「因為若一個人守望太久，他多半會睡著。」——培根（Francis Bacon）

「我要說，最大的過錯就是意識不到自己有任何過錯。」——卡萊爾（Thomas Carlyle）

為什麼寫電腦的書要談牆、鎖與警報#

現今多數安全工程師聚焦於電子系統，但實體保護不能被忽略。理由有六：

1. 若你在對公司的整體風險管理提供建議，牆與鎖就是一個因素。
2. 教一個有電機或資工背景的人實體安全基礎，比反過來容易；因此實體保護與邏輯保護之間的互動，通常得由做系統的人來管理。
3. 你常會被要求對客戶的裝置提供意見——而那些裝置可能是由對系統議題所知甚少的承包商建造的。
4. 許多資訊安全機制在壞人取得實體存取權時就會被擊敗，不論是在工廠、運送途中、還是安裝之前。
5. 許多機械鎖近年已被「撞匙（bumping）」這種容易的隱蔽進入技術完全攻破；其製造商往往似乎不知道那些能讓其產品被迅速繞過的漏洞。
6. 許多正在取代它們的電子鎖也容易被攻陷，要嘛因為使用了已被破解的密碼學（如 Mifare Classic），要嘛因為機械與數位元件整合不良。

正如我們看過強制執行機密性的軍事訊息系統、以及以保存紀錄真實性為目標的帳務系統，監控給了我們「需要可靠可用性之系統」的經典例子。

如果我的銀行金庫裡有小偷，我不太在乎誰知道這件事（所以我不擔心機密性），也不太在乎是誰告訴我的（所以真實性不是主要顧慮）；但我非常在乎「試圖告訴我」這件事不被阻撓。

歷史上約 90% 的電腦安全研究關於機密性、約 9% 關於真實性、1% 關於可用性。但實際的攻擊——以及公司的資安支出——往往正好相反：花在可用性上的比花在真實性與機密性上加起來還多。而最能教我們可用性的，正是警報系統。

威脅與屏障#

實體安全工程的核心與數位版並無不同：做威脅分析、設計一個涉及設備與程序的系統、然後測試它。

門禁與警報的設計與測試由一套政策驅動：

嚇阻 – 偵測 – 警報 – 延遲 – 回應（Deter – detect – alarm – delay – respond）

一個設施可以用硬方法（混凝土牆）或軟方法（不引人注目）嚇阻入侵者。接著會有一或多層屏障與感測器，其工作是擋住隨意入侵者、偵測蓄意入侵者，並讓他們難以太快進入。這會由一套設計來讓回應及時到場的警報系統互補。由於屏障會有讓授權員工進出的門，就會有門禁，可能從金屬鑰匙到生物辨識掃描器。最後，這些措施會由營運控制支撐。

如前所述，讓員工接受雙人控制並把它整合進工作文化的方法之一，是這些控制既保護資產、也保護他們。

統一物理、業務與資訊領域的作業安全至關重要：花一千萬美元保護一個裝著一億美元鑽石的金庫沒什麼意義，如果壞人能把一張假出貨單偷渡進你的系統、然後派快遞去櫃檯領走鑽石的話。

威脅模型#

一個重要的設計考量是攻擊者的技術水準、裝備與動機。 而如我們在一個又一個脈絡中所見，安全不是一個純量：問「裝置 X 安全嗎？」而不給脈絡是沒有意義的——「對誰安全？在什麼環境中？」

在沒有「國際標準竊賊」的情況下，作者所知最接近可用的分類來自一位美國陸軍專家：

社會學家聚焦於 Derek、犯罪學家聚焦於 Charlie、軍方聚焦於 Abdurrahman，而我們主要關心 Bruno。

他並不是「民間」罪犯的最高等級（那個頭銜大概歸替毒梟洗錢的黑心銀行家與律師，或替線上犯罪集團寫惡意程式的人）。但銀行與電腦機房的實體防禦，往往是針對 Bruno 設計的。

嚇阻與環境設計#

第一個考量是：你能否阻止壞人一開始就想闖入？

位置很重要；有些街區的犯罪遠少於其他。這部分與「附近其他財產是否受保護」以及「騙子有多容易分辨哪些財產受保護」有關。

例如 Ayres 與 Levitt 研究了 Lojack（嵌在車內、讓警方能在失竊時找到車的無線電標籤）對汽車竊盜的影響。在很多車裝了 Lojack 的城鎮，偷車賊很快被抓，而拆解贓車的「解體廠」被關掉。

他們發現雖然裝 Lojack 的車主每年付約 100 美元，他們這麼做的社會效益——其他人所受汽車犯罪的減少——是 1,500 美元。

牆與屏障#

過去銀行不遺餘力讓搶匪的日子非常難過，但這有其極限：搶匪永遠能威脅要射殺一名客戶。 所以到 1980 年代，哲學已轉為「把他看得到的現金全給他」。這個哲學已擴散到整個零售業。

1997 年星巴克在一起三名員工在拙劣搶案中被射殺的事件後檢討實體安全。他們決定把保險箱從經理辦公室移到店面前方，並讓這些保險箱不只對員工、顧客與路人高度可見，也透過閉路電視對控制室可見。 附帶好處是客戶服務改善了；新設計在若干美國據點測試，銷售增加與損失減少帶來良好的投資報酬。

第二，決定了保護目標後，你必須決定要為什麼目的、在哪裡設哪些周界或邊界。

許多建築有堅固的牆，屋頂卻容易被穿透；也許恐怖分子在你大門口自爆毫無效果，但一名環保抗議者可能爬上屋頂、切個洞、丟些燃燒的報紙進去，就癱瘓你的晶圓廠、讓你損失數億的產能。

NIST、建築五金製造商協會、保險商實驗室等組織有大量關於牆、屋頂、保險箱的測試結果與標準。基本想法是評估一道屏障能抵抗擁有特定資源（通常是手工具或電動工具）之攻擊者多久。

所以資料中心、銀行金庫的設計者偏好鋼筋混凝土的牆、地板與屋頂，加上鋼製門框。但如果壞人能整個週末不受干擾地工作，連混凝土也擋不住他們。

在英國最大的一起竊案中，一群年長罪犯 2015 年在哈頓花園鑽穿了一家保險箱公司 20 英寸厚的混凝土牆，捲走 1,400 萬英鎊的鑽石。四年後主謀被捕，審判中揭露他如何假扮電話公司工程師去竄改保安系統，然後用手機干擾器阻斷警報訊號。

• 你車上的方向盤鎖被認證為能抵抗一個人把體重壓上去；但偷車賊學會了用鷹架鋼管，那給了足以弄斷它的槓桿。
• 典型的銀行金庫被認證為能抵抗攻擊十分鐘，但你當地的消防隊用現代角磨機兩分鐘就能穿過去。
• 而如果壞人能取得正經的炸藥，他們幾乎能在幾秒內穿過任何東西。
• 另一個議題是熱熔切割棒，它能快速切穿多數屏障材料：保險箱工程師用這類東西進入密碼遺失的金庫。搶匪也拿得到。

機械鎖#

近年若干發展揭露了許多低成本機械與電子鎖的脆弱性，嚴重衝擊了鎖匠業。

撞匙（bumping）#

這項技術讓許多機械鎖能被沒有技術的人用如今容易取得的工具快速且無損地打開。 其主要目標是 Linus Yale 1860 年取得專利的銷柱鎖（pin-tumbler lock）。

插入正確鑰匙時，每個堆中頂銷與底銷之間的縫隙對齊栓塞邊緣，形成剪切線；栓塞現在可以轉動了。

典型的住家或辦公室鎖可能有五六根銷柱，每根縫隙有十種可能位置，給出理論上 10^5 或 10^6 種可能的鑰匙差異。

多年來人們就知道，只要有特殊工具，這類鎖可以被開鎖（picking）：基本想法是用張力扳手輕微扭轉栓塞，然後用開鎖工具操縱銷柱直到它們全部沿剪切線排好。但這需要大量練習，而在許多司法管轄區持有這些工具是違法的。 直到不久前，開鎖一般被認為只對投資銀行、大使館這類高價值目標構成威脅。

入侵者用指尖對鑰匙施加輕微扭力，然後用橡膠鎚敲擊鑰匙頭。衝擊使銷柱向上彈；施加的扭力使它們在彈簧把它們推回時卡住，但縫隙落在圓柱邊緣。淨效果是：敲幾下鎚子，鎖就開了。

這個把戲多年來就為人所知，但因為更好的工具與技巧而變得更有效。 它由荷蘭「開鎖者開放組織（TOOOL）」的 Barry Wels 與 Rop Gonggrijp 在 2005 年一份白皮書中公開，電視報導把訊息傳給了廣大觀眾。

專家的看法是：撞匙讓開鎖去技能化（deskill），可能有嚴重後果。 例如已發現美國郵箱的鎖能輕易被打開，佔美國住宅市場 70% 的銷柱鎖也是。

這篇荷蘭論文與隨後的宣傳引爆了一場軍備競賽，廠商推出更複雜的設計，而業餘鎖匠通報對其中許多的撞匙攻擊。如今作者的實驗室有開鎖工具組，讓中小學生在開放日玩——他們超愛的！

總鑰匙攻擊#

總鑰匙系統的設計是：除了每扇門的個別鑰匙外，還有一把能開全部門的頂層總鑰匙——例如給清潔工用。在銷柱鎖中，這靠在某些銷柱堆中加額外的切口實現：有些銷柱堆除了頂銷與底銷之間的單一切口外，還會有一根中銷。

假設我的鑰匙齒型是 557346，而我這條走廊的總鑰匙是 232346。我做一把齒型 157346 的鑰匙試試，不行。然後我把第一個位置銼到 257346。由於 2 是第一根銷柱的有效齒型，這就打開了鎖；而由於它不同於我自己的 5，我就知道那是該銷柱的總鑰匙齒型。

每根銷柱我平均要試四種齒型，而如果有三根銷柱是總鑰匙化的，我大約十二次測試後就有一把總鑰匙了。

機械總鑰匙系統的一大頭痛是撤銷。 持鑰者會離職，而且可能不誠實或粗心。他們可能複製過自己的鑰匙並賣給攻擊者；或有人拍了他們鑰匙的照片並列印複製品。

所以如果壞人能拍到我某位學生的真鑰匙照片，他也許能把它變成一把能開我的門、乃至整棟建築每一扇門的撞匙。

這在大學校舍或許不是問題（那裡除了書沒什麼好偷），但對攻擊者可能花兩年計畫搶劫的銀行、金銀商與珠寶商而言，那絕對是問題。 若這類設施有用側柱鎖的總鑰匙系統，而某位員工哪怕只是被懷疑洩漏過鑰匙，審慎的做法就是換掉每一把鎖。

所以雖然機械鎖單獨更換很容易，把數百把鎖整合在一棟建築中的系統，最後可能把業主鎖進鎖具廠商，多過把竊賊鎖在門外。

• 像 Charlie 這樣的職業罪犯，將能快速且不留鑑識痕跡地打開幾乎任何住家鎖；
• 而 Bruno 與 Abdurrahman 這類更專業的攻擊者，也將能打開多數商業場所的鎖。

住家鎖也許沒那麼要緊（Charlie 反正會走窗戶）；但商業場所多數機械鎖的脆弱性，可能有複雜得多也嚴重得多的意涵。如果你的職責包括伺服器機房或其他資產的實體保護，該開始思考它們了。

電子鎖#

撤銷的困難只是電子鎖市佔越來越高的理由之一。 它們存在已久——旅館自 1970 年代起就在用卡片鎖。有一大堆產品，使用從非接觸智慧卡、PIN 鍵盤到生物辨識的各種機制。

也有一些機電鎖結合機械與電子（或磁性）元件；但要讓鎖匠技術、密碼學與電磁機制無縫協作很難，而且不測試就永遠不知道。 這類鎖不只比簡單金屬鎖或卡片鎖貴，還常以有趣的方式失效。

但從一家用鎖保護大型複雜場所的大公司的角度看，問題與其說是鎖本身，不如說是你如何管理一棟建築中數十或數百把鎖——尤其當你在全球有數十或數百棟建築時。

電子系統能完全或幾乎總是連線，讓撤銷容易得多。除了強制執行安全政策，智慧建築還能提供其他好處，例如關燈與依佔用者調整空調來節能。但這會是一場長期抗戰。

警報#

警報的應用範圍遠不只竊盜：從監控超市冷凍櫃溫度（免得員工「不小心」關掉冷凍櫃，指望能帶食物回家），一直到衝突區中常被裝上詭雷的簡易爆炸裝置。

以一座美術館為案例研究：它有「既要保護貴重物品、又要展示它們」的有趣設計問題。攻擊者能在白天以一般公眾身分進來，而我們假設攻擊者是 Bruno——受過教育的職業藝術竊賊。

如何偷一幅畫（1）：電影版#

媒體愛死這種東西，而它也確實不時發生。但現實既更簡單也更奇怪。

如何偷一幅畫（2）：閉館後躲在櫃子裡#

設計警報系統時的常見錯誤，是被最新的感測器技術迷住。

市面上有很多令人印象深刻的東西，例如你可以繞著被保護物品環一圈的光纖纜線，只要被拉伸或放鬆不到 100 奈米（萬分之一毫米）就會發警報。 現代科學不是很了不起嗎？

於是天真的畫廊主人會買幾英尺這種神奇纜線、黏在他寶貝畫作背後、接到保全公司。那確實能偵測到吊在天花板上的那位仁兄。那麼你要怎麼擊敗它？很簡單。

警報很少與建築門禁良好整合。 許多設計者沒意識到：除非你能確實清點所有白天進入場所的人，否則你最好對「留下不走的惡棍」採取預防措施——即使那只是閉館後的一次巡視。

但作者仍對自己造訪的多數機密場所中「建築門禁被擊敗的容易度」感到驚訝——不論是靠坐在別人肩上通過閘門這類輕微技術手段，還是（最常見的）靠好心人替你把門撐著。

感測器的擊敗與誤報#

防盜警報使用範圍廣泛的感測器： 振動偵測器（圍籬擾動、腳步、破窗）、門窗開關、偵測體熱的被動紅外線裝置、超音波或微波的移動偵測器、微波或紅外線的隱形屏障、地毯下的壓力墊、影像攝影機（現在常有移動偵測甚至人臉偵測）、設備上的移動感測器。

主要問題是限制誤報數。

超音波在中央暖氣進氣口這類移動空氣附近表現不佳，而振動偵測器可能被車流搞到毫無用處。嚴峻天氣（如閃電）會觸發多數系統，而一場颶風不只能用雨、還能用數千個誤報淹沒一座城鎮的警力。

但不論你在阿拉斯加還是亞利桑那，主要的兩難是：你離被保護物越近，就越能嚴密控制環境、因而可達成的誤報率越低。反過來說，在周界上很難把誤報率壓低。但要讓入侵者被拖延到警衛趕到，外圍周界恰恰是你最需要可靠感測器的地方。

如何偷一幅畫（3）：讓警衛不再相信警報#

電子戰的經驗是：大於約 15% 的誤報率就會降低雷達操作員的表現；而多數入侵警報回應者的運作水準都遠高於這個門檻。

蓄意誘發的誤報對沒有全天候警衛的場所特別有效。 許多警力有政策：某個場所每年誤報超過一定次數（通常三到五次）後，他們就不再派巡邏車前往，直到警報公司或其他持鑰者先去查看過。

誤報也以其他方式降級系統：環境刺激（天氣、交通噪音）造成的誤報率，限制了可部署感測器的靈敏度。而警報業的成功本身大幅增加了警報總數、從而降低了警方對誤報的容忍度。

常見策略是以遠端影像監控作為第二道防線，讓客戶場所能被警報公司的調度員檢視；許多警力會優先處理以此確認過的警報。

但即使影像連線也不是萬靈丹。 攻擊者可以停掉照明、放火、或觸發同一條街上其他建築的警報。電話交換機因洪水或颶風而故障，可能導致機會性的洗劫。

在交通與天氣之後，Bruno 的下一個盟友是時間：植被長進感測器光束的路徑、圍籬變鬆使振動感測器效果變差、犯罪社群學會新伎倆，同時哨兵變得自滿。

所以需要認真實體保護的場所往往有數層周界：外圍圍籬擋醉漢與野生動物；然後是埋有感測器的平坦草地；內圍圍籬加紅外線屏障；最後是一棟厚實到足以拖延壞人直到救兵趕到的建築。

特性互動：火災與警報#

入侵警報與屏障會以若干方式與其他服務互動。 最明顯的是電力：停電會讓許多場所陷入黑暗且不受保護，所以認真的警報裝置需要備用電源。

較不明顯的互動是與火警及消防的互動。

如何偷一幅畫（4）：煙霧彈#

Bruno 破開逃生門進去抓走畢卡索。他大概能在一片混亂中逃脫；而就算不能，他總可以宣稱自己是個有公德心的路人，看到火災並冒生命危險搶救小鎮無價的文化遺產。警方可能不信他，但要定他的罪會很難。

附近工地的一場火災癱瘓了當地變電所，關掉了街燈以及博物館的電力。 其保安人員最終在閉路電視上看到入侵者並報警，但警察沒能及時趕到。

火災與入侵之間的互動一向困難。

在核反應爐，通常有「若發現炸彈，場所全面封鎖、任何人不得進出」的規則；也有「若發生火災，大部分人員必須撤離」的消防安全規則。這引出一個有趣的問題：萬一炸彈真的爆了，哪條規則優先？

而某些消防措施只有在你能把無辜的入侵者擋在外面時才能使用。許多伺服器機房有自動滅火器，通常意味著灌注二氧化碳。CO₂ 噴放對未受訓的人可能致命：能見度降到幾英寸、你被噴放那種可怕的尖嘯聲搞得暈頭轉向，只能靠肺裡剩下的空氣走出房間。氮氣噴放沒那麼壯觀，但同樣致命——氧氣濃度下降不會像 CO₂ 濃度上升那樣引發恐慌反應。

對通訊的攻擊#

老練的攻擊者至少同樣可能攻擊通訊而非感測器。

如何偷一幅畫（5）與（6）#

（6）Bruno 打電話給對手畫廊，宣稱來自處理其警報的保全公司。他說他們正在更新電腦，能否請他們告知警報控制器上的序號？ 一位辦公室小職員好心地照做了——沒意識到盒子上的序號也是保護通訊的密碼金鑰。Bruno 用 200 美元買了一台一模一樣的控制器，現在他有一台功能相同的裝置，把它接進對手的電話線。它會繼續回報「一切正常」，即使並非如此。

也可能你的某位員工或清潔工被賄賂、誘惑或脅迫而製造出漏洞。

在英國最大的搶案中（2006 年 2 月肯特郡 Tonbridge 的 Securitas 現金管理中心），搶匪假扮警察挾持了經理及其家人，逼他讓他們進去，捲走 5,311 萬 6,760 英鎊。

作者 1980 年代在銀行業工作時，他們很注意向現金中心經理簡報：這些控制是為了防止他們的家人被挾持為人質。 有懂行且有動機的防守者很好，但雙人控制的防禦必須貫徹到底。 高價值場所堅持警報維護與測試必須由兩個人而非一個人進行。

即使如此，雙人控制也不總是夠，尤其若你的對手是 Abdurrahman 而非 Bruno。在英國第四大的搶案中，臨時愛爾蘭共和軍 2004 年 12 月綁架了北方銀行的兩名持鑰者、以槍抵著其家人，逼他們隔天讓他們進入貝爾法斯特總部。恐怖分子捲走 2,640 萬英鎊，而為了讓大部分的錢無用，被偷走的 50 英鎊鈔票被撤出流通。

保護感測器與控制器之間通訊的老派方式是實體的：拉多條線到每個感測器並埋進混凝土、或使用充氣的裝甲纜線。現代方式是加密通訊。

然而設計往往有瑕疵，因為做設計的工程師未受過安全協定訓練。密碼演算法可能很弱，或金鑰太短（不論因為無能還是出口法規）。即使不然，Bruno 也許能錄下偽隨機序列並稍慢地重播，好讓週一清晨時他已累積五分鐘的「餘裕」來掩護一次閃電式突襲。

更常見的失敗成因是嚴重的設計失誤，例如讓密碼金鑰等於裝置序號。那經常出現在採購單、發票與其他很多人看得到的文書上。

如何偷一幅畫（7）：最強的攻擊#

作案手法可以從「單純把卡車倒進電話公司的路邊接線箱」，到更精巧地在不同場所製造多重同時警報、淹沒當地警力。（這正是為什麼它比只是搖晃圍籬強大得多。）

學到的教訓#

1. 多數鎖能被擊敗。 金屬鑰匙能被拍照、用 3D 印表機甚至老式銼刀偽造；它們開的鎖往往能被撞開。卡片鑰匙若你能靠近往往能被複製。所以警報很重要。
2. 應付阻斷服務攻擊是許多安全系統設計中最難、也往往最重要的部分。入侵警報給了我們可應用的知識與經驗。
3. 一個非常一般的教訓是：必須看整個系統——從嚇阻經偵測、警報、延遲到回應。
4. 另一個是這個觀察：最外圍的防禦是你最想倚賴的，但也是最不能倚賴的。
5. 漏報率與誤報率之間的取捨（接收者操作特性）也是安全工程中普遍存在的問題。
6. 要讓警衛保持警覺很費工夫，尤其在幾乎所有警報都是誤報的工作中。經典例子是機場安檢：美國運輸安全管理局會把測試用槍放進行李（實體地或用 X 光機軟體）。他們發現若每班每個檢查點測試數次，只有約 20% 的威脅會通過；但若只測一次，就上升到 60–75%。
7. 未能理解威脅模型——為 Charlie 設計卻指望擋住 Bruno——造成了許多真實失敗。你必須知道實際上會出什麼錯，而不只是犯罪小說作家認為會出什麼錯。
8. 最後，你不能只把安全工程專案的技術面丟給專門的分包商，因為關鍵的東西總會從縫隙間掉下去。

小結#

安全工程師必須處理實體保護，就像處理電腦與密碼系統一樣。 正如電腦與電信的匯流讓電腦業的設備與方法取代了電話公司的老做法，實體保護系統的自動化也正穩定地把屏障、鎖與警報的世界帶進我們的軌道。

「智慧建築」的移動意味著門禁、警報與系統安全將與能源管理及更多東西整合。這類複雜產物的設計、實作與管理，將越來越是系統安全人員的工作。

本章凸顯的幾件事：

1. 環境嚇阻很重要；建築、景觀與照明這類東西能對入侵的可能性造成真實差別。

2. 鎖沒有你想的那麼安全。 隱蔽進入技術近期的發展，導致了「攻破多數機械鎖、乃至昂貴『高安全』產品」的攻擊被廣泛發表。

   要知道什麼好什麼不好，若不至少理解密碼學、協定與防篡改的基礎就辦不到；那是安全工程師的工作，不是退休警察的工作。

3. 從實體安全中已經相當自動化的那一面（警報），有不少可學。 警報提供了一個很好的例子：一個安全政策取決於可用性、而非機密性或完整性的系統。它們能在我們處理其他脈絡中的阻斷服務攻擊時，給我們有用的洞見。

研究問題#

作者預期，探索「資訊／實體安全邊界」的人會發現新奇的研究挑戰。2020 年本書付印時的一個例子是聲學旁通道的使用：只要有一支像樣的麥克風，你就能錄下 Yale 鑰匙被推進鑰匙孔時的喀噠聲，並用它推導出鑰匙齒型。

從資安經濟學的角度，鎖匠業的問題會是個絕佳的論文題目：Mifare 與其他產品中發現的漏洞如何沿供應鏈一路被處理，是個複雜的故事，而據作者所知沒有人真正系統性地分析過它。

至於低層機制，我們需要更好的工具來管理嵌入式系統中的金鑰。如一位飛利浦工程師對作者所說：智慧建築是不是意味著我每次換燈泡都得執行一次安全協定？

而智慧建築最後會不會變成「開放的」——意思是有太多不同的服務公司能取得平面圖，以致必須假設所有有能力的對手都有一份？但如果你真的不希望壞人知道你核電廠警報回應中心的精確位置，你要怎麼保持那項資訊機密？

你所有的承包商都會樂於宣稱自己通過 ISO 27001 認證——但幾乎每一家承認發生重大資料外洩的公司也都通過了。