关于勒索软件 WannaCry 攻击，前美国国安局主管 Keith Alexander 说这不是政府的锅

芭蕉妹妹

上周五开始的勒索软件 WannaCry 的攻击导致了全世界至少 20 万台 Windows 电脑被黑，攻击者加密了电脑文件，索要价值 300 美元的比特币作为赎金。围绕着这件事，微软和被认为是攻击软件泄漏源头的美国安全局(NSA)开始相互推卸责任。微软指责安全局，安全局也不准备承担责任。

在本周二创投媒体 TechCrunch 举办的 Disrupt NY 2017 大会上，在被问及这次勒索软件是否源自美国安全局(NSA)时，前安全局主管基思·亚历山大（Keith Alexander）将军没有直接否认，他给出的回应是：“NSA 没有使用勒索软件 WannaCry，是罪犯在用。是有人偷了这工具。”

在进一步解释中，他认为 NSA、FBI 等政府机构为了保护国家抵抗恐怖袭击和网络攻击这两种主要的威胁，就需要掌握一些工具作为抵抗能力。他对主持人马特·伯恩斯（Matt Burns）说：“(NSA)不会囤积漏洞；他们会放出 90％以上的获取的漏洞，但为了追踪恐怖分子，你就需要漏洞。”这不是官方回应，但这位 NSA 前主管的话，已经算是比较“正面”地承认 NSA 在这件事上的责任，以及此前的泄漏事件。

基思将军在 2005-2014 年间执掌 NSA，曾赶上斯诺登泄密事件。退休后，他与人联合创立了安全公司 IronNet Cybersecurity。上周日，微软主席布莱德·史密斯(Brad Smith)在微软官方发表了反思文章，说了微软在支持 Windows 系统上的职责，提醒用户要及时更新电脑系统外，还指责了囤积这些软件系统漏洞的 NSA 等政府机构是个隐患，称这次攻击软件外泄，可以跟“美国军方丢失了数枚战斧导弹”相提并论。

但微软只为最新的 Windows 10 系统补上漏洞，没有顾及更早、已经不再卖的操作系统显然让攻击变得更容易了。如果说 Windows XP 老得该死，经微软授权的 Windows 8 电脑在企业销售渠道却是依然有售的，甚至许多有完备 IT 规范的 500 强美国公司都有大批 Windows 8 电脑在使用当中。事发后，微软追加了早期操作系统的补丁。

在这周一的白宫媒体会上，美国政府没有直接否认针对 Windows 漏洞的攻击软件的泄漏，但尝试撇清他们在这件事上的责任。国土安全顾问汤姆?博塞特（Tom Bossert）称这些攻击软件“不是 NSA 开发来控制勒索数据的。这个工具是由有罪的团队开发，他们可能是罪犯，或者是外国做的。国土安全顾问独立于安全局（NSA），隶属于国土安全委员会。

不过，NSA 囤积这种攻击、监控软件已经有相当一段历史了，最知名的可能就是 NSA 外包技术人员斯诺登在 2013 年将 NSA 监听项目的文件披露给《卫报》、《华盛顿邮报》。这次事件中也跟一位 NSA 技术外包人员有关。前 NSA 员工称，一位名叫 Harold T. Martin III 的人此前偷走了部分文件、软件代码，跟 4 月份外泄的漏洞和攻击工具有相同的。攻击软件外泄也一度导致部分 NSA 员工担心，这项被使用了 5 年多的攻击工具被认为威力过大，NSA 员工还探讨过要将漏洞告知微软的可能。

除去微软指责 NSA 囤积漏洞、不告知商业公司外，没法妥善保护好攻击软件是目前 NSA 被批评最多的另一点。在 1999-2005 年担任 NSA 主管的迈克尔·海登(Michael Hayden)称：“如果一家机构有强力工具但不能控制在自己手里，我就不能扞卫这家机构。”现实是情报机构攒了一堆漏洞不说，等着“关键时刻”使用，但还没用上就被黑客拿出来害人了。