数据泄露与安全防护的漫长博弈 才刚刚开始

本篇文章5293字，读完约13分钟

就像互联网的黑市一样，据说你可以买到任何你想要的东西:各种来源不明的商品和“服务”，而且价格明显。

最近，黑暗网络上又有一个项目——530，000个缩放帐户。

据传呼机报道，2020年4月14日，在黑网上以白菜的价格卖出了53万个账号密码，兑换成人民币，一美元可以买到7000个密码。zoom的会员账户价格为每月19.99美元(人民币140元)。

这是自4月初以来，视频会议领域的龙头企业zoom出现重大安全漏洞的后果。早在3月底，一些专业人士就指出，zoom的视频和电话通信没有完全采用端到端加密，并且存在暴露用户登录凭证的风险；一些安全研究人员发现，云存储中至少有15000个变焦会议视频，大量会议视频已经上传到youtube等视频平台。

这起丑闻让zoom的股价经历了一次过山车。最初，由于疫情带来的“网上办公”，从2月到4月，zoom的股价上涨了约75%。一度达到164美元；但现在，其股价已回落至150美元，甚至在4月8日直播道歉之前，已跌至117美元，比峰值低28%。

面对质疑，zoom的创始人郑源通过博客和youtube公开道歉，称他将动用所有工程师的资源来解决问题。

事实上，这个事件只是zoom发展历史上的一个小波动，从整个科技领域来看，它只是昨天的热点，很快就会被其他信息淹没。

但它很好地诠释了我们当前的环境:随着数字化的发展，数据和安全风险变得越来越严重。

如今，疫情加剧了这一趋势，如果没有充分的准备，人类很可能会大大加快数字化进程。

一个选择已经跳到了前面:我们交换包含私人信息的数据是为了方便还是为了安全而没有阻力？

自担风险，不仅要放大

，还要缩小。近年来，数据安全已经成为科学技术领域的一个高频事件和重要课题。主要技术公司在获取数据的过程中犯了错误，道歉和罚款是常有的事。

2019年7月，美国联邦贸易委员会(ftc)宣布与facebook就隐私调查达成和解，后者同意支付50亿美元罚款。这是美国政府历史上最高的罚款之一，相当于facebook年收入的9%。

调查始于2018年3月。媒体披露，英国政治咨询公司剑桥分析公司(cambridgeanalytica)未经用户授权就获得了8700万facebook用户，并利用这些数据向美国选民推送政治信息。

事实上，这不是。早在2010年4月，当facebook推出graphapi的第一个版本时，它就泄露给了第三方。Facebook使用弹出窗口要求用户同意应用程序获取其特定数据，但没有直接同意，用户的朋友的信息可以一起获得。

在欧洲，谷歌、facebook、苹果和亚马逊等科技巨头一直是评论名单上的“常客”；在中国，科技公司越来越多地因侵犯用户隐私而受到批评。2019年，变脸应用“zao”因违反规定收集面部信息而被采访；人脸识别引入校园后，一些小学使用人工智能头环来监控学生是否分心。

硅谷文化倡导的效率和便利似乎与隐私保护背道而驰。《纽约时报》(The New York Times)2019年7月发表的一篇文章总结了科技公司处理用户隐私问题的几个阶段:公司推出热门产品，澄清、道歉，并承诺在暴露不道德行为后予以纠正，人们在一段时间后忘记了这一点，然后发现问题并没有真正得到解决。

几乎无路可逃。从购物人脸支付、门禁人脸识别、实时位置记录地图软件、街道摄像头，到谷歌眼镜和智能家居等可穿戴设备，从生活到工作，你的每一个动作都被信息工具记录下来，这变得越来越透明。

一切被记录的后果是什么？人们的行为和观点是可以预测和操纵的。拥有数据的组织可以出售他们想要的任何东西，无论是产品还是政治观点。

信息泄露也导致了一些极端情况。

2015年8月24日，美国新奥尔良神学院的教授兼牧师约翰·吉布森在家中自残。五天前，370万个“低俗社交网站”的账户信息被放到了互联网上，吉布森的名字也在其中。在耻辱和公众舆论的压力下，吉布森用枪结束了自己的生命。

似乎一切都是可追溯的、公开的和透明的，实际上信息利用的力量是不平等的。

2019年12月，《纽约时报》发表了一份关于隐私的深度调查。《纽约时报》从超过1200万人的电话记录中获得了超过500亿个地点的数据集。然而，在公共信息的帮助下，研究人员在短短几分钟内完成了对位置信息数据的反匿名处理，并获得了特朗普行踪的一天记录，包括五角大楼、联邦调查局和其他政府机构的行踪。这在社交网络上引发了激烈的讨论:特朗普的信息安全无法得到保证，更不用说普通公民了？泄露一些隐私几乎成了现代科技生活的命运。这个问题的背后是当今社会日益突出的伦理悖论:社会治理和公民隐私之间的平衡。

早在艾滋病流行之前，在组织管理权力的扩张和个人自由权利之间就有一场异常漫长的拉锯战。然而，在信息社会到来之后，双方的实力变得越来越不同。

随着20世纪50年代以来信息技术的蓬勃发展和20世纪80年代以来互联网的逐步普及，个人信息控制权被大型跨国企业和政府大大削弱，博弈的天平已经失衡。

原因在于，在信息社会和即将到来的数字社会中，“数据”已经与土地、资本和劳动力一起成为“生产要素”，个人身份和行为信息是这些数据生产要素的重要组成部分。

互联网商业模式和人工智能算法都是基于这一重要的新生产要素。结果，包含个人隐私的数据被商业化。当前的消费行为不仅需要交出钱，还意味着交出隐私。

可以预料，这种冲突今后只会增加。

2。现在，冠状病毒的流行提前带来了高度数字化的未来。

在危机的压力下，人类社会可能会做出一些不合理或无助的决定——迅速接受高级别的监控手段，轻易放弃隐私保护。

yuval harari是《人类简史》的小编辑，他在最近的一篇文章中说，不成熟甚至危险的技术被鸭子上架了，因为无所作为的风险更大。整个国家都成了大规模社会实验中的老鼠。

毕竟，与生命安全相比，隐私安全的优先性远远超出了。因此，世界各国无意识地启动了历史上最严格的公民监督制度，没有遇到任何障碍。

当zoom处理这个安全漏洞时，正是这些系统迅速风靡全球，运行平稳，值得更多关注，但却被忽视了。

一个例子是在疫情爆发的中国广泛使用的卫生法规。

健康代码要求用户自己填写户籍、居住地、旅行历史和健康状况，系统根据答案生成唯一的二维码。“绿色代码”意味着自由通行；“黄色代码”和“红色代码”需要隔离相应的时间，并在连续的健康声明被打出后变成绿色代码。

杭州卫生规范

是一个类似的工具，有三个主要运营商的跟踪查询。中国16亿手机用户可以在14天内通过短信查询停留时间超过4小时的旅游景点。在许多公共场所，行踪代码被用作入场凭证。

韩国、新加坡、意大利、以色列等国也推出了网上公民追踪方法:

韩国相关政府机构在过去几周内监控确诊患者的信用卡和地理位置，以追踪冠状病毒患者的行踪；意大利伦巴第政府通过分析手机定位数据来追踪市民的步行距离，以确定有多少人忠实地遵守了封锁令；以色列内政和安全部也使用手机定位数据来追踪病人，这在过去的反恐行动中被使用。

英国等西欧国家也在考虑使用新技术追踪感染源，以防止病毒传播。

在美国，跨国公司的声音很大，病毒甚至树立了老的、死气沉沉的商业敌人:ios和android携手合作，组织了一个抗击疫情的团体:

4月10日，苹果首席执行官库克和谷歌首席执行官皮·盖斯(Pi Guess)在推特上互发推文，宣布两家公司将合作推出《美国健康守则》(American Health Code)。

这一联盟覆盖了全球智能手机市场的99%，拥有约30亿用户，占全球人口的三分之一。

这种流行病使防疫的合法性在短时间内压倒了其他事务——它使以前抵制大规模监测工具的政府和组织屈服，投票支持新的数据采集权威和手段。

这些选择需要在和平时期反复论证和检验，但危机缩短了这一过程，人们往往愿意在特殊时期交出数据或转让一些权利。

德国最近的一项民意调查得出结论，70%的受访者表示愿意向公共防疫机构提供个人健康、行动数据和社会关系等信息，以遏制疫情。在一项英国民意调查中，三分之二的受访者愿意让相关部门使用他们的信用卡信息、电话数据和闭路电视来监控病毒的传播。

一些超出必要数据和信息范围的暴露风险开始出现:

近日，因“哈尔滨抢购”而引发的群体性感染事件就是其中之一，这被认为是一个笑话。在有关此次事件的各种报道中，披露了大量与防疫没有直接关系的邻居之间的私生活信息，其中主要人员有姓名。

对大多数人来说，类似的消息只是疫情期间的一个玩笑，这对有关各方确实有害。

技术是中性的，越来越方便的信息获取和传播技术将带来越来越多的风险。

技术入侵人类的更直接表现是它自身的“缺陷”，比如不透明的算法。

以健康代码为例，个人不知道健康代码打开了多少平台，共享了多少数据，这让人们无法猜测健康代码变红的原因，也没有办法抱怨。许多被大数据和机器主宰的红卡持有者在生活和旅行中受到了限制。

什么是真正的“无隐私”状态？科幻小说不止一次敲响了警钟。美国科幻作家埃格尔斯在他的小说《thecircle》中描绘了一个未来的世界。在那里，规则被颠倒了，隐私保护将被摒弃，甚至受到法律的惩罚。

每个人的信息都在硅谷一家名为Circle的公司手中。圈子里的人会在不同的地方放置小型隐藏摄像机，公司高管说这是为了减少犯罪。它还想将芯片植入儿童体内，声称这样可以避免诱拐。

圈子可以在几分钟内找到任何人的行踪，成员们也需要戴上它，以便全世界都能清楚地看到他们的一举一动。拒绝合作的人会成为嫌疑人——他们肯定有所隐瞒。

因为在新的世界里，“秘密是谎言，分享是关心，隐私是偷窃。”

3。危机后的世界

值得注意的是，一些特殊时期的措施可能会在危机消失后保留下来，并因惯性而成为正常生活。

正如一些媒体也提出了问题一样，您准备好一直使用“健康守则”了吗？

这是危机本身的历史塑造能力，历史上有先例。9·11事件后，美国总统乔治·w·布什签署了《爱国者法案》。该法案规定，美国国家安全机构可以在全球范围内收集电话、邮件、医疗、金融和其他记录，允许它们从美国互联网公司提取音频、视频、图片、邮件和文件记录；甚至允许使用" "手段来入侵、破坏和窃取外国数据和情报。

这是一项倡议。2002年，美国国会通过了《国土安全法》，允许美国公民进行“数据挖掘”。这两项法案使美国建立的公民隐私权制度几乎消失。2001年10月，乔治·w·布什签署了《爱国者法案》。以色列在1948年独立战争期间进入紧急状态后，还采取了包括新闻检查、没收土地、严格限制食品工业原料供应等措施。，包括紧急布丁法(关于布丁原料、包装和销售由以色列在1950年宣布)。独立战争胜利后，以色列从未宣布结束紧急状态，也没有在1948年废除许多“临时”措施。紧急布丁法直到2011年才被废除。

幸运的是，减少未来风险的各种努力也在进行。人们已经学会停止对未来的热情，开始从反乌托邦的角度看待科学技术的社会影响。

许多国家和地区正在通过立法来规范政府和公司对新技术的使用。

2018年5月，经过多年讨论的《欧盟通用数据保护条例》(gdpr)开始生效。这项规定被称为人类历史上第一部“数据宪法”。它对数据使用的透明度、身份数据的保存期限、企业和组织的运作过程都有限制，并规定包括“面印”在内的生物信息属于其所有者。

违反gdpr的企业可能面临巨额罚款。2019年7月，英国航空公司空公司因违反一般数据保护规定被罚款1.8339亿英镑，约合人民币15.8亿元。

gdpr在保护公民隐私方面开了一个好头。2020年1月1日，加州正式实施了《消费者隐私法》。与欧盟法案类似，加拿大注册会计师协会将监督所有与加州居民有业务往来的数据业务活动。此前，旧金山、奥克兰和加利福尼亚等城市禁止政府使用人脸识别来执法。

中国目前没有一部全面的数据法。据媒体报道，中国正在制定《保护法》和《数据安全法》。公众更加关注信息保护。2019年11月，一名教授起诉杭州野生动物园，因为他不愿意使用人脸识别技术，这被称为中国首例人脸识别案例。

技术公司在数据安全方面的投资成本也在增加，隐私安全已经成为产品的卖点。根据加州发布的一份报告，在美国消费者隐私法案正式实施之前，估计科技公司将花费约550亿美元来实现合规。

在意识到公共卫生事件对患者隐私造成的威胁后，cynergistek于3月13日宣布，他们已经发布了患者隐私监控服务解决方案，以识别未经授权进入医院的情况。

zoom最近为付费用户提供了保护隐私的新功能。付费用户可以自主选择缩放在线会议的数据中心。其会议数据将仅通过数据中心传输，以避免信息泄露。

可以预见，数据和信息安全市场的规模将进一步扩大。过去没有直接带来利润的安全能力，现在已经日益成为大公司的核心能力。

然而，有必要系上铃铛来解决这个问题。这个问题不仅仅是由技术引起的，解决这个问题还需要超越技术的努力。

我们总是要花很短的时间来选择，但是要花很长的时间去承受。准备好。数据泄露和安全保护之间的长期博弈才刚刚开始。