旧金山——近日的报道揭露，美国国家安全局（National Security Agency，简称NSA）在监听谷歌(Google)和雅虎(Yahoo)用户的通信时不需要侵入两家公司的数据中心，这听起来彷如罗伯特·陆德伦(Robert Ludlum)的间谍惊悚片里的桥段。
这些公司在问，怎么会毫无知觉地被NSA拿走了数据，这怎么可能？
最有可能的答案，是对一个有百年历史的监听传统进行了现代诠释。
熟悉谷歌和雅虎基础设施的人说，他们相信是政府的间谍绕过了大公司，攻击了它们的一个弱点——将分布在世界各地的数据中心连接起来的光纤线缆。这些线缆属于威瑞森(Verizon Communications)、英国电信集团(BT Group)、沃达丰集团(Vodafone Group)和Level 3通讯(Level 3 Communications)等公司。本事件中被特别提到的是Level 3，全球最大的所谓互联网主干提供商，谷歌和雅虎使用的是它的光纤线缆。
互联网公司的数据中心是每时每刻都处在警戒状态的，拥有最先进的监控设备，包括热传感器和虹膜扫描仪。但是据三位熟悉谷歌和雅虎系统的人说，在数据中心之间——也就是Level 3的那些连接大型计算机集群的光纤上——信息是未加密的，因此就比较容易成为政府拦截活动的目标。三人要求在本文中匿名。
NSA在获取谷歌和雅虎的数据时没有引起公司的注意，究竟是如何做到的，外界不可能知道。但两家公司近日在就这种防御弱点做出回应时说，他们现在已经开始对数据中心之间的数据传输进行加密。微软(Microsoft)也在考虑类似的举措。
沃顿商学院(Wharton School)副教授凯文·沃尔巴赫(Kevin Werbach)说，"所有人都盯着NSA秘密获取正门通行证的事，有种假设就是，他们不会瞒着公司，从后门窃取数据。"
窃听数据传输线路的做法由来已久。
早在电报的年代，间谍机构就会在通信公司附近展开活动。事实上，在互联网诞生之前的几十年里，NSA及其前身一直会在电话公司长途线路附近设置监听点，窃听所有的国际语音通讯往来。
从上世纪60年代初开始，针对苏联及其盟国通过卫星、微波和光纤线缆进行的语音、传真和数据通信展开了一个代号为"梯队"(Echelon)的间谍行动。
到了90年代，互联网的出现令情报机构的工作变得复杂起来，但在具备了处理海量电脑数据的能力后，互联网同时也为间谍工作提供了强大的新手段。
2002年，曾在罗纳德·里根(Ronald Reagan)总统幕下任国家安全顾问的约翰·M·珀因德克斯特(John M. Poindexter)提出了"全面信息知悉"计划(Total Information Awareness)，意在扫描全球的电子信息——包括电话通讯、电子邮件和金融、旅行记录。由于存在隐私侵犯的可能，这项计划遭到公众强烈反对，于2003年被废止。
珀因德克斯特提出的技术，和后来NSA的棱镜(Prism)和布尔河(Bullrun)等数年后真正得到实现的监听项目是有相似之处的。
在互联网中，国内和国际通讯其实是混在一起的，这样一来，为防止进行国内监听而划定的明确界限就被抹掉了。互联网的设计初衷是一个高度去中心化的系统，但实际上几个主干提供商承载着几乎所有网络数据。
这种中心化的后果及其对监控的价值，在2006年被AT&T的技术员马克·克莱因(Mark Klein)揭露了出来，他描述了在某AT&T数据交换中心内的一个房间里设置的NSA监听点。
NSA把经过通讯链路的所有数据都拷贝了下来，然后在AT&T的设施内进行过滤，该设施内装备了可以对数据包进行高速过滤的系统。
由爱德华·J·斯诺登(Edward J. Snowden)取得、《华盛顿邮报》(The Washington Post)报道的文件显示，在克莱因描述NSA监听技术七年后，这些技术已经得到了改进和更新。
"从'梯队'到'全面信息知悉'到'棱镜'，所有这些项目的名字都不一样，但本质上做的是同一件事情，"斯坦福大学法学院(Stanford University School of Law)法学讲师切珀·皮兹(Chip Pitts)说。
总部位于丹佛市郊区的Level 3不像威瑞森或AT&T那么有名气，但在通讯传输的能力上，它比这两家公司加起来还强。它的网络设备分布在全美200座数据中心里，在欧洲有100多座，在拉美有14座。
Level3没有直接回答其是否为NSA及其外国情报伙伴提供获得谷歌和雅虎数据的途径的问题。Level3在一份声明中说："我们的政策和一贯做法是，遵守我们运营所在国的法律，只有当数据所在国的法律要求我们向政府机构提供客户数据时，我们才会这么做。"
此外，在一份提交给金融监管机构的文件中，Level3指出，"我们和美国的国土安全部、司法部，以及国防部签署了一个协议，以应对美国政府在国家安全和执法方面的种种担忧。这一协议对我们提出了一系列重要的要求，涉及信息的储存与管理；流量管理；物流、网络，及现实中的安全安排；人员的筛查和培训；以及一些其他问题。"
安全专家说，无论Level3是否是主动参与，最近披露的关于NSA的情况都表明，即使谷歌和雅虎这样的互联网巨头不主动提供数据，NSA及其情报合作伙伴也能在下游获得他们的数据。
去年夏天，在斯诺登带着数千份保密文件离开夏威夷前往香港之后，美国政府首次开始追踪斯诺登的行踪时，就证明了上述结论的真实性。今年5月，有关部门联系了斯诺登的邮箱提供商拉维毕特(Lavabit)的所有者拉达尔·莱韦森(Ladar Levison)，想要对斯诺登的邮箱账户设置监控程序。由于莱韦森动作太慢，FBI自己动手安装了监控程序。
莱韦森说，不清楚监控程序是怎么安装的，是通过Level3，还是被安在了达拉斯的设备上。Level3向拉维毕特销售带宽。而他的服务器和网络设备储存在达拉斯。当莱韦森向设备的管理者询问监控事宜时，他被告知这名管理者不能和他讲话。达拉斯设施的所有者TierPoint的发言人没有回复置评请求。
翻译：经雷、王湛
纽约时报中文网
没有评论:
发表评论