「在德國與土耳其，他們看到的景象特別令人不安。跑道上停著一架德國（或土耳其）的快速反應待命機，掛載核武，駕駛艙裡坐著外國飛行員。飛機隨時可在最早的警報下起飛，而核武完全處於可用狀態。美國控制權的唯一證據，是一名孤零零、持卡賓槍站在停機坪上的 18 歲哨兵。當德國機場的哨兵被問到：若飛行員突然決定起飛（不論出於個人任性、或出於德國指揮體系繞過美國指揮的命令），他打算如何維持對核武的控制？哨兵回答他會射殺飛行員；Agnew 指示他射那顆炸彈。」

——魏斯納（Jerome Wiesner）於古巴危機後向甘迺迪總統報告核武指揮與管制

為什麼安全工程師該讀核武#

核武的未授權使用、或核技術的擴散，可能造成災難性傷害，這讓美國與其他核武國花費龐大金額，保護的不只是核彈頭，還有支撐它的基礎設施、產業與材料。

許多國家有能力生產核武卻決定不做（日本、澳洲、瑞士……），因而在民用脈絡中維持對核材料的管制。不擴散的真實力量有很大一部分是文化性的，由多年的外交、以及核武國自 1945 年以來即使面臨敗於非核國之手也克制不用的自制所建立。

• 「超過十二位數的密碼在戰場條件下不可用」的發現
• 高階防盜警報系統——把光纖繞在待保護裝置上、用干涉效應偵測小於一微米的長度變化，這個把戲也是他們的（設計來繞著軍械庫中的彈頭、在任何一顆被移動時毫無疏漏地發警報）。
• 虹膜辨識——已知最準確的生物辨識系統，現用於印度的 Aadhaar 身分系統——是用美國能源部資金開發的，用來管制進入鈽庫的門禁。
• 防篡改與篡改感測技術的專業知識，很大一部分最初是為了防止被竊武器或控制裝置遭濫用而演化出來的。

六顆氫彈失蹤 36 小時：共享控制的極限#

核安全不斷教我們關於保證（assurance）之極限的教訓。

• 由儲存區的作業員檢查、並對照排程表核對（排程表是過期的）；
• 由地勤在移動任何飛彈前等待檢查完成（他們沒等）；
• 由地勤檢查飛彈（他們沒有從玻璃觀察窗看進去確認彈頭是真是假）；
• 由駕駛把識別號碼回報給管制中心（那邊沒人費事去核對）;
• 最後由領航員在飛行前檢查時確認（他沒有看裝著實彈的那側機翼）。

飛機起飛、飛到路易斯安那、降落，然後在跑道上無人看守地停了九個小時，地勤才來卸載飛彈並發現它們是實彈的。

事實上在這起美國空軍案例中，結果發現士兵們用自己的一份「非正式」檢查表取代了官方程序。那麼，要怎麼設計不會這樣失敗的系統？

指揮與管制的演化#

第一顆用於實戰的原子彈是投在廣島的「小男孩」。它的安全機制相當克難。

它附有三個雷管，武器官應該在飛機升空後把綠色的假雷管換成紅色的實雷管。然而已有若干重載 B-29 在他們使用的天寧島基地起飛時墜毀。

艾諾拉·蓋伊號的武器官、海軍上校 Deak Parsons 判斷：若飛機墜毀，起爆藥可能爆炸、引爆炸彈、把整座島抹平。 於是他在空襲前一天花了整天練習拆下與重裝那個大約一條吐司大小的火藥起爆藥包，好讓他能在起飛後才裝上它。

準則後來相當程度地遠離了臨場發揮，如今我們大概處在另一個極端：機制與程序被來自不同機構的多位專家測試、演練與分析。

1950 年代武器開始由單座戰術機掛載、且掛在機翼下而非彈艙裡時，已不可能用手插進一袋火藥。於是轉向了組合鎖：飛行員在起飛後於一個有封線蓋的特殊鍵盤上輸入六位數代碼來為炸彈解除保險。這帶來了一些中央控制（飛行員可能升空後才拿到代碼）。但 1950 年代的技術與程序控制都仍相當原始。

甘迺迪備忘錄#

古巴飛彈危機改變了一切。

蘇聯的 B-59 是一艘狐步級柴電潛艦，1962 年 10 月 27 日遭到攻擊——一支由航艦 USS Randolph 與 11 艘驅逐艦組成的美國戰鬥群開始在附近投放深水炸彈。那些是演習彈，意在迫使潛艦上浮以供辨識；但艦長 Valentin Savitsky 認為自己遭到攻擊、戰爭已經開始，因此應該發射核魚雷摧毀航艦。

但這件事需要艦上三名資深軍官都同意，而幸運的是其中一位——Vasily Arkhipov——拒絕了。 潛艦最終浮出水面並返回俄羅斯。

這讓「世界大戰可能因意外而爆發」的風險，在美國決策者心中變得鮮明，甘迺迪總統於是命令科學顧問魏斯納調查。

他的報告指出：數百件美國核武放在希臘、土耳其這類並不特別穩定、偶爾還彼此交戰的盟國。這些武器僅由象徵性的美國看管部隊保護，所以在危機時刻並沒有實體上的理由能阻止武器被奪走。

也有人擔心美國軍官對核武的未授權使用——例如某個承受壓力的地方指揮官覺得「要是華盛頓知道這裡有多糟，他們就會讓我們用核彈了。」

甘迺迪的回應是第 160 號國家安全行動備忘錄，下令當時分散在北約各指揮部的 7,000 件美國核武，必須以技術手段置於美國的積極控制之下，無論它們是由美軍還是盟軍保管。

能源部當時已在研究武器安全裝置。基本原則是：武器必須感測到環境的某個獨特面向才會解除保險。

例如飛彈彈頭與某些自由落體炸彈必須經歷零重力，而砲彈必須經歷數千 G 的加速度。

有一個例外：原子爆破彈藥——它設計成由地面部隊帶到目標、用定時引信引爆。似乎沒有任何空間讓獨特的環境感測器來防止意外或惡意引爆。

當時開發中的解法是一組秘密解除保險碼，用來啟動深埋在武器核心鈽芯中的螺線管保險鎖。

甘迺迪備忘錄之後，有人提議所有核彈都該以代碼鎖保護，且應該有一個只有總統或其合法繼任者能下達的「通用解鎖」訊息。問題是：如何把這個代碼安全地轉譯成大量各自啟用一小批武器的個別發射碼？

1960–70 年代準則從「大規模報復」轉為「有節制的回應」後，問題變得更糟。 總統現在需要能為選定的批次解除保險（例如「德國境內所有核砲」），而不只是「全部或全不」。再加上維護所需的解除武裝碼，以及在武器安全與有效指揮之間權衡的方法，系統就開始變得相當複雜。

授權、環境、意圖#

更深層的問題是：核安全系統與指揮系統該強制執行什麼樣的安全政策？美國最終浮現的是「授權、環境、意圖」的規則。彈頭要引爆，必須同時滿足三個條件：

1. 授權（Authorization）：該武器的使用必須經國家指揮當局（總統及其在任的合法繼任者）授權。
2. 環境（Environment）：武器必須已感測到適當的環境面向。（對原子爆破彈藥，這項要求以使用特殊容器取代。）
3. 意圖（Intent）：指揮該飛機、艦艇或其他單位的軍官，必須毫不含糊地命令使用該武器。

早期系統中，「授權」意指在裝置中輸入一組四位數授權碼。表達「意圖」的方式則依平台而異：飛機典型使用六位數的解除保險或「使用控制」碼；洲際彈道飛彈的指揮台由兩名軍官操作，各自須插入並轉動一把鑰匙才能發射。

不論實作為何，必須有一個獨特訊號；一般認為從六位數導出的 22 位元，是在從可用性到最小化意外解保風險等諸多因素之間的良好權衡。

無條件安全的認證#

核武指揮與管制驅動了一次性認證碼理論的發展。

如第 5 章所述，這些在概念上類似為保護電報匯款而發明的測試金鑰：對訊息施加一個帶金鑰的轉換，產生一個短的認證碼（也稱認證子或標籤）。由於金鑰只用一次，認證碼可以做到無條件安全——它們提供的保護與攻擊者可用的計算資源無關。它們對認證所做的，就是一次性密碼本對機密性所做的。

我們仍必須選擇碼長來界定成功猜中的機率；這個機率可能因對手是想從無到有猜出一個有效訊息（冒充）、還是想修改既有的有效訊息以得到另一個（替換）而不同。 在第 5 章討論的 GCM 操作模式中，這兩者被設為相等的 2^128，但不必然如此。

• 你得想出把金鑰控制機制建進彈頭的方法，且要能抵抗沒有解除武裝金鑰的人進行解除或拆解。
• 你需要產生金鑰、並把它們嵌入武器與控制裝置的機制。
• 你得想遍攻擊者可能對維護人員進行社交工程的所有方式，以及你要如何防範。
• 還有一個密碼學上的複雜之處：如何引入單向性，好讓拆開炸彈換電池的維修人員不會因此知道通用解鎖碼？ 你可能需要能從通用解鎖碼導出「解鎖這一台特定裝置」的代碼，但反過來不行。
• 而且你需要可用的復原與換鑰機制，以應付「危機使你授權了某些武器、但它們幸好被撤下而非被使用」的情況。

美國系統現在用公開金鑰密碼學實作這種單向性，但你也可以用單向函數。兩種情況下，你都會得到無條件安全與計算安全的有趣混合。

共享控制方案#

核武指揮管制在 1970 年代末因一個顧慮而變得更複雜：蘇聯對美國國家指揮當局的「斬首打擊」，可能讓核武庫完好無損卻無法使用。 也有人擔心，過了某個戒備門檻後，因為電磁脈衝（與其他對通訊的可能攻擊）的損害，假設當局與野戰指揮官之間的通訊能維持是不合理的。

解法來自密碼數學的另一個分支：秘密分享（secret sharing）——核武需求也協助啟發了它的發展。

一個特殊案例是潛射彈道飛彈。 它們的存在是為提供二次打擊能力——向摧毀了你國家的國家復仇。英國政府擔心：在美國的準則下，若美國被摧毀、總統與其合法繼任者都身亡，潛艦指揮官可能會無法為武器解除保險。

所以英國的做法是把解保材料放在由艇上軍官控制的保險箱裡，連同一封首相關於「在什麼情況下應使用武器」的信。若軍官們同意，飛彈就能發射。

如何一般化：Blakley–Shamir 的幾何構造#

你可以只是把認證金鑰的一半給兩個人中的每一個，但那樣你需要兩倍長的金鑰（假設即使其中一人被策反，原本的安全參數仍須成立）。另一種做法是給每人一個數字，兩者相加等於金鑰——提款機的金鑰就是這樣管理的。

於是 Blakley 與 Shamir 在 1979 年獨立發明了更一般的做法：

假設英國想執行的規則是：若首相被暗殺，武器可由任意兩位內閣大臣、或任意三位將軍、或一位內閣大臣加兩位將軍解除保險。

實作方式：令 z 軸上的點 C 為必須提供給武器的解鎖碼。

1. 通過 C 隨機畫一條直線，給每位內閣大臣線上的一個隨機點。 現在任兩人合起來就能算出這條線的座標，並找到它與 z 軸相交的點 C。
2. 把這條線嵌入一個隨機平面，給每位將軍平面上的一個隨機點。 現在任三位將軍、或兩位將軍加一位大臣，就能重建該平面，進而重建發射碼 C。

這啟發了門檻簽章方案的發展（見第 5 章），並可用於執行「交易所任兩位副總裁可啟用冷錢包」這類規則的產品。

許多細節需要留意：例如指揮官之死不該讓他的副手同時拿到金鑰的兩半，還有「什麼時候該由誰射殺誰（在同一邊）」這類極其實際的問題。銀行業也差不多：一筆大額付款可能需要兩名主管放行，而你得小心委任規則不會讓兩把金鑰都落到同一雙手裡。

防篡改與 PAL#

在現代武器中，螺線管保險鎖已被許可行動連結（permissive action links, PAL）取代，用來保護多數美國核裝置。

PAL 系統由各種編碼開關系統與作業程序補充；而對於原子爆破彈藥這類「不夠大也不夠複雜、無法把 PAL 做到難以觸及」的武器，武器還會存放在稱為「規定行動保護系統（PAPS）」的篡改感測容器中。 防止意外引爆的其他機制包括刻意弱化引爆系統的關鍵零件，好讓它們在暴露於某些異常環境時失效。

• 氣瓶，用來使鈽芯變形並使其中的鈽氫化；
• 成形裝藥，用來摧毀中子產生器與氚增強等元件；
• 非對稱起爆，其結果是鈽的散布而非核當量。

若面臨被敵方擄獲的威脅，這套自毀程序會讓它們永久失效且無當量。摧毀代碼永遠是優先事項。

假設是：一個準備部署「恐怖分子」去偷一整批炸彈的流氓政府，會願意犧牲其中一些炸彈（與一些技術人員）以取得單一件可用的武器。

要進行授權維護，必須停用防篡改保護，而那需要另一組解鎖碼。持有各種解鎖碼（維修用與發射用）的裝置本身，也以類似武器的方式受保護。

「目前相信，即使某人取得了這樣一件武器、擁有一整套圖紙、並享有某個國家實驗室等級的技術能力，在不知道代碼的情況下仍將無法成功引爆它。」

條約查核#

有多種查核系統被用來監督核不擴散條約的遵守情形，例如國際原子能總署與美國核管會監控領有執照的民用電廠與其他設施中的裂變材料。

一個有趣的例子是為監督《全面禁止核試驗條約》而設計的防篡改地震感測裝置。

這裡的篡改感測相當直接：地震感測器裝在鋼管中，插入以混凝土回填的鑽孔。整個組件如此堅固，以致地震儀本身就能以相當高的機率偵測到篡改事件。 這層實體保護再以隨機挑戰式檢查強化。

由於沒有雙方都信任的第三方，且傳輸的地震資料量約為每天 10^8 位元，於是使用數位簽章方案（RSA）而非一次性認證標籤。但這只是答案的一部分：

• 一方總是可以否認一則已簽章的訊息，說負責產生它的官員叛逃了、所以簽章是偽造的。因此金鑰必須在裝置被雙方共同封存後，於地震封包內部產生。
• 而如果由一方製造設備，另一方會懷疑其中藏有隱藏功能。 於是有人提出若干「切割與選擇」式的協定：一方生產數台裝置，另一方拆解其中一台樣本檢查。

出了什麼錯#

儘管投入了巨額金錢開發高科技保護機制，核管制與安全系統看來仍與其他系統一樣，受同樣的設計 bug、實作失誤與粗心作業所苦。

核事故#

英國主要的廢料再處理廠塞拉菲爾德（Sellafield）儲存了 160 噸鈽——全球最大的存量——數十年來醜聞不斷：廢料文件被偽造；輻射外洩被掩蓋；工人竄改門禁證好把車開進管制區；有破壞行為的通報；而核警力只能偵破 10–20% 的竊盜或刑事毀損案件。 清理工作可能耗時一世紀、花費超過一千億美元，而在此期間還得看守它。

國防核事業其他環節也有顯著且瀰漫的問題，包括核武工廠與潛艦基地：老舊設施、無能的承包商、低落士氣、專案延誤、失控成本，以及 20 艘等待處置的老潛艦——其中九艘仍裝著燃料。

俄羅斯的情況看來更糟：一份核保管調查描述了蘇聯解體後其安全機制如何破敗，裂變材料偶爾出現在黑市上，而吹哨者遭到起訴。

與網路戰的互動#

即使指揮管制通道本身已用本章描述的密碼與防篡改機制做到不可被操縱，它仍可能遭受阻斷服務攻擊；而 2018 年川普政府改變準則，允許以核武首先使用來回應這類攻擊。

另一個至關重要的問題是：指揮官能相信自己螢幕上看到的東西嗎？

這樣的系統故障在今天會如何演變？如今我們有複雜得多的系統，而 AI 正在我們甚至沒察覺的各種地方悄悄滲入指揮鏈。 而且別說故障了——針對我們情報、監視與偵察（ISR）能力（包括監看飛彈發射、偵測核爆與傳遞命令的衛星）的攻擊呢？

技術失誤：潛隱通道的發現#

也發生過若干有趣的高科技安全失誤。 一個例子是在一項核裁軍條約中發現的可能攻擊，它導致了密碼數學一個新分支的發展——潛隱通道（subliminal channels）的研究——並與後來著作權標記與隱寫術的工作相關。

為保護美國義勇兵飛彈免於蘇聯的首次打擊，提議把 100 枚飛彈用巨型卡車在 1,000 個發射井組成的場域中隨機移動，卡車設計成讓觀察者無法判斷它是否正在搬運飛彈。於是蘇聯就得摧毀全部 1,000 個發射井才能成功首擊，而那被認為不切實際。

提議的解法是：發射井裝上俄方的感測封包，偵測飛彈的有無，把這一個位元的資訊簽章，並經由美方監控設施送到莫斯科。

關鍵在於只能送出這一個位元的資訊；如果俄方能把任何更多資訊偷渡進訊息裡，他們就能定位滿載的發射井——因為指定井場中的單一個井只需要十個位元的位址資訊。

從 k 到 r 的映射相當隨機，所以想在簽章中藏十個位元以隱蔽傳給同夥的簽章者，可以先約定位元藏法（例如「第 72–81 位元」），然後一個接一個試 k 值，直到得出的 r 含有想要的子字串。

這本可造成安全協定的災難性失敗。

不過最終這場被媒體稱為「飛彈貝殼遊戲」的方案沒有被採用。中程彈道飛彈條約最後用了統計方法：俄方可以說「我們想看以下 20 個井」，那些井就會被打開讓其衛星觀察。冷戰結束後，查核變得親密得多——改用載人飛機、雙方都有觀察員，而不是衛星。

若這不可接受，補救方法是改用完全確定性的簽章方案（如 RSA），而非像 DSA 那樣使用隨機工作階段金鑰的方案。

保密還是開放？#

最後，核工業提供了一個關於保密的漂亮案例史。

1930 年代，許多國家的物理學家自由分享了導向原子彈的科學想法；但在「原子間諜」把廣島與長崎裝置的設計洩漏給蘇聯後，事情擺盪到另一個極端。

美國採取了「原子知識生而機密」的政策：意思是若你在美國管轄範圍內、有一個與核武相關的想法，你就必須保密，不論你是否持有安全許可、甚至是否在核產業工作。這與憲法有所張力。

「我們在新墨西哥有個資料庫，記錄鈽在極高溫高壓下的物理與化學性質。我該把它分到什麼密級？誰會來偷它，偷了對他們有什麼好處？俄國人？他們自己就有那些數據。以色列人？他們算得出來。格達費？他拿去能幹嘛？」

隨著這類議題被逐一想清楚，很多技術已被解密並公開（至少是輪廓）。

從 1980 年代初在科學會議上早期發表認證碼與潛隱通道的結果開始，人們發現公開設計審查的效益，超過了「對手大致知道所用系統」帶給對手的優勢。

許多實作細節仍保密，包括可能助長破壞的資訊，例如某設施的五十棟建築中哪一棟駐有警報回應部隊。但大方向相當開放，指揮管制技術有時甚至提供給其他國家，包括潛在的敵對國。

降低意外戰爭可能性的效益，被認為超過保密的可能效益。 911 之後，我們寧可巴基斯坦有像樣的指揮管制系統，也不願冒險讓他們的某件武器被某個宗教狂熱發作的中階軍官拿來對付我們。

這是柯克霍夫原則的現代化身：系統的安全必須取決於其金鑰，而非取決於其設計保持晦澀。

911 之後，若干政府大談恐怖分子使用生物武器的可能性，並對細菌學、病毒學、毒理學乃至醫學的研究與教學施加管制。作者在這些學科的同事對此深感不以為然。

「你根本不該擔心炭疽，」英國頂尖病毒學家之一告訴作者。「真正的壞東西是大自然母親想出來的那些，像 HIV、SARS 與禽流感。如果這些政策意味著下次有病毒沿尼羅河而下時，喀土穆沒有任何有能力的公衛人員，我們就會後悔。」

令人難過的是，2020 年的事件證實了這份智慧。

小結#

核武的控制，以及從保護國家指揮系統完整性、核設施實體安全到監督國際軍控條約等附屬活動，對安全技術的發展做出了巨大貢獻。

若網路攻擊能透過鎖定一國的情報、監視與偵察能力來侵蝕對嚇阻的信心，它們仍可能嚴重破壞穩定。 在核邊緣政策的時刻，雙方都可能因為某項未宣示的網路能力而認為自己占有優勢。

而考慮到美國總統自 1945 年以來已使用核威脅約十二次（古巴、越南與伊拉克只是較明顯的例子），我們或許該預期每一代人都會遇上好幾次這樣的危機。

研究問題#

作者在 2001 年第一版章末設下的研究問題是「為本領域開發的技術（如認證碼）尋找有趣的應用」。到第二版時，區塊密碼的 Galois 計數器模式已被標準化，而如今它無所不在。還可能有什麼？

2009–10 年美國／以色列對伊朗鈾濃縮計畫的攻擊，給了世界一個「網路攻擊被用於核領域」的例子。

• 這類攻擊的威脅可能以哪些方式提高核衝突的風險，而我們能做些什麼？
• 既然我們無法像強化指揮管制通道那樣強化一切，我們能做什麼來維持對監視等支撐系統的信任——或至少確保它們以不會導致致命誤警的方式降級？