2016新動態：恐怖活動可能令美國國會推進加密后門計劃
譯文【51CTO.com快譯】在線商務、國際高科技銷售以及證券機密安全確實面臨著嚴重威脅，而且傳統加密機制在應對犯罪分子的惡意侵襲時仍能發揮一定作用——考慮到這兩項重要前提，美國將于2016年出臺相關法令，要求各企業及供應商在相關方案當中添加加密后門，以備執行機關對加密通信內容進行審查。這一消息對于各企業而言不啻于一記猛擊，特別是考慮到相關后門被恐怖分子掌握后可能引發的暴力行動。
截至目前，抵制這項法律要求的輿論仍占據上風，不過普通民眾的觀點可能會對這一狀況發生重大改變，特別是考慮最近接連發生的嚴重恐怖事件。
面對此前連續出現的巴黎恐怖襲擊與加利福尼亞州圣貝納迪諾恐怖事故，國會中的立法者們再次祭起了一貫言論，認為應該利用加密硬件、軟件與服務建立起新型方案，并在法官明確下令之后對加密業務內容進行解密。
如果后門被納入正式硬性法律要求，則意味著各已經部署在企業內部的設備需要進行更新或者召回，而由此引發的潛在財務與后勤成本將成為企業客戶乃至尚未在設備中添加加密后門之供應商的恐怖噩夢。這可能會影響到各類常用VPN及遠程接入平臺，外加部分負責保護企業移動設備內敏感信息的加密方案。
不過由于沒有提供相關草案，因此我們無法判斷這項法令的具體約束范圍，只能將其總結為立法者們希望能夠借此為執法部門提供新的調查工具。
兩位高層執法者——美國聯邦調查局局長James Comey以及紐約曼哈頓地區檢察官小Cyrus Vance都堅持宣稱，這條法令有助于阻止恐怖分子、兒童色情、綁架犯以及其它一些犯罪分子的惡意活動。在擁有這類后門程序的情況下，雖然我們仍然無法直接阻止上述犯罪行為，但卻能夠獲取更多信息從而勾勒出更加詳盡的事件全貌。
由Vance辦公室發布的一份報告指出，有證據證明后門程序確實有助于利用由智能手機收集到的信息對謀殺、強奸以及性交易等違法行為進行定罪。這份報告同時強調稱，蘋果及谷歌都表示執法機關無法對犯罪嫌疑人的手機進行訪問——只有對應用戶才有能力將其解鎖。“這種將手機鎖定的能力將使得合法搜查及扣押遭受空前的限制，甚至會給政府方面的執法力度造成影響，”Vance辦公室在這份報告中解釋稱。
Comey則于上周向參議院司法委員會證明稱，恐怖分子當然意識到其所使用的硬件與軟件無法解密，因此會定期利用相關手段組織惡意活動。“毫無疑問，使用加密技術已經成為恐怖諜報行為中的重要組成部分，因為他們意識到我們正面對問題，即法院判決無法突破他們使用的這些移動通信應用、特別是端到端加密機制，”他表示。“我們發現恐怖分子開始在世界各地使用此類功能進行通信，特別是在ISIS的諜報工作當中。”
Vance則寄希望于聯邦政府進行針對性立法，要求在美國本土出售的所有智能手機必須能夠在操作系統層面加入特殊設計，從而保證其中的數據能夠在特定條件下接受訪問。“簡單來講，這就要求操作系統的設計者及設備制造商不能將自己的產品打造成堅不可摧的壁壘，而應當接受合法的政府調查，”他寫道。
除了設備上保存的加密數據，參議員們還討論到了如何對加密通信內容進行解讀。
奧巴馬總統在圣貝納迪諾槍擊事件之后的電視講話當中指出，在各類技術方案當中添加特殊機制——也包括后門——有助于打擊恐怖主義活動。“這也是我們督促各高科技領導企業以及立法負責人推行這條法令的原因，這會顯著加大恐怖分子利用技術手段逃避法律制裁的難度，”他解釋稱。
不過他所指的并不一定是那些需要被加密的機密消息——他曾經于今年早些時候拒絕就這方面事務進行立法，但政治環境的傾向性可能最終迫使他接受現實。
曾經在二十年前——即上世紀九十年代——在所謂加密戰爭期間成功突破加密后門，從而逆襲政府發布的不可破解加密訪問控制的Phil Zimmermann指出，這條法令相對于對歷史的重復，此次包含的具體作法就有將Clipper Chip引入移動手機以構建內置加密后門。
他同時指出，美國于2001年頒布的愛國者法案誕生于911恐怖襲擊事件的六周之后，且現已脫離打擊恐怖活動范疇而成為一項籠統的通行性法令。“在緊急情況下，這條法令能夠實現帶來很多效果，當然有正面的也有負面的，”他解釋稱。“如果我們接納了后門，其造成的未知影響也會在未來很多年一直伴隨著我們的生活。”
RSA總裁Amit Yoran也發表了類似的觀點。“這無疑又是一項類似于愛國者法案的舉措，”他指出，意味著盡管缺乏民眾的普遍支持，但暫時性的情緒反應可能會占據上風并使其最終得以通過。“除了聯邦調查局，這項政策在各情報界高層引發了一致性反感。”
國家安全委員會今年秋季起草了一份面向奧巴馬總統的報告，其中指出“這種作法會降低網絡安全水平。”
而且一旦得以通過，這項法令會給企業造成巨大影響，IP Architects公司總裁John Pironti指出——這家企業一直致力于幫助企業了解如何保護自己的網絡與數據。相關影響甚至會超出中小型企業的資源承受能力，并導致其不得不依賴于服務供應商及加密廠商以調整或者更換現有加密基礎設施。
而從供應商的角度來看，這意味著其需要建立并維護相關安全基礎設施以容納這些用于在產品中訪問后門的密鑰。“維護這類方案的成本是非?？捎^的，”Pironti表示。“這絕對是那種不花大錢實現不了的任務。”
Yoran指出，即使要求強制植入后門的法律得到通過，RSA也“絕對不會執行”。RSA已經逐步退出加密業務，因為“其不是我們未來發展愿景的組成部分，”他表示。另外，各企業客戶是否會對已經購買的加密產品進行調整或者替換也是個懸而未決的問題。
Pironti表示他也不會遵循添加后門的要求。“我不打算與客戶合作以損害加密技術的方式設置后門，”他指出。“畢竟客戶需要依賴乃至信賴供應商。”
這種對加密消息進行解密的手段在設計層面上會給加密安全保障體系帶來薄弱點，Zimmermann表示，意味著整套系統會更容易受到未授權方的侵擾。
Pironti則表示，對相關加密密鑰進行保護的任務也很難實現。“在某種程度上，這部分密鑰絕對不能以惡意方式或者惡意人士用于實現惡意目的。但具體該怎樣加以保護?”他提出質疑。
而拒絕設立加密后門的一大主要原因在于，各類惡意人士——即那些已經屬于犯罪分子的群體——將在美國法律約束不到的區域創建自己的技術手段，Pironti表示; 這意味著該法令根本無法限制真正需要監控的對象。
喬治亞技術學院在勒商學院教授Peter Swire則向參議院司法委員會證實稱，這項法令將造成廣泛的負面影響。
“由政府強制規定的這類安全漏洞將嚴重威脅甚至危害網絡安全、隱私、人權以及美國的技術領先地位，而無法有效對抗對消息進行加密的敵人，”Swire指出。
原文標題：Acts of terrorism could push Congress toward encryption backdoors in 2016
【51CTO譯稿，合作站點轉載請注明原文譯者和出處為51CTO.com】
