Ing. Calogero Bono
周日至周一的夜里，乌克兰和俄罗斯的预警应用遭到网络攻击。乌克兰民众收到了关于辐射、化学袭击以及一枚载有核弹头导弹的虚假通知。几个小时后，俄罗斯也出现了类似的消息。这起事件之所以值得关注，是因为它表明，一旦预警渠道依赖单一应用，就会变得多么脆弱，即便这个应用掌握在国家手中。
在进入事实之前，先了解几个术语。 推送通知是应用在手机关闭时仍会发送到手机上的消息。入侵指未经授权的人获得了某个系统或其中一部分的控制权。Air Alarm是乌克兰的应用，用于发布空袭警报。Telegram是当局发布辟谣信息的渠道。漏洞是软件中可被攻击者利用的缺陷。
预警应用究竟发生了什么？
据Punto Informatico报道，周日当地时间22:47起，乌克兰民众通过Air Alarm收到了关于可能的辐射、化学袭击以及街头战斗的警报。其中一条消息称，俄罗斯已发射一枚载有核弹头的Oreshnik弹道导弹。
The Register的报道补充说，虚假警报还涉及基辅的交火。两国当局均已证实遭到了攻击。
乌克兰当局如何应对？
乌克兰空军在Telegram上发布了辟谣。据The Register引述，其表示该应用“可能已被入侵”，并且“不存在任何辐射威胁”。推送通知随即被关闭，服务也被暂停。
约两小时后，服务逐步恢复。目标地图仍然暂停，应用目前只显示危险等级，即黄色或红色。数字转型部提醒民众可使用其他渠道，包括iOS和Android的紧急预警、警报鸣笛以及政府官方账号。
俄罗斯那边发生了什么？
俄罗斯紧急情况部称，该应用遭受了“大规模网络攻击”，攻击者借此发送了虚假信息。据该部门称，这些消息宣称将对“俄罗斯所有地区”发动核攻击，并提到了P1-Sun无人机。
约90分钟后，该部门宣布应用恢复正常。部门强调，攻击应用并不等于攻破了国家预警系统，后者依靠警报鸣笛、短信、电视和广播。应用，据其所言，只是一项辅助服务。
为什么这些消息一开始就显得可疑？
乌克兰的第一条消息是用俄语写的，而乌克兰官方通讯始终使用乌克兰语。Punto Informatico认为，这一点足以说明它是假的。The Register指出，这个细节加上Oreshnik这个名称，立刻就成了明显的信号。
乌克兰议员Oleksander Merezhko对BBC表示，此次攻击几乎肯定是俄罗斯网络战的一部分。这是他的个人判断，并非已证实的事实。
需要了解的局限
目前尚不清楚攻击者是谁。HDblog指出，没有足够信息判断这两起事件是否出自同一方之手。攻击与奥列什基停火结束之间的关联同样未被证实，尽管两者在时间上很接近。俄罗斯并未明确指责乌克兰。我们也不知道攻击者是如何进入系统的。
对数字行业从业者意味着什么
开发需要发送关键通知的应用的人，应当把这一通道视为攻击目标。如果你的应用需要向客户、患者或员工发送通知，就必须严格控制谁能发送消息，并设置能够快速关闭通知的方式。如果你需要满足这些要求的应用，不妨考虑把iOS和Android应用开发的安全性放在首位。此外，还需要一个替代渠道用于辟谣，正如这次Telegram所起的作用。这种风险不仅限于国家层面，因为一条虚假通知会损害任何企业的公信力。
我们的看法
最值得关注的是防御层面的经验。系统之所以能够维持，是因为它并不完全依赖这一个应用，而且虚假消息存在明显的低级错误。更谨慎的攻击者会用乌克兰语撰写。因此俄方的声明颇有分量，它提醒人们，应用只是辅助手段。设计关键服务的人应当坚持同样的原则，冗余和独立的渠道。比起争论谁是幕后黑手（目前仍无证据），我们认为这一教训更有价值。提醒一句，应用的安全也离不开端到端加密，但这并不是全部。
常见问题
乌克兰的虚假警报是什么时候发出的？
据Punto Informatico报道，是周日晚上当地时间22:47起。Air Alarm应用发布了关于辐射、化学袭击以及一枚Oreshnik导弹的警报。
俄罗斯也受到了影响吗？
是的。俄罗斯紧急情况部证实其应用遭到大规模网络攻击。消息称将发生核攻击，并提到了P1-Sun无人机。
是谁攻击了这些应用？
目前不清楚。各方来源均未确认责任方。HDblog指出，没有足够信息判断两起攻击是否出自同一方。
这些应用现在恢复正常了吗？
部分恢复。乌克兰的应用已逐步重新上线，但暂时没有目标地图。俄罗斯部门称，其应用在约90分钟后恢复正常。
乌克兰民众在应用不可用时可以使用什么？
可以使用iOS和Android的紧急预警、国家的警报鸣笛以及政府官方账号。数字转型部已对此作出提醒。
虚假紧急警报事件之后需要关注什么
接下来几周将揭示是否会找到责任人以及具体的技术细节。对于负责带通知功能应用的人来说，现在已有一些值得持续关注的信号。
- 关注官方就攻击原因和被利用漏洞发布的后续说明。
- 核查你的组织中谁有权发送推送通知，以及他们拥有哪些权限。
- 制定一份辟谣预案，并使用与应用相互独立的渠道，以备虚假消息出现时使用。
