二十世纪的漏洞威力有多大?至今仍让英国民众愤怒
2024-1-10 16:59:21 Author: www.freebuf.com(查看原文) 阅读量:9 收藏

最近,英国独立电视台(ITV)的一部新剧(Mr Bates vs. The Post Office)引发了英国无数国名的愤慨,也揭开了英国邮局(Post Office)十几年来一直试图掩盖的丑闻。

英国邮局(图片来源于上观新闻)

Mr Bates vs. The Post Office根据真实事件改编,讲述了英国邮局因为采购的系统存在漏洞,导致数百人锒铛入狱、多人自杀,数百个家庭因此倾家荡产,该案件也被认为是英国最严重的冤假错案之一。

被冤枉的代理商及其家人(图片来源于上观新闻)

一个系统BUG导致的冤假错案

英国邮局具有数百年的悠久历史,是英国政府非常重要的基层机构,一直为英国人提供不可或缺的服务。

但在千禧年后,在信息技术的冲击下,邮政业务量骤减,连年亏损。为节约成本,邮局通过特许经营等方式,让普通民众做代理商,但他们不属于邮局的正式雇员,民众可通过邮局代理商领取养老金等。

超市里的英国邮局柜台(图片来源于上观新闻)

为了让代理商模式顺利推行下去,英国政府在1999年耗费10亿英镑购买了地平线(Horizon)计算机会计系统。该系统由由英国企业ICL开发的,2002年ICL被日本富士通公司并购,“地平线”系统就成为了富士通旗下的产品。

到 2000 年 8 月,该系统已在英国的 10000 个分支机构中推广,并于 2000 年和 2001 年部署到 13000 多个邮局分支机构,每天需要处理数百万笔交易。

但万万没想到,这个系统存在巨大的漏洞,数据记录不正确。你敢信,一个耗费10亿英镑购买的财务系统,竟然会出现数据记录不正确的问题。很快,代理商们在操作系统时发现,代发的养老金账户数额有误,总是会有一部分钱不见了。

当这些信息反馈至英国邮局后,调查人员认为是代理商们私吞了这笔钱,并对他们进行立案调查。数据显示,从2000年至2014年,英国邮局因怀疑700多位代理商在账户管理系统“动手脚”,私吞公款,以盗窃、欺诈和做假账等罪名将他们送进监狱。有人为了脱罪不得不支付大量赔偿金,有的人则被迫入狱,甚至还有人愤而自杀。

2016年4月,“正义联盟”的555位邮局代理商向法院递交了诉状,起诉邮局。最终法院认为“在整个涉案期间,地平线系统存在重大问题”。

“英国邮局一直知晓地平线系统的可靠性存在严重问题,因此有明确的义务调查各项线索的合理性,并应考虑披露并向院方解释任何可能颠覆案件判决的信息。然而在此期间,英国邮局似乎从未充分考虑过对地平线系统提出质疑、或者表达相应的担忧。相反,其始终坚称 Horizon 系统是稳定且可靠的”

截至目前,英国邮局已经支付 8598 万英镑的赔偿金,但英国政府并不打算为这起丑闻而与富士通切割,因为它被英国政府视为不可或缺的IT供应商。英国海关总署和税务部门已使用富士通的系统几十年,英国最大的政府部门——就业与养老金部也很依赖富士通。

多年垃圾代码遗留下来的灾难

据 The Stack 透露,英国邮局因地平线系统漏洞犯下的“涉嫌欺诈罪行”而接受刑事调查,因此不得不“中止部分将现有软件迁移至云基础设施的转型计划”,最终导致在 2023 年内损失掉 3100 万英镑。

而如此巨大的损失额度,相当于英国邮局 2023 年全部重组成本的 81%。2021 年,英国邮局以 4250 万英镑的价码与富士通签订了地平线项目扩展合同,并称其为“高度复杂的遗留平台,用于编写软件的语言版本已经严重过时,且整体架构不够灵活、导致技术变革非常困难。”

时间来到 2022 年,邮局工作人员曾在博客中热情介绍了其转向亚马逊云科技的计划。2021 年的合同也包含对现有服务协议的多项修订,计划在 2023 年将现有软件迁移至亚马逊云科技。但根据最新披露的数据,这项举措在“烧掉”3100 万英镑之后仍宣告失败。

英国邮局在 2023 年 4 月公开承认,“在将服务迁移至新云服务商的过程中,我司遭遇到经济和能力上均无法克服的基础技术挑战。”为此,邮局方面只能再花 1600 万英镑选择续约。

2023 年 11 月,英国邮局又与富士通续签了 3600 万英镑的合同,其中提到地平线“是一套极为复杂的平台,用于编写软件的语言严重过时,且自身属于五大系统的集合体——即金融服务、银行、政府服务、邮件和零售。地平线自身的架构设计也极不灵活,导致技术变革难以推进。”由于只能继续使用原有数据中心,英国邮局需要对系统进行一番强化,以提供稳定性、避免过时并保障业务连续性。

有时候安全漏洞的危害超乎想象

随着人类对于计算机系统的依赖程度越来越高,安全漏洞带来的危害也往往超乎我们的想象,对于系统安全漏洞必须保持高度重视。

2017年,WannaCry勒索病毒肆虐全球,引爆互联网行业的“生化危机”。借助“永恒之蓝”高危漏洞传播的WannaCry在数小时内影响近150个国家,一些政府机关、高校、医院的电脑屏幕都被加密,致使多个国家政府、教育、医院、能源、通信、交通、制造等诸多关键信息基础设施遭受前所未有的破坏。

2021年,log4j2漏洞引发网安行业“大地震”。作为目前java全生态中的基础组件之一,该漏洞影响多达60644个开源软件,涉及相关版本软件包更是达到了321094个。截止到目前,依旧有很多系统受到log4j2漏洞的威胁。

英国邮局丑闻也告诉我们,漏洞越早修复影响越小。倘若英国邮局人员对业务人员的反馈进行严谨的安全测试,及早发现该漏洞并进行修复,自然也就不会出现如此严重的冤假错案和经济损失。安全左移已经是当下网安行业普遍认可的观点,在软件开发流程中尽早引入安全测试,以便尽早识别问题、解决问题。

还需注意的是,机器也会犯罪,尤其是在AI大行其道的情况下,有时候机器犯罪会比人犯罪带来更加可怕的后果。

参考链接

https://export.shobserver.com/baijiahao/html/544440.html

https://mp.weixin.qq.com/s/M1kRLieQivRDW7CNYySwuw


文章来源: https://www.freebuf.com/articles/neopoints/389375.html
如有侵权请联系:admin#unsafe.sh