网络伦理：保障网络的安全

1.2.1 网络的安全

传统意义上的国家安全主要指领土安全、政治安全和军事安全。而现在国家安全这一概念的内涵和外延都发生了深刻变化，已经包含了经济安全、信息安全和文化安全等新的元素。互联网将逐渐成为人们离不开的工作与生活中的必需品，它涉及国家安全、社会安全、经济安全和个人安全。国家已经将信息网络安全作为信息时代国家安全最为核心的要素之一，已经树立了没有信息网络的安全将直接威胁到经济、政治、文化等全方位安全的安全理念，要求必须“积极发展、加强管理、趋利避害、为我所用”。

目前，互联网成为各国基于政治的图谋、军事的实施和经济的欺诈的主战场，我国的一些政府、企业网站，曾遭受了五次大的黑客攻击事件。

第一次在1999年1月，某些西方国家的一些黑客组织，有组织地对我们国家的政府网站进行了攻击。

第二次在1999年7月，中国台湾的李登辉提出了两国论。

第三次在2000年5月8日，美国轰炸我国驻南联盟大使馆后。

第四次在2001年4月到5月，美机撞毁我国战机侵入我海南机场。

第五次在2005年4月到5月，涉日活动。

一个国家信息化程度越高，整个国民经济和社会运行对信息资源和信息基础设施的依赖程度也越高。我国计算机网络犯罪的增长速度大大超过了传统的犯罪，利用计算机或以网络为目标实施的盗窃、诈骗、传播淫秽物品、赌博、侵犯知识产权、危害公共安全、泄密等犯罪已经渗透到了互联网的各项应用。

1988年，康奈尔大学的研究生罗伯特·莫里斯（22岁）针对UNIX的缺陷设计了一个“蠕虫”程序,感染了6 000台计算机，使Internet不能正常运行，造成的经济损失达1亿美元。他因此被判三年缓刑、罚款1万美元、做400小时的社区服务。

1999年4月26日，中国台湾人编制的CIH病毒大爆发，有统计说我国大陆受其影响的PC机总量达36万台之多。有人估计在这次事件中，经济损失高达近12亿元。

2000年2月黑客攻击的浪潮，是互联网问世以来最为严重的黑客事件。 三天内黑客使美国数家顶级互联网站——雅虎、亚马逊、EBAY、CNN陷入瘫痪，造成直接经济损失12亿美元。并引起股市动荡、造成美国道琼斯股票指数下降了200多点，成长中的高科技股纳斯达克股票也一度下跌了80个点。

2000年5月4日，“爱虫”病毒大爆发，据美国加利福尼亚州的名为“电脑经济”的研究机构发布的初步统计数据，“爱虫”大爆发两天之后，全球约有4 500万台电脑被感染，造成的损失已经达到26亿美元。此后几天里，“爱虫”病毒所造成的损失还将以每天10亿美元到15亿美元的速度增加。

据统计，全球约20秒钟就有一次计算机入侵事件发生，Internet上的网络防火墙约1/4被突破，约70%以上的网络信息主管人员报告因机密信息泄露而受到了损失。

2000年1月，日本政府11个省、厅受到黑客攻击。总务厅的统计信息全部被删除；外务省主页3分钟受攻击1 000余次；最高法院1月26～28日受攻击3 000余次。日本提出措施：通产省成立信息安全对策专门机构；政府成立黑客特别委员会，拨款24亿日元研究入侵检测技术、追踪技术、病毒技术和密码技术。

2000年2月，美国近十家著名的互联网站遭受黑客攻击，在短短的几天内，使互联网的效率降低20%，据估算，攻击造成的损失达到12亿美元以上，受害者在三天内损失高达10多亿美元的市场价值，营销和广告收入损失1亿美元以上。

2001年2月8日正是农历春节，新浪网遭受攻击，电子邮件服务器瘫痪了18个小时，造成了几百万的用户无法正常地联络。

同时，互联网作为第四大媒体，其影响力直接关系社会稳定。

互联网上散布一些虚假信息、有害信息对社会管理秩序造成的危害，比现实社会中一个谣言要大得多。1999年4月，河南商都热线一个BBS，一张说“交通银行郑州支行行长携巨款外逃”的帖子，造成了社会的动荡，三天内十万人上街排队，挤提了十个亿的资金。

2003年3月20日，湖北青年孙志刚在广州被收容并遭殴打致死。该事件首先被地方报纸媒体曝光后，我国各大网络媒体积极介入，引起社会广泛关注，互联网发挥了强大的媒体舆论监督作用，促使有关部门侦破此案。6月20日，国务院发布《城市生活无着的流浪乞讨人员救助管理办法》，同时废止《城市流浪乞讨人员收容遣送办法》。网络媒体的影响力不可小视。

网上治安问题、民事问题，不良信息腐蚀人们灵魂，色情资讯业日益猖獗，网上赌博盛行……

信息战指双方为争夺对于信息的获取权、控制权和使用权而展开的斗争，是以计算机网络为战场，计算技术为核心、为武器，是一场智力的较量，以攻击敌方的信息系统为主要手段，破坏敌方核心的信息系统，是现代战争的“第一个打击目标”。 战略信息战是一场没有前线的战斗。兰德公司《战略信息战》的报告综合了信息战的特点：“信息攻击花费低,传统边界模糊,管理观念的困难,战略情报的不可靠性,战术警报、攻击估计极端困难，建立和维持合作关系变得更为复杂，无安全的战略后方。”

通常来说它利用的手段有计算机病毒、逻辑炸弹、后门（Back Door）、黑客、电磁炸弹、纳米机器人和芯片细菌等。美国国防部一名官员曾经说，给他10亿美元外加20个世界顶级黑客，他就可以“关掉”美国——就像关掉一台计算机一样。

1990年海湾战争，被称为“世界上首次全面信息战”，充分显示了现代高技术条件下“制信息权”的关键作用。美军通过向带病毒芯片的打印机设备发送指令，致使伊拉克军队系统瘫痪，轻易地摧毁了伊军的防空系统。多国部队运用精湛的信息技术,仅以伤亡百余人的代价取得了歼敌十多万的成果。

在科索沃战争中，美国的电子专家成功侵入了南联盟防空体系的计算机系统。当南联盟军官在计算机屏幕上看到敌机目标的时候，天空上其实什么也没有。通过这种方法，美军成功迷惑了南联盟，使南联盟浪费了大量的人力、物力资源。

同样的方法还应用到南联盟首领米洛舍维奇的头上，美军雇佣黑客闯入瑞士银行系统，调查米氏的存款情况并加以删除，从心理上给予米氏以沉重的打击。

在信息时代，世界的格局是：一个信息霸权国家，十几个信息主权国家和多数信息殖民地国家。在这样的格局中，只有一个定位：反对信息霸权，保卫信息主权。

从社会学的角度分析，计算机网络技术的发展虽然对人类社会的发展起到了不可磨灭的推动作用，但是作用与反作用往往是并存的，在技术发展的背后引发出的种种问题也是显而易见的。

首先，正是因为网络空间的这种虚拟性，让人们过于地在这个空间里放纵自己，沉迷于这样的虚拟世界。之所以造成人们过于沉迷于网络，我们可以从弗洛伊德的心理分析学中得到解释。他认为人格有三重，即“超我”、“自我”和“本我”，“超我”是按照社会的伦理规范所形成的“我”；而“本我”是按照自我快乐的原则来行为的；“自我”介于两者之间。他认为文明越发展，可能对人越压抑，就是用“超我”的人格特征来压抑“本我”的人格特征，表现为“自我”的人格。虚拟的世界给了人们以表现“本我”人格的机会，虚拟的环境是人自由地表现“本我”的一种状态。也正是从这样的角度考虑，在现实中解决不了的问题人们往往喜欢跑到幻想中去解决，比如电脑游戏，它给人一种逃避现实的途径，在游戏中扮演一个自己从未体验过的角色或者是在现实中根本不可能实现的梦想，从而使人们过于沉迷于游戏，沉迷于网络，而造成了现实中的一些危害乃至于个人的学业、财产和生命；再者，网络的开放性使得个人的隐私安全得不到根本的保障，有关报道曾经指出，美国政府监控着全球90%以上的电子邮件及电子商务信息，无论其目的如何，都不能不让人感到恐惧。现实社会中人与人的交往形式主要是面对面的直接交往，道德活动范围受物理空间限制。因此，传统道德规范与责任的确立首先受主体的社会地位、社会身份和经济利益等因素制约，道德交往的范围与职业、性别、年龄密切相关。同时，道德评价标准和环境也相对稳定，人们依据一定的文化传统来作出判断，评价标准不可避免地带有民族性、时代性。而网络化的交往，则超越了一般意义的时空限制。可以说，只要愿意，网络可以将全球不同角落的每一个人都“网”在其中。而且，网络化的交往是“虚拟”的交往，社会成员可以在任何时间、任何地点，就任何内容与自己所关心的对象进行交流。它一方面使道德活动的范围大幅度拓宽，引发了社会价值观念互动方式的更新。世界各地区、各民族的风俗习惯、价值观念以虚拟方式呈现在人们面前，为个体道德的社会化提供了一个广阔的舞台，为传统伦理道德的发展注入了新的生机和活力。另一方面，网络使现实的真实的社会道德关系日趋松散，使人际关系淡漠，情感疏远。人们在网络上交流时，言谈举止都被转换成二进制的语言，人的音容笑貌以数字化方式在屏幕上传播，人成了数码化的存在。Internet改变了个体交往的方式，使人与人之间的交流变成了人与机器之间的交流，感情的直接交流越来越小，人与人之间的依赖关系逐渐被人对网络的依赖关系所取代。这种状况在网络发达的社会中已有充分的表现，即使是在我国目前网络欠发达的情况下也有一定程度的反映。数字化、电子化在一定意义上会无情地伤害人类，正如一位美国学者所提醒的：“社会的文化价值方面通常很难跟上技术革命的迅猛发展。而像中国这样的发展中国家，在抓住信息时代机遇的同时，却并不总是能意识到和密切关注各种风险以及为迅猛的技术进步所付出的日渐增长的社会代价。” 正是这些挑战引发了人们的深思。

Internet安全问题，是人们十分关注的问题。据有关方面的了解，2001年的爱虫病毒与2002年的Code red蠕虫在若干小时之内传染了几十万台主机，每次造成10亿美元左右的损失。有一份调查报告谈到，截至2002年10月，有88%的网站承认，它们中间有90%已经安装了防火墙和入侵监测等安全设备。但一年内有88%受到病毒传染，而有关网络的研究表明，Internet具有free scale的性质，其感染病毒的域值几乎为零。所以国内外一些有识之士提出安全的“范式转换”，例如国外对现在的安全范式提出过两点看法：

（1）传统的安全范式对Internet的“复杂性”缺乏足够的认识，安全最麻烦的问题所在是“复杂性”。

（2）以往（例如欧洲）对于信息安全所采取的措施是建立防火墙、堵漏洞，但没有从整体性、协同方面构建一个信息安全的网络环境。可以说网络的安全问题是组织管理和决策。

如果对Internet（或万维网WWW）加以分析，WWW是计算机与网民构成的人—网相结合的系统，我们从系统科学的观点来分析，WWW是一个“开放的复杂巨系统”（OCGS），这种系统是我国科学家于20世纪90年代提炼出来的，但网络专家往往对此不容易接受。更为重要的是，国内不仅提出像WWW这样的开放复杂巨系统，而且于1992年提出处理OCGS的方法论，即与“从定性到定量的综合集成研讨厅体系”，把各行各业的智慧、群体经验、古今中外的安全知识与高性能计算机、海量存储器、宽带网络和数据融合、挖掘、过滤等技术结合起来，形成一个处理复杂问题及系统风险（Systemicrisks）决策的平台。研讨厅体系的精要可概括如下：

（1）电脑是人脑研制出来的，在解决问题时，二者应互相配合，以人为主，充分发挥二者的积极作用。我国的一位哲学家熊十力曾经把人的智慧（Human mind，心智或称脑智）分为性智与量智两类。性智是一个人把握全面、定性的预测、判断的能力，是通过文学艺术等方面的培养与训练而形成的。我国古代的读书人所学的功课中包括琴、棋、书、画，这对一个人的修身养性起着重要作用。 性智可以说是形象思维的结果，难以用电脑模拟，人们对艺术、音乐、绘画等方面的创造与鉴赏能力等都是形象思维的体现。心智的另一部分称为量智，量智是通过对问题的分析、计算，通过科学的训练而形成的智慧。人们对理论的掌握与推导、用系统的方法解决问题的能力都属于量智，是逻辑思维的体现。所以对青少年的培养来说，艺术与科学是两个十分重要的方面。分析现在的电脑的体系结构，用电脑对量智进行模拟是有效的。人工智能的研究表明了用电脑对逻辑思维的模拟可以取得成功，但是用现在的电脑模拟形象思维基本上是行不通的。电脑毕竟是人研制出来的，是死的不是活的，我们用不着一定要电脑做它做不到的事。总而言之，明智的方法是人脑与电脑相结合，性智由人来创造与实现，而与量智有关的事由电脑来实现，这是合理而又有实效的途径。从体系上讲，人作为系统中的成员，综合到整个系统中去，利用并发挥人类和计算机各自的长处，把人和计算机结合起来形成新的体系。

（2）以“实践论”为指导，把认识从定性提高到定量。面对未知的问题，采用综合集成法进行分析与解决的过程如下：首先由专家或专家群体提出解决该问题的猜想，根据以往经验性认识提出意见，这种意见或见解属于“定性”性质；再利用精密科学中所用的建模方法（数学建模或计算机建模），用人机结合的方法建立和反复修改模型，达到从定性认识上升到总的定量的认识，这也可以说是专家们的大胆假设通过电脑包括信息网络加以细心求证的过程。这一过程需要计算机软硬件环境和各种数据库、知识库以及信息网络的支持，是充分利用信息技术的体现。

（3）以Internet为基础，体现民主集中制，寻求科学与经验相结合的解答。“综合集成研讨厅”可以看成是总体规划信息革命思维工作方法的核心。它实际上是将我国民主集中制的原则运用于现代科学技术的方法之中，并以Internet为工具系统，寻求科学与经验相结合的解答。

从计算机科学的角度分析，所有系统和网络都是不安全的。如图1.5～图1.6所示。

图1.5 操作系统弱点分布图

图1.6 Cisco 漏洞

软件总是存在bug，系统管理员和开发人员永远无法发现和解决所有的可能漏洞，侵入者只要发现一个漏洞就可以入侵系统,如图1.7所示。

图1.7 每个月新发现弱点变化趋势图

这些威胁包括：

（1）软件bug

软件bug存在于服务器后台程序（Daemons）、 客户程序、 操作系统、 网络协议栈。软件bug主要分为缓冲区溢出、未处理的输入和竞争条件等几种。操作系统代码量如下：(www.xing528.com)

Windows 3.1 （1992） 3 million lines of code

Windows NT （1992） 4 million l.o.c.

Windows 95 （1995） 15 million l.o.c.

Windows NT 4.0 （1996） 16.5 million l.o.c.

Windows 98 （1998） 18 million l.o.c.

Windows 2000 （2000） 35~50 million l.o.c.

操作系统的系统调用数目变化如下：

UNIX 1ed （1971） 33

UNIX 2ed （1979） 47

SunOS 4.1 （1989） 171

4.3 BSD Net 2 （1991） 136

Sun OS 4.5 （1992） 219

HP UX 9.05 （1994） 163

Linux 1.2 （1996） 211

Sun OS 5.6 （1997） 190

Linux 2.0 （1998） 229

Windows NT 4.0 SP3 （1999） 3433

估计1 000行代码中有5～15个错误，得出如下公式：软件复杂 → 软件代码量多 →软件错误增加→ 安全缺陷大

结论：复杂性增加，软件错误上涨。

（2）系统配置方面

① 缺省配置：许多系统交付给客户的时候采用的是缺省的、易用的配置。

② 懒惰的系统管理员：惊人的数字的主机被配置成没有系统管理员口令。

③ 生成的漏洞：事实上所有的程序可能被配置成一个非安全的模式。

④ 信任的关系：侵入者常用“跳板”的方法利用信任关系攻击网络。一个互相信任主机的网络和它们最脆弱的环节一样安全。

（3）口令解密：

① 真正脆弱的口令。

② 字典攻击：字典攻击可以利用重复的登录或者收集加密口令并且试图同加密后的字典中的单词匹配。

③ 暴力攻击（Brute force attacks）: 同字典攻击类似，侵入者可能尝试所有的字符组合方式。

（4）监听不安全的通信：

① 共享媒体: 传统的以太网中, 你只要在线上启动Sniffer，就可以看到在一个网段的所有通信。

② 服务器监听: 在一个交换的网络里，如果你可以在一个服务器（特别是做路由器的）上安装sniffer程序，你就可以使用得到的信息来攻击客户主机和信任主机。比如，你可能不知道某个用户的口令，通过在他登录的时候监听Telnet会话，就可以得到他的口令。

③ 远程监听: 大量的主机可以RMON，且使用缺省的community。

（5）设计的缺点：

① TCP/IP 协议缺点。

② 系统设计缺点。

通常情况下，Windows用户常见问题有：

① 用户网络安全防范意识弱。如选取弱口令，使得从远程直接控制主机。

② 主机的网络服务配置不当，开放有漏洞的网络服务。

③ 安装有漏洞的网络服务软件包。

④ 网络边界没有过滤掉恶意数据包或切断网络连接。例如允许外部网络的主机直接ping内部网主机，允许建立空连接。

⑤ 网络主机安全策略配置不当及使用有漏洞的服务软件，可能导致本地用户获取超级用户。缺省配置，不打补丁。

⑥ 网络安全敏感信息泄漏。

⑦ 存在网络病毒。如RedCode、Nimda、冲击波等。

⑧ 网络中有潜在拒绝服务攻击。如邮件服务器和域名服务器。

⑨ 管理问题。资产、策略、负责人等问题, 没有明确的安全管理策略。