網絡私穩與保安

近日新聞提及越來越多勒索電郵案件出現，受害人以中小企業、學校為主要對象，要求以比特幣繳交勒索贖金。

比特幣的加密技術令支付和收款人身份在完全保密之下進行交易，成為不法活動及黑錢的主要交易渠道。筆者以前曾經比喻比特幣技術有如一把刀，在醫生手上可救人，在壞人手上可殺人，問題並不在於物件本身，而是人類如何使用。

隨著FBI要求蘋果公司解鎖iPhone引起的私穩爭議，相信大家亦開始注意到WhatsApp亦加入把私人通訊加密，Facebook 和 Google亦可能加入通訊加密行列，姑莫論這些機構會否在政府要求下把人們的私人通訊交出，加密應用將會是大勢所趨，在今時今日網絡經濟發展至金融科技，網絡私穩問題更為尖銳。

在討論更多之前，筆者想講一個故事。一個提供加密電郵服務的網站ProtonMail在去年十一月經歷一次震撼科技界的嚴重DDoS分散式阻斷服務攻擊。首先介紹一下ProtonMail 的來頭，它是由歐洲核子研究組織和MIT的科學家共同開發的，電郵網站基地設在中立國家瑞士，這樣做的目的是特意避開歐美的司法管轄權。

這次 DDoS嚴格來說其實是分別兩次不同的攻擊。在第一次攻擊，就像近期的勒索電郵案，黑客以大量垃圾訊息封鎖網站，之後要求以比特幣交付贖金，但在十五分鐘之後，網站受到第二次攻擊，根據網站透露，第二次DDoS攻擊跟第一次有頗大分別，因為這次攻擊之猛烈，牽連廣至上游服務供應商的服務也被終斷，ProtonMail的數據中心和網絡供應商即時進行修復工作，但在數小時之後，攻擊提升至每秒100G，瑞士多間公司和銀行服務也受阻，網站負責 人認為這次攻擊並非如第一次那麼簡單只是為錢，很明顯是要迫網站倒閉為目的，攻擊的殺傷力極似是國家政府黑客行為。分析認為第二次攻擊是要混淆第一次的勒索 攻擊，掩飾第二次的國家黑客攻擊行為。

網站服務在數星期後恢復，並且得到大量捐款以維持加強保安系統的營運費用。

從這個故事，筆者想指出的是，當一個國家強如美國，如果要與你的網站為敵，又或者要迫使解鎖，其實並非沒有方法。

那麼，為何在恐怖襲擊陰霾下，科學家仍然致力加強加密通訊？這些加密通訊與比特幣等加密網上貨幣的性質一樣，是無法追蹤的，網絡本身就充滿著各種匿名身份的用家，並且難以控制人們的行為，就如在Facebook上，人們如何使用和人們的言論均是難以控制和阻止，除非拒絕使用，同樣道理，除非把互聯網關閉，否則我們是難以控制人們如何使用網絡，當金融科技普及化，發展至合约及大額金錢交易通過網絡進行，如果網絡私隱和安全得不到保障，我們如何識辨監控者或偷窺活動的人是強盜、黑客、還是政府？因此科學家們認為掌控權還是應該交回用戶自己手上。