灰色十月
· 阅读需 4 分钟
即将过去的这个十月份真是一个可以载入互联网史册的月份。这个月发生的互联网重大事件：
- 印度证书公司 eMudhra 发行了被全球几乎所有设备信任的 SSL 证书，但这个证书的密钥是
4（就好比一个国家的国库账号密码是0000），因此任何人理论上都可以冒充任何网站。 - PHPocalypse：PHP 被发现重大漏洞，只要在用 PHP 跑的网站，几乎都可以被黑客攻破后进入服务器。
- UEFI 远程代码执行漏洞：攻击者在同一个局域网里，可以趁着你电脑正在开机的瞬间，全程让你的 CPU 以最高权限执行任何代码。
- GitLab 超级大漏洞：自建的 GitLab 服务器可以被任何人攻破后占领整个服务器。
- Plex 媒体服务器漏洞：只要能访问到你的 Plex 服务器，就能在服务器上执行任何东西——研究显示有黑客利用这个漏洞跑挖矿程序。
- Linux 内核 TCP/IP 漏洞：只要能通过 TCP 协议访问你的 Linux 服务器（也就是所有的服务器），就有办法通过发送一个网络消息就抢到服务器的最高权限。
- 供应链下毒1：LiteLLM、Claude Code 插件都被发现有恶意代码偷窃 API Key。
世界最大的加密货币交易所 Binance 被黑客偷走 60 亿美元的加密货币！
以上漏洞的威胁评级全部都达到了 9+/10 的程度，意思就是黑客通过远程操作就可以完全掌控一台电脑执行任意程序，尤其是像 PHP 和 TCP/IP 的漏洞，基本导致全球无数服务器一夜之间就变成裸奔的状态。
如果要总结一下现在的世界互联网安全性，基本就是
- 只要联网的机器就能被轻易骇掉
- 只要不是存在自己冷钱包2里的加密货币就迟早会被偷掉
那么如何防范呢？我觉得从技术上说，普通人架设服务器要做到固若金汤基本是不可能了。与其追求绝对的安全性，不如追求隐蔽性，让自己的服务器尽可能不要成为简单的目标。架设服务器后，务必确认以下几个最基本的步骤都已完成：
- 用 Tailscale 组建家庭网络（手机、电脑等客户端，以及 NAS、家庭服务器等），不要通过路由器的端口映射、DMZ 等将家庭网络暴露在互联网上。
- 将
ssh服务的端口从默认的 22 改成一个难猜的大数，而且一定要禁止root账号通过ssh直接登录，这样攻击者至少还要再猜正确的用户名。 - 安装
fail2ban，这个软件会监控系统记录，如果有人试图连接服务器，却频频导致错误（比如反复尝试读取不存在的网页、密码反复错误等），就直接封禁 IP。这是最有效的一道傻瓜式屏障，无论什么类型的服务器，只要在互联网上公开，都建议安装。 - 关掉一切不使用的服务。
这个月的安全暴雷之多，史无前例。这当然绝大多数漏洞要「归功」于 AI 的研究（没办法，如果白帽子不先发现，被黒帽子利用了更糟糕）。上面绝大多数最严重的漏洞都是内存问题，因此我估计用 Rust 之类有安全内存模型的语言来重写底层软件这股风潮会席卷软件行业。
这个十月被外媒称作是 Black October，但是我决定暂时称呼它「灰色十月」——如果不留点余地，十一月份怎么办？