彭磊由于吸入了過量煙霧,現(xiàn)在還處于昏迷中,不過醫(yī)生表示沒什么大礙,預(yù)計三天內(nèi)會醒,對于夭裊和喬翼只能如實匯報。
收到夭裊和喬翼的匯報后,華紅纓召開了正式的沙盤推演,樂川市局的一間會議室里,巨大的環(huán)形會議桌前坐滿了行業(yè)內(nèi)的頂級專家。
巨大的投影機(jī)投下數(shù)字貨幣系統(tǒng)的架構(gòu)圖,乍一看還以為是某種生物的中樞神經(jīng)系統(tǒng)。
演講臺上,華紅纓拿起話筒:“各位專家,同仁,今天客套話我就不說了,我收到準(zhǔn)確線報,敵人對0day漏洞的發(fā)現(xiàn),有了重大突破,我們必須搶在他們之前找出漏洞,并制作出補(bǔ)丁。”
“沒問題。”所有人異口同聲道。
華紅纓作為藍(lán)隊的主持人,聲音在安靜的環(huán)境里顯得格外清晰:“林工,從你開始,如果你是蛇鯔,你會主攻哪里?”
銀發(fā)林工推了推眼鏡,指向投影中與億萬用戶直接關(guān)聯(lián)的環(huán)節(jié):“手機(jī)第三方支付APP。這是最薄弱的環(huán)節(jié),沒有之一。”
他臉上帶著篤定:“超過兩成的第三方支付app,對運(yùn)行環(huán)境的檢測形同虛設(shè)。Root或越獄設(shè)備可以輕易注入惡意代碼。”
一位年輕的網(wǎng)安立刻補(bǔ)充:“更危險的是離線交易,有些地方人一多,信號就不好,黑客完全可以利用網(wǎng)絡(luò)的延遲劫持資金,同時還會引發(fā)群眾對數(shù)字貨幣的信任危機(jī)。”
另一名紅客眼底帶著一絲后怕:“我們模擬過,通過供應(yīng)鏈污染,偽造一個官方的更新包,誘導(dǎo)用戶下載。惡意代碼就可以潛伏在手機(jī)里,在特定時間點爆發(fā),比如除夕夜,大家互相發(fā)紅包時,收錢的收不到,發(fā)錢的錢被扣了。那種混亂,想想就嚇人。”
“銀行客戶端呢?”華紅纓追問。
“風(fēng)險也很高,但攻擊面相對分散,畢竟每個銀行都有自己的客戶端。”另一位接口道,“部分終端系統(tǒng)老舊,可能被植入偽造簽名。另外,NFC通信在擁擠環(huán)境下也有被近距離劫持的風(fēng)險。但比起第三方支付APP的龐大用戶群,終端攻擊難以造成全民恐慌。”
“后臺清算系統(tǒng)?”華紅纓目光投向最核心的區(qū)域。
負(fù)責(zé)后臺系統(tǒng)的專家沉吟片刻:“協(xié)議層面極為堅固,但并非無懈可擊。極端峰值壓力下,分布式賬本同步可能產(chǎn)生微小延遲,理論上存在被利用進(jìn)行賬本分裂攻擊的可能。”
“但最大的風(fēng)險……依然是‘人’。”他頓了頓,“內(nèi)部權(quán)限管理一旦出現(xiàn)紕漏,或者有相關(guān)工作人員被腐蝕,泄露了風(fēng)控模型的關(guān)鍵參數(shù),后果將是災(zāi)難性的。”
會場陷入短暫的沉默。可能的漏洞被一一攤開。華紅纓直起身:“那請各位各顯神通吧,攻擊怎么激烈怎么來。”
一時間,會議室里只有鍵盤的敲擊聲,紅藍(lán)雙方全身心投入這場沙盤大戰(zhàn)中。一輪又一輪的攻擊打在了最薄弱的節(jié)點。
大屏幕上一大半的藍(lán)色節(jié)點,一度被攻擊成了黑色斷聯(lián)狀態(tài),但紅方也不是吃素的,沒一會兒就搶回了自己的陣地。
這場對決一直持續(xù)到晚上,最后所有人得出結(jié)論,第三方支付APP是首要目標(biāo),其次是利用擁擠的網(wǎng)絡(luò)環(huán)境攻擊離線交易。
推演結(jié)論很清晰了。林工總結(jié)道:“紅纓同志,綜合來看,九成會落在錢包APP和雙離線交易這兩個軟肋上。”
她轉(zhuǎn)向技術(shù)團(tuán)隊:“林工,立即協(xié)調(diào)所有運(yùn)營機(jī)構(gòu),春節(jié)前完成對主流錢包APP的全量安全審計,重點排查環(huán)境檢測和離線交易邏輯。我要一份漏洞排查清單。”
“沒問題。”林工肯定道。
蒯九淵插話道:“蛇鯔有嚴(yán)重的強(qiáng)迫癥,我猜時間大概率是新年……零點的時候。但是大年夜還是除夕夜的零點就不知道了。”
“嗯,補(bǔ)丁宜早不宜遲。風(fēng)控等級提至最高,”華紅纓又轉(zhuǎn)向金融安全部門,“聯(lián)絡(luò)央行及所有試點機(jī)構(gòu),將沙盤推演出的所有潛在攻擊路徑和臨時加固方案火速下發(fā)。盡快做出相應(yīng)的補(bǔ)丁,預(yù)防未來的系統(tǒng)攻擊。”