netflix)
https://www.netflix.com/title/81354041

零时差攻击：一秒瘫痪世界！ 《纽约时报》记者追踪7年、访问逾300位关键人物，揭露21世纪数位军火地下产业链的暗黑真相（博客来）
https://www.books.com.tw/products/0010903622