[ZDNet安全頻道原創(chuàng)翻譯 ] 最近，大家對社交網(wǎng)絡(luò)服務(wù)中出現(xiàn)的隱私問題的關(guān)注增加了不少。無論是Buzz自動將所有你發(fā)送過電子郵件的地址添加進(jìn)關(guān)注列表，還是上存在的大量隱私問題，似乎在一夜之間，全球所有用戶都開始對他們在因特網(wǎng)上隱私的安全感到擔(dān)心了。盡管我可以理解有些用戶希望擁有自己的隱私，但聽到有人抱怨說，他們希望在公開公共網(wǎng)絡(luò)上擁有隱私的時間，還是覺得非?？尚Α?/P>
盡管在本文中不會談及隱私的具體情況，但是我想指出關(guān)于上的隱私權(quán)這種說法是存在一定程度誤導(dǎo)的，因為在網(wǎng)絡(luò)上從來沒有人曾經(jīng)獲得過這種權(quán)利。除非你對系統(tǒng)中發(fā)送的所有數(shù)據(jù)包都進(jìn)行加密，否則的話它就有可能被意料之外的某人在某地看到。用戶沒有了解現(xiàn)實世界中的可接受行為與網(wǎng)絡(luò)世界中的可接受行為之間的區(qū)別。如果在現(xiàn)實世界中，你不會將自己的隱私信息在擁擠的商場內(nèi)大聲說出來的話，在網(wǎng)絡(luò)中，也許就不應(yīng)該張貼在社會化網(wǎng)站上。先放下隱私問題不談，我真正關(guān)注的主題，實際上是，隨著網(wǎng)絡(luò)服務(wù)的日益普及，各種社交網(wǎng)絡(luò)服務(wù)工具已經(jīng)成為攻擊平臺。在最近關(guān)于隱私問題的談?wù)撝?，F(xiàn)acebook創(chuàng)始人馬克·扎克伯格是這樣對華盛頓郵報說的：
"Facebook的成長非常迅速。在短短的幾年里，它已經(jīng)成為包含了4億用戶的團(tuán)體。讓這么多用戶保持熱情，是一項巨大的挑戰(zhàn)，因此，我們通過提供快速連接到社交網(wǎng)絡(luò)上與其它人進(jìn)行交流的方式來為廣大用戶提供更好的服務(wù)。但有些時間，我們推進(jìn)得可能太快了。"
如果你是從攻擊者的角度來考慮問題的話，一個4億人都關(guān)注并處于快速不斷變化狀態(tài)的網(wǎng)絡(luò)應(yīng)用是不是一座適合表演的大舞臺?通過互聯(lián)網(wǎng)進(jìn)行攻擊并不是什么新鮮事，但是在過去五年里，我們看到了攻擊類型從大部分來自無害的匿名者變成經(jīng)過精心策劃攻擊者在成功后可以獲得金錢的商業(yè)模式。從僵尸網(wǎng)絡(luò)資源出租、垃圾電子郵件、盜竊機密到公開盜竊銀行資金都可以帶來收入，今天，一名攻擊者具有了賺錢的能力。想象一下這一能力加上4億大部分不了解技術(shù)并運行基于主機無效安全解決的用戶，會出現(xiàn)什么樣的情況，你將會發(fā)現(xiàn)一張惡意行為的溫床。或者，象我奶奶喜歡說的："網(wǎng)絡(luò)上的那些臉面空間"。
由于我們是面對它，所以這時間并不需要關(guān)注使用的和類型，因此就意味著沒有具體的平臺和網(wǎng)站，從某種程度上看起來，這就象是你奶奶濫用了社交網(wǎng)絡(luò)。通過電子郵件，我與幾位非常聰明的同事和朋友進(jìn)行了一場快速的自由討論，就今天可能出現(xiàn)的一些攻擊場景進(jìn)行了描述。我不會信任每一個人，但是你知道自己是誰，所以謝謝你的意見。
攻擊場景1：惡意添加內(nèi)容
大多數(shù)社交網(wǎng)絡(luò)的"業(yè)務(wù)計劃"核心是通過廣告內(nèi)容產(chǎn)生收入。這是通過與各種在線廣告商建立合作伙伴關(guān)系實現(xiàn)的，并且，在某些情況下，對于有能力購買廣告空間的普通用戶來說，也可以有針對性地出現(xiàn)。這種業(yè)務(wù)模式已經(jīng)獲得了很大的成功。因此，我確信有很多種方法可以用來進(jìn)行攻擊。首先出現(xiàn)在我腦海中的就是這樣的兩個場景：1)生成可以吸引用戶點擊的廣告，惡意內(nèi)容將隱藏在容許運行的HTML和Java里面;2)廣告本身包含有惡意內(nèi)容。這種類型的攻擊其實很簡單，我認(rèn)為成功率很可能也會很高。請務(wù)必記住，你的防工具和其它基于主機的安全產(chǎn)品只能防范它們知道的威脅，這就意味著只有在安全廠商搜集到樣本，并且將它們的簽名寫入的時間才能實現(xiàn)保護(hù)功能。
攻擊場景2：間諜軟件感染應(yīng)用程序
在這里，我并不想就什么才是真正的間諜軟件進(jìn)行爭論。象Facebook之類的社會化網(wǎng)站已經(jīng)向我們展示了，即使你是一名可疑的藝術(shù)騙子，用戶也可能會愿意安裝你提供的應(yīng)用程序，以便種植虛擬作物，管理漁場或者假裝自己是黑幫成員。為什么不把這種行動提升到更高的層次，將間諜軟件或者其它可能有害的惡意內(nèi)容加入到游戲中呢?聰明的攻擊者可以輕松地開發(fā)出一種流行程序，并利用它進(jìn)行惡意活動。
攻擊場景3：有針對性的攻擊
這種類型的攻擊可能更有意思，主要是因為攻擊者可以利用它來感染那些非常謹(jǐn)慎以至于不可能成為受害者的人。社交網(wǎng)絡(luò)的功能非常強大，可以為人們重新聯(lián)絡(luò)老朋友，并且保持這些聯(lián)系。對于社交網(wǎng)絡(luò)來說，我們應(yīng)該知道這一事實，你的聯(lián)系信息甚至一些談話內(nèi)容都是公開的，一位聰明的攻擊者可以輕松地利用這些信息來打擊那些覺得自己是安全的用戶。舉例來說，如果有人想破壞我的系統(tǒng)，我相信他們直接攻擊的話不會獲得多大的成績。
也就是說，他們可以針對我身邊那些沒有十分重視網(wǎng)絡(luò)安全的人。一旦目標(biāo)被控制，通過他們的社交網(wǎng)絡(luò)發(fā)起的進(jìn)攻就會有更大的成功機會，因為沒有人會懷疑身邊的人是攻擊來源。另一種方法是控制偶爾訪問目標(biāo)私人網(wǎng)絡(luò)的用戶。通過安裝后門工具，在系統(tǒng)連接到正確網(wǎng)絡(luò)的時間，就可以發(fā)起攻擊。在這里的例子是基于有針對性的個人攻擊，但對于企業(yè)內(nèi)部網(wǎng)絡(luò)來說，也是非常有效的。畢竟，我們都喜歡和公司同事分享自己的社交網(wǎng)絡(luò)。
攻擊場景4：虛擬信息在現(xiàn)實世界中得到應(yīng)用
Gowalla或四方服務(wù)之類的地理定位社會化服務(wù)可以將包含位置信息的照片實時傳遞到網(wǎng)上，我們可以隨時了解自己社交網(wǎng)絡(luò)中的朋友位于什么地方。在很多情況下，大量的此類信息都是公開的，所有人都可以看到這一點。小偷們花多長時間才會意識到，這些信息可以用來確定哪些家庭里沒有人，屬于易搶劫的目標(biāo)?
當(dāng)談?wù)摰焦粽呤侨绾卫米约旱纳缃痪W(wǎng)絡(luò)進(jìn)行攻擊時，文章前面提到的場景僅僅是冰山的一角。這些實際上并不是真正的新情況，它們已經(jīng)在成功的攻擊中使用過。當(dāng)然，我并沒有研究怎樣才能保護(hù)人們不遇到這類攻擊。但可怕的現(xiàn)實是，當(dāng)前的安全機制不足以防范此類攻擊，保證我們的安全。軟件行業(yè)在處理過去的問題方面，已經(jīng)做了很多有效的工作，但是它們調(diào)整和遷移的速度不夠快，無法應(yīng)對現(xiàn)有和將要出現(xiàn)的威脅。不過，我并沒有說所有基于主機的防護(hù)產(chǎn)品都是不必要，因為它們是聊勝于無。
當(dāng)今的現(xiàn)實是，作為各項社交網(wǎng)絡(luò)服務(wù)的最終用戶我們正在受到服務(wù)提供者的擺布。隨著的發(fā)展，我們將會在線與所有人分享一切，這就意味著為了保證安全需要將大量信任交到少數(shù)供應(yīng)商手里。Facebook、推特和四方服務(wù)這些服務(wù)商應(yīng)該更努力，為提供的服務(wù)進(jìn)行更多審核。
希望基于網(wǎng)絡(luò)的防病毒軟件Immunet之類的新工具繼續(xù)出現(xiàn)，并且可以找到更有效的方法來保護(hù)最終用戶免于遭受來自攻擊者，以及更可悲的，他們自身的攻擊。