黑客揭秘：360安全產(chǎn)品背后的“安全”陷阱/
在深圳紅樹(shù)林，獨(dú)立調(diào)查員為《每日經(jīng)濟(jì)新聞》記者進(jìn)行了現(xiàn)場(chǎng)演示。他特意在自己的電腦上安裝了360安全瀏覽器，并打開(kāi)網(wǎng)絡(luò)通信監(jiān)視工具，這時(shí)可以看到，360安全瀏覽器在其電腦后臺(tái)上就像一只工蜂，始終不停地忙碌著。
然后，獨(dú)立調(diào)查員又打開(kāi)IE、騰訊、獵豹、chrome等瀏覽器，每一個(gè)瀏覽器都很安靜，沒(méi)有任何動(dòng)作。
“360安全瀏覽器在干嘛呢？誰(shuí)也不知道。為什么要這樣忙碌呢？作為瀏覽器，其作用就是可以顯示網(wǎng)頁(yè)服務(wù)器或者文件系統(tǒng)的HTML文件內(nèi)容，并讓用戶與這些文件交互的一種軟件。根據(jù)最小特權(quán)原則，你是沒(méi)有理由在我的電腦里不停地‘工作’。你要問(wèn)他在做什么，他就說(shuō)，是為了你的安全。”
“明明知道360在做不應(yīng)該發(fā)生的事情，但不知道發(fā)生的是什么事情。這就是360留給中國(guó)所有安全專業(yè)人員最大的課題。”獨(dú)立調(diào)查員解釋說(shuō)，這是因?yàn)?60在這方面做了非常縝密的設(shè)計(jì)，其防御體系相當(dāng)嚴(yán)密，要突破防線有所收獲，是件非常困難的事情。
而這，也正是許多從事安全的專家們感興趣的事情。
2010年2月6日，360多年的宿敵——瑞星拿出了一份 “證據(jù)”，其發(fā)布的《奇虎360利用“后門”拿走了用戶什么》一文，利用大量技術(shù)細(xì)節(jié)說(shuō)明360安全衛(wèi)士在安裝進(jìn)用戶電腦時(shí)，會(huì)偷偷開(kāi)設(shè)后門，并時(shí)刻監(jiān)視用戶訪問(wèn)網(wǎng)站，將相關(guān)信息上傳至360網(wǎng)站。
此事標(biāo)志著360第一次露出“不安全”的真面目，從此一發(fā)而不可收拾。
據(jù)《每日經(jīng)濟(jì)新聞》記者調(diào)查，國(guó)內(nèi)有一大批黑客對(duì)破獲360的防線，以及搞明白360這個(gè)黑匣子內(nèi)到底有什么非常感興趣，想通過(guò)攻擊360而獲得其侵犯用戶隱私信息的證據(jù)。他們之間甚至有一個(gè)松散型的組織，經(jīng)常交換這方面的信息。但與此同時(shí)，也有些黑客最終被360“招安”，成為其公司成員。
2010年12月31日，在黑客狂轟濫炸360服務(wù)器后，360防線被攻破，存儲(chǔ)于其服務(wù)器上的大量用戶隱私數(shù)據(jù)噴涌而出，被谷歌搜索爬蟲(chóng)自動(dòng)抓取，并公告天下。360多年來(lái)宣稱的 “用戶隱私大于天”的謊言正式被揭穿。
上圖為某網(wǎng)民通過(guò)360safe.com泄露的數(shù)據(jù)登錄某政府機(jī)關(guān)的內(nèi)部郵箱
這份意外泄露的文件詳細(xì)記錄了大量360用戶的全網(wǎng)訪問(wèn)過(guò)程，包括瀏覽的網(wǎng)頁(yè)、下載過(guò)的應(yīng)用、搜索的關(guān)鍵字等，并將這些訪問(wèn)記錄與唯一用戶掛鉤。在這個(gè)服務(wù)器中，每個(gè)用戶對(duì)應(yīng)一個(gè)字符串，通過(guò)查詢字符串，可以了解用戶的所有個(gè)人信息、上網(wǎng)瀏覽記錄、賬號(hào)密碼，例如用戶在百度搜索關(guān)鍵字、淘寶購(gòu)物記錄、金蝶、奇瑞等企業(yè)內(nèi)部財(cái)務(wù)網(wǎng)絡(luò)數(shù)據(jù)、某政府機(jī)構(gòu)官方郵箱用戶名及密碼等鏈接數(shù)據(jù)。
《每日經(jīng)濟(jì)新聞》獲得的一份對(duì)泄露日志文件分析統(tǒng)計(jì)的結(jié)果顯示，此次泄密事件涉及總條數(shù)141萬(wàn)條，其中涉及用戶名信息的條目有247326個(gè)，既包含用戶名又包含密碼條目有816個(gè)。而這對(duì)于360收集的海量數(shù)據(jù)來(lái)說(shuō)只是冰山一角，截至目前為止，360從沒(méi)有公開(kāi)解釋被泄露的數(shù)據(jù)總量有多少，被下載了多少次。
然而，有關(guān)360如何“利用”用戶的信任，如《全民公敵》影片中的衛(wèi)星一樣“間諜”式地監(jiān)控著用戶的電腦，這個(gè)謎團(tuán)卻依然沒(méi)有辦法破解，至今沒(méi)有一家安全廠商拿出這個(gè)過(guò)程的有力證據(jù)。
獨(dú)立調(diào)查員告訴記者，360安全衛(wèi)士、360安全瀏覽器，其內(nèi)部運(yùn)作流程就像一個(gè)暗箱，外部人可以聽(tīng)到里面有動(dòng)作，但卻沒(méi)有辦法知道里面發(fā)生了什么，以及它如何阻止外部人破解它。
而獨(dú)立調(diào)查員卻偏執(zhí)地選擇了這條破解之路。他先制作了一張簡(jiǎn)單的圖表，以揭示360拳頭產(chǎn)品360安全衛(wèi)士?jī)?nèi)部的操作模型（如圖）。
從這個(gè)圖中可以看出，360安全衛(wèi)士對(duì)用戶在電腦上進(jìn)行軟件操作、文檔操作等所有操作舉動(dòng)均秘密進(jìn)行監(jiān)視、記錄，然后進(jìn)行壓縮后上傳至云端服務(wù)器；過(guò)去，上傳的過(guò)程為明文上傳，這對(duì)用戶的隱私帶來(lái)非常嚴(yán)重的威脅，在經(jīng)歷過(guò)幾次大的泄密事件后，目前上傳文件已經(jīng)加密。
文件上傳到360云端存儲(chǔ)后，文件會(huì)立即在本地被刪除，這招防御術(shù)非常兇狠，即使有人破解其行為，并獲得文件證據(jù)，但因?yàn)殡S時(shí)的刪除，很難將證據(jù)做實(shí)，變成死無(wú)對(duì)證的孤證。
用戶電腦中的360安全衛(wèi)士這一套運(yùn)行機(jī)制都是事先預(yù)設(shè)好的，可以獨(dú)立操作完成；但實(shí)際上，360云端（360安全數(shù)據(jù)中心）對(duì)用戶客戶端的360安全衛(wèi)士具備直接控制能力。360云端不僅可以下達(dá)專門的指令（后文還將詳述），同時(shí)一旦360安全衛(wèi)士發(fā)現(xiàn)有人在監(jiān)視其通信操作等，會(huì)發(fā)出安全警告以阻止繼續(xù)操作并限時(shí)自行禁止。這也給破獲工作帶來(lái)相當(dāng)程度的干擾。
據(jù)一名多年研究360產(chǎn)品的黑客告訴《每日經(jīng)濟(jì)新聞》記者，“設(shè)置如此高難度障礙的人一定是行業(yè)的高手。可以斷定，360內(nèi)部一定有國(guó)內(nèi)頂尖級(jí)的黑客高手。他們才有可能做到既做暗事，又不留任何把柄。這就像是一個(gè)江洋大盜，來(lái)無(wú)影，去無(wú)蹤，飄忽不定，作案后現(xiàn)場(chǎng)不留任何痕跡，實(shí)在是高精尖的設(shè)計(jì)。”
這名黑客發(fā)現(xiàn)，360安全衛(wèi)士的暗箱操作行蹤越來(lái)越?jīng)]有規(guī)律可循，換句話說(shuō)，其運(yùn)作規(guī)律經(jīng)過(guò)精心策劃，非常不容易被外界掌握。同時(shí)，其獲取信息的區(qū)域半徑越來(lái)越由中心城市向二、三、四線城市延伸。這樣的話，要想抓到證據(jù)就更為艱難。“中國(guó)擁有30多個(gè)省級(jí)行政區(qū)，336個(gè)二級(jí)行政區(qū)，還不包括數(shù)以千計(jì)的三級(jí)、四級(jí)行政區(qū)，這就相當(dāng)于360安全衛(wèi)士在中國(guó)網(wǎng)民的生活中布下了天羅地網(wǎng)。”
據(jù)《每日經(jīng)濟(jì)新聞》記者調(diào)查發(fā)現(xiàn)，國(guó)內(nèi)不止一家公司準(zhǔn)備投入大量人力來(lái)破獲360的違法行為，但最終都偃旗息鼓。原因就在于，360收集用戶信息的行為 “就像空中劃過(guò)的彗星，茫茫夜空，布下天羅地網(wǎng)，時(shí)刻守候，才有可能有所斬獲，這樣的投入產(chǎn)出比太低了”。
