網絡好danger

最近在Netflix平台觀看一部紀錄片：《網路煉獄：揭發N號房》（Cyber Hell: Exposing an Internet Horror）。它是一部講述南韓N號房事件。紀錄片是從追查角度出發，首先是一位記者得悉有人透過網絡通訊軟件來作傳送女性裸照，後來慢慢查出，是一位以「博士」作代號的男子。

「博士」如何讓女子跌落這個深淵？是一個賺快錢的機會。而這些女子不虞有詐，將個人性感照，甚至個人資料上傳網上。結果，「博士」以此作把柄，要求女子按他要求拍攝更多裸照，否則公開。這些受害女子被稱為「奴隸」。而「博士」亦將此開設收費聊天室，訂閱者要付費：當然是加密貨幣才能收看。

其實，早在「博士」營運這「N號房」前，有另一位以「嘎嘎」（Godgod）來營運。他是用最直接不過的技術：釣魚技術（phishing）。「嘎嘎」向目標女子發出訊息：「這網站好似有你的不雅照片，你是否要查證？」。受害人如果按下，手機的個人資料都會被拿到手。結果，又是跌落萬刧不復的深淵。而「博士」恐怖之處，是因為他可以控制受害者、看影片的，還有幫他做事的人。

經過警方的暗中調查，「博士」終於落網。當記問對他的罪行有什麼回應，他說：

「我向所有受害者道歉，同時也謝謝你們給我無法自拔的惡魔人生，按下了停止鍵。」［註1］

影片中警察講到，他們要確保「博士」的網絡帳戶是在線才能拘捕，否則，他可能會刪帳戶，那所有證據會消滅。所以，警察選在「博士」與他父親回家途中拘捕。

我在想，他父親怎會想到，兒子被警方拘捕；更無法想像，他竟然犯下這樣的恐怖罪行。

～～～～～～～～～～

看完這紀錄片後，讓我想起幾個月前閱畢的書《零時差攻擊》，作者妮可．柏勒斯，紐約時報資深資安記者。

零時差攻擊是什麼一個概念？它是來自於「零時差漏洞」——即在你沒預料的情況下，被駭客攻擊：

所謂的零時差漏洞，是指軟體存在可被利用的安全漏洞，然而多數人、包括該軟體開發者與供應商卻對漏洞的存在一無所知。從零時差漏洞的生命週期來看，一開始軟體開發者寫好了程式，而程式碼存在一些錯誤（這其實是尋常的事）；然而這些錯誤並不影響程式運作，因此連程式開發者自己都未察覺，可想而知，使用者更不會知道這些漏洞的存在。
但是，可能在某一天，這個軟體錯誤被人發現了，心存善意的發現者，會通知軟體開發者，以提供使用者修補更新程式。但若是遇到心懷不軌的人，例如別有居心的網軍、黑帽駭客或網路犯罪組織，他們就可能投入研究該漏洞是否有機否乘，一旦發現利用價值很高，例如可藉此入侵大多數人使用的微軟視窗作業系統或蘋果iOS作業系統，駭客便會進一步設計攻擊程式，利用這個漏洞入侵電腦。而只要這個漏洞尚未曝光，網路攻擊便能持續進行，這就是零時差漏洞。（頁5）

作者訪問了白帽駭客（White Hat）、資安公司，甚至政府前官員達300人。當中有一些令我「大開眼界」，比如，某位受訪的程式開發員說除非整個程式都是自己寫，只要有一段是用開源軟體（Open Source Software, OSS），那就會有漏洞。OSS就如預製組件，大家可以有條件下免費使用。但「免費」的東西總會有風險，保安漏洞就是其一。

就是因為有這種「隱形炸彈」，隨時影響甚大。作者的前言，就以2017年6月27日至28日，烏克蘭輸電網遭俄羅斯駭客攻擊。結果，切爾諾貝爾的輻射監測系統被離線，政府部門、銀行受影響，但因為「物聯網」沒那麼普及，沒有更大的影響。

回看今日烏俄戰爭，駭客跟「軍人」一樣，在看不到的「環境」，互相攻擊。

作者在書中亦明確指出，中國亦加入這場國際級資安大戰，對美國進行攻擊。當然，美國也不是個好國家，因為它的國家安全局亦在利用漏洞去監控，直到斯諾登透露國家安全局的不當行為，才叫「收歛」。

資安永遠是一個每個人每日都要面對的事——即使你不用智能手機、電腦。唯一可以做的，就是自己先小心翼翼，之後的，就只能寄望世界沒有黑駭、壞心腸政府。

只是，後者不會出現。

～～～～～～～～～～

［註1］陳慶德，〈讓他人陷入「惡魔人生」的「N號房」趙博士：不照我的話做，個資就準備流傳到網路上吧〉（換日線）
https://crossing.cw.com.tw/article/13210

N號房事件（維基百科）
https://zh.wikipedia.org/zh-tw/N号房事件#cite_note-34

網路煉獄：揭發N號房（Netflix)
https://www.netflix.com/title/81354041

零時差攻擊：一秒癱瘓世界！《紐約時報》記者追蹤7年、訪問逾300位關鍵人物，揭露21世紀數位軍火地下產業鏈的暗黑真相（博客來）
https://www.books.com.tw/products/0010903622