混淆隐私与安全：致命的错误

最近在一次长途飞行中，我趁机听了海量的播客。为了跟上这么多节目的更新，我总是不缺听的内容，只需在手机屏幕上轻轻一点，就能听到引人入胜——尽管是单向的——对话。

最终，我听到了真实犯罪播客《Casefile》的一期节目。这个戏剧性且毫无保留的系列节目（配有一位声音阴森、姓名不详的主持人）深入探讨了一个即使是最博学、最精明的技术人员也着迷的话题：暗网，以及违禁品交易网站“丝绸之路”（Silk Road）的灾难性崛起。该节目分为两部分，熟悉“丝绸之路”兴衰史的人无疑会关注过相关新闻，但播客以令人屏息的叙事方式，披露了每一个微小的细节。

丝绸之路：来自暗网地牢的教训

如果你不了解“丝绸之路”的来龙去脉，简单来说就是：一个人在暗网建立了一个交易网站，它隐藏在公众的视线之外，且必须使用特殊软件（确切地说是 Tor 浏览器）才能访问。该网站最初只销售他自己种植的迷幻蘑菇，但几乎一夜之间，网站上涌现了大量卖家，从硬性毒品到非法武器，再到被盗的信用卡信息，应有尽有。你可以在这里了解详情。该网站的创始人和管理员使用了一个受《公主新娘》启发的化名——“恐怖海盗罗伯茨”（Dread Pirate Roberts）。他既是所有人，又谁也不是。所有用户都在此交易各种非法商品，且全程保持完全匿名（在此过程中，比特币也获得了“毒贩首选货币”的恶名，而这一标签它至今才刚刚开始摆脱）。

然而，“恐怖海盗罗伯茨”的反建制实验最终失控了。很快，职业杀手开始在网站上打广告。坏人在做坏事……而他则沉醉于自己新获得的、难以想象的财富中。他甚至试图雇佣一名广告上的杀手来除掉一名员工。简而言之，这是导致他覆灭的众多愚蠢决定之一。他最终被揭露为罗斯·乌布利希，目前正被关押在美国监狱中，被判处两次终身监禁外加四十年刑期，且不得假释。

但是，如果一切都完全私密且匿名，他是如何被抓获的呢？

直白地说：他是个相当蹩脚的程序员。“丝绸之路”网站本身就像一艘搁浅在海里的破旧驳船。考虑到它是非法活动的中心（以及背后所有的相关数据），它根本谈不上安全；它就像一只坐以待毙的鸭子，等着被投机取巧的黑客利用。平心而论，当你是一个庞大非法毒品交易业务的幕后黑手时，想要找到愿意参与你行动的称职员工恐怕并不容易。他也没有掩饰自己的技术短板——他甚至用真名在 Stack Overflow 上发帖（没错，那就是他的用户账号），请求帮助配置网站代码，以便通过 PHP 中的 Curl 连接 Tor。发帖不到一分钟，他就将真名改成了“frosty”，但这显然无济于事……事实上，这可能造成了进一步的损害：丝绸之路服务器上的加密密钥以子字符串“frosty@frosty”结尾，这在联邦调查局（FBI）顺藤摸瓜时进一步证实了他的身份。

尽管该网站极力推崇隐私，拥有加密消息、加密货币，并对违禁品在运输和交付过程中的安全性做了明确指示，但它并非乌布利希所设想的那种自由意志主义幻想中的坚不可摧的堡垒。那些拥有技能的人（即 FBI 雇佣的程序员）缓慢而坚定地拆解了它，揭露了一切……包括数千名在网站上进行交易的人的身份。那些多年前购买过违禁品的人，未来某天仍有可能被执法部门敲响家门。

FBI 发布了文档，概述了他们如何渗透“丝绸之路”，其主要解释是利用了 IP 地址泄露。由于“丝绸之路”登录页面的配置错误，导致其服务器的 IP 地址及物理位置暴露，根本无需任何卑劣的黑客手段。这无疑是一个新手级的错误，最终让 FBI 直接找到了罗斯·乌布利希。

有推测认为，如果这个漏洞确实存在，那么在那个时间点之前，它早就应该被监控该网站的众多安全专家发现了。澳大利亚安全顾问尼克·库布里洛维奇（Nik Cubrilovic）在接受《连线》杂志采访时声称，该漏洞根本不存在：

“你不可能在连接 Tor 网站的同时，看到一个非 Tor 节点的服务器地址。他们试图让陪审团或法官相信的那种发生方式，在技术上根本说不通。”

库布里洛维奇随后暗示，这些信息可能是通过非法黑客手段获取的。这种手段似乎是 SQL 注入，这是一个未经证实的传言，此后在许多网站上都被讨论为一种可能的提取方法。

围绕 FBI 手段的合法性是一个完全独立的话题。信息能够被获取这一事实，本身就表明“丝绸之路”的安全实践非常糟糕，尽管普通用户认为该网站是“私密”的。当隐私与安全混为一谈时，暴露于漏洞的风险无疑会增加。

还有一种可能，如果罗斯·乌布利希能区分隐私与安全，并积极努力确保两者兼顾，那么该网站或许至今仍在运行（至少是以其原始形式；它已经被多次复活，甚至现在还有比它更大的同类网站在运行）。然而，在它成长为一盏巨大的热灯，吸引了全球所有技术水平略高于平均水平的卑劣之徒之前，他并没有这样做。相反，当有人找到打开大门的方法时，这个私人俱乐部及其所有秘密便被公之于众了。

你又不是毒枭，为什么要关心这些？

“丝绸之路”的覆灭及其创始人的入狱并非一个令人同情的故事，但它是一个关于隐私与真正稳健的网站安全之间细微差别的迷人案例研究。许多合法业务都需要交易和信息保持私密——比如数字化医疗记录，甚至是大型银行持有的数百万个信用卡号——但如果它们没有通过严密的软件开发来保障安全，这些信息就可能被攻击者窃取（讽刺的是，最终出现在像“丝绸之路”这样的网站上）。没有安全，隐私便无从谈起。

像你这样的好人，其软件也可能容易受到 SQL 注入攻击以及 OWASP Top 10 中的其他漏洞威胁，因此预防并有效缓解这些问题至关重要。如果开发人员从流程一开始就接受安全编码培训，这些缺陷就不会有见天日的机会。企业必须具备安全思维，并赋能开发团队进行安全编码。我们可以向你展示如何以有趣、可衡量且游戏化的方式做到这一点。准备好了吗？