计算机及其系统的泄密渠道之三

    计算机内存储的软件和数据信息是供用户在一定条件下进行访问的，访问形式包括读、写、删、改、拷贝、运行等。对于一些重要或秘密的软件和数据信息，如无采取特别的安全保密措施，一些有意或无意的非法访问将会充满危险性，这些访问可能来自本系统网络的某个工作站，也可能来自因特网上不可知的某个终端。这种事情的发生，会给计算机及其信息数据带来不可预见的灾难。

    近年来，计算机网络技术迅猛发展，国际因特网正以不可阻挡之势***到我国社会各个方面。我市各机关、企事业单位纷纷建立各自系统的计算机网络，网络的安全与保密问题已越来越成为一个不可回避的突出问题。

    1996年，我国有关部门查出一名外国人，利用计算机软盘，把我国家秘密文件资料一百多份存储在几个软盘上，并加了密，文件资料来源涉及几个部门，还涉及处级以上干部。另据金融部门统计：近年来发现利用电脑作案的经济犯罪案件达100多宗，涉及工商行，农行、中国银行、建行、交行。数额在百万元以上的３宗，10万元至百万元的26宗，案件涉及总金额达1700万元。另外，利用高技术非法透支的事件在我国中等城市屡屡发生，造成国家近亿元的损失。

    防范对计算机的非法访问应注意两个方面：非法访问的人和非法访问的手段。

    （1）非法访问的人

    ①内部的工作人员。据有关资料统计，大多数（约80%）的计算机泄密事件来自内部。内部工作人员可分为两类：一类是计算机网络管理人员；一类是经常操作电脑的普通工作人员。

    例如：1986年７月，中国人民银行深圳分行蛇口支行计算机主管员陈新义伙同蛇口支行出纳员苏庆中，利用计算机伪造存折和隐形印鉴，共诈骗人民币２万元，港币３万元。这是新中国成立以来第一起金融计算机犯罪案。

　　从1991年10月到1992年８月间，中国银行某市分行信用卡公司计算机主管员陈某利用工作之便，作案十多次，改动数据库中持卡人帐户余额，造成持卡人庄定志等人非法透支580万元。陈某按事先讲好的条件，从中收受现金38万元及大哥大、首饰等大量物品。

　　1993年，某银行计算机网络管理员王某偷改计算机程序，使计算机帐户上两个单位的存款数增加了２亿元，致使银行在进行计算机自动结算时，多付给这两个单位利息1.63万元。当这两个单位来取钱时，王某说明原因，要求拿回扣。一单位给了他3000元，另一个单位分文不给，说：“我又没有要你送钱给我。”王某不甘心，约人找该单位的财务人员算帐，结果此事传出，王某被判４年徒刑。

    以上的例子都是计算机主管员或计算机网络管理员犯罪，这种人对于计算机网络来说叫做超级用户。超级用户指计算机系统管理维护人员，他拥有最高级别的权限，可以对计算机系统的任何资源进行访问并具有所有类型的访问操作能力，以便于对计算机系统及其它用户进行全面的监督管理。一个计算机系统不能设太多的超级用户，一般的单位内部计算机系统只能设一个超级用户，否则将降低计算机的安全保密性能。超级用户的正常作用应该是维护网络的正常运作，保证网络的安全可靠。但如果超级用户窃密作案，其危害性是很大的。

    经常操作电脑的普通工作人员，由于熟悉本单位的电脑操作方法，了解本单位数据库的运作情况，有的甚至掌握了计算机口令的设置更改技巧，了解本单位计算机系统的安全漏洞。如果某个工作人员出于某种不可告人的目的对本单位的计算机系统窃密***，是很难用对付外来***的方法（如防火墙）来防范的。

    ②专业***（hacker）。

    ***是一群在因特网上专门挑战网络安全系统的电脑高手。在国外，关于***用一台普通电脑联上电话线就能闯入政府或军方网络窃走核心机密的报道屡见不鲜。近年来，国外的电脑***开始向我国的网络进攻，1997年11月12日，美国得克萨斯州一名***把中国网络信息中心的万维网的首页改换成笑着的骷髅头骨。1997年7月21日，哈尔滨和上海的电脑网络遭受“袭击”，导致服务中断，其中一个系统被迫停止动作8小时。***在西方已成为一个广泛的社会群体。有合法的***组织、***学人会，这些***经常召开***技术交流会。在因特网上，***组织有公开网址，提供免费的***工具软件，介绍***手法，出版网上杂志。因此普遍人很容易学到网络进攻方式。在我国，近两年来也开始出现***。据报道，我国***的水平也不低，虽然还比不上国外***的水平，国内的因特网目前还算比较宁静，但这仅仅是暂时的，决不可掉以轻心。——例：《***与网络安全》P101-103（见后面）

    ③青少年与大学学生。

    这些人大多数起初并无恶意，由于对计算机和计算机网络的特殊兴趣，他们把解决各种技术难题和***网络中的弱点视为一种对个人水平的挑战。正是这种完全出于兴趣的巨大动力使得他们能够废寝忘食地攻克一个又一个防范不周密的计算机网络，从中得到满足，并积累更多的经验来***其他网络。据南斯拉夫报纸报道，1997年2月，三名克罗地亚中学生出于好奇，在操纵电脑遨游因特网时进入了美国军方的电脑系统，破译了五角大楼的密码，从一个核数据库复制了美国军方的机密文件。这个核数据库美国军方花费了许多人力和物力设计了极为复杂的程序并加了密码，要想调出这些文件绝非易事。这一次的情报泄漏使得五角大楼的电脑系统被破坏，直接损失达5000万美元。

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

例：《***与网络安全》P103

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

　

    ④敌对分子和境外情报机构的间谍。

    美国有位学者通过分析得出这样的论点，即现在处在信息社会，也叫信息（网络）资本主义社会，那么，谁先掌握控制了信息，谁就可以控制别人，甚至控制全球。根据这个论点，美国在冷战后的战略就是希望完全控制高度发达的电信和信息网。为此，美国中央情报局、国家安全局等情报机构越来越多地通过通信、计算机网络来窃取各国政治、经济、军事、科技等方面的情报。

    据英国《星期日泰晤士报》1996年8月4日报道，欧盟国家多次在其电脑网络上发现来自美国情报部门的“***”。他们不仅影响了欧洲议会与外界电脑用户之间的信息交流，还窃取了大量的政治和经济机密，使欧盟在1995年与美国的贸易谈判中蒙受损失。我国虽然加入因特网时间不长，但也同样受到危胁，1995年以来，我国一些地区和部门先后反映，美国等一些西方国家利用因特网，要我有关机构提供政治、经济、科技等方面的情报，从中窃取我有关秘密。加拿大注册的百莱玛公司多次派员入境了解我国使用因特网的情况，并要求我有关部门提供经济、科技的情况。深圳有家个体咨询公司，通过因特网向美、英信息咨询机构发出30多封电子邮件，推销其电脑磁盘资料中存贮的有关我内部机构设置及经济、资源情报。1996年，我公安部门在因特网上发现反动刊物《北京之春》，刊登我党政机关的机密文件。通过这些例子可以清楚的看到西方情报机构在因特网上对我国的间谍活动。对此我们应当保持清醒的头脑。

    （2）***网络的方法步骤

    计算机窃密一般要通过几关：窃取电话号码和用户名、用户口令；摸清网络外围结构；寻找网络安全漏洞；输入帐号口令联机上网；获取较高权限访问涉密信息；对已加密的信息进行解密。

    计算机系统一般设有五个不同等级的权限层次，每个等级层次分配不同的操作权限，以保证系统的安全。拥有较高权限的人一般是系统管理员、系统安全员、系统维护程序员和技术员。

　　窃密者不是非法用户就是权限较低的用户，他们进入网络之后总是企图非法扩大他们的权限，以达到他们窃密的目的。他们非法扩大权限采取的主要手法：一是寻找和利用计算机系统的薄弱环节加以击破。任何计算机系统的保护系统都不是十全十美的，总会存在某些弱点和“暗道”，找到这些薄弱环节和“暗道”就能潜入较高等级的权限层次，然后使用特权给自已授予合法的登记和合法的较高权限，那么下一次，他就可以堂而皇之地从“前门”进入系统，并肆无忌惮地做他想做的事了。

    目前进行计算机窃密常用的***方式手段有：

　　①搭线窃听。

    通常在通信线路上进行搭线窃听可以截获电话号码。在计算机机网络系统中，网络节点或工作站之间的信息通信往往是采用广播方式进行的，数据传输并没有指明特定的方向，网上所有节点或工作站都能收到信号，正常情况下只有信息接收方才对信号有所反映并接收信息，但如果网上某个节点接口或工作站接口接上了安装了特殊软件（如sniffer网络窥探器）的计算机，就可以截获口令并截取信息。这就是搭线窃听。

    ②口令***。

    就是指用一些软件解开已经得到但被人加密的口令文档。

    对口令一般是采用偷盗或猜测的方法。因为有些计算机操作人员怕忘记口令，会将口令记在本子上甚至贴在桌上某个地方，所以很容易给窃密者有可乘之机。

　　猜口令的方法有很多种，最容易猜到的是原始口令。当一个计算机系统交付使用时，必须有一个原始口令，使它的新主人能第一次进入系统，然后再要求他改变这个口令。如一次接纳大批新用户，通常也使用一个缺省口令。如用户没有及时更改这个原始或缺省口令，那么其他人就可能乘虚而入，抢先改变了这个口令，然后利用你的账号，而把你排斥在系统之外。

　　另外用户常常选择容易记忆的口令，如人名、街道名、生日日期、驾驶执照号码、电话号码、门牌号码等等。这些口令很容易被猜测。美国贝尔电话实验室曾编写了一个破获口令的程序，对常用的首尾字母、４００个常见人名、１００条街道名进行试验，结果第一次在计算机上试验就破译了８５％的口令。

    除了猜测口令外，还可以使用窃听和假冒的方法来窃取口令。将某些专用的设备搭线接到电话线上，就可以截获口令。

    ③特洛伊***（Trojan Horse）或杜鹃蛋方式。四千多年前，当希腊士兵藏在***中偷偷地进入特洛伊城时，特洛伊城便陷落了。而杜鹃总是在别的鸟窝里下蛋，让别的鸟孵出自已的小鸟。这种方式是将别有用心的程序藏入或伪装成某些实用程序的更新版本或备份文件，甚至是游戏程序，然后将这些程序通过合法渠道送入系统，一旦这些程序开始运行，其中的别有用心的程序即起作用，以达到不可告人的目的。

    ④蠕虫（Worms）：是一种子含的一个或一组程序，它可以从一台机器向另一台机器传播。它同病毒不一样，它不需要修改宿主程序就能传播。

    ⑤活板门（Trap Doors）：为***者提供“后门”的一段非法的操作系统程序。这一般指一些内部程序人员为了特殊的目的，在所编制的程序中潜伏代码或保留漏洞。

    ⑥隐蔽通道：是一种允许违背合法的安全策略的方式进行操作系统进程间通信（IPC）通道，又分隐蔽存储通道和隐蔽时间通道。隐蔽通道的重要参数是带宽。

    ⑦扫描器：是自动检测远程或本地主机安全性弱点的程序。通过使用一个扫描器，华盛顿的用户可以不留痕迹地发现远在中国的一台主机的安全性弱点。在计算机网络信息安全领域，扫描器是最出名的破解工具。

    ⑧***程序：1998年7月底8月初，美国一***组织在因特网上公布了一个“BO”（Back Orifice 后洞）******工具程序。该程序功能强大、使用简单、危害性极强。可通过电子邮件投递、软件下载、***站点提供、盗版光盘的使用等途径进行扩散，一旦植入联接了因特网的计算机，便以极其隐蔽、极具欺骗性的技术手段自动安装、自动运行，使该计算机受控于施控方，在用户无知觉的情况下秘密进行多达45分钟的文件、任务、磁盘、开关机、多媒体、通讯等操作，不仅能破坏计算机系统，更为严重的是能够控制、修改、窃取计算机中存储的所有信息。

防范措施有：装有秘密资料的计算机与因特网断开；

    用瑞星9.0(4)版、行天98.10.2.050版、VRV22.1版、KV300X++版等杀毒软件检测、清除BO程序。

    计算机病毒：有巨大破坏性的程序。

    ⑨密码***：计算机系统里存储的涉密信息一般都是加了密的，其保密程度取决于密钥量，一般较低级的密钥位数在56位（美国政府允许出口的加密产品）以下，较高级的密钥位数在128位以上。密钥量都是非常大的。窃密者如尝试用穷举法去破译一条信息，就算使用最先进的计算机，通常都要数年或数十年时间。为了有效而迅速的破译，窃密者一般是寻找加密机制的安全漏洞或绕开密钥另辟捷径去破解密码。

    ⑩拒绝服务***：一种破坏性***，最早的拒绝服务***是“电子邮件炸弹”，它用使用户在很短的时间内收到大量电子邮件，使用户系统不能处理正常业务，严重时会使系统崩溃、网络瘫痪。

    （3）典型的***步骤：

    窥视，利用网络工具确定系统在因特网上的位置、结构、外围安全设备类型并确定侵入点；外围侦察，通过窃取帐号口令进入网络或利用外围安全设备的薄弱环节进入网络的正常服务，如通过电子邮件系统和主页系统进入网络；寻找内部落脚点，寻找一个安全的、不易被发现的、能获得Root（最高）权限的主机作为落脚点，以系统内部人员的身份在系统内寻找可盗窃的数据和可破坏的目标系统。

    （4）***的主要目的：

    源非法使用资，包括对计算机资源、电话服务、网络连接服务等的滥用和盗用；恶意破坏，包括毁坏数据、修改页面、破坏系统等；盗窃文件数据，盗窃各种有价值的数据包括国家秘密、金融数据和个人敏感信息等；敲诈勒索，通过安置破坏程序勒索对方。