断网后黑客还能入侵吗

简介

该问题关注的场景是设备切断互联网连接、甚至与其他网络物理隔离之后，是否仍存在被外部攻击者入侵或窃取数据的可能。通常的应对办法是把计算机置于不与互联网及任何其他联网设备相连的状态，这种保护数据的技术被称为气隙系统（air-gapping），银行系统、军事机密与支付系统等领域曾长期采用此类做法。

学术界把这类针对隔离环境的攻击归入物理隔离网络对抗，其思路是利用预先植入的软硬件，在隔离网络内部与外部之间自行建立隐蔽信道，而不借助公共通信网与外界通信，隐蔽植入与隐蔽通信是其中两项关键特征^[4]。相关讨论的意义在于，它把网络安全的边界从“是否联网”扩展到“数据如何跨越物理间隙流动”。

沿革

相关技术观察可追溯到较早时期。荷兰计算机学家维姆·范·埃克（Wim van Eck）于 1985 年发表论文，提出通过侦测电子设备散发的电磁辐射实施电子窃听，这一方法属于旁路攻击（side-channel attack）的一种；二战期间贝尔实验室也曾报告电传打字机的同类电磁泄漏问题^[5]。

2010 年曝光的震网（Stuxnet）蠕虫使这一问题受到广泛关注。该蠕虫利用多个此前未知的 Windows 零日漏洞，先感染可联网主机，再借助 U 盘与快捷方式文件解析漏洞进入未联网的工业控制系统环境，并篡改相关控制指令^[6][7]。有分析认为这类病毒证实了物理隔离网络同样可能被感染，专用系统也可能成为攻击目标^[6]。

此后，公开披露的资料显示情报机构曾开发多种针对隔离环境的工具，例如通过感染 U 盘进入内网、再以摆渡方式传递指令与数据的恶意软件，以及隐藏于 USB 接口内的无线收发装置等^[8]。2022 年，以色列内盖夫本-古里安大学研究人员公开了名为 COVID-bit 的方法，可在约 2 米范围内通过电磁波从隔离系统中取回数据^[5]。

特点

该问题所涉攻击与常见的联网入侵相比，通常需要先完成一次“跨越间隙”的植入。研究梳理的植入途径包括供应链攻击、被污染的可移动介质、社会工程、窃取的凭据以及内部人员等^[9]。有安全从业者指出，隔离网络仍需在两侧传递项目数据、软件更新、补丁与文档，因此完全的气隙在实践中很难做到^[10]。

数据传出环节依赖隐蔽信道，学术界一般将其分为声学与超声波、电磁、热、光学 4 类^[2]。典型例子包括把计算机内部的串行 ATA 电缆当作临时天线，通过约 6 GHz 的电磁辐射传出一个单词；以及利用扬声器与麦克风在约 24 kHz 的超声波频段通信，传输距离可达 19.7 米、带宽为 20 比特每秒^[1][11]。此外还有通过键盘指示灯、硬盘活动灯、风扇噪声、显示器亮度与热量变化等方式传递数据的实验^[2][9]。

这些信道的共同限制是带宽低、稳定性差，多数实验在实验室环境中完成，实施往往需要近距离接收装置或内部人员配合，因此更适用于价值较高的定向目标而非大规模攻击^[2][12]。就防护而言，法国信息安全事件响应机构曾指出，被断开的网络在补丁更新、口令策略等方面往往比联网网络更差，建议通过专用摆渡机、独立监测与离线更新机制加以弥补^[3]。