在其他机构的官员没有确认之前,美国联邦调查局FBI的科学与技术部门的负责人承认他们曾经利用0day漏洞捉坏人。
FBI的科学和技术监督局业务技术部的行政助理主管艾米·赫斯在本周二发表该声明。除了此事关系到利用0day,也就是说,利用了仍然存在未修补的漏洞的攻击代码,而且在大多数情况下设计产品的公司或者组织是未知的——周二华盛顿邮报发表的文章也触发了另一种激烈的争议:FBI对stingrays(一种手机信号拦截器,又称基站模拟器)的使用。正如记者Ellen Nakashima写道的:
争议的其中一部分是电信局对蜂窝基站模拟器或Stingrays的使用,这种工具会模拟手机信号塔并拦截一个地区的手机信号,其中也牵连了无辜的路人。FBI长期以来一直遮遮掩掩有关工具的使用,并且还向各州和地方的执法机构送过保密协议。
虽然协议通常指出当地机构“不会披露关于设备的信息”,艾米·赫斯坚持称FBI从未强加给地方警察局下达类似命令。她说,根据记录FBI不反对坦白使用该设备的事实,FBI 真正想要保密的是“工程设计细节”,即该工具的工作原理相关的细节。
另一组仍然疑点重重的是OTD(Operational Technology Division)的远程操作装置。目前,持有入侵电脑技术人员已经确定为嫌疑人,还美其名曰“网络调查技术”,该事件已经引起了使用Stingrays所引起的相似的关注。
一方面,作为证据的应用程序没有详细介绍该技术的使用。因此,法官可能没有真正理解他们所授权的是什么。艾米·赫斯说,如果法官询问,相关机构可以在封闭审判室内更全面地描述过程。
隐私权拥护者也担心其他黑客攻击的情况,他们认为美国联邦调查局正在使用的“0 day”漏洞还没有被告知给软件制作者。这种做法使得使用该软件的消费者处于弱势。
艾米·赫斯承认,当局第一时间选择利用0day是权衡过利弊的。 “什么才是善良之举,要如何能够识别一个人是否威胁市民的安全?还是要提醒软件厂商出现的错误?如果不打补丁,可能使消费者受害。”
赫斯说:“我们怎么平衡此事呢?这对我们来说是一个持续的挑战,FBI并不把黑客攻击技术当成最优,因为这有弊端。只要一个科技公司更新其软件,那么工具就将消失。和传统的窃听装置相比这显然是不可靠的。”
该帖子还包括隐私拥护者和美国公民自由联盟首席技术专家Christopher Soghoian的意见。他提到了 “女王监听”一事并指出:“如果这是令人毛骨悚然高科技,它确实发生在OTD。”
FBI的stingrays秘密相关一直都有详细记载。而政府利用0day的争议也确是上了头条新闻。这两个问题都是有争议的,部分是因为他们伤害了广大并没有怀疑犯罪的人民。这是因为stingrays一般会某一领域拦截所有的手机通讯,而不仅仅是那些有贩毒或绑架嫌疑的人。支付大笔的钱购买0day的同时,政府还准备了强有力的激励来保持潜在的漏洞秘密。 FBI官员一直试图和这样的事情撇清关系。今天,他们却陷得更深了。