铁流：黑客威胁曝光中国核计划，应用安全技术平台替换Wintel

牛博网

　　不久前，永恒之蓝席卷全球，教育网、公安内网受到感染。洛阳市公安官方发文，承认公安内网陷入瘫痪。但这并非是孤例。全国各地都有公安内网遭到攻击的情况。

　　由此可见，使用国外基础软硬件+物理隔离的做法，安全性也是无法得到保证的。要糟糕的是，黑客威胁每个月公布泄露出来的俄罗斯、中国、伊朗和朝鲜导弹和核项目资料。黑客声称：“6月份将公布详细资料。”

　　黑客之所以能够获得中国、俄罗斯、伊朗、朝鲜的核项目与导弹资料，很有可能与美国安全局利用一系列基于微软操作系统漏洞开发的黑客工具脱不了干系。

　　Intel和微软故意留后门

　　微软公司总裁、首席法务官史密斯(BradSmith)周日(5月14日)通过其博客指出，"想哭"勒索软件使用了美国国家安全局(NSA)编写的一段代码。此前，英国《金融时报》、美国《纽约时报》等媒体以及俄罗斯网络安全软件厂商卡巴斯基都表示，"想哭"正是利用了此前美国国家安全局被盗的"永恒之蓝"(EternalBlue)黑客工具。

　　微软总裁史密斯猛烈抨击美国政府，要求当局停止这种偷偷私藏安全漏洞留待日后使用的做法。他呼吁有关当局在发现漏洞后应当及时告知软件制作方，切勿悄悄销售、收藏、利用，更不应让其流入别有用心的人手中。史密斯写道："用常规武器来作类比，此次事件相当于美军的战斧式巡航导弹被盗……全球政府都应该从这次袭击中警醒。"

　　很显然，微软把漏洞的责任完全扔给了美国政府，也就是说微软没有过错和责任，只是美国国家安全局在偷偷私藏安全漏洞留着自己使用。

　　但从永恒之蓝的感染Windows版本来，永恒之蓝能感染WindowsNT，Windows2000、WindowsXP、Windows2003、WindowsVista、Windows7、Windows8，Windows2008、Windows2008R2、WindowsServer2012SP0。很难想象微软在十多年时间里，在N个操作系统版本演变后，一直保留了这个漏洞。

　　考虑到斯诺登已经证明了微软、雅虎、Google、Facebook、Paltalk、YouTube、Skype、美国在线、苹果公司先后加入了棱镜项目，以阴谋论的思路，永恒之蓝这个漏洞很有可能是微软给美国情报部门留得御用后门。

　　同样的，Intel也存在严重漏洞十年不改的情况——国外科技曝料网站Semiaccurate表示：5年前就开始向英特尔公司提这个漏洞，英特尔公司10年来对该漏洞不屑一顾。

　　Semiaccurate网站在其文章中还暗示英特尔在芯片中故意留有后门：尽管英特尔对ME有着很多官方说明，但ME技术架构一直是英特尔不愿谈及的话题，因为没人真正知晓该技术的真正目的，以及是否可以做到完全禁用等。

　　在2017年3月，安全研究者Maksim提交了这个漏洞，在被抓个现行之后，英特尔公司才表示，十年来的芯片都存在严重安全隐患。

　　由于美国科技公司配合美国政府开展情报工作已然是常态，Intel和微软的一些做法很难让人不去猜测，不是在故意留后门。

　　用自主CPU+linux替换Wintel

　　本次肆虐全球的永恒之蓝，只是黑客明码标价的被盗的NSA武器库的一部分，而且NSA又有可能还有更多针对微软和Intel，甚至是安卓、IOS的漏洞开发的黑客工具。

　　在此情形下，在党政军安全市场，采用自主CPU+linux替换Wintel是当务之急。

　　虽然Linux也存在漏洞，但相对于闭源的Windows而言，国内技术团队可以自己审查代码，自己修改操作系统，发现一个漏洞，可即可自己动手打补丁。而微软的Windows只能等待微软给你解决，这样就非常被动。

　　而且采用微软的Windows，还要面临微软预留后门的问题。如果采用了Linux衍生版操作系统。就可以杜绝微软预留后门的背后捅刀子行径。

　　因此，如果经过一定范围的部署自主CPU+linux操作系统，并在使用中不断改进，查漏补缺，就能够不断完善，提升自主平台的安全性。

　　特别是本次受到永恒之蓝攻击的公安内网和中石油这样的国企，如果用自主CPU+linux替换Wintel，并设有相应的技术维护团队，就能有效降低类似事情再次发生的概率。

　　从长远看，在基础软硬件上实现国产化，实现去Wintel是必然选择。而且和阿里用X86芯片+开源软件实现去IOE不同，对国外技术平台的替换，必须采用自主CPU，因为Intel的X86CPU也是存在后门的，通过对某些国外CPU的严格测试，可以确认存在功能不明确的“多余”模块，它不是一般意义的调试接口，而是由特定的CPU芯片引脚控制，可读写CPU内部状态寄存器、读写指定存储区域、激活特定的微代码段执行某个处理流程、并且可以对CPU进行复位。同时，还发现其存在未公开指令，包括加解密、浮点操作在内共计二十余条，其中，有三条指令在用户模式就可以使机器死机或重启，作用机制直接穿透各种软件保护措施，防护软件不能感知；普通应用程序中嵌入一条即可使系统宕机。

　　因此，阿里用X86芯片+开源软件实现去IOE本质上是商业上的胜利，而不是技术上的胜利，本质上还是建立在国外芯片上的。要想真正保障信息安全，避免被背后捅刀子，国内就必须建立以自主CPU+开源软件（经过安全审查）为基础的安全技术平台。