详细内容或原文请订阅后点击阅览
保护美国供水的黑客
网络安全专家志愿保护美国公用事业免受攻击
来源:科学美国人Rachel Feltman：《科学美国人》的科学快报，我是 Rachel Feltman。
上个月，我们简要讨论了网络攻击者如何以及为何针对美国各地的市政自来水公司。今天，我们将仔细研究这个故事——为什么我们如此容易受到这些攻击，以及志愿黑客如何努力保护我们获得清洁、安全的水。今天我们的嘉宾是 Cybersecurity Dive 的高级记者 Eric Geller，他专注于联邦网络安全政策和关键基础设施保护。
关于支持科学新闻
如果您喜欢这篇文章，请考虑通过订阅来支持我们屡获殊荣的新闻事业。通过购买订阅，您将有助于确保有关塑造当今世界的发现和想法的影响力故事的未来。
Feltman：非常感谢您今天接受我们的采访。
Eric Geller：谢谢你邀请我。
Feltman：所以我想从一个非常基本的问题开始。当我们谈论网络攻击时，我们实际上在谈论什么？那把伞下有什么？
Geller：嗯，范围很广。它可以是任何事情，从猜测某人的密码或诱骗他们交出密码，然后像真正的授权用户一样登录并扰乱计算机系统。或者它可能本质上是在欺骗计算机系统本身，利用软件中的漏洞来访问您不应该访问的内容。然后你可以在供应链方面进行分层，即：所有这些公司都是相互关联的。因此，如果你能进入一家公司，你就可以从那里跳到另一家公司的系统，要么再次假装是第一家公司的员工，要么利用计算机系统之间的实际连接并在它们之间移动，就像窃贼从一个房间到另一个房间一样。所以这里确实涉及到广泛的技术和社会事物。
Feltman：我们最近在节目中谈到了水务公司容易受到网络攻击的问题。您能否告诉我们更多关于为什么水在网络安全方面如此脆弱？
Geller：我们实际上正在讨论多种因素的结合。首先，其中许多都非常小。其中很多都在农村地区。即使没有，也没有很多员工；他们当然没有很多致力于安全的人。他们了解供水系统，但不一定了解网络防御。没有很多钱来升级技术，而且技术往往很旧。其中一些设备运行的是非常早期版本的 Windows，并且您无法采取太多措施来强化此类技术。您确实可以在其之上添加安全性，但这并不像启动运行最新版本 Windows 的全新计算机那么有效。所以我们谈论的是旧设备。
Feltman：我们来谈谈 DEF CON Franklin。它是如何开始的，目标是什么？
Geller：嗯，DEF CON Franklin 是从 2024 年的 DEF CON 黑客大会发展而来的。它是一种衍生活动，旨在将网络安全专家、想要改善和保护其社区的人们与没有网络安全专业知识且没有很多资金的基础设施运营商聚集在一起。
费尔特曼：是的。那么，在您最近报道的文章中，您从人们那里听到了什么关于事情进展的情况？你知道人们得到了什么样的支持吗？
费尔特曼：是的。他们不会为你清理尿液，所以。
我们还讨论非标准现成商业设备的设备，例如 iPhone 或笔记本电脑上的 Windows 版本。这些设备上装有定制软件。对于这些水站的员工来说，了解安全隐患并不总是那么容易，而且它们也不容易升级，而且通常在设计时没有考虑到安全性。最近我们看到了很多攻击，一旦黑客发现可以从互联网访问的设备，这已经是你不应该允许的事情，他们发现登录系统使用了默认密码，这是你不应该允许的第二件事。因此，这是两个实际上不应该存在的问题的组合，但它们确实存在，因为许多公用事业公司还没有准备好寻找这些问题。
因此，该系统将志愿者与需要帮助对其网络进行特定更改的基础设施运营商联系起来。我最近为 Cybersecurity Dive 撰写的倡议重点是将实用程序与专家配对，这些专家基本上可以进行一系列有针对性的改进，无论是帮助他们了解网络上的所有设备（听起来很简单，但这些实用程序通常不知道它们正在运行什么），还是设置多因素身份验证之类的东西，您不需要密码即可登录，这些非常基本的事情。 DEF CON Franklin 联系了需要此类帮助的水系统专家。
Feltman：我有朋友去 DEF CON，因为我是个书呆子，但我想也许有些听众——他们对黑客的想法在《黑客》问世时就已经具体化了，不幸的是，我很遗憾地说，那是 30 年前的事了。真是令人震惊的事情。但是你能告诉我们更多一些关于那些现在自认为是黑客的参加 DEF CON 的人吗？我们谈论的是什么样的人群？
Geller：这是一次非常有趣的会议。我八月初刚在那里。当然，多年来它变得更加企业化，但它仍然试图保持那种独立的倾向，那种感觉，你知道，我们是社区的狂野边缘。当然，实际上，这些人中有很多都是长期的专业人士。他们在公司内担任中层或高级职位。他们是公司的安全人员。还有很多爱好者，他们可能不从事网络安全工作，但非常关心它，想要了解技术的现状。
也许他们在会计师事务所工作或在医院工作。我们最近看到的一件事是关键基础设施社区的真正显着扩张，包括发电厂、供水系统、医院。他们越来越意识到自己很容易受到黑客的攻击，并派人参加 DEF CON。所以你会看到来自医院系统的人员。您会看到来自市政当局的人们前来向网络安全社区学习他们可以做什么。
其中一些内容非常基础，如果我们被告知“您需要进行此更改”，我们可能会说，“哦，当然，我已经这样做了。显然，我将使用多因素身份验证，”对吧？但这些不是标准的 Windows 登录。这些都是非常复杂的系统。与他们一起建立这种技术并不总是那么容易。但一旦你设置好了，她说整个城镇现在都安心了，因为他们知道，至少，他们让人们更难闯入他们的系统。
盖勒：完全正确。
Geller：非常感谢您邀请我。我很享受。
盖勒：嗯，我和一位女士交谈过，她是爱达荷州怀尔德市一个乡村社区的公共工程总监，她告诉我，她知道那里存在威胁，但在她开始与 DEF CON Franklin 的一名志愿者合作之前，这有点像“你不知道自己不知道什么”这句话。她只是不了解整个世界的轮廓，随着她开始了解更多，她清楚地认识到自己的网络中存在风险，她开始做出这些改变，以便更加安全。事实上，我真的很感激听到她的一件事，而且有点令人惊讶的是，她会与来自社区、爱达荷州其他地区的其他公共工程人员一起参加这些会议，他们也在与网络安全作斗争，她会告诉他们她学到了什么，并尝试传播这些知识，以便其他社区可以开始做出这些改变。
Feltman：您认为这里的未来是什么样的？您认为这种基层缓解措施是我们前进的最佳途径吗？或者我们是否可以从中吸取教训，让市政当局能够更广泛地吸取教训？
盖勒：嗯，这一倡议的组织者非常清楚的一件事是：这不能替代专门的政府资金，就像政府拨款加固体育场馆和其他设施以抵御恐怖袭击一样，就像纽约市地铁等主要交通系统专注于防止爆炸一样。这些组织，从最小的自来水公司到最大的医院系统，都需要对网络安全进行某种程度的持续关注。对于他们中的大多数人来说，他们无法自己拿出这笔钱。这必须是联邦资金。如果你与社区中的人们交谈，他们对这个项目未来的希望是，这不会是一个志愿者倡议。这将是联邦政府的资助，也许还有一些州政府的资助，为这些组织提供进行这些改变所需的支持。但与此同时，是的，人们付出了巨大的努力来建立你所认为的网络民防，就像冷战期间人们互相帮助，使他们的社区抵御某种核攻击一样。
我们在这里看到了类似的概念，大学创建诊所，慈善家向派遣志愿者到社区的组织捐款。这些学生经常出去与当地医院合作，帮助他们对当地的供水系统进行基本的改变。
Feltman：那么 DEF CON Franklin 这边的人呢？是什么让他们对这项工作感到兴奋？你知道，他们会回来继续不断地帮助人们吗？
费尔特曼：是的。他们是如何取得这些进展的？他们如何赢得这些公用事业公司的信任？
Feltman：嗯，我知道这有点题外话，但我真的很喜欢这个项目名称背后的故事。如果您能向我们的听众介绍一下这一点，我会很高兴吗？
Feltman：嗯，非常感谢您接受我们的采访。
Feltman：这就是今天这一集的全部内容。我们将于周五回来，以讨论一部关于在线约会的新流派小说来开始这个长周末。
《科学美国人》的作者是 Rachel Feltman。下次见！
Geller：我与杰克·布劳恩（Jake Braun）进行了交谈，他是前白宫和国土安全部官员，负责 DEF CON Franklin，他告诉我，最初他并不认为志愿者在完成与自来水公司的特定工作后会继续回来。但他表示，志愿者希望继续被派往其他公用事业公司从事更多项目，这确实令人鼓舞。部分原因是这些人中的很多人要么在农村地区长大，要么生活在农村地区，他们直接知道这些公用事业的预算很陈旧。你知道，他们有时只是为了买得起所需的处理化学品而苦苦挣扎。因此，购买某种昂贵的网络安全监控系统肯定超出了预算。他们甚至没有考虑这一点。因此，当有人出现并说：“我可以帮助你做出基本的改变，而且我不会向你收取任何费用”时，一旦你经历了“你是谁，我怎么能相信你？”的问题。这是该计划必须克服的一个非常现实的障碍，对于公用事业公司来说，这是天赐之物。我认为对于志愿者来说，知道他们可以在社区中做出这种改变，这对他们来说是一个重大的推动。 DEF CON Franklin 的杰克·布劳恩 (Jake Braun) 告诉我，志愿者的奉献给他留下了深刻的印象。
Geller：嗯，富兰克林的一件大事是与代表农村供水系统的协会合作。该组织在每个州都有分支机构。这些州属机构与公用事业公司本身的对话非常密切，因此存在信任关系。公用事业公司信任这个团体，因此当该团体找到他们并说：“您有兴趣成为该计划的一部分吗？我们可以为该计划本身提供担保。”他们将对参与者进行审查——这对公用事业公司来说是一个真正的信号，表明这不是一些不可靠的举措，但这确实是经过深思熟虑和仔细计划的事情。我可以想象，作为一名供水系统操作员，不想让别人坐在我的键盘前对我的网络进行更改。我会非常担心我自己会陷入什么境地。但是，一旦该协会找到你并说：“相信我们，我们已经完成了尽职调查”，这确实打开了很多扇门，从那里开始，问题是让每个人坐下来达成共识，因为志愿者对他们可以实现的目标有这些宏伟的想法。在某些情况下，公用事业公司对自己的安全程度抱有不切实际的期望，他们说：“来这里对我们进行测试，你就会发现我们是安全的。”志愿者会说：“我们先做一些基本的改变，让这个测试更有用一点怎么样？”因此，以一种具有相同期望的方式将双方联系起来，这是该计划设置的一个重要部分。
盖勒：当然。该计划的名称来自本杰明·富兰克林，他创建了美国第一个志愿消防队，其背后的想法是，当时还没有创建许多关于政府要做什么、我们作为这个新社区的成员相互之间应该做什么的系统。规则尚未制定。这是朝着公民参与意识迈出的第一步，以确保我们的社区安全，至少在美国是这样。 DEF CON 富兰克林试图传达同样的精神，表示虽然我们显然需要政府资金来对全国的网络安全进行任何形式的统一改进，但我们希望恪守同样的公民参与精神。
我要补充的一件事是，DEF CON Franklin 做了一项有趣的研究，他们与公用事业公司讨论了他们从大型科技公司获得的所有这些优惠，并说，“我们将赠送给您这个产品。您可以免费拥有它，它将帮助您提高网络安全。”富兰克林发现，在大多数情况下，这些小型公用事业公司无法利用这些产品，因为要么他们没有员工来监控该产品并读取和分析他们获得的数据，要么这些公司说，“你可以拥有这种昂贵的设备。你必须从我们这里购买它，但我们会给你使用它的许可证。”所以，问题在于细节，我认为这真的很有趣，因为很多这样的对话常常归结为“好吧，只要让大型科技公司将他们的产品赠送给自来水公司即可。这将解决问题。”现实是它并不能解决问题，因为正如杰克·布劳恩告诉我的那样，这些东西像小狗一样免费，这意味着，你知道，他们给你技术，但后端有很多成本，你实际上需要支付才能使用该技术。
Science Quickly 由我、Rachel Feltman、Fonda Mwangi 和 Jeff DelViscio 共同制作。本集由 Alex Sugiura 编辑。 Marielle Issa 和 Aaron Shattuck 对我们的节目进行事实核查。我们的主题音乐是由多米尼克·史密斯创作的。订阅《科学美国人》以获取更多最新、更深入的科学新闻。