随着公众云服务和物联网设备的普及，互联网正以前所未有的速度联通政府部门、商业机构、社会团体和普通民众，而军事、情报、金融、能源等敏感部门却在反向而行，采取各种技术手段从物理上切断互联网与其内部网络的连接通道。

这种物理隔离做法被网络安全行业称为“气隙（Air-Gapped）”保护，它看起来是应对各种网络威胁的好办法，因为黑客几乎不可能入侵其无法通过互联网接触的系统。美国国防和情报部门当前使用的绝密级网络“全球联合情报通信系统（Joint Worldwide Intelligence Communication System，JWICS）”是最知名的气隙保护网络之一，国防部、国务院、国土安全部和司法部等美国政府机构都通过该网络开展机密信息交换。除了军事国防系统外，气隙保护网络在各国关键基础设施、金融及其他行业中也广泛存在。

网络安全没有万灵药，这对气隙保护同样如此。气隙保护需要与组织机构的安全策略及其他安全措施配合使用，例如禁止未经审核的移动存储设备插入气隙保护系统，使用高级入侵检测和拦截系统消除偶发的内部安全攻击事件等。如果措施到位，气隙保护能够令技术水平低下的自由黑客知难而退，最近新加坡国防部的无密级办公网络遭不明身份的黑客入侵，但损害最终被控制在最小程度，因为黑客始终无法突破使用气隙保护的新加坡军方机密网络。

但对于具有坚定决心和必要资源投入的国家背景黑客来说，气隙保护网络也并非无懈可击。在公众的印象里，要入侵气隙保护的安全网络需要使用像《碟中谍（Mission Impossible）》的物理潜入手段，至少也应该是派行动人员潜入目标设施，而后在气隙保护的计算机上插入U盘，并植入预先配置好的恶意软件。美国情报部门确实有这样的行动单位，并有一个专用的名词“抵近访问（Close Access）行动”，美国国安局NSA还将其下属的目标渗透单位（Target Exploitation，TAREX）与中情局CIA的一线情报人员编组，共同执行“线下”的入侵任务。本月初维基解密曝光的“7号保险库（Vault 7）”秘密文件中就描述了中情局代号为“冲击钻（HammerDrill）2.0”、可突破气隙保护的恶意软件。但“抵近访问”行动实际上要比其他入侵方法耗费更多时间和资源，它最大的问题是只会有效一次，而老练的黑客更需要能反复使用的入侵方法，例如一个专用的后门程序或其他类似手段。

实际上，社会工程学或使用线人，才是入侵气隙保护网络的最好方法，这两种方法也是95%以上已知气隙保护网络成功入侵案例中的核心要素。2008年，美国国防部发现自己的机密网络遭到俄罗斯蠕虫的侵袭，调查后才发现其始作俑者是俄罗斯情报部门。俄罗斯情报部门将一批带毒U盘送到了北约喀布尔总部附近的售货亭，其中有一个U盘被好奇的美军士兵插入到接入美国中央司令部作战网络的计算机上——这个简单行动导致代号为agent.btz的蠕虫在美军无密级和机密网络中快速扩散。最终，美军启动了一个代号为“扬基鹿弹（Operation Buckshot Yankee）”的行动来解决这个网络入侵事件。

2010年曝光的震网病毒破获伊朗核设施离心机事件，则可能是最知名的气隙保护网络成功入侵案例。震网病毒据称是被以色列收买的内部人通过U盘带入伊朗纳坦兹核设施，它使用了两个来自台湾服务器的数字证书进行签名，使得它在完全爆发前能不受干扰地在纳坦兹核设施的内网中秘密传播。事后有安全专家判断，震网病毒事件表明攻击者事先已对伊朗核设施网络进行过技术侦察，同时震网病毒也对气隙保护网络的特点进行过有针对性的设计。

供应链拦截是突破气隙保护网络的另一种常见方法，美国国安局和中情局都有进行此类行动的记录。标准的操作手法是在美国国内拦截快递运输中的电子设备，开箱后在设备中植入恶意软件或硬件木马，而后再重新将货物发给真正的收件人——能接触目标气隙保护网络的内部人员。

一旦进入气隙保护网络，如何将获取的数据再从中回传到外部则是一个更有挑战性的任务。完全物理隔离的网络在现实中是不存在的，在软件更新等偶然情况下，气隙保护网络也可能会接入互联网；如果内部员工在气隙保护网络使用私有的移动存储设备，黑客也可使用能感染移动存储设备的恶意软件将气隙保护网络的敏感数据“搬运”到员工移动存储设备上，等到员工在自己家里上网时再将窃取的数据回传到黑客预先设置的互联网服务器上。据称震网病毒就是这样将从其纳坦兹核设施中窃取的数据，回传到美国国安局控制下的指挥控制服务器。

各大黑客会议上的热门议题旁路信道（Side Channel），也是从气隙保护网络中回收数据的思路之一。这类技术利用电磁、声学、热辐射和光学原理，秘密从气隙保护网络和系统对外发送数据，因此也被称为“隐蔽信道（Covert Channel）”，例如，一种名为“AirHopper”的技术可控制计算机显卡发出调频波段的无线信号，黑客可通过邻近手机上的定制应用程序接收并还原成数据。两台装有扬声器和麦克风的气隙保护计算机也可以通过超出成人听觉范围的超高频噪声进行秘密数据交换，网络安全专家去年还演示了如何通过散热风扇和硬盘驱动器的运行噪声从气隙保护计算机对外发送数据。计算机和网络设备上普遍存在的LED状态指示灯也可作为发送数据的媒介，一个名为“LED-it-GO”的技术就是以软件控制硬盘指示灯以每秒数千次的频率闪烁，同时利用一个带有摄像头的小型四翼无人机来接收这些经过莫尔斯代码编码的信息。

尽管上述旁路信道技术每次都能在黑客会议上引起轰动，但在现实世界种，绝大多数的数据泄漏仍是通过互联网、带毒移动存储设备或恶意移动应用程序来实现的。随着公共云服务和物联网技术的普及，未来将有更多的数据被存储在线上并可通过互联网访问，这也为黑客创造了更多的机会。

简评：

    如上所述，尽管旁路信道技术能突破气隙保护进行数据传输，但安全行业仍普遍认为这些技术更具有理论或学术价值，因为这相当于租用一架直升机来偷走某个人的钱包，有点“杀鸡用牛刀”的意思了。最简单的办法才是最好的办法，人性中总有弱点，而只要能操纵气隙保护系统中最弱的一环——人，就不一定每次都需要使用超级高科技的网络攻击或物理入侵手段了。