yangleader的个人博客分享 http://blog.sciencenet.cn/u/yangleader 教授,博士生导师,长江学者特聘教授,北邮信息安全中心主任

博文

《安全简史(α版)》(3):社会工程学 精选

已有 6370 次阅读 2016-11-19 19:12 |个人分类:爽玩人生|系统分类:科普集锦

《安全简史(α版)》(3):社会工程学

杨义先  钮心忻

北京邮电大学信息安全中心

摘要与邀擂:霍金写了《时间简史》,布莱森写了《万物简史》,格雷克写了《信息简史》…。这些简史真的好精彩哟!不但出神入化,而且还能改变读者的世界观!唉~,咱安全界,谁能出面也写部“外行不觉深,内行不觉浅”的《安全简史》来“为百姓明心,为专家见性;为安全写简史,为学科开通论”呀!可惜,论“文”,咱比不过“旅游文学作家”布莱森和“科普畅销书作家”格雷克;论“武”,更不敢比世界顶级科学家霍金。可是,真的又需要有本《安全简史》!怎么办呢?老朽不才,想到了“众筹”和“迭代”,即,为了引出玉,先由我们抛出砖(α-测试版本的初稿),然后,由广大读者来进行全方位的修改、批评和版本更新,包括但不限于写作内容、素材、架构安排、等任何建议。希望“三个臭皮匠”真的能够“赛过诸葛亮”。当然,我们不可能全身心投入《安全简史》,因为,建立旨在统一安全各分支学科的基础理论,《安全通论》,才是我们的主业。但愿有朝一日,咱安全界既有《安全简史》来“立地”,又有《安全通论》来“顶天”。本章是第三块“砖”,主题是社会工程学。谢谢大家!

伙计,听说过吗,“社会工程学”这个名词?

如果没听说过,那就太正常不过了。不但普通百姓没听过,就算是网络空间安全界的专家们,对它也比较陌生;因为,直到最近这几年,“社会工程学”这个名词才慢慢浮出水面;但是,别忘了,在水下,这家伙可是一座巨大无比的冰山哟!

如果你不想听,也不想了解“社会工程学”的话,那么,你就又错了,而且还大错特错!因为,它可不是吃素的,就算你不理它,它也可能不会放过你哟。万一被它击中,你就惨了,后悔都来不及了!与黑客的所有其它工具不同,“社会工程学”对你的电脑几乎不感兴趣,对你的硬件、软件、系统等所有你严加防范的东西,也几乎都不感兴趣;因为,这些东西对它来说,简直是小菜一碟,根本就用不着亲自劳它大驾,只需它的喽啰出手就行了。它自己则有更重要的事情要做,是的,它只攻击一样东西,就是那个有血有肉、能说会道、还自以为是的活物。对,就是你!听明白了吗,就是你!如果你不理它,那么,它基本上可以百发百中,打得你哭爹喊娘;当然,如果你关注了它,那么,你就会马上掌握主动权,因为,“社会工程学”其实是易守难攻的,就怕你不屑一守。

好了,吓着了吧!那么,下面就请你跟我来一起了解“社会工程学”吧。

首先,别以为“XX学”这些带“学”的学问,都像“数学、化学、物理学”那样,是高大上的阳春白雪。虽然“社会工程学”确有白富美的成分(这也是本章将介绍的主流),但是,我必须提醒你:像坑、蒙、拐、骗等“下三烂”东西,也充斥其间,也是“社会工程学”不可或缺的内容。比如,大家深恶痛绝的电信诈骗,所使用的手法,大部分都属于“社会工程学”;也许这些人渣并未系统学习过这门学问,甚至,不知道世上还有“社会工程学”这回事,但是,他们却仅凭那一点鸡鸣狗盗,就能把你搞得狼狈不堪。因此,本章繁简程度的拿捏,就非常困难:太仔细了吧,就好像我在教人犯罪似的;太粗略了吧,又怕伙计您受骗!不过,有一点可以肯定,那就是,我们不能采取驼鸟政策,对“社会工程学”中的恶,假装视而不见,听而不闻。对于普通用户来说,防范电信诈骗,还相对比较容易;毕竟,骗子看重的只是你的钱;所以,你只需要记住“别谈钱,谈钱就翻脸”就行了。但是,要对付“社会工程学者”这样的黑客,就困难多了,因为,他们的目标千变万化,让你防不胜防;而且,整个攻击行动的路线清晰、节奏分明。若没有足够的警惕性和应对措施,那么,你必定就范。“社会工程学”既可能直接攻击你本人,包括但不限于你知道的信息、你的小辫子、你的财产、隐私、软肋等;轻者让你名利俱损;重者被牵住鼻子,任人摆布,生不如死;更有甚者,逼你从事危害国家和社会的违法活动。“社会工程学”还可能间接攻击你,包括但不限于,把你当作攻击别人的跳板,比如,先获取你的身份,然后,冒充你去攻击别人等;或者从你身上收集别人信息,为后续的进攻打下坚实基础等。总之,“社会工程学”所能够发动的进攻,招数之多,只有你想不到,没有它做不到;真实案例之精彩,完全不亚于任何小说、科幻和谍战片。

其次,“社会工程学”的名称虽然是新的,但其内容却绝不是新的,是典型的“旧酒装新瓶”。古今中外的正史、野史、传说、神话等,无一不留下它的明晰身影。你看,当年在伊甸园中,那条蛇就是利用“社会工程学”,引诱夏娃吃了一粒苹果,并让亚当也吃了;好处是,从此人类有了“明白是非善恶的智慧”;坏处是,上帝震怒了,作为惩罚,把人类赶出了伊甸园,从此,子孙世代便在尘世间承受各种苦难;要不然,没准你我这时还正在伊甸园里荡秋千呢。在另一个“当年”,铜制兵器精良坚利、部众勇猛剽悍、生性善战、擅长角牴的蚩尤,本来可以轻松战胜炎帝和黄帝联军的,但是,由于后者善于利用“社会工程学”,政治和军事两手抓,而且两手都较硬,最后竟然以弱胜强,奠定了华夏集团占据广大中原地区的基础;否则,本来我们汉族应该躲在深山老林,像现在的某些边远少数民族那样,正与刘三姐对情歌呢;当然,如今炎帝、黄帝和蚩尤,仍然是我们共同祭奠的祖先,称为“三祖”。历史上“社会工程学”的成功案例,多如牛毛:诸葛亮七擒孟获,就是要用“社会工程学”最终征服南人,达到长期维稳的效果;猛张飞在长坂坡,“当阳桥头一声吼,喝断桥梁水倒流”,吓退数十万曹军,就是平时积累的“社会工程学”信息,在关键时刻突然爆发的结果;身在曹营心在汉的关羽,更是典型的“社会工程学”者;至于那位三天一大哭,两头一小哭的刘备,则早已出神入化,用泪水把“社会工程学”玩到了极致;观音菩萨教唐僧用“社会工程学”,愣是骗得悟空,把紧箍咒戴在了自己的头上;大师兄依靠“社会工程学”,钻进了铁扇公主的肚子;二师兄更是常常采用“社会工程学”激将法,把那石猴指挥得滴溜儿转。可以这样说吧,历史上的成功人士,没有一个不是“社会工程学”的高手。关于“社会工程学”的学术专著,绝对不止车载斗量,只不过书名有所变化而已。《三十六计》中,计计皆含“社会工程学”之精华,特别是金蝉脱壳、借刀杀人、趁火打劫、浑水摸鱼、打草惊蛇、瞒天过海、反间计、调虎离山、指桑骂槐、暗渡陈仓、欲擒故纵、空城计、苦肉计、偷梁换柱、美人计、借尸还魂、围魏救赵、连环计等等,简直把“社会工程学”演绎得目不暇接、眼花缭乱。《孙子兵法》八十二篇中,篇篇都是“社会工程学”的杰作,甚至连再明白不过的“间谍”概念,也都还要更进一步地细分为:敌方普通人做间谍的“因间”;敌方的官吏做间谍的“内间”;收买或利用敌方派来的间谍为我效力的“反间”;故意散布虚假情况给对方间谍,让其误导敌方并被处死的“死间”;派往敌方侦察后,能活着回报敌情的“生间”等等。当五种间谍同时使用,更能使敌人莫测高深,而无从应付。总之,虽不敢说整个人类史,就是一部“社会工程学”史;但是,如果抽去“社会工程学”,历史可能将会变得相当苍白、无趣。

再其次,别以为“社会工程学”这个名称看上去很面善,其实它很凶险。过去人们都习惯于,把网络看成一个由硬件和软件组成的系统,认为可以通过不断的软件升级、硬件加固、严防死守等办法来保障安全;但是,却往往忽略了一个最重要、最薄弱的关键环节,那就是人!这个“人”,既包括网络的合法用户及其亲朋好友,又包括网络的保卫者及其亲朋好友等;因为,完整地看,只有将软件、硬件和人,三者结合在一起来考虑,才可能形成一个闭环;而只有保证了这个闭环的整体安全后,才能真正建成有效的安全保障体系。更明白地说,硬件和软件其实是没有“天敌”的,只要不断地“水涨船高”,总能够解决已有的软硬件安全问题;但是,“社会工程学”却是“人”的天敌,每一招对所有人来说,都有效;每一招还都不会过时,都长期具有杀伤力;“旧招”不但不会被淘汰,新招还层出不穷。针对人性的每一处弱项,迟早会产生至少一项“社会工程学”狠招,而随着社会信息化步伐的加快,人性的缺陷和漏洞将暴露得越来越多,当然就会被“社会工程学”揍得越来越惨。如果你还不知道“社会工程学”到底有多厉害,那就请看下面这个真实的故事吧。

美国联邦调查局,俗称FBI,厉害吧!其局长直接由美国总统任命,并经参议院批准。FBI不但在反暴、反毒、反有组织犯罪、反外国间谍和反白领犯罪等方面享有最高特权;而且,在“社会工程学”的资源、积累和能力等方面,如果它谦虚点自称老二的话,那么,没人敢号称老大,包括前苏联的克格勃。可是,就是这么一个巨无霸,竟然被一位单枪匹马的黑客,凯文·米特尼克,只利用“社会工程学”就玩得死去活来。在这匹黑马面前,FBI的所谓通缉令简直就像手纸一张,完全没有任何约束力。费了九牛二虎之力,当然也主要是“社会工程学”手段,好容易才将其捉拿归案吧,刚要严禁他与外界联系,结果,就在监狱中,当着狱长的面,这家伙却略施小计,就拨通了外界电话,让官方大跌眼镜。刑满释放了,为了不重蹈尴尬,政府还不得不赶紧拍其马屁,为他安排一个光荣而高薪的“网络安全咨询师”职业。如今,这位世界“头号电脑黑客”,已将其传奇的“社会工程学”应用经历,写成了多本畅销书:《反欺骗的艺术》、《反入侵的艺术》和《线上幽灵:世界头号黑客米特尼克自传》等。

你看看,这家伙竟然将“社会工程学”玩成了艺术,简直不可思议!

好了,现在插播有关这位超级黑客的几则小故事,就算是课间休息吧。也顺便让你头上冒点汗,背上发点凉。

相信,米特尼克的“事迹”,会促使你从此认真了解“社会工程学”,因为,你将肯定不愿意成为这种“社会工程学者”的牺牲品。当然,必须承认,凯文·米特尼克的“成功”,主要取决于他强大心理素质和娴熟的运用技巧;幸好,并非每位学过“社会工程学”的黑客都能这么牛。

除了超强的“社会工程学”能力之外,其实,凯文·米特尼克与其它黑客并无本质区别。这位生于1963年,因父母离异而性格孤僻、倔强的家伙,从小就迷上了无线电、计算机和网络系统。作为学渣,他在读小学时,就因袭击邻居学校的网络而被迫退学。哪知,他不但不改邪归正,反而发誓,要干出一番“大事”来,于是:他成功地闯入了“北美空中防护指挥系统”;进入了“太平洋电话公司通信网络系统”,不但可以任意免费拨打电话,还可随时偷听别人聊天,还篡改了许多重要信息,包括一些知名人士的号码和通讯地址等;后来,还觉不过瘾,就干脆入侵了FBI的网络和美国五角大楼的电脑系统。不过,因为那时他还只是初出茅庐,而且又被同伙的女朋友举报,所以,才被FBI逮捕并投入了“少管所”。

在“少管所”里,凯文·米特尼克“面壁思过”,认真总结了经验教训,大大提高了“社会工程学”水平。被保释出来后,便如虎添翼,在很短的时间里,一举攻破了包括Sun系统公司、Novell电脑公司、NEC美国公司以及诺基亚移动电话等多家巨型公司的网络,不断破坏其核心系统,造成巨额损失。1988年,他再次因非法入侵他人系统而入狱。由于系重犯,他被处以一年徒刑,并被禁止从事电脑网络工作;因为,警察当局认为,他只要拥有键盘,就会对社会构成威胁。

在监狱中的这一年,又是他在“社会工程学”方面“闭关修行、突飞猛进”的一年。出狱后,早已“无招胜有招”的他,按捺不住内心激动,马上施展绝技,瞬间就造成了3亿美元的损失(FBI的评估结果)。待警察想再度将其绳之以法时,他已口念咒语,像白骨精那样,一道闪电就不见了。从此,米特尼克就与FBI,玩起了长达数年的老鼠戏猫游戏。

在顶着“头号通缉令”的逃亡期间,米特尼克一刻也不曾闲着,一会儿窃听警察局的电话,看看笨猫们是如何设计来试图抓捕他的;一会儿向位于圣迭戈的超级计算机中心发动攻击,“将整个互联网置于一种危险的境地”(《纽约时报》的评语)。最后,FBI不得不“以其人之道,还其人之身”,仍然采用“社会工程学”:出重金收买了他最要好的朋友,并经过5年多漫长而艰难的缉拿行动,终于在1995年发现了其行踪,并动用FBI的精锐力量,将其捉拿,并被指控犯有23项罪,后又增加了25项附加罪。

在服刑期间,他当然再次不被允许接触任何数字设备,包括程控电话、手机和任何电脑。但是,即使这样,也发生了令人哭笑不得的事故:也不知从哪里弄到了一台微型收音机,他将它改造后,竟然用于了偷听狱管人员的谈话;为此,他被监狱当局,从普通牢房转到隔离牢房,实行24小时连续监管。

好了,课间休息结束了,咱们继续上课吧。下面该介绍“社会工程学”的严肃内容了。

与兵法类似,要想成为一名优秀的“社会工程学者”,绝不能仅靠死记硬背,更不可纸上谈兵;但是,作为普通网友,如果你只需防范上当,那么,在很大程度上,读完此章就够了,除非你确实被超级黑客盯上了。当然,假如黑客真的要吃定你的话,我也只能帮你到这里了,劝你还是赶紧报案吧。

其实,“社会工程学”也并非黑客的专利,许多人都会在某种程度上依赖于它,比如,律师和医生(特别是心理医生),需要采用它来诱导当事人,通过见机行事的对话,来操纵病人,让他们做出期望的行动;政府需要利用“社会工程学”,来更加有效地传递正能量;销售人员需要掌握丰富的人际交往技巧,提高业绩;骗子,需要利用人性的贪婪,以“发财致富”为诱饵,来达到目的;间谍,更需要不择手段地滥用“社会工程学”等等。不过,他们并非本章所要介绍的重点,我们只是在此一笔带过而已。

那么,到底什么是“社会工程学”呢?

从网络空间安全的角度来看,所谓“社会工程学”主要指的是一类特殊的黑客攻击手段。它的攻击目标是人,是要钻人性的空子,更准确地说是要充分利用人性的弱点、本能反应、好奇心、信任、贪婪等心理特质,来对受害者进行诸如欺骗、恐骇、威逼等,以获取自身利益。随着网络化程度的不断提高,“社会工程学”的运用门槛越来越低,难度越来越小,危害也越来越大,甚至有被滥用的趋势。因此,必须让普通网民对它有所了解,促使大家提高警惕,避免上当受骗,减少不必要的损失。

擅长“社会工程学”的黑客,首先需要做的,也是最重要的,事情就是“收集你的信息”,否则,再巧的媳妇,也做不出无米之炊!他可以借助于任何工具,从网上获取尽可能多的相关信息;也可利用任何机会,从你的亲朋好友、邻居同事等处,获得大量的间接资料;这些手段你可能都已经想到,也不用我再赘述了。但是,有个损招,一定会出乎你的意料!那就是,你的最直接,最私密的信息,却大部分都隐藏在你每天随手丢弃的垃圾里!真的,不是开玩笑,还记得课间休息的那位“世界头号黑客”吗?他正是通过翻捡垃圾,获得了FBI的入门证,然后,大摇大摆地闯了进去,当然,这需要超强的心理承受力。想想看,面对荷枪实弹的卫兵,谁不腿软呀。

“拉关系”也是你见得较少的,“社会工程学者”收集信息的重要手段。其原理是:通过获得被攻击者的认可,营造出信任的氛围,然后,诱导你说出有价值的信息,或让你去点击某个链接,或做任何危害自己的蠢事等。这怎么可能呢?确实可能!因为,人性中至少有这样的善良弱点:当别人对你敞开心扉,愿意信任你并分享他们的生活信息时,你也会在这种“亲近感”(或“信任感”)的驱使下,毫不犹豫地说出自己的秘密。“社会工程学者”已经总结出了与你“拉关系”的如下十条口诀(你要小心哟):

人为时间限制:让你知道,他不会打扰你很长时间。

配合默契的非语言行为:确保他的“非语言行为”与其言语是匹配的,否则会露馅。比如,谈到悲伤处时,不妨掉几滴泪。这里的“非语言行为”主要是指肢体语言,这将在后面还会详细介绍,因为它重要嘛。

放慢语速:慢点说话,才不会表现出紧张的情绪。

打同情牌:对你使用有力的语言,比如,“求求你啦!”

自我抑制:假装认可你的所有观点和行为,即使他心里在骂你。

包容:用“温暖”和“真诚”包容你,以及你的知识和技能等,这也算是“爱屋及乌”了吧。

询问:不断地问你“怎么样?”“什么时候?”“为什么?”等,因为,询问既能够引出更多话茬,又便于套取你的秘密。

让步条件:他将稍稍释放一些信息,让你感到舒适,进而诱你分享一些信息给他。

互惠互利:予人玫瑰,手有余香。(作者提醒你:别只顾闻香,小心被刺扎了手!)

调控预期:他将随时调整其预期,如果进展顺利,就会穷追猛打;如果不行,见好就收,绝不太贪心。因为,即使本次坑你失败,下次还有的是机会!

信息收集当然是越多越好,但是,还有必要对这些信息进行深入分析,争取从中发现你的软肋,至少找出你的特点吧。为此,既可以使用高大上的所谓“大数据分析技术”,但也别排斥下里巴人的直觉推断,更要充分利用丰富的经验。比如,从你的厨房垃圾中,傻瓜都找得到你的饮食习惯;从废信封上,没准就能与你那远在天边的二舅妈,“偶然”成为好朋友,然后,把你的家底查个一清二楚;通过阅读每天发布的微博,你的行踪当然暴露无遗;万一幸运的话,从收集到信息中,发现了一些有关你经济、生活或人事关系等方面的蛛丝马迹,那么,再加以适当诱导,没准你的把柄就牢牢掌握在他手中了。

如果说上网搜索和刨垃圾等,算是间接收集和分析信息的话,那么,“察言观色”就算是直接的火力侦察了;这既是普通网民容易中招的一环,也是稍加警惕就能避免上当的一环,所以,我们在此多费一点笔墨。该方面,水平最高,也是大家最熟悉的,应该是算命先生了。下面我们就来解剖这只麻雀,见识一下。算命先生是如何与你短兵相接的。

算命先生的功课主要有五门:前棚、后棚、悬管、炳点、和托门。

所谓前棚,就是招揽客户的手段,即,运用心理技巧来引你注意,进而让你相信他,并最终心悦诚服地坐下来,求他为你占一卦。“这位施主,贫道看你印堂发黑,七日内必有血光之灾”;伙计,当你听到这话,又假如你碰巧正在躲债的话,难道你不会觉得是老天开眼,让活神仙下凡,来指引你逃脱苦难吗!还不赶紧磕头求签,更待何时!“前棚”又叫“拴马桩”,意指要把你给拴住,为此,占卦界总结了祖传秘笈“金点十三簧”。如果再加“水火簧”的灵活运用,嘿嘿~,伙计,就算你是白龙马,也在劫难逃,定被拴牢。当然,如果你压根不理他,只是淡淡一笑,那么,该“印堂发黑”的,就不是你,而是他了。

“前棚”完事后,就该“后棚”了。拴住你,只是手段;让你“出血”才是目的,这就是“后棚”的功夫了。通常“后棚”开场的第一句话,就会单刀直入问你要钱。但是,妙就妙在,这钱你还不好意思不给,甚至还恨不得快点给,给多点。比如,“天师”高风亮节道:既然你我有缘,我就破例给你一卦,但该卦不能白起,你得给“相礼”(其实就是钱);不过,这钱我不拿,你就放桌上,先听听我说的对不对;如果对了,这钱归我,咱们继续往下说;如果不对,您拿钱走人,我分文不取。

不过,这钱只要一上桌,你就别再想拿回;因为,善于见风使舵的半仙,一定会说出虚虚实实、模棱两可的话来,让你五体投地。比如,当得知你与两朋友刚买了彩票,想知道发财结果后,他只需要亮出一根手指头,甚至连话都不用说,就百分之百地算出了精准结果!你看,如果你们仨都没中奖,那么,他那一个手指头说的就是“一个都不中”;如果只有一个人中奖,那么,他的那个指头说的就是“只一个人中”;如果有两个人中奖了,那么,他的那个指头说的就是“只一个不中”;如果三人全都中奖了,那么,他的那个指头也仍然所向披靡,因为,那意味着“一起中奖了”!这虽是笑话,但是,算命先生的“后棚”就是这么回事,只不过“特事特办”而已。

好容易逮住个“冤大头”,刚刚用“后棚”割下你的第一块肉,哪能就轻易让煮熟了的鸭子飞了呢!于是,第三门功课“悬管”就开始了。既然你已经彻底相信了面前这位活菩萨,为何不再多烧几柱香,多问几件事呢?比如,最近有没有艳福呀,官运何时亨通呀,办公室的桌子是不是该调个方位呀,祖坟该不该重修呀,等等。反正,你敢问,他就敢答,而且,还都八九不离十;你就等着乖乖地,一份接着一份地掏钱吧。“后棚”挣下的钱,叫“头道杵”,即,第一份钱;“悬管”是“二道杵”;一般来说,哪怕是只有“副教授”水平的算命先生,在经历了“前棚”和“后棚”之后,基本上对你都了如指掌了;于是,他便可以随意打着“命理”旗号,不断敲诈你,而且,你还坚信不疑,甚至,还可能由最初的信服,演变为迫不及待地掏钱。这是多么形象的“悬管”呀,把自己悬着,让他去管!

再往后就进入第四门功课:“炳点”。经过前面几门功课,真人已经掐指算出了你命中的“血灾”,而且,这些天灾马上就会变为现实,全世界没有任何人能够为你消灾,哪怕是玉皇大帝下凡;但是,幸好刚才阎王捎来信说:贫道能够勉强为你消灾,但却会为此削减自己的阳寿;所以,你就回家等死吧。这时,已经彻底崩溃的你,哪肯离开,无论如何也要缠住活神仙“求求您,行行好,帮我消掉此灾吧,多少钱都行….”。最后,熬不过你的执着,终于“活雷锋”痛苦地为你消灾了。并且,在收完钱后,果然,惨叫一声,倒地不起。你甚至为他这种勇于自我牺牲的精神,正感动得热泪盈眶呢。

当然,“炳点”还有一种可能的结局就是:半仙同志大义凛然,掏出前面你已经给出的钱,装着要退回。哥们儿,你还好意思伸手接回这些钱吗?就算你脸皮超级厚,他又会突然语重心长地冒一句:“卦钱我都还给你,可这些打点各路神仙的钱,还是别动吧,留着给你消灾解难”。说完递给你一张小票,把其余的“毛爷爷”装进了口袋。你给算命先生的最后那笔钱,叫“绝后杵”,意思是收完这钱后,此单生意就做完了;你按照他的破解之法走人;他则喝口茶润润嗓子,等着下一单生意。

对了,别忘了,算命先生还有最后一门功课,叫“托门”;它其实就是处理善后,主要是叮嘱你“天机不可外泄,不要对旁人说起,否则,就不灵了等”。此话把屁股擦得很干净,即使以后不灵验,也算是有了推托之词。因为,毕竟“贫道”还要在这儿长驻,“打一枪换个地方”有失“天师”风范,只有对门那家伙才干这种缺德事儿。

即使不能像算命先生那样,与你面对面交流并套取信息,“社会工程学者”也还有其它办法读懂你的心,并向你发动进攻。比如,阅读你的肢体语言,观察你的面部表情等。其实,心理学家们已经发现:一个人要向外界传达完整的信息,单纯的语言成分只占7%,声调占38%,另外的55%信息都需要由非语言的体态来传达。而且,由于肢体语言通常是下意识的举动,所以,它很少具有欺骗性,换句话说,你就很容易被“社会工程学者”掌握实情。

伙计,说来你可能还不信,但是,绝对千真万确:黑客可以通过你的头、眼、颈、手、肘、臂、身、胯、足等部位的协调活动,来分析你的思想,了解你的心态,掌握你的情绪等。当然,我不是指“鼓掌表示兴奋,顿足代表生气,搓手表示焦虑,垂头代表沮丧,摊手表示无奈,捶胸代表痛苦等”这些妇孺皆知的常识,而是指一些你可能在不经意间泄露的秘密。比如:

距离的秘密:他与你面对面时,如果你们彼此间的距离不足半米,那么,他可能是你的亲人;如果相距0.51.25米,那么,他可能是你的好友;如果你们在三米开外对话,那他也许只是陌生人。

眉目传情:看到喜欢的人,你就会不自觉地扬眉或低眉,虽然这种潜意识的动作,只会持续短短的1/5秒;你见到暗恋女神时,唇部会有瞬间的机械性开启。如果某男盯住你最美的部位,毫不掩饰地欣赏你优美的体形;那么,美女,你该注意防狼了。

仪态说话:若某帅哥笔直面对你,且衣着得体,肩膀自然下垂,那么,他可能想向你展示挺拔的姿态,希望引起你注意;如果他身体稍稍前倾,靠近你,听你谈话,那么,他可能对你有好感;如果他不断地修正领带或整理头发,那么,他可能想吸引你注意;如果他抠纽扣,表明他可能很紧张。

女为悦己者容:不时把滑落的头发理顺,或不停地咂嘴,那么,她可能对你有好感;如果鞋尖朝向你,可能就对你感兴趣;如果膝盖朝你而坐,可能暗示着想与你建立更亲密的关系;如果把手掌和腕部暴露给你,那么,她可能是想引起你的注意;如果她盘腿而坐,并把膝部暴露给你,这很可能意味着:该你主动出击了。

行为有含义:兴奋时,你会喜欢把玩杯子,或用刀叉轻敲桌面,或用手指触摸物品;为了掩饰内心的慌乱,你会不时摸摸下巴、耳朵和面颊。当你喜欢某人时,唇部和脸的下半部,就会变得特别敏感;比如,若你在抽烟,此时会猛吸;若在喝水,便会不由自主地牛饮。

读懂男人:他将手放在你的肘或肩部,是想表达一种保护;抚摸嘴唇,也许在暗示,想吻你啊;寒流突袭时,如果向你提供自己的外套,可能想表达某种所有权,比如,“这是我的,也是你的”。

握手的秘密:男女握手时,如果对方手心干爽,表明她性格开朗,或对本次晤面没兴趣;如果她手心潮湿,表明她性情较内向,或内心恐惧紧张。握手时,手心朝上的女人,多是柔顺易于相处的;手心朝下的女人,多是争强好胜不肯服输的;而只伸出手指的女人,多是精于世故、吝啬贪婪,同时,也许还传达出一层蔑视。一般来说,女人与男人握手时,较少用力;但如果突然施力,肯定是在暗示着什么。

怎么样,“社会工程学”收集信息、分析信息的学问够多吧,难度够大吧。不过,这还不是最难的。比如,“伪装”就还更难,即,你必须像孙猴子那样,拥有72变的本领,要可以伪装成任何人;甚至还要比悟空更厉害,变成土地庙后,不能竖着一根多余的尾巴,当旗杆!因此,当你需要冒充成警察,想混进局里时,至少要懂得基本的执法规矩吧;当你假装修电脑,按约定进入猎物办公室时,你必须真的能把那台电脑修好吧;当你需要进入机要大院,去收集垃圾情报时,你得有专用工作服,并会使用装卸机吧;当你要以四川老乡的身份,打电话套取相关信息时,不能满口山东话吧。总之,你需要演谁,就得像谁,而且,还要真正把自己当成那谁;否则,在关键时刻,一紧张就保准露馅。当然,万一露馅,也要随机应变,扭转乾坤。

伪装也有其基本原则,比如,事前调查越充分,收集信息越丰富,那么,伪装的成功率就越大;如果伪装的角色有鲜明的个人爱好,那么,伪装成功的可能性就越大;如果被伪装者与自己的本性越靠近,那么,伪装也就越容易;掌握尽可能多的方言、地方习惯等,将在关键时刻,帮助你伪装成功;与面对面伪装相比,“通过电话伪装”被识破的概率更低,虽然电话伪装需要做的预备工作并未减少;伪装越简单,成功率越高;伪装最好尽可能地自然;每一次伪装行动,都要为下一次的行动留下伏笔,不能断绝后路等。

“社会工程学”中,最难的也是最关键的环节,就是所谓的“诱导”;即,牢牢控制你,让你像僵尸那样,乖乖地接受指挥,叫干啥就干啥,那怕是自杀。我肯定不能教你如何去“诱导”别人,但是,你的下述人性弱点,很可能被黑客用来“诱导”你。所以,建议你花上几秒钟,照照下面的镜子:

互惠互利:让你在感受到恩惠时,主动泄密;

义务:让你因感激而去做某些事,哪怕明知在违规,否则你会心里有愧;

让步:假装做一些让步,然后,趁机询问你更重要的问题;

不足:残缺的信息可能更有用,也许你以为只提供了只言片段,但是,他却有本事将它们整合成完整的信息;

权威:是人就有服从权威的天性,你也不例外;

坚持和承诺:他会步步为营,不会突然逼你太甚;他会分阶段实施,不会一下子就亮出底牌;

爱好:每个人都喜欢志同道合者。他会让你感到,你很受欢迎;那么,作为回报,你是不是也该给他提供一点他喜欢的信息呢。

社会认可:如果别人都这么做,那么,我也该这么做;但是,你怎么知道那个“别人”是不是在演戏呢!

当然,“社会工程学”是一本永远也读不完、写不尽的书。不过,本章的目的,绝不是想把你培养成优秀的“社会工程学者”;而只是要让你,具备必要的免疫力,别成为“米特尼克”的菜。

好了,既然你已花费了大把精力,读到这里了;那么,作为奖励,我愿将“超级社会工程学者、世界头号黑客”,凯文·米特尼克,亲自总结的“反欺骗十大招”分享给你。但愿对你有用,毕竟以毒攻毒最有效嘛。

  1. 备份资料。记住你的系统永远不会是无懈可击的,灾难性的数据损失会发生在你身上,只需一条蠕虫或一只木马就已足够。

  2. 选择很难猜的口令。不要随意填上几个与你有关的数字当作口令,在任何情况下,都要及时修改默认口令。

  3. 记得安装杀毒软件,并让它及时更新升级。

  4. 及时更新操作系统,时刻留意软件制造商发布的各种补丁,并及时安装应用。

  5. 不用电脑时,千万别忘了断开网线和电源。

  6. 在浏览器中会出现一些黑客钓鱼,对此要保持清醒,拒绝点击,同时将电子邮件客户端的自动脚本功能关闭。

  7. 在发送敏感邮件时要加密,也可用加密软件保护你的硬盘数据。

  8. 安装一个或几个反间谍程序,并且要经常运行检查。

  9. 使用个人防火墙并正确设置它,阻止其它计算机、网络和网址与你的计算机建立连接,指定哪些程序可以自动连接到网络。

  10. 关闭所有你不使用的系统服务,特别是那些可以让别人远程控制你的计算机的服务,如RemoteDesktopRealVNCNetBIOS等。

在一个充满陷阱的网络世界里,要想保护自己,的确很不容易。请你时刻提醒自己:在某个角落里,某些毫无道德的人,正在刺探你的漏洞,并利用它们来窃取你的敏感秘密。

希望你不是下一位上当者!

最后,让我们用北宋诗人,苏东坡的代表作《水调歌头》,来归纳和结束此章。

安全几时有?

把酒问青天。

不知“社会工程学”者,

吃亏定在眼前。

我欲细论详情,

又恐误用双刃剑,

反诱出人渣行骗。

揭秘弄清影,

正义留人间。

减私欲,少贪婪,补缺陷。

不应有恨,

凡事警惕长心眼。

人有好坏善恶,

月有阴晴圆缺,

此事古难全。

但愿人长久,

网上共婵娟。

关联阅读

[1]杨义先,钮心忻,《安全简史(α版)》(1):大数据隐私,见杨义先的科学网实名博客:http://blog.sciencenet.cn/blog-453322-1013240.html  

[2]杨义先,钮心忻,《安全简史(α版)》(2):恶意代码与病毒,见杨义先的科学网实名博客:http://blog.sciencenet.cn/blog-453322-1014544.html




http://blog.sciencenet.cn/blog-453322-1015694.html

上一篇:《安全简史(α版)》(2):恶意代码与病毒
下一篇:《安全简史(α版)》(4):黑客

3 黄永义 罗文俊 ganendexin1993

该博文允许注册用户评论 请点击登录 评论 (3 个评论)

数据加载中...

Archiver|科学网 ( 京ICP备14006957 )

GMT+8, 2017-8-22 09:34

Powered by ScienceNet.cn

Copyright © 2007-2017 中国科学报社