對凱文·米特尼克(Kevin Mitnick)來說，有些事情從來都沒改變過。不說別的，單是從他的名片就能看出這一點。

他的名片是用不銹鋼切片制成的，包含可以拆卸的組件，能組成一套功能齊備的撬鎖工具。對于他這樣一個最早是罪犯、現(xiàn)在則擁有了合法身份的撬鎖高手——無論是虛擬的數(shù)字鎖，還是真的鎖——來說，這是一種很合適的象征。

我們會面的地點是在德國的漢諾威，他在本月被邀請出席CeBit科技大會做有關網(wǎng)絡安全的講座。大會組織者承擔了相關費用，而對米特尼克給出的身份介紹則是“世界上最有名的黑客”。這個頭銜是他在上個世紀賺來的，當時整個世界對于互聯(lián)網(wǎng)的存在還處在半夢半醒的懵懂狀態(tài)。在那時，米特尼克曾是美國聯(lián)邦調查局(FBI)在兩年時間里最想抓到的罪犯，到最后這場追逐以1995年他在北卡羅來納州被捕而告終。

《紐約時報》曾在1994年專文介紹過米特尼克，對他的描述是其在十幾歲時就曾黑進北美防空指揮司令部的計算機，這是一種“驚艷”到令人屏息的“戰(zhàn)績”。雖然這其實并非事實，但卻已經(jīng)成為了米特尼克傳奇的一部分。

在1999年，他與美國當局達成協(xié)議，承認了后者對其列出的四項電訊欺詐罪名、兩項計算機欺詐罪名以及一項非法攔截通信罪名。數(shù)罪并罰的結果是，他在美國聯(lián)邦監(jiān)獄中蹲了五年，到2000年出獄。在這期間，他曾被單獨監(jiān)禁過八個月，原因是一名聯(lián)邦法官認為他能“通過電話吹口哨來發(fā)射一枚核彈”。好吧，這又是一個傳奇。

歲月流轉至今，現(xiàn)年51歲的他承認曾黑進過屬于微軟、諾基亞和太陽微系統(tǒng)公司(Sun Microsystems)的計算機，目的則是“尋找知識和冒險”，而并不是為了個人利益或帶來任何重大破壞。在當今這個黑客受雇于犯罪集團或第三世界國家，日復一日地從全球跨國企業(yè)那里竊取數(shù)據(jù)，然后放到黑市上待價而沽的時代里，這種單純只是為了好奇心而做黑客的陳詞瞬間將聽眾們帶回到了那個更加純真的年代。

在今天，米特尼克已經(jīng)是一名成功的高薪安全顧問，受聘于全球規(guī)模最大的一些公司，比如說聯(lián)邦快遞、東芝、哥倫比亞廣播公司、IBM和洛克希德馬丁等。在這個領域中，他確實是一把好手。

“我的主要業(yè)務就是進行滲透測試。”他說道。“測試的對象包括物理安全、技術安全和人。我們對它們的無線網(wǎng)絡和網(wǎng)絡電話進行測試，確切地說是所有東西都會全面測試，以便找到其中存在的漏洞，這樣一來我們的客戶就能修復這些漏洞了。”

所謂的“測試”，其實就是米特尼克向這些跨國企業(yè)收取高額費用——他并沒有透露到底是多少——然后做一些曾在二十年前讓他鋃鐺入獄的事情：不惜一切手段侵入它們的計算機、網(wǎng)絡、電話甚至是建筑物，只要不被探測到就行;然后將結果回饋給這些公司，告訴它們他是怎么做到的。

最有意思的是，米特尼克以及他領導下的成員不斷發(fā)生變化的專業(yè)黑客團隊從來就沒失過手。這一次可不是什么“傳奇”了。“這可不是吹牛。”他說道。“事實就是如此。”

談話進行至此，米特尼克拋出了他最近一份工作的詳細清單，也就是為紐約一家大型零售公司做的“測試”。他用15分鐘時間編織了一個傳說，其中充斥著各種技術細節(jié)和規(guī)格。他回憶了自己及其團隊是如何騙過一名店長，讓其相信他是來自警報器公司的一名技術人員的。據(jù)他所說，任何通情達理的人都會上當。他用一張印有警報器公司標志的工作大樓通行卡蒙混過關，進到了“作案”現(xiàn)場，編造的借口是他要到那里去對警報器系統(tǒng)的動作傳感器“做一些調整”。

這項任務的最終目標不僅是滲入這家零售公司的計算機網(wǎng)絡——米特尼克后來找到了這個網(wǎng)絡的弱點，那就是一臺使用了默認密碼的網(wǎng)絡打印機——而且還要潛入其知名度最高的一家曼哈頓連鎖店，而且還要在幾個小時的時間里不被抓現(xiàn)行。米特尼克花了四個星期時間來進行偵查和研究工作，其中還包括專門制造了一臺機器，用于復制員工通行卡。

任務完成后米特尼克向其雇主的高管提交了一份報告，其中包括如何糾正他所發(fā)現(xiàn)的每個問題的詳細指導步驟。需要特別說明的一點是，他不是通過電子郵件發(fā)送這份報告的。“那時我仍掌握著他們的網(wǎng)絡訪問權，因此我就在他電腦的桌面上留下了一份報告副本。”米特尼克說道。“這樣做比用電子郵件發(fā)送更安全。他也覺得那樣做很帶感。”

他所講述的這個故事反映了一種思路，這種思路既貫穿在他的實際工作中，同時也隱含在他所編著的三本書里，那就是：人的因素。

在米特尼克接到的任務中，大多數(shù)都不僅是要求他攻擊一家公司的計算機，同時還要求他騙過這家公司的員工，允許他暢通無阻地進入到禁區(qū)中去。這種所謂的“社會工程”攻擊實際上就是欺騙那些管理著一臺計算機、一座建筑物或是其他什么資產的準入權的人，讓他們放棄自己身后被“鎖著”的信息。

米特尼克說道，“黑”人比黑計算機更簡單。“發(fā)動攻擊的最有效的方式就是讓客戶——也就是一個人——干蠢事兒。”他說道。正如老話所說的那樣，笨是無藥可救的。

當任務目標是攻破一個計算機網(wǎng)絡時，最好的辦法就是讓目標公司中的某些人打開本來不該打開的文件。“舉例來說，如果你的目標是一家法律事務所，那么通常來說你能讓人迫不及待地點擊打開一個PDF文件。”他說道，而這個貌似無害的PDF文件可能已被加載了惡意軟件，從而讓攻擊者的一只腳踏進目標公司網(wǎng)絡的大門。

一只腳就足夠了。在米特尼克鍥而不舍的探查下，這扇大門以及其他很多大門不用多久就會一一敞開：他會尋找其他計算機及其所運行之軟件的清單、員工名錄、用戶名和密碼、電話號碼及其他任何有用的信息，從而更加徹底地侵入一個網(wǎng)絡。只用一種方式是絕對行不通的。

回首往事，他對二十年前因做黑客而入獄、之后二十年卻以做黑客為生的辛辣對比看得很淡。但是，如果沒有了入獄的歲月，也就沒有了傳奇;如果沒有了傳奇，也就沒有了高額的顧問費。(到底有多高呢?他還是不肯說。)“我只是作為一種興趣愛好而開始了這一切，而現(xiàn)在則是以此謀生。”他說道。“即便給我一百萬年的時間去做夢，也從來都沒想過會有這樣的機會。”

如果你還是不信這個坐過大牢的人已經(jīng)改過自新，那么不妨這樣想想：他所做的工作可能已經(jīng)讓你直接受惠。最近，三大征信所中的一家——他不愿透露是哪一家——已經(jīng)聘用他進行了一次“測試”。

這次“測試”的結果跟他對上文中那家零售公司所作測試的結果幾乎沒什么分別。米特尼克又一次天花亂墜地描述了來自他記憶中的各種細節(jié);用一句話來概括的話，那就是：“我們占領了他們，不管是網(wǎng)絡、建筑物還是人，所有一切盡皆為我們敞開了大門。他們要花三年時間才能修補完我們發(fā)現(xiàn)的所有問題。”(瑞雪)