英國「三叉戟」核潛艇存在嚴重網路安全隱患的啟示

根據英國軍方規定，任何時候英國總有一艘「三叉戟」戰略核潛艇處於一級戰備狀態，一旦接到唐寧街１０號的命令，它會立即向敵國發射戰略核導彈。因此，「三叉戟」戰略核潛艇的戰略意義重大。

2017年6月，倫敦智庫英美安全信息委員會（BASIC）發布調查報告《Hacking UK Trident, A Growing Threat》稱，英國「三叉戟」核潛艇存在嚴重網路安全隱患，易遭受災難性網路攻擊。報告表示：成功的網路攻擊可能會完全抵消潛艇操作指令，造成人員傷亡，甚至有可能直接或間接地引起核彈頭發射。這種日益發展的針對戰略導彈核潛艇的網路攻擊威脅，可能會對國家間戰略穩定狀態和核戰二次打擊能力造成嚴重影響。

英國「三叉戟」核潛艇

報告分析了三叉戟核潛艇供應鏈各個階段存在的安全風險，從國家戰略層面提出應對策略，指導三叉戟系統的安全。

相關網路安全事件

三叉戟核潛艇在巡航期間處於物理隔離狀態，不接入互聯網或其他網路，僅從外界接收非常簡單的數據，因而常被官方標榜為遠離黑客困擾的典範。但是潛艇、導彈、核彈頭和各種後備支撐系統都依賴於計算機網路和軟硬體設備才能正常運行，這些數字部件都經過設計編程，包含獨立的數據系統，必須定期進行升級、重構或修改。例如，黑客可向停靠在蘇格蘭法斯萊恩(Faslane)海軍基地處於維護狀態的核潛艇發動惡意軟體攻擊。惡意軟體的攻擊使英國三叉戟核潛艇存在安全隱患，可使國家和武器庫完全陷入癱瘓，甚至可導致扭轉戰局的災難性後果。

利用惡意軟體攻擊基礎設施的事件已經發生了很多件，攻擊範圍包括通訊、金融、政府網站、核設施、電網等，下表列出了近幾年來發生的網路安全事件。

攻擊方式

從攻擊載體分析

攻擊者可以利用硬體、軟體以及人員等完成攻擊。一般來說，任何複雜系統中最薄弱的環節是負責管理它的人，人員往往成為網路攻擊者的目標。對於三叉戟系統來說，潛艇上的娛樂計算機網路是網路攻擊的突破口之一。使用個人計算機將惡意軟體引入甚至寫入到船上，然後使用USB或SD卡等將惡意代碼引入控制系統網路。對Natanz核設施的網路攻擊Stuxnet（伊朗，2010年）就是一個使用USB設備來上傳惡意軟體的例證，它可以通過由受信任和授權用戶攜帶的USB存儲設備傳播。另外，三叉戟核潛艇還在運行大量舊版Windows XP操作系統，此前，英國國民醫療系統（NHS）就因為該原因導致被WannaCry病毒大面積攻擊感染，因此，三叉戟核潛艇也面臨著同樣的安全隱患。

從整個供應鏈分析

潛艇的採購和運行涉及研發、製造、組裝、試用、部署和維護等幾個階段。在製造，裝配和維護階段，會被有意或者無意的引入安全漏洞，或者將惡意軟體上傳到組件或組件網路中，使其處於休眠狀態，在特定情況下激活完成攻擊。

在巡邏階段，攻擊方式主要有巡邏前注入惡意軟體、內部威脅以及對潛艇對外無線電傳輸三種。在新技術出現之前，潛艇更容易受到潛艇內部的攻擊，如果在水下受到損害，系統故障可能導致潛艇的重大故障，帶來很大的安全隱患。

維護包括系統的更換、重新配置、更新和升級。在此過程中，系統與外部網路和設備進行交互。惡意軟體上傳到潛艇的存儲設備上，進而破壞或損壞導彈、導彈控制或其他系統。像施工階段一樣，維護階段的供應鏈安全性較差，容易受到外部或內部的攻擊。

攻擊方法

該調查報告中詳述了各種破壞性和危險性操作的攻擊方法，但也同時強調，這些攻擊超過一般水平，必須是複雜而準備充分的持續性網路攻擊，才可能遠程觸發核潛艇漏洞，如來自對手國家深度複雜的APT網路間諜行動。

潛艇上所有重要的系統組件都是自動化且由系統控制的。由於軍事基礎設施受到嚴格保護，因此對核潛艇的進行攻擊的最有效手段就是使用惡意軟體攻擊這些系統。下圖列出了常見的攻擊方法。

應對措施

為了應對日益增長的威脅，需要在開發、構建、巡邏以及維護等供應鏈的各個環節進行防禦。嚴格的網路防禦需要一些先進的檢測技術和模擬練習來應對所有潛在的網路攻擊場景，具體如下：

首先，將網路安全漏洞進行分析評估，從硬體、軟體、網路、人員、物理位置以及組織結構對漏洞進行分類，並分析漏洞的特徵和嚴重等級，以便用戶通過打補丁等方式來減輕風險。

其次，禁止在巡邏期間使用互聯網，WiFi、藍牙等，用於娛樂的計算機需要與核潛艇的關鍵系統隔離開，最大限度的減少兩者之間感染的可能性。監控巡邏期間核潛艇的內部和外部通信，定期更新通信協議，防止攻擊者進行竊聽。

總之，為了保證核潛艇的安全，需要長期的資金投入和技術支持，這是一項長期艱巨的任務。

總結

三叉戟核潛艇如果遭受網路攻擊，後果將不可預想。那些認為核武系統關鍵數字系統具有高度安保措施而可以免受網路攻擊的看法不負責任，降低風險的有效方法包括加強分包商、系統維護、組件開發設計和軟體更新各個環節的安全考慮，總體提高潛艇供應鏈各個環節的網路入侵抵禦能力。

下面閱讀原文，有啥 ？