（原標題：Why Hackers Aren’t Afraid of Us）

網易科技訊 6月22日消息，《紐約時報》近日發布文章指出，黑客們為什么不怕美國呢？美國擁有這個星球上最可怕的網絡武器，但卻因為擔心接著會發生什么而不敢使用它。

以下是文章主要內容：

向全世界的財政部長和央行行長們詢問他們最可怕的噩夢是什么，答案幾乎是一樣的：不久后，有人將會對去年發起的兩起大規模網絡攻擊加以改良。當中的一起網絡攻擊一度致使英國的醫療系統陷入癱瘓，另一起則摧毀了烏克蘭，隨后波及世界各地，擾亂了航運以及導致工廠關閉――在白宮看來，這起造成數十億美元經濟損失的網絡攻擊是“史上最具破壞性的、代價最高的”。

事實上，沒有任何的情報機構預見到這兩起襲擊事件的發生――而且各國在應對中表現得十分笨拙――這促使一群財政部長去模擬了一場類似的襲擊：關閉金融市場，凍結全球的交易。據稱，它迅速變成了一場鬧劇：沒人愿意承認造成了多大的傷害，也沒人愿意承認他們在阻止攻擊的發生上會有多無助。

網絡攻擊已經存在了20年，也曾出現在各種故事中，從《虎膽龍威》(Die Hard)系列電影到比爾?克林頓(Bill Clinton)和詹姆斯?帕特森(James Patterson)合著的新小說。但在現實世界中，自2008年以來，情況發生了變化。那一年，為了迫使伊朗回到談判桌上，美國和以色列對伊朗核項目發動了史上最高級的網絡攻擊，一度對其造成削弱。美國和以色列從未承認對此次襲擊負責。

網絡軍備競賽

正如美國前總統巴拉克?奧巴馬(Barack Obama)曾擔心的，一場隱藏的歷史級網絡軍備競賽已經開啟。在不到十年的時間里，網絡武器的先進性已經有了長足的提升，以至于曾經讓我們倍感震驚的那些攻擊――比如伊朗2012年對美國銀行(Bank of America)、摩根大通和其它銀行發動的拒絕服務攻擊，或者朝鮮2014年侵入索尼――相比起今天的普通攻擊簡直是小巫見大巫。

然而，在這場軍備競賽中，美國往往是自己最大的敵人。因為我們的政府在保護其高度精密的網絡武器方面無能為力，那些武器已經從國家安全局和中央情報局的電子金庫中被偷走，并被用于向我們開火。這就是去年有人發動的WannaCry勒索病毒攻擊的情況，該攻擊就是使用了美國國家安全局（以下簡稱“NSA”）開發的一些高級工具。難怪該機構拒絕承認那些武器是美國制造的：它提高了攻擊者的實力。

正如前陣子“特金會”所揭示的，核武器仍是支撐國家實力的根本因素。但是，它們的使用，無法避免人類文明的終結，或者至少是一個政權的終結。所以，不出意外，各國黑客都知道，網絡武器的巨大優勢是它們的特點與核武器恰恰相反：難以探測，目標鎖定越來越精準。因此，它們非常難以阻止。

這解釋了為什么網絡武器已經成為大大小小的國家的有效工具：一種在不引發真槍實彈的戰爭的情況下進行擾亂和行使權力或施加影響的方式。長期以來，網絡攻擊一直難以制止，因為要確定它們來自哪里需要一定的時間――有時，謎團甚至永遠都無法解開。但是，雖然美國在確定攻擊來源方面做得比較出色，但它的應對能力卻沒有跟上。

如今，網絡攻擊者認為，幾乎不存在美國或任何其他大國會以重大制裁、炸彈、軍隊甚至是網絡攻擊反擊的形式報復的危險。盡管美國國防部長吉姆?馬蒂斯(Jim Mattis)曾表示，美國應該準備好使用核武器來阻止針對其電網和其他基礎設施的大規模非核攻擊，包括使用網絡武器的攻擊，但多數專家認為這種威脅是空洞的。

“他們不怕我們”

3月，在NSA局長和美國網絡司令部司令任命的確認聽證會上，保羅?納卡森（Paul Nakasone）被問及我們的對手是否認為，如果他們用網絡武器攻擊我們，他們將會遭受損失。“他們不怕我們。”納卡森回答道。

雖然美國仍是世界上最強大的一股網絡勢力，但它正輸掉越來越多的日常網絡沖突。美國目標的范圍太過廣泛和深入，因而幾乎不可能了解所有的弱點。而且，考慮到這些目標大多不屬于政府――銀行、電網、運輸系統、醫院和聯網的安全攝像頭、汽車和電器――誰負責保護它們呢？誰來決定何時發動反擊呢？這些疑惑一直都存在。我們擁有這個星球上最可怕的網絡武器，但我們卻因為擔心接著會發生什么而不敢使用它。

想想在2015年和2016年民主黨全國委員會的電腦被黑客攻擊之前，俄羅斯所發動的那些網絡攻擊。就在此前，俄羅斯黑客曾侵入美國國務院和白宮的非機密服務器，后來又深入美國參謀長聯席會議的系統。

在美國國務院，驅逐黑客的行動花了數周時間，在伊朗核協議談判期間關閉了系統。在白宮，黑客們甚至更加大膽。他們沒有在被發現后立即消失，而是發動反擊，想要在舊版本失效后馬上安裝新的惡意軟件。當時NSA副局長理查德?萊吉特(Richard Ledgett)回憶說，“這基本上是一場肉搏戰。”看來，攻擊者就是是想要證明，他們可以為所欲為，在美國政府網絡的任何地方，他們都能夠想走就走，想留就留。

然而，出于對網絡行動的條件反射式的保密動機――出于不愿承認我們的漏洞和我們堪憂的探測能力的動機――美國從未點名批評俄羅斯人的所作所為。我們也沒有施加任何的懲罰。這是一個巨大的錯誤。

如果普京覺得入侵白宮系統不用付出任何的代價，那他有什么理由不攻擊民主黨全國委員會呢？隨著俄羅斯的攻擊持續展開，美國政府中沒有人發現大體的攻擊模式，也沒有人發現俄羅斯影響總統選舉的野心。大多數官員都認為那些只是些老生常談的間諜活動。

一位高級官員告訴我，“并不是說我們的雷達沒有檢測出這類攻擊。我們甚至還沒有建造出雷達。”

缺乏戰略

到2016年夏天，奧巴馬政府的一些官員意識到這一威脅，提出了反擊行動，包括曝光普京隱藏的銀行賬戶和他與寡頭政治執政者的關系，以及切斷俄羅斯的銀行體系。但局勢升級的可能性使得奧巴馬和他的高級幕僚拒絕了這個計劃。

“那是一個非常令人滿意的回應，”一位美國高級官員后來告訴我，“直到我們開始考慮它會對歐洲人造成什么影響。”

自大選以來，美國的報復行動包括關閉一些俄羅斯領事館和娛樂中心，以及驅逐間諜――奧巴馬政府的一位國家安全官員稱這是“對21世紀問題的完美的19世紀解決方案”。特朗普總統簽署了一些針對俄羅斯個人的額外經濟制裁。

但美國的問題并不在于夠不夠強硬，而在于缺乏戰略。過去幾年的一個更大的教訓是，除非我們能更聰明地、更快地遏制這些有害的、難以發現的網絡攻擊形式，否則維系我們的數字連接社會的那些東西很多將被吞噬殆盡。我們花了太多時間擔心“網絡珍珠港事件”（破壞電網的攻擊），以至于我們對數據的微妙操縱關注甚少，這意味著任何的選舉、醫療記錄或自動駕駛汽車都不可能真正得到信任。最終，缺乏信任將摧毀美國社會的粘合劑，就像Stuxnet蠕蟲病毒摧毀伊朗離心機一樣。這將會使得一切失去控制。

該做些什么

那么，我們該做些什么呢？

首先，美國必須大幅提高其網絡防御能力。美國網絡中開放的漏洞，基本上妨礙了美國對其他國家進行可靠的威脅報復。第一步可以是，確保進入市場的新設備滿足基本的安全要求。我們不會讓沒有安全氣囊的汽車在道路上行駛，那為什么我們沒那么重視那些連接汽車與互聯網的系統呢？

其次，我們必須確定哪些網絡要重點防御――并明確那些優先順序。馬蒂斯采取核武器的威脅似乎不大可信――除非網絡攻擊會給美國帶來生死存亡的威脅。這就需要對事關我們國家生存的問題進行透徹的公眾審查。特朗普決定不成立委員會來從2016年的選舉中汲取更大的教訓，等于錯失了絕佳的機會。我們的政治妨礙了我們的安全。

最后，美國需要結束圍繞其網絡行動的條件反射式保密。我們需要向世界解釋為什么我們擁有網絡武器，它們能做什么，最重要的是，我們不會用它們來做什么。很顯然，制定明確某些目標在攻擊范圍以外的全球規范：選舉系統、醫院和應急通信系統、甚至電網和其他民用目標，符合美國的利益。

微軟總裁布拉德?史密斯(Brad Smith)提議數字日內瓦公約在政府和條約的框架之外開始確立那些規范。這是一個不完美的解決方案，但卻是一個開始。情報機構討厭這種想法：他們希望能夠在一個不確定的世界里有盡可能大的自由度來采取未來的行動。但是在任何軍備控制的談判中，為了限制其他國家，你需要放棄一些東西。否則，我們將繼續陷入一場不斷升級的戰爭，一場我們很可能會輸掉的戰爭。（樂邦）