❶ 美国“顶级后门”浮出水面！潜伏接近20年，背后真兇到底是谁
据观察者网报道，美国“电幕行动”网络后门被中国一家 科技 公司曝光。
互联网行业迅速发展，人们在互联网世界的互动越来越多，随着大量私密数据被储存到互联网云端，有些国家开始发展互联网窃取技术，原本现实世界里的竞争，被发展到互联网世界，近日中国一家 科技 公司找到美国设置在网络世界的“后门”，美国的网络计划遭曝光，中国团队手中已经掌握主要证据。
美国“顶级后门”被发现
北京奇安盘古实验室与360公司有些千丝万缕的联系，奇安盘古的母公司正是奇安信公司，这个公司在中国素来有网络安全国家队的称号，在国家网络安全领域，他有着不可磨灭的贡献。此次奇安盘古发现美国“电幕行动”后门，并且将其验证技术细节曝光，可以看出这个后门正是由美国黑客组织“方程式”制造，“方程式”属于美国国安局管辖，目前“电幕行动”已经涉及到全球四十几个国家的网络安全问题。其主要任务是窃取各国机密，并且监视各国网络信息传递，这个后门为黑客组织在网络世界提供诸多便利，建立后门的黑客组织可以自由来往于各国网络世界，哪怕是加密文件也可能被窃取。
网络世界里美国一直扮演“偷窃者”
要在2013年奇安盘古实验室就已经注意到美国这一网络计划，但当时建立后门的技术过于复杂，奇安盘古实验室并未找到实际性证据证明美国的“入侵”，经过多年努力多年取证，终于抓到了漏洞，并且将其“入侵”证据完整挖掘，根据时间计算，美国将该后门植入的时间已经有二十年，二十年后终于被公布于众，美国“黑客帝国”的罪名被坐实。虽说这是一件让人惊诧的事情，但幕后黑手是美国这就让人更容易接受，作为世界“搅屎棍”，美国做出任何让人诧异的事情都不奇怪，网络安全问题上美国已经不止一次被揭穿，之前轰动全球的“棱镜门”事件也是美国一手策划，所以“电幕行动”的出现也十分正常。
美国应该给世界一个交代
不过让人佩服得是，哪怕事情的证据已经摆在面前，美国还能反咬一口，去年美国在丹麦实施的监听计划被发现后，美国并没有自我反思而是将矛头指向中国。泼脏水的事情，中国虽然已经习惯了，但也不能总背黑锅，中国外交部立刻表态，外交部发言人汪文斌表示，关于美国监听欧洲盟友的问题，只不过是全球网络窃密中的一件小事，除了欧洲被美国监听的国家数不胜数，美国作为世界上最大的“黑客帝国”，应该正视其错误，给世界一个交代。
美国的网络丑闻多次被爆出，美国不仅是现实世界的不安定分子，也是网络世界的捣乱者，美国热衷于窃取他国机密，热衷于在网络世界横行霸道，就像在现实世界的霸权主义一样。美国这样大规模的窃听行为已经严重影响网络世界的正常发展，此时美国应该停止这种可耻的行为，并且给予世界各国一个交代，从始至终被美国窃取机密的国家才是受害者，作为世界大国美国应该为自己的行为负责。
❷ 苏奎：个人数据保护是平台的“阿克琉斯之踵”
【文/观察者网专栏作者 苏奎】哗拍樱
毫无疑问，互联网平台是信息时代的主角。超大规模、垄断、权力巨大是其主要特征，能影响无数人的生活、利益，甚至生计。平台具有多重属性，既是一个传统企业，同时也是一种经济形态。以平台为核心构成的平台经济甚至就是一个虚拟城邦国。正如扎克伯格的名言：“在很多方面，脸书（Facebook）更像是一个政府，而不是一个传统的公司。”
平台是平台经济的绝对主宰者，它能够恣意制定规则、解释规则并执行规则，而这些规则可以影响数以亿计的人。它们与国家法律法规在本质上没有区别，却不需要遵循国家立法、司法、执法所要求的正当性程序。自从国家产生以来，政府没有面对过类似的管治对手，可以说是3000年未有之大变局。
在信息时代，如何治理平台在世界范围内都是一项巨大的挑战。反垄断、消费者保护、公平竞争等传统工具是世界范围内进行平台治理的几条主要路径。然而，反垄断、消费者保护、公平竞争这些治理工具都是传统经济时代发展而来的，面对着信息时代的巨头，它们可以说常常是捉襟见肘、力有不逮，成效多有不彰。
个人数据保护是信息时代发展出的新工具，尽管其初衷是保护个人信息，但无数人的个人信息积水成渊就成了大数据，有了大数据，算法才能从一具奄奄的躯壳化身为一头桀骜的巨兽。也就是说，算法的命门在个人信息保护。
近期欧美正在发生的平台个人信息保护的一些案例发人深思，让人兴奋，个人数据保护赋予个人更大的权力从而平衡平台在平台经济中的权力结构，可能也是平台治理的一条新路径。
劳务平台
互联网平台并不具有广泛的同一性，不同类型之间差异巨大，既有以信息服务为核心的社交平台、搜索平台，也有生产海量信息的电商平台。以网约车、外卖等为代表的劳务平台可算是后者。平台是虚拟的市场，通过平台出售劳务。但更重要的是，这些劳务平台上聚集了数百万，甚至上千万分布在全球城市的劳动人民。相比其他平台，它们不只是在为人服务，还掌握着无数人的信息。因此，这些平台与人的关系更为密切，对 社会 治理带来的挑战更大，影响也更为深远。
这些平台上的人依靠平台提供的信息而生存，为平台生成海量的信息资源，又被这些信息所管理控制。相比其他电商平台，这类平台上的人（劳动力）的几乎没有自主权，传统的劳动保护也与其无缘，因为他们被平台认为是 微型企业家 。平台依靠信息对如此庞大的劳动力队伍进行精准管理，这超过了人类 历史 上任何组织的极限，可以说是人类 历史 的奇迹，而创造这样的奇迹的核心则是隐藏在平台背后的算法。
网约车平台几乎是迄今为止对 社会 治理带来最多问题、争议最大的互联网平台。创建于2008年的优步开创了网约车行业，其月度活跃的消费者数量约1亿人，全球日均订单数近2000万（包括外卖），平台上的驾驶员人数超过400万，平均每月有5万名新驾驶员加入平台。其强硬对抗全球监管机构的做派曾经乱丛为其带来无数的麻烦，蔑视规则和法律的企业文化也使得企业本身遭遇了内伤。2017年，创始人卡拉尼克甚至被赶出了公司。除了广为人知的与各地监管机构的斗法外，优步与平台内驾驶员之间的矛盾可以说是日益尖锐，与消费者之间的龃龉也不时传出。
泄露个人信息后果很严重
1月20日，特朗普在离开白宫前公布了多达73人的赦免长名单，前军师史蒂夫·班农毫无悬念出现在名单上，但也有一些名字是出人意料的。前优步负责自动驾驶业务的高管——安东尼·莱万多斯基（Anthony Levandowski）相当幸运地逃脱了原本在2月7日就要开始的牢狱之灾，据传特朗普在硅谷中为数不多的支持者——大佬彼得·蒂尔（Peter Thiel）是其幕后的操盘手。
相比之下，优步的另一位前高管——首席安全官乔·沙利文（Joe Sullivan）恐怕只能哀叹命运之不公了。不过这确实是咎由自取，简直就是“不作不死”。2020年8月21日，沙利文遭联邦司法部以阻碍司法和作伪证两项罪名起诉，刑期可能高达8年。而这一切均始于2016年那次对约5700万驾驶员和乘客个人信息泄露后的掩盖。
沙利文并非新手，他曾是互联网巨头脸书的首席安全贺枯官，对信息安全和个人信息保护有丰富的经验。然而，在获悉优步发生黑客入侵导致平台个人信息泄露后，他并没有依法立即向政府有关部门报告，而是在与时任CEO卡拉尼克（Travis Kalanick）商议后通过向黑客支付10万美元的封口费，买通黑客将其定性为平台主动邀请黑客发现安全漏洞。而封口费也就变成了安全奖励。
发生如此大规模的个人（包括平台的驾驶员和乘客）信息泄露，自然不会被欧美的相关监管机构放过。按照欧盟的规定，数据泄露后应在72小时内向监管机构报告。据此，其欧洲总部所在的荷兰数据保护局2018年对其处以60万欧元的罚款。宣布脱欧的英国（ICO）也对其施以38.5万英镑的罚款。
相比欧洲同行，美国本土的监管机构对其下手更重，加州检察总长与旧金山检察长联合了美国50个州和首都华盛顿特区的相关部门对其发起诉讼。2018年9月，优步主动以高达1.48亿美元的巨额赔偿金和解。看来，在个人信息保护方面，国内一直以来有关美国立法和监管更为宽松的观点恐怕并非事实。
监管深入企业的黑箱
FTC是在公平竞争和消费者保护方面的执法机构，在知悉此事后，迅速宣布2017年8月已经达成的和解协议无效，需要重新商定有关和解条款。
2018年10月 ，FTC再次宣布达成新的和解协议。作为信奉自由市场的特朗普政府，治下的FTC确实对优步手下留情，并没有如州政府予以重罚，甚至根本就没有罚款，但对优步的内部信息安全管理提出了事无巨细的要求。相比以企业外在结果为主要对象的结果保护策略，FTC的协议则是以企业内部管理为主要对象的过程保护策略。也就是说，它更多地是以事前预防的思路对企业内部可能存在的个人信息保护漏洞进行全方位的监管， 将企业内部的信息安全管理纳入公共管理。这可以说是一种新的个人信息保护模式。
事实上，我国正在开展的个人信息保护立法（包括已经完成的网络安全法，以及2020年征求意见的数据安全法、个人信息保护法）同样也采用了这种思路。不过，相比FTC的和解协议，中国的平台企业享有更多的自由。FTC的和解协议建立了相对较为完备的企业信息安全制度，主要内容包括：
优步需要立即建立综合性的个人信息（隐私）保护计划，所有计划、方案、培训均需要有书面记录。设置专门的人员负责个人信息（隐私）保护计划。
开展个人信息（隐私）风险排查、评估，确定风险点，制定整改计划。制定个人信息（隐私）风险动态监控和评估方案。
建立第三方信息（隐私）审计、评估制度，第三方审计人员需有执业资质并具有3年以上的从业经历，相关审计人员还需经过FTC消费者保护部门批准。完成评估后10天内，需将评估报告送FTC备查。在协议执行开始后半年内应完成第一次第三方审计，以后每两年应至少开展一次。
建立信息安全事故统计与报告制度。
建立文件签收与学习制度。公司所有相关人员必须学习FTC的和解协议文件，并要签名确认，有关学习记录需要书面记载。
文件签发一年后，优步需向FTC递交合规报告，报告应该宣誓内容真实可靠，否则将承担伪证罪。企业任何组织机构和实体发生变化需在14天内通知FTC，以便于监管部门检查、监督。
及时响应监管部门，收到FTC有关信息（隐私）安全的问询后，优步需在10天内回复或响应，有关合规报告或材料需要宣誓非伪证，并准备好详细记录备查。
建立信息安全档案记录，包括相关员工的档案记录（包括离职原因）、平台用户投诉记录、所有可证明公司落实文件的材料、公司对外宣传及承诺有关个人信息（隐私）保护措施、信息安全评估、审计与整改报告、安全漏洞奖发放记录、执法部门传票、调查与说明材料等。
福布斯网上关于该案件的报道截图
加州检察总长联合各州与优步达成的和解协议在巨额赔偿之外其实也提出了类似的一系列企业信息安全合规要求，包括企业需要设置首席安全官，以及云存储密码、认证强化制度、建立信息安全员工培训与违规处罚制度、第三方信息审计人员资格制度（需要5年以上的从业经历）、个人信息安全情况作为董事会的固定议题制度、事故确认与报告中的律师参与制度、公司内部违规举报制度等。
孔子曰：“不教而杀谓之虐，不戒视成谓之暴。”美国联邦和州相关监管机构利用优步违法的契机，构建了一套非常严格的企业内部个人信息保护机制，特别强调内部部门监督、外部审计、员工培训等，将此前以负面清单方式的事后监管模式推进到以作为的义务为主的事前事中监管模式，也就是从惩戒为主模式转换到以预防为主的模式。
平台企业不再是一个黑箱。通过一个设计精密的内部监督机制，平台的保护更为透明，个人信息保护的目标有更加可靠的保障。其意义在于，只有在个人信息保护有了更为可靠的保障，个人信息保护以外的平台经济治理功能才有了其他可能。
算法统治平台
4名驾驶员做出这样的动作也是事出有因。按照优步的说法，4名驾驶员均是因为欺骗性行为或者违规操纵（不当使用）驾驶员手机应用程序。直白地说，就是驾驶员或因为挑单以等价格上涨后的好单（game the surge），或是因为私自安装其他应用程序改变手机状态欺骗优步的驾驶员应用程序（如改变位置），被平台算法判定为严重违规而被除名（在优步平台上没有开除的概念，永久冻结账号则是一个等同的说法），而做出这些决策的都是平台的算法。换句话说，4名驾驶员都是被算法监控到有违规行为并被算法除名（开除）的。
不过，驾驶员并不这样认为，他们认为是自己只是行使了自由选择工作时间的权利，而这也是优步平台一向对外宣称驾驶员所具有的权利，并且也正是具有这样的自由，驾驶员才不被平台认为是平台的雇员，而是自由职业者，甚至是所谓的“微型企业家”。平台与驾驶是合作伙伴。4名驾驶员否认存在欺诈或不当行为，且优步没有提供申述机会，使得他们的命运被算法所掌控。因此，他们向优步欧洲总部所在的荷兰阿姆斯特丹地方法院提起了诉讼。
驾驶员起诉优步最主要的法律依据就是2018年5月开始施行的欧盟通用数据保护法。按照欧盟通用数据保护法第15条，数据主体有权访问个人数据并获知数据处理的目的、数据类型以及有权要求纠正不准确的数据。第22条则涉及自动化决策和用户画像，“数据主体有权反对此类决策：完全依靠自动化处理——包括用户画像——对数据主体做出具有法律影响或类似严重影响的决策”。
按照欧盟通用数据保护法的定义，“用户画像”指的是为了评估自然人的某些条件而对个人数据进行的任何自动化处理，特别是为了评估自然人的工作表现、经济状况、 健康 、个人偏好、兴趣、可靠性、行为方式、位置或行踪而进行的处理。显然，所谓的自动化决策（用户画像）就是平台算法。这本质上是一条算法监管条款。不过22条也特意列出了例外情形，包括 (a)当决策对于数据主体与数据控制者的合同签订或合同履行是必要的；……(c)当决策建立在数据主体的明确同意基础之上。
显然，这次诉讼的争议聚焦在对22条的理解，如完全自动化决策的认定标准是什么？何种人为的干预程度可以达到排除完全自动化决策的标准？考虑到平台每天数千万甚至上亿的有关驾驶员的决策需求规模（包括派单、定价、评价等环节），自动化决策是否可以被看作平台履行与驾驶员合同的必要措施？
平台权力结构平衡
驾驶员们希望通过一个第三方非盈利机构（工人信息交换中心WIE Ltd.）实现个人数据携带，也就是优步将驾驶员在工作中产生的个人数据直接转移给WIE这家第三方数据交换中介，第三方数据机构成为个人的数据信托（data trust）机构，可以帮助驾驶员分析其个人行为以及监督平台的算法逻辑是否与其对外宣称的处理逻辑一致且公平合理、评估平台对服务价格是否正确计算、驾驶员真实的劳动数量和质量、以及分析不同驾驶员评分差异的原因。
通过掌握并有能力处理这些关键数据，驾驶员可以减少或者消除平台的信息优势，驾驶员就有可能与平台进行更平等的集体谈判，成为更为平等的对手。
根据法律规定，优步有责任在30天内向数据主体（驾驶员）提供相关数据，但优步并没有提供驾驶员所要求的全部数据，或者说驾驶员要求的关键内容都遭到了事实上的拒绝。尽管订单数据（如上下车时间、乘客支付费用）包括在提供的数据清单内，但驾驶员上线、下线时间、完整的GPS位置信息记录都没有提供。这些内容事关驾驶员工作时间的确定（英国上诉法院已经判决驾驶员的工作时间是从上线开始计算，而不是从接单开始计算），而平台却不希望驾驶员掌握这些可能对自己不利的数据。
但优步也有自己的解释：没提供的数据或是因为没有，或是因为如果向驾驶员提供将损害其他人的隐私权。
如果说上面这些数据驾驶员可以自己记录，管理驾驶员的算法是如何运行的则只有平台才有可能知道。驾驶员最希望知道的其实是平台算法的秘密：它究竟是如何通过驾驶员的行为和乘客评价数据对驾驶员进行画像，以及驾驶员画像是如何影响驾驶员的利益的？比如，驾驶员的评分与派单机制的关系是怎样的？驾驶员的评分如何触发平台除名机制（驾驶员认为是解雇）？
驾驶员在诉状中特别提出优步没有回应他们所要求的驾驶员标签数据。这确实是整个争执的核心。优步不会认为这些是驾驶员需要知道的个人数据信息，甚至是不是个人信息都有巨大的分歧。而且，这些内容几乎可以肯定将被用于英国最高法院正在审理的驾驶员与平台的劳动关系案件，因此也是优步不能输的案子。
而原告驾驶员法勒（Farrar）也暗示了这些内容的用途：“我们要看一眼这个奥威尔式（意指严格统治而失去人性的 社会 ）的工作世界。在这里工人们被机器所统治，没有任何权力。”
事实上，驾驶员有关了解算法秘密的诉求也是有法律依据的。根据欧盟通用个人数据保护法第15条，数据主体应当有权从控制者那里得到有效信息。比如存在自动化决策的就包括数据分析，对于相关逻辑就包括此类处理对于数据主体的预期后果。
尽管优步否认对驾驶员的除名处理是由算法完成的（优步发言人声称在算法检测到驾驶员存在违规行为后，是由管理人员做出除名决定），但难以解释的是，公司网站上有介绍算法MasterMind的材料，其中明确写道：MasterMind负责监督管理驾驶员的欺骗行为。在驾驶员应用程序的隐私政策更是白纸黑字写道，优步会使用自动化决策对于涉嫌违规行为的驾驶员予以除名。
平台算法决定了驾驶员的工作机会、工作量和收入，甚至永远失去平台工作机会。它对于驾驶员的重要性恐怕没有多少分歧。数据自动化处理的逻辑，也就是算法的秘密，是平台的商业机密。究竟要提供到何种程度才算达到15条要求的数据访问权标准，在保护个人数据与企业的知识产权（商业秘密）上如何达成平衡，非常考验法官的智慧。
可以说，这是欧盟通用个人数据保护法实施以来最为重要的案件，其意义远远超过了这个案子涉及的4名驾驶员本身（事实上，这些驾驶员正在组织更多的网约车驾驶员和外卖骑手加入），其裁判标准可以说相当于是又一次欧盟个人信息保护立法。几乎可以肯定，这个案子最终会提交到欧盟最高法院审判。
平台经济的金丝雀
“对于每一个人来说，这是一场事关未来的战场”，驾驶员法勒说道。优步平台上的零工就是 历史 上地下矿山里的金丝雀，这是一场不能输的战斗。
数据就是权力，平台经济进一步放大了企业作为雇主所拥有的传统信息优势。通过第三方数据信托实现数据携带权，通过数据对驾驶员赋权赋能，还有谁能比网约车驾驶员、外卖骑手更有动力监督平台呢？可以说，这就是一种全新的平台监管思路，以信息权对治大数据。
❸ 阿里云未及时通报重大漏洞，会造成什么后果
阿里云发布关于开源社区Apache log4j2漏洞情况的说明。阿里云表示，Log4j2 是开源社区阿帕奇（Apache）旗下的开源日志组件，被全世界企业和组织广泛应用于各种业务系统开发。
工业和信息化部网络安全威胁和漏洞信息共享平台收到有关网络安全专业机构报告，阿帕奇Log4j2组件存在严重安全漏洞。工业和信息化部立即组织有关网络安全专业机构开展漏洞风险分析，召集阿里云、网络安全企业、网络安全专业机构等开展研判，通报督促阿帕奇软件基金会及时修补该漏洞，向行业单位进行风险预警。
2021财年（2020年4月1日至2021年3月31日跨年度），阿里云营收达601亿元，比上一财年400亿元收入大幅增长50%，在阿里集团财年总营收7173亿元总营收比例为8.38%。600亿元总收入，超过多数上市公司年度总收入。
❹ 阿里云未及时通报重大网络安全漏洞，会带来什么后果
【文/观察者网 吕栋】
这事缘起于一个月前。当时，阿里云团队的一名成员发现阿帕奇（Apache）Log4j2组件严重安全漏洞后，随即向位于美国的阿帕奇软件基金会通报，但并没有按照规定向中国工信部通报。事发半个月后，中国工信部收到网络安全专业机构的报告，才发现阿帕奇组件存在严重安全漏洞。
阿帕奇组件存在的到底是什么漏洞？阿里云没有及时通报会造成什么后果？国内企业在发现安全漏洞后应该走什么程序通报？观察者网带着这些问题采访了一些业内人士。
漏洞银行联合创始人、CTO张雪松向观察者网指出，Log4j2组件应用极其广泛，漏洞危害可以迅速传播到各个领域。由于阿里云未及时向中国主管部门报告相关漏洞，直接造成国内相关机构处于被动地位。
关于Log4j2组件在计算机网络领域的关键作用，有国外网友用漫画形式做了形象说明。按这个图片解读，如果没有Log4j2组件的支撑，所有现代数字基础设施都存在倒塌的危险。
国外社交媒体用户以漫画的形式，说明Log4j2的重要性
观察者网梳理此次阿帕奇严重安全漏洞的时间线如下：
根据公开资料，此次被阿里云安全团队发现漏洞的Apache Log4j2是一款开源的Java日志记录工具，控制Java类系统日志信息生成、打印输出、格式配置等，大量的业务框架都使用了该组件，因此被广泛应用于各种应用程序和网络服务。
有资深业内人士告诉观察者网，Log4j2组件出现安全漏洞主要有两方面影响：一是Log4j2本身在java类系统中应用极其广泛，全球Java框架几乎都有使用。二是漏洞细节被公开，由于利用条件极低几乎没有技术门槛。因适用范围广和漏洞利用难度低，所以影响立即扩散并迅速传播到各个行业领域。
简单来说，这一漏洞可以让网络攻击者无需密码就能访问网络服务器。
这并非危言耸听。美联社等外媒在获取消息后评论称，这一漏洞可能是近年来发现的最严重的计算机漏洞。Log4j2在全行业和政府使用的云服务器和企业软件中“无处不在”，甚至犯罪分子、间谍乃至编程新手，都可以轻易使用这一漏洞进入内部网络，窃取信息、植入恶意软件和删除关键信息等。
阿里云官网截图
然而，阿里云在发现这个“过去十年内最大也是最关键的单一漏洞”后，并没有按照《网络产品安全漏洞管理规定》第七条要求，在2天内向工信部网络安全威胁和漏洞信息共享平台报送信息，而只是向阿帕奇软件基金会通报了相关信息。
观察者网查询公开资料发现，阿帕奇软件基金会（Apache）于1999年成立于美国，是专门为支持开源软件项目而办的一个非营利性组织。在它所支持的Apache项目与子项目中，所发行的软件产品都遵循Apache许可证（Apache License）。
12月10日，在阿里云向阿帕奇软件基金会通报漏洞过去半个多月后，中国国家信息安全漏洞共享平台才获得相关信息，并发布《关于Apache Log4j2存在远程代码执行漏洞的安全公告》，称阿帕奇官方已发布补丁修复该漏洞，并建议受影响用户立即更新至最新版本，同时采取防范性措施避免漏洞攻击威胁。
中国国家信息安全漏洞共享平台官网截图
事实上，国内网络漏洞报送存在清晰流程。业内人士向观察者网介绍，业界通用的漏洞报送流程是，成员单位>工业和信息化部网络安全管理局 >国家信息安全漏洞共享平台（CNVD） CVE 中国信息安全测评中心 > 国家信息安全漏洞库（CNNVD）> 国际非盈利组织CVE；非成员单位或个人注册提交CNVD或CNNVD。
根据公开资料，CVE（通用漏洞共享披露）是国际非盈利组织，全球通用漏洞共享披露协调企业修复解决安全问题，由于最早由美国发起该漏洞技术委员会，所以组织管理机构主要在美国。而CNVD是中国的信息安全漏洞信息共享平台，由国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的信息安全漏洞信息共享知识库。
上述业内人士认为，阿里这次因为漏洞影响较大，所以被当做典型通报。在CNVD建立之前以及最近几年，国内安全人员对CVE的共识、认可度和普及程度更高，发现漏洞安全研究人员惯性会提交CVE，虽然最近两年国家建立了CNVD，但普及程度不够，估计阿里安全研究员提交漏洞的时候，认为是个人技术成果的事情，上报国际组织协调修复即可。
但根据最新发布的《网络产品安全漏洞管理规定》，国内安全研究人员发现漏洞之后报送CNVD即可，CNVD会发起向CVE报送流程，协调厂商和企业修复安全漏洞，不允许直接向国外漏洞平台提交。
由于阿里云这次的行为未有效支撑工信部开展网络安全威胁和漏洞管理，根据工信部最新通报，工信部网络安全管理局研究后，决定暂停阿里云作为上述合作单位6个月。暂停期满后，根据阿里云整改情况，研究恢复其上述合作单位。
业内人士向观察者网指出，工信部这次针对是阿里，其实也是向国内网络安全行业从业人员发出警示。从结果来看对阿里的处罚算轻的，一是没有踢出成员单位，只是暂停6个月。二是工信部没有对这次事件的安全研究人员进行个人行政处罚或警告，只是对直接向国外CVE报送的Log4j漏洞的那个安全专家点名批评。
本文系观察者网独家稿件，未经授权，不得转载。
❺ 网络安全-TCP-IP攻击
概述
1. SYN-Flooding攻击效果,受害者系统卡死.
2. TCP-RST攻击实现已经建立的TCP连接断开.
3. TCP会话劫持,劫持TCP会话,并实现反向Shell.
实验环境
1. 三台Linux系统主机,一台作为攻击者,一台作为受害者,一台作为观察者.
2. 为了简化TCP序列号和源端口号的“猜测”,实验处于同一局域网内,你可以使用嗅探器来获取受害者信息.
SYN-Flooding攻击
1. SYN-Flooding攻击原理
SYN-Flooding是DoS攻击的一种，攻击者向受害者的TCP端口发送很多SYN请求，但攻击者无意完成三次握手过程.
攻击者要么使用欺骗性的假的IP地址，要么不要继续完成整个三次握手过程.
通过这种攻击，攻击者可以淹没用于半连接的受害者队列，即已完成SYN，SYN-ACK但尚未得到最终ACK的连接.
当这个队列已满时，受害者不能再进行任何连接.
正常三次握手过程:
在Linux中，我们可以使用以下命令检查
我们可以使用命令“netstat -na”来检查队列的使用情况，即与监听端口相关联的半连接的数量.
这种半连接的状态是SYN-RECV。如果三次握手完成，则连接的状态将为ESTABLISHED.
在这个任务中，你需要演示SYN-Flooding攻击:
您可以使用Netwox来执行攻击，然后使用嗅探器捕获攻击性数据包.
在攻击发生时，在受害机器上运行“netstat -na”命令，并将结果与攻击前的结果进行比较.
2. Netwox 76简介
3. SYN Cookie防御机制
如果你的攻击看起来不成功，你可以检查是否启用了SYN cookie机制.
SYN cookie是抵抗SYN-Flooding的防御机制.
防御原理简介:
在TCP服务器收到TCP SYN包并返回TCP SYN+ACK包时，不分配一个专门的数据区，
而是根据这个SYN包计算出一个cookie值.
在收到TCP ACK包时，TCP服务器在根据那个cookie值检查这个TCP ACK包的合法性.
如果合法，再分配专门的数据区进行处理未来的TCP连接.
你可以使用sysctl命令打开/关闭SYN cookie机制：
4. 实验结果分析
比较 netstat -na 前后状态如下:
产生大量的TCP半连接,阻塞了队列,导致后续正常TCP连接无法建立!!
TCP-RST攻击
1. FTP协议
2. TELNET协议
3. SSH协议
4. Newox 78简介
5. 实验结果分析
-** FTP**
FTP服务器地址: 192.168.59.146/24
FTP客户端地址: 192.168.59.144/24
攻击者地址: 192.168.59.1/24
攻击者终端对受害者进行TCP-RST打击:
结果显示:已经建立的TCP连接断开.
Telnet服务器地址: 192.168.59.146/24
Telnet客户端地址: 192.168.59.144/24
攻击者地址: 192.168.59.1/24
攻击者终端对受害者进行TCP-RST打击:
结果显示:已经建立的TCP连接断开.
SSH服务器地址: 192.168.59.146/24
SSH客户端地址: 192.168.59.144/24
攻击者地址: 192.168.59.1/24
攻击者终端对受害者进行TCP-RST打击:
结果显示:已经建立的TCP连接断开.
TCP会话劫持
1. 会话劫持简介
TCP会话劫持攻击的目标是通过向该会话中注入恶意内容来劫持两名受害者之间的现有TCP连接（会话）.
如果这个连接是一个telnet会话,攻击者可以在这个会话中注入恶意命令(例如删除重要文件),导致受害者执行恶意命令.
2. Wireshark简介
如果您使用Wireshark观察网络流量,当Wireshark显示TCP序列号时,
默认情况下会显示相对序列号,它等于实际序列号减去初始序列号.
如果想查看包中的实际序列号,则需要右键单击Wireshark输出的TCP部分,
然后选择"Protocol Preference". 在弹出窗口中，取消选"Relative Sequence Number"选项.
3. Netwox 40简介
4. 实验结果分析
Telnet服务器地址: 192.168.59.148/24
Telnet客户端地址: 192.168.59.146/24
攻击者地址: 192.168.59.1/24
攻击者终端对受害者进行TCP会话劫持:
我们要伪造发下一个包:
所以直接采用nextseq作为下一个包的ack,采用ack作为下一个包的seq.
最后一个Telnet数据包内容如下:
我们伪造向服务器 192.168.59.148 发送 ls 命令,
通过netwox构造我们的攻击指令如下:
在wireshark上显示抓包数据如下:
来创建我们的肉鸡~
现在我们来通过NC反弹一个Shell,来控制我们受害者:
首先是构造NC命令:
实验结果如图:
首先看结果:我们成功拿到了服务器上的用户gu的所有权限!
咱们再来看看抓包数据,通过抓包数据,你可以看到最后一条Telnet的TCP数据,通过这些数据,就可以很方便通过Netwox构造攻击语句了!!