不必考虑那些为获取银行账户密码的“网络钓鱼”行为。对网络安全的最大威胁来自互联网运作基础协议中的漏洞。
即使是非业务型的电脑用户也了解防范互联网安全威胁。他们或许已在电脑上安装了最新的防病毒软件和防火墙软件。他们对主动发来的电邮附件会很提防，对所访问的网站也特别小心。他们或许听说过“拒绝服务”攻击，恶意黑客指示数千台电脑去攻击公司的服务器，致使服务器无法工作。他们甚至还懂得不要轻信“网络钓鱼”诡计，超链接会把客户带到欺诈网站，这些网站伪装成合法银行和信用卡公司，企图窃取密码和账户信息。
但很少有人意识到，互联网很容易受到更深层欺诈的侵害，这种欺诈方式是网络协议开发本身的基本安全漏洞。这种类型的攻击通常称之为“域欺骗”，对个人来说，几乎是不可能防范，甚至是难以发现的。这类针对个人、公司和国家安全的威胁越来越多，需要联邦政府采取紧急措施。
未设防DNS、有缺陷的协议
例如，域名系统（DNS）－“411 信息”网络版本就大都没有防范措施。当您输入一个URL时，浏览器将它转化成一个数字串（一个IP地址），这个地址是通过联系您的网络服务提供商运营的本地域名服务器而获得的。IP地址时常变动，而且都有有效期。如果一个本地域名服务器接收到一个过期域名的请求，它就会查询其他服务器的层级，将其请求转换成两个16位的认证码－而其中一个认证码很容易预测。遗憾的是，通过生成一个较小数字的应答（比如65,536），网络窃贼就很可能生成两个相似的匹配代码。
用这种方法，网络窃贼可以获得XYZ银行主页的IP地址及其有效期，找到本地域名服务器，然后用自己的地址取代正确的地址，向客户提供虚假信息。最后，客户在搜索XYZ银行时就会被连到黑客的计算机。假设黑客运行的是一个令人信服的银行注册伪造页面，客户根本就不会意识到自己是在向一个假冒网站提供自己的机密信息。
同样的缺陷也困扰着其他网络协议，如边界网关协议（BGP）等，这些协议对互联网上数据包的跟踪路径进行管理。这些缺陷同样也影响动态主机配置协议（DHCP），当电脑在新点位连接时，该协议提供电脑漫游使用，查找新的网络资源。例如，如果您坐在咖啡厅里，想打开与本地无线路由的连接，您的笔记本向服务器发出查询信号进行自我验证，然后DHCP协议将您的笔记本电脑引导到它接收到的第一个响应。如果一个电脑黑客正坐在同一个房间，他就可以抢在咖啡厅路由之前强行发出应答，然后你的笔记本就会连到他的电脑上了。对您来说一切都好象很正常，但黑客的电脑会记下您的通讯方式，然后就偷偷地将您连到那些恶意网站上去。
这种危害比个人或商业机构更大。安全政府部门与军事装置也会受到这种方式的危害。而且确实有这样的案例，这些漏洞造成了记录被更改和数据被盗。
我们怎么就到了这样的境地？
我们当前的不安全状态，部分是历史原因造成的。现用协议的前身是35 年前开发的，当时互联网还只是一个研究性网络，并不存在防范恶意攻击的必要。后来，互联网开放，并有了爆炸性增长，但我们却没开发出更强的安全措施。而当时已有的协议想当然地认为，在线的数十亿用户和设备均是诚实又有胜任的。
修复互联网协议将是一个艰难的挑战。某些改进想象起来比较简单，比如改用16位以上的认证码，但如果真正在全球应用起来，就会有相当可观的工作要做。有关方面的信息解码技术得到了很好的开发，但要植入互联网所有路由器，同时不会由于流量上升而导致网络缓慢运行，或被迫购买昂贵的新设备，这些技术并没有必要开发得如此迅速。
基于以上这些及其他原因，在总统信息技术顾问委员会(PITAC)2005年2月的报告中（我也是成员之一），强烈建议增加联邦资金，用于网络安全基础研究。国土安全部目前只将研究经费1 ％中的十分之一投入此问题。国防高级研究计划局（DARPA）过去对此类项目的资助非常慷慨，但最近其关注范围越来越窄，网络安全方面的研究也被分级，这限制了在大学里进行的研究量，并妨碍了从技术到产业的转化。国家科学基金会（NSF）对这个问题的研究也很有限。同时，虽然整个行业认真考虑过这个问题，但微薄的利润使商业公司不愿意积极开发广泛的解决方案。
即使有更好的协议在手，说服世界接受它们也极具挑战性。没有一个重要的管理机构来规范互联网，而在让相关各方采用适当安全规范方面，标准机构显得极为低效。由于国家政府机构对互联网应该如何运营持不同观点，使得情况进一步复杂，而许多重要的互联网参与者反对任何形式的政府介入。
有一点非常明确，那就是网络安全应该立即受到关注，并且需要持续关注。正如总统信息技术顾问会（PITAC）报告所称，“美国IT 基础设施非常脆弱，极易受到恐怖分子和犯罪分子的攻击。在情况进一步恶化前，我们必须采取行动，无所作为的代价将更加巨大。”
在ScientificAmerican.com 可阅读全文
