网易科技讯 4月14日消息，据《纽约时报》报道，美国政府高官上周六透露，总统奥巴马经过与国家情报机构激烈争论后决定，国家安全局在发现互联网安全漏洞后，应该--在多数情况下--向公众披露以确保漏洞被修复，而不是保密以在间谍和网络攻击中使用这些漏洞。
不过官员们称，奥巴马总统留了一个很大的口子，提出“如果因国家安全或执法需要”可以例外。国家安全局可能会利用这个借口继续利用安全漏洞，破解互联网的加密信息和设计网络攻击武器。白宫从未公开详细透露过奥巴马的决定，该决定是在今年1月做出的，当时他开始对一个总统顾问委员会就如何处理国家安全局的披露行为所提交建议进行为期3月的评估。
但上周五，当白宫否认事先知道Heartbleed漏洞时，这个决定的细节才得以见天日。白宫的声明称，当这种漏洞被发现时，政府现在“偏爱”与电脑和软件制造商共享情报，以便找到解决办法并向行业和消费者传播。国家安全委员会女发言人卡特琳·海登（Caitlin Hayden）表示，对建议的评估已经结束，现在进入了当安全漏洞被发现时评估披露价值，而不是保持秘密为情报机构以后使用的“重振”过程。
她称：“这个过程偏向于负责任地披露这种漏洞。”直到现在，白宫都拒绝透露奥巴马对总统顾问委员会的这个建议采取什么行动。上月奥巴马宣布，他将结束大规模数据收集，由电信公司掌握数据，政府只在需要时通过法庭命令获得数据。但是，虽然监管建议值得注意，情报机构内部的其他涉及加密和网络行动的建议，引发了激烈的争论，让人回想起50年前笼罩华盛顿的冷战阴霾。
其中有个建议督促国家安全局不再攻击商业加密系统或试图安装“后门”，以更容易破解美国敌人的通讯。该委员会得出结论，受为破解密码寻找简便途径的引诱--这是杜鲁门62年前设立国家安全局的原因--将损害美国软件和硬件产品的可信度。最近几月，硅谷公司不断督促美国政府放弃这种做法，同时德国和巴西等一些国家已经表示，他们考虑不使用美国制造的设备和软件。
另一个建议督促美国政府只能临时最有限的利用黑客所称的“零日攻击”，这种代码漏洞存在于微软Windows等软件中，攻击者可以访问任何企业、政府电脑或电脑网络。在攻击伊朗铀浓缩工厂时就利用了四个零日攻击漏洞。不过官员们承认，美国政府成为鉴别“零日攻击”信息的最大开发者和购买者之一。
这个总统顾问委员会没有要求国家安全局完全退出这项业务，只是表示总统应该确保国家安全局不能对商业加密系统“设计漏洞”。该委员会称，如果美国发现了零日攻击，应该修补而不是利用。但有个例外，高官“在高度优先的情报保护上短暂授权使用零日攻击”。（木秀林）
本文来源：网易科技报道
责任编辑：
王晓易_NE0011
