加州大年夜學伯克利分校(UC Berkeley)及國際計較機科學中間(the International Computer Science Institute)的研究院尼古拉斯·韋弗(Nicholas Weaver)日前在《連線》(Wired)雜志頒發(fā)文章，細心闡述了美國***局(NSA)最強大年夜的互聯(lián)網報復打擊東西QUANTUM(量子)。
以下是文章首要內容：
盡人皆知，NSA已將互聯(lián)網變成了一件兵器，讓其可以或許隨心所欲“報復打擊”任何人的縫隙，一個簡單的網頁抓取(web fetch)，就足以讓NSA用來對方針進行報復打擊。
可是，愛德華·***登(Edward Snowden)日前在新聞網站The Intercept暴光的最新奧秘文件，加倍具體的詮釋了NSA所具有的監(jiān)控手藝及其局限性。
起首，NSA選擇代號為“QUANTUM“的歹意軟件，作為其首選互聯(lián)網開辟機制。比起純真的發(fā)送垃圾郵件，QUANTUM的效力更高，自從該項目在NSA上線以來，其任務和方針都呈現(xiàn)了改變。
假定NSA只操縱QUANTUM來報復打擊對那些試圖瀏覽煽動性內容的暗藏可駭主義者，那么，幾近不會有人提出貳言。但相反，NSA不但操縱該法度來擴大年夜本身的監(jiān)督范圍，好比監(jiān)控意大年夜利最大年夜電信公司Belgacom，同時還對該法度的監(jiān)督功能進行拓展。
此刻，QUANTUM涵蓋了包含DNS(域名系統(tǒng))和HTTP注進式報復打擊等在內的一系列收集報復打擊東西。別的，QUANTUM還具有可以或許插進聯(lián)系關系數(shù)據(jù)庫治理系統(tǒng)MySQL連接的插件等小東西，讓NSA可以或許在人不知鬼不覺的環(huán)境下，干擾第三方數(shù)據(jù)庫的內容。由這可以看出，互聯(lián)網中未加密的MySQL很等閑被NSA盯上。
并且，NSA還可以或許借助QUANTUM，操控基于IRC和HTTP的犯法僵尸收集，和那些操縱數(shù)據(jù)包注進來成立虛擬辦事器的法度，乃至可以用來防御報復打擊。QUANTUM的籠蓋范圍很是廣，此中最聞名的就是名為QUANTUMDEFENSE的項目，NSA可以或許借對尋求"非保密因特網和談路由器網"(NIPRNET)地址的DNS要求進行監(jiān)控，并可以或許將數(shù)據(jù)包注進子虛的DNS要求，將報復打擊者引向NSA所節(jié)制的網站。
QUANTUMDEFENSE項目很是準確的詮釋了“假定你只有一把榔頭，那么所有的標題問題在你看來都像是釘子?！边@句話?！盎ヂ?lián)網和談路由收集“(NIPRNET)是美國國防部收集的一部門，是一種非保密但十分敏感的收集系統(tǒng)，而公家可以連接到該收集。借助QUANTUMDEFENSE，美國國防部節(jié)制著報復打擊者們正在查閱的DNS權限記實，并且可以或許直接讓這些收集報復打擊者無功而返。
別的，QUANTUM還有三點限制：類檔次布局、實施受限和防御性虧弱。
此前大年夜家不解的是，100次“提示”是如安在一次測試中(***裝配發(fā)現(xiàn)一些有趣內容，并將這些信息發(fā)送至其他電腦)僅實現(xiàn)5次成功“報復打擊”(受害人收取到的報復打擊數(shù)據(jù)包);別的，先前暴光文件揭示的是一個較著破損的設計，而在這個設計中，“報復打擊”號令是由“長途計較機”來履行，那么為安在先前QUANTUM歹意軟件暗藏時候增加，并且有效性降落。
是因為類檔次布局。監(jiān)控設備本身就依托互聯(lián)網，處于“低層系統(tǒng)(system low)”空間，而報復打擊行動背后的法度邏輯則處于NSA的奧秘“高層系統(tǒng)(system high)”空間。
低層系統(tǒng)可以或許很等閑向高層系統(tǒng)傳送數(shù)據(jù)，也就是從非奧秘收集向NSA奧秘收集傳送數(shù)據(jù)。可是按照QUANTUM的設計布局，高層系統(tǒng)向低層系統(tǒng)進行傳輸幾近是不成能的。這個特別的單向“管”通道節(jié)制著通信，包管信息不會從奧秘收集中逆流出往。
這就是QUANTUM采取分體式設計，并呈現(xiàn)以后機能低下的暗藏啟事。NSA要求報復打擊法度邏輯位于“高層系統(tǒng)”，而其他內容則只會按照阿誰設計決定流出?！案邔酉到y(tǒng)”需要高度防護，可能需要存放在一個不合的安然地址，并且還不克不及隨便向互聯(lián)網發(fā)送要求。
相較于經由過程度級布局改變將報復打擊法度邏輯轉移至“低層系統(tǒng)”，NSA尋求新的解決編制，推出了代號為“QUANTUMHAND(量子指針)”的歹意軟件系統(tǒng)。除對準任何可報復打擊的網頁鏈接，QUANTUMHAND以來自Facebook的延續(xù)“推送”連接為方針，當用戶登錄Facebook網站時，NSA會發(fā)送歹意數(shù)據(jù)包，使方針用戶覺得其在拜候真實的Facebook網頁。NSA經由過程將歹意軟件隱躲在看似通俗的Facebook頁面中，對方針計較機進行報復打擊，并從計較機硬盤中獲得數(shù)據(jù)。
經由過程這類編制，即便是速度遲緩且設計破損的加密布局也能夠或許報復打擊Facebook用戶的計較機。不外，F(xiàn)acebook在已幾個月前啟動了加密辦法，NSA、英國當局通信總部(GCHQ)等機構的報復打擊行動可能會被挫敗。
QUANTUM的第二個限制呈此刻一項實驗的描述中。NSA和GCHQ都在尋求添加“關頭字pwn”，即，查抄用戶的Hotmail和Yahoo郵件中是不是含有關頭字，假定有，便主動對其進行報復打擊。
為了檢測報復打擊是不是有效，這些間諜機構進行了一項實驗，成果顯示，QUANTUMTHEORY(量子理論)監(jiān)控設備只查抄單一數(shù)據(jù)包，沒法完全措置TCP數(shù)據(jù)流，從而導致該項目變成一個有限東西。
從本質上來講，QUANTUM就是一款沒有補丁的安然及利用軟件東西。
QUANTUM第三個局限性來自NSA另外一個項目QUANTUMSMACKDOWN(量子報復打擊)，即，操縱數(shù)據(jù)包注進，來阻斷針對美國國防部測試資產的報復打擊。不外，在尼古拉斯·韋弗看來，這個打算仿佛有些癡心妄圖。
為了讓該項目運作起來，監(jiān)督設備需要辨認出通往美國國防部收集的“***流量”，鑒于監(jiān)督設備只查抄單一數(shù)據(jù)包的設定，使得流量辨認成了一個加倍復雜的堅苦。即便“***流量”被探測數(shù)來，QUANTUM能做的只有阻斷要求并提早終止答復。但因為檔次分層布局，比及QUANTUM決定終止連接的時辰，收集應當已遭到了侵害。
QUANTUMSMACKDOWN可以或許將一些下流數(shù)據(jù)解除在國防部收集以外，可是也僅限于下流數(shù)據(jù)流。任何遭受近似低端報復打擊而傳染病毒的國防部收集，遭到傳染層見迭出，而相干的收集承包商也應當被解雇。至于那些專業(yè)級別的歹意報復打擊，則將如進無人之境一般，垂手可得的躲過QUANTUMSMACKDOWN。
市場上從事近似NSA數(shù)據(jù)匯集的私營企業(yè)也良多，而關于這些企業(yè)也有良多觀點。這些公司所匯集的大年夜部門數(shù)據(jù)，多少都與用戶追蹤數(shù)據(jù)有關。好比，谷歌和Facebook等內容收集和無數(shù)的告白收集，成立了一個全球的用戶監(jiān)督網，是以，NSA監(jiān)控互聯(lián)網數(shù)據(jù)并且操縱其進行報復打擊，這類做法仿佛也是情理當中。而幕后，NSA還履行了用戶連接，讓其可以或許完全破解“匿名”告白信息。
其實，QUANTUM最大年夜的局限性是位置：報復打擊方必需可以或許看到一個進行方針辨認的要求。因為近似手藝可以或許經由過程位于美國國務院星巴克的Wi-Fi收集運行，任何國度都可以或許借此獲得關于QUANTUM歹意報復打擊軟件的信息，外國當局也將是以可以實施NSA式的QUANTUM報復打擊。這是NSA QUANTUM項目標底線，NSA其實不具有手藝壟斷優(yōu)勢，而其對近似手藝的大年夜肆利用仿佛也是一種“鼓動鼓勵”，默許罪犯或其他國度做出近似行動。