学爸蛋总：两头不讨好！阿里云这回犯的错误，有多严重？

　　今天看到一则新闻，说工信部网络安全管理局发出一项通报，要求阿里云进行为期六个月的整改。

　　这六个月内，阿里云被取消了工信部网络安全威胁信息共享平台合作单位资格。六个月后，工信部会根据整改情况，研究是否恢复其资格。

　　咋回事呢？其实我记得不久前，还在夸阿里云，说阿里云立功了，发现了一个可能是计算机历史上最大的漏洞。

　　那为啥阿里云又被工信部通报批评了呢？这是因为，阿里云发现这一核弹级漏洞以后，第一时间报告给了美国的阿帕奇协会。

　　工信部一直被蒙在鼓里，直到后来奥地利和新西兰的计算机小组对这一漏洞发出了预警，工信部这才知道。

　　阿里云发现漏洞是在11月24日，而工信部得知情况，是在12月9日，中间已经过了15天。关键是工信部最后还是因为第四方满世界嚷嚷才知道的。

　　这十五天，中国的互联网简直是在裸奔。因为，已经有黑客掌握了这个漏洞，已经在利用这个漏洞进行网络攻击。

　　什么是漏洞？漏洞就是软件、硬件或协议的设计缺陷。举个例子，我们的房子有一扇防盗门，每次回家都认认真真开锁，进家后赶紧反锁上。

　　然而实际情况是，这扇门有漏洞。因为上边有个洞，没有钥匙也可以自由出入。如果这个洞是厂家故意留的，那就后门，如果是设计缺陷，那就是漏洞。

　　漏洞和后门没有严格的区别。后门，有的是设计阶段，为了方便测试或者方便修改而留的，或者说是检修口，或者叫调试接。

　　自毁程序也是一种后门。美国就曾将自毁智能芯片设伏于出口的飞机、火箭发射器或导弹等军用设施和武器中，开启无线接收功能，以便接收自毁命令。

　　有的芯片或软件设计厂商，有时候就是故意留后门，就相当于卖锁的或配钥匙的，故意多留了一把钥匙，随时可以到别人家转一圈。

　　这个后门只有厂家自己知道，或者这个后门干脆是神秘客户定制的（美国国安局：你直接报我身份证号吧），一旦被发现了，他就说对不起，这是系统漏洞，我来给你打个补丁。

　　2016年，英特尔被曝光了一个后门，也就是ME程序。英特尔可以通过ME引擎做它想做的任何事，除非你完全断网。

　　ME程序可以在系统休眠、电脑启动及系统运行时保持活动，可以控制开机、关机，读取所有开放文件、检查所有已运行的程序、追踪用户的键盘、鼠标动作，甚至还能截屏。

　　关键是在曝光之前，这是个秘密，用户被蒙在鼓里。为了把这个程序关掉，技术人员费了老大的劲，最后发现了一个隐藏的比特开关。

　　而该比特开关还有标记reserve_hap，旁边的注解：“High Assurance Platform (HAP)enable”，而这个HighAssurance Platform (HAP)是NSA（美国国安局）的一个程序。

　　因此，这个Me程序，其实就是英特尔根据NSA的要求设置的，这样NSA可以在必要的时候，控制特定的计算机。

　　这就是为啥我们要发展完全自主可控的CPU，这就是为啥几乎所有的大国重器中用的都是龙芯，就是为了避免这种尴尬。

　　还比如美国的思科公司，其路由器等网络信息产品2013年之前在全球拥有极高的占有率，但是思科产品陆续被发现了1300多个漏洞。

　　更有甚者，我国网络安全部门曾经在思科路由器上，找到了严重的预置式的后门。这些后门和所谓的漏洞，成了美国棱镜门的帮凶，全球网络都在美国的监听之下。

　　思科路由器多款主流产品的VPN隧道通讯和加密模块存在预置后门。利用这个“后门”，可获取密钥等核心敏感数据，可还原VPN加密信息内容，实现数据监测。

　　思科多款路由器存在隐蔽监视陷门。通过这些预设的陷门，可以隐蔽地将流经思科路由器的网络数据选择性地传输到指定的IP地址，为网络监视提供数据条件。

　　还有，思科路由器在维护模块中存在可远程操控的后门，可使用远程网络数据触发，也可通过特殊指令触发，对思科路由器进行配置、操控。

　　思科路由器系列产品的访问认证机制设计上，也存在多处未知安全漏洞，黑客可以绕过认证机制获得最高管理权限，甚至可以将恶意代码植入固件。

　　阿里云发现的这个漏洞，为啥说是计算机历史上最大的漏洞呢（核弹级漏洞）？第一，黑客通过这个漏洞，可以在服务器上做任何事；第二，这个漏洞极为普遍。

　　在服务器的组件中，日志组件是应用程序中不可缺少的部分。而其中Apache（阿帕奇）的开源项目log4j是一个功能强大的日志组件，被广泛应用。

　　11月24日，阿里云程序员们，发现这个组件有致命的漏洞。攻击者只要提交一段代码，就可以进入对方服务器，而且可以获得最高权限，控制对方服务器。

　　这漏洞影响面有多大？全球大厂，悉数中招，比如苹果、亚马逊、Steam、推特、京东、腾讯、阿里、百度，网易、新浪以及特斯拉。

　　苹果被攻击，系统可能崩溃；亚马逊被攻击，可能是一场财务灾难；阿里被攻击，支付宝里的钱搞不好变成糊涂账；特斯拉被攻击，那可是要人命的……

　　而像IT通信（互联网）、工业制造、金融、医疗卫生、运营商等各行各业都将受到波及，全球互联网大厂、游戏公司、电商平台等也都有被影响的风险。

　　更要命的是，这个漏洞使用门槛极低。即使是毫无经验的互联网小白，只要按照简单的指令操作，就可以变成服务器杀手。

　　已经有网友证实，更改iPhone名称就可以触发漏洞。还有网友试了试百度搜索框、火狐浏览器里输入带${的特殊格式请求，就能造成网页劫持。

　　阿里最早公开这个漏洞，按说是个巨大的功劳，但是阿里云的操作却两头不讨好。因为他把这个漏洞报告给了阿帕奇（Apache）基金会。这个阿帕奇基金会，是美国控制下的。

　　为啥说两头不讨好呢？因为中国在骂阿里云,美国方面可能也在骂。对于美国来说，内心戏是这样的：就谝（piǎn）你能！劳资藏了这么久的网络武器，你特么给我公开了！

　　为啥这么说？因为据说美国早就知道这个漏洞，但没有声张。大家不用奇怪，这是美国的基本操作，后门和漏洞其实是一种战略资源。

　　一旦发现，美国只会窃喜，是不会公开的。在必要的时候出其不意，给对手以致命的一击，把对方的网络搞瘫痪，把对方的数据给毁灭。

　　美国军方，已经根据掌握的漏洞和后门，研制了各种网络攻击武器，目前至少2000种，包括各种蠕虫病毒、木马病毒、逻辑炸弹、间谍软件。

　　2019年波及全世界的勒索病毒，据说就是美国网络武器被泄露出去之后，被民间黑客组织掌握，然后到处勒索，全球150个国家23万台电脑中招。

　　勒索病毒给我们敲响了警钟，因为我们的很多政府部门、加油站都被黑了。有大学生的毕业论文刚弄好就被黑了，简直痛不欲生。

　　在美国，如果有企业发现漏洞，首先要提交给美国情报部门，然后得到批准后才能发布。没有批准，那就是被美国情报部门扣下当武器了。

　　互联网时代，国家安全自然延伸到了网络。各个国家，都在想办法堵自己漏洞，找别人家的漏洞。同样的漏洞，那就是看谁率先掌握。

　　美国是互联网领域的绝对霸主，而我们一直在摸着美帝过河。所以我们也在想方设法收集漏洞资源，这关系到跟美国的战略平衡和国家安全。

　　今年9月1日，为落实《网络产品安全漏洞管理规定》有关要求，工信部网络安全管理局组织建设的工信部网络安全威胁和漏洞信息共享平台正式上线运行。

　　而这个《网络产品安全漏洞管理规定》第七条明确指出，各企业发现安全漏洞后，应当在2日内向工信部网络安全威胁和漏洞信息共享平台报送相关漏洞信息。

　　报送内容应当包括存在网络产品安全漏洞的产品名称、型号、版本以及漏洞的技术特点、危害和影响范围等。

　　阿里云的问题是把这个武器提交给了阿帕奇（Apache）基金会，却没有向工信部提交，这不仅仅是个政治错误，关键是违法了。

　　工信部生气那是肯定的了，而且是暴跳如雷那一种。啥叫信息共享平台啊？就是大家都把漏洞提交到这里，做到群防群治，维护了自己利益，也维护行业利益，更维护国家利益。

　　现在倒好，阿里云享受着别人提交过来的漏洞，自己发现了却闷不做声，偷偷提交给了美国的阿帕奇基金会。

　　网络安全，有时候比的就是速度。安全信息的传递，应该是分秒必争的。晚一秒，国内的重要服务器说不定就会被攻陷。

　　工信部12月9日通过公开渠道了解了这一漏洞之后，全国的程序员正准备欢度周末，结果都被喊来彻夜加班打补丁，问题是我们比美国晚了整整15天。

　　15天的时间，美国情报部门不知道在我们国内重要的服务器上逛多少圈了，拷贝了多少信息，安装了多少非法程序。

　　美国方面可能也会很生气，阿里云发现了这个漏洞，等于作废了一个网络武器。所以阿里云此举两头不讨好。

　　毫无疑问，阿里云是中国最优秀的程序员聚集地之一，是全球领先的云计算及人工智能科技公司。2020年全球云计算IaaS市场，阿里云以9.5%的市场份额，排名第三。

　　最近，国际权威机构Gartner发布最新报告，阿里云在计算、存储、网络、安全四项核心评比中均斩获第一，超过了亚马逊、微软、谷歌等国际厂商。

　　技术上要争先，政治上也要过硬，坚决不能再相信“技术无国界”的鬼话。就算是技术无国界，可企业和技术人员都有自己的祖国。最关键的，一定要守好法律底线。

　　希望阿里云在接下来的半年好好反思，也提醒其他企业引以为戒，提高政治意识、国安意识以及法律意识。