最近有两款路由器分别被爆出固件中存在后门。

D-link

D-link是台湾公司，成立于1986年，『公司致力于高级网络、宽带、数字、语音和数据通信解决方案的设计、制造和营销，是业界的全球领导者』（官网描述）。他们的后门是：设置User-Agent为『xmlset_roodkcableoj28840ybtide』，可不经认证访问web控制界面。

字符串『roodkcableoj28840ybtide』是一段倒序文字，反过来读就是『edit by 04882 joel backdoor』。

Tenda

腾达是中国公司，是『全球领先的网络设备提供商。自1999年创立以来，公司一直致力于让每一台智能设备都能简单方便的联网，让大众轻松互联，乐享智能新生活』。他们的后门是：发送特定字符串和命令，即可执行该命令。例如：echo -ne “w302r_mfg\x00x/bin/ls” | nc -u -q 5 192.168.0.1 7329，就可以在路由器上执行/bin/ls命令。

影响范围

• D-link：DIR-100、DI-524、DI-524UP、DI-604S、DI-604UP、DI-604+、TM-G5240等；
• Tenda：W301R、W302R、3g611R、3gR、W330R、W311R、W368R等；

攻击

• 已经有针对这些路由器的大规模扫描发生。例如github上已经有针对性nmap脚本，专门用于快速扫描腾达路由器：https://github.com/ea/nmap-scripts/blob/master/tenda-backdoor.nse
• 有些人可能不知道会有什么影响，很简单：你的所有设备都可能暴露在黑客面前，你的全部网络访问都可能被完全记录。

延伸思考

• 这两家厂商为什么要在设备中放后门？是个人行为？企业行为还是国家行为？
• 只有中国人的设备有后门问题吗？
• 最近很流行的『智能路由器』，会带来什么样的变化？
• 屌丝技术员如果该怎么办？我的思路，一是用树莓派做个小防火墙；二是换用如open-wrt之类的开源固件。如果有更好的办法，欢迎告诉我 :)

其他

两篇文章都有中文翻译：

• D-link：http://blog.jobbole.com/49959/
• Tenda：http://www.freebuf.com/articles/terminal/14425.html

查看原文：http://blog.unnoo.com/?p=1387 防泄密软件究竟能否真正做到对程序源代码进行加密？

我们认为，在目前的技术实现中： 1、试图用常规的“透明加解密软件”对付有经验的程序员，是“不可能完成的任务”； 2、使用桌面虚拟化技术，代码全在远程，才有可能做到对程序源码的“完美加密”。

为什么说常规的透明加解密软件无法对程序源代码完美加密呢？原因简述如下：

因为应用程序最终需要被编译为exe/dll并发布，而exe/dll与doc的区别在于，exe/dll需要被运行和调试。

如果允许exe以明文状态存在，那么程序员就能把源代码作为资源，嵌入编译后的exe里，然后导出成明文。

如果exe在正式发布前以密文形式存在，那么一般的透明加解密产品恐怕没法通过配置策略满足这个需求。因为这些产品都是以访问文件的进程类型来判断是否解密的。访问exe的是它的父进程和它自己，访问dll的是加载它的进程。这些进程的类型是多变的，很难用规则准确匹配。

退一步说，如果通过改进产品满足了上述匹配，对进程本身来说，自己就是明文可读的。于是就无法防止exe运行时把程序员隐藏在资源中的源代码通过网络传递出去，尤其是当前开发的正是一个网络程序（比如QQ）的时候。

很多人可能知道，GSM通讯是可以被监听的。不过，我猜测，知道下面这几点的可能不多：

• 廉价的监听设备只需要数十元成本；
• 所需要的技能只是懂英语，会编译Linux程序；
• 至少在2010年，技术已经成熟，2011年有开源实现。

基础

OSMOCOM-bb全称Open source mobile communication Baseband，是GSM协议栈的开源实现。开发团队的介绍文字是：

OsmocomBB is an Free Software / Open Source GSM Baseband software implementation. It intends to completely replace the need for a proprietary GSM baseband software, such as

• drivers for the GSM analog and digital baseband (integrated and external) peripherals
• the GSM phone-side protocol stack, from layer 1 up to layer 3

In short: By using OsmocomBB on a compatible phone, you are able to make and receive phone calls, send and receive SMS, etc. based on Free Software only.

花了一天整理了《中国信息安全相关法律法规汇编》，把能搜集到的中国信息安全相关所有公开的法律法规都放到一起了（类似27号文之类不允许公开的，没在里面），有需要的朋友自行取用吧。如有遗漏，欢迎提建议。

中国信息安全相关法律法规汇编下载：http://bbs.unnoo.com/forum.php?mod=viewthread&tid=150&fromuid=2

一. 2000年以前 2

1.1 中华人民共和国保守国家秘密法 2

1.2 中华人民共和国计算机信息系统安全保护条例 6

1.3 中华人民共和国国家安全法 8

1.4 计算机信息网络国际联网管理暂行规定 11

1.5 计算机信息网络国际联网安全保护管理办法 13

1.6 计算机信息系统安全专用产品检测和销售许可证管理办法 16

1.7 涉及国家秘密的通信、办公自动化和计算机信息系统审批暂行办法 19

1.8 商用密码管理条例 22

1.9 科学技术保密规定 25

1.10 中华人民共和国反不正当竞争法 29

1.11 关于禁止侵犯商业秘密行为的若干规定 33

1.12 加强科技人员流动中技术秘密管理的若干意见 35

1.13 广东省技术秘密保护条例 38

二. 2000年 41

2.1 计算机病毒防治管理办法 41

2.2 计算机信息系统国际联网保密管理规定 43

2.3 互联网信息服务管理办法 45

2.4 中华人民共和国电信条例 48

2.5 全国人大常委会关于维护互联网安全的决定 60

2.6 联网单位安全员管理办法 61

三. 2001年 63

3.1 计算机软件保护条例 63

四. 2002年 68

当国外媒体自2008年以来累计七次早于官方精准“猜中”国家统计局随后正式公布的宏观经济数据时，宏观经济数据正在面临的“走 光风险”已经受到各方面的高度重视和持续关注。据国家统计局新闻发言人最新对外公布的消息，有关方面正在调查宏观经济数据泄密问题，相关工作人员也因涉嫌 宏观经济数据泄密正在接受司法调查。

    宏观经济数据事关国计民生，许多经济政策的制定和发布也需要依靠最新的权威经济数据来支撑，所以这种宏观经济数据屡遭泄密，不仅会严重扰乱 市场和经济秩序，而且对政府公信力和社会公正也是一种严重的冲击，其社会危害性不可估量。其实从根本上说，宏观经济数据屡遭泄密的深层次原因大致可以分为 以下几个方面：

    一是“谋利”成为动力，提前泄露部分经济数据在国内并不是什么特别新鲜的事，最初时只是少数经济研究员借助于“一小部分”经济数据的提前泄 密来炫耀自己离决策很近的地位，从而提高个人的市场权威。但是随着我们国家经济的快速发展和国际经济地位的大幅度提升，我国经济数据对全球股市、债市及相 关经济政策制定的影响力价值越来越大，利益集团就会把提前获取国家宏观经济数据作为投机性的盈利手段，这其中最经典的例子就是券商和机构投资者，他们在提 前获取关键经济数据后可以提前布局做空或做多，然后开始公开或私下流传这些数据以及相关货币政策调整的预期，制造一种市场氛围与自己投机性操作配合，从而 扩大这些数据的短期影响力，在股市或经济市场的波动中投机获利。

    二是流通环节缺乏监管，大家可能知道，中国宏观经济政策的制定与部分西方国家不同，中国则是将CPI、GDP、投资增速以及各种金融数据提 前提供给相关的宏观经济决策部门和领导层进行参考，是一种由数十个部门集体决策的过程，这种模式也让很多部门以及相关工作人员拥有提前获知宏观经济数据的 权力。在经济数据漫长传递的每一个环节和节点，从理论上说都是会增加泄密可能的。所以加强对经济数据传递过程中所有环节和节点的技术监管，的确非常关键。

    三是法律制约不够健全，这其实是一个怪圈，经济数据的泄密来源多出现在了国外媒体，这其中当然有利益链条的原因，但是另一个重要原因则可能 是国内媒体若提前透露经济数据即是“违规”，境外媒体则无法追查和管制，这种经济数据泄密行为的怪圈也表明中国相关法律的制约不够健全。

那么我们如何来应对这种社会危害性极大的经济数据屡遭泄密呢？以下是综合部分行业专家的观点，仅供参考：

    第一，加强行政手段的干预，统计局作为国家机关，行政手段的干预不可或缺。比如可以通过行政法规的形式禁止政府宏观部门官员在券商和研究机 构担任职务或进行任何形式的兼职，规范宏观部门官员的职务行为，加大官员利用职务便利进行经济数据泄密交易的查处和打击力度，从而从泄密源头切断经济数据 泄密的利益链条，既挽回国家损失，又挽救迷途中的同志。

    第二，加强流通环节的技术监管，即在经济数据漫长传递的每一个环节和节点部署专业级的电子信息防泄密系统。经济数据泄密一般分主观故意泄密 和无意被动泄密两种，但无法是哪一种泄密方式，只要能从源头防范电子信息泄密，就可以确保经济数据的安全。这里以 “铁卷”产品为例：“铁卷”是一套已经部署于哈尔滨市政办公厅、中国保险监督管理委员会、沈阳海关等众多政府和金融行业重点部门的专业级电子信息防泄密系 统，由国内终端与数据安全产品的领先企业深圳大成天下自主研发，集成了包括驱动级核心加密、透明加密、细分化分级审核等在内的多项目前全球最先进的电子文 档加密技术，可以针对经济数据漫长传递的每一个环节和节点进行全方位的防泄密保护。对于关键宏观部门的最新经济数据，“铁卷”可以提供的加密和数据保护类 型包括：

    一是可以让所有的经济数据置于铁卷系统的防泄密保护之下，对于所有已经脱离了宏观部门内网的核心经济数据，都将会自动无法使用，也就是说即 便是黑客攻击或宏观部门“内鬼”通过多种手段窃取了核心经济数据，但是由于脱离了宏观部门内网且没有被赋于离线使用授权，所以承载有经济数据的电子文档根 本打不开或者打开的就是一堆杂乱无章的乱码字符；

    二是铁卷对机密经济数据的保护能够贯穿其存储、使用和传输的整个生命周期，通过全面整合访问控制，将承载有经济数据的电子文档保护和应用权 限细分式应用直接集成到所有需要保护的经济数据中，也就是说其在访问保护和使用控制策略时能够将经济数据的应用权限准确细分给不同的用户，从而彻底避免核 心经济数据被泄密、窃取或恶意修改；

    三是铁卷分级审核机制非常健全，政府宏观部门的工作人员除了可以主动对经过加密保护的经济数据有选择的限制其浏览、打印输出、复制、屏幕拷 贝、可查阅的有效期限范围和打开密码等多项控制权限外，通过严格的审批机制还能够实现经济数据的“离线解密”，比如宏观经济数据的电子文档需要流通和传阅 时，他们只要向软件的“管理中心”提出一个“解密申请”或“离线申请”即可。

    三是健全制约的法律机制，经济数据屡遭泄密的确是社会公害，但我国的《统计法》和《保密法》也大都强调行政处分而非法律惩罚，这让泄密者所 应承担的泄密成本过于轻微，事实上这种经济数据泄密已是高度图利特征下的犯罪而不只是“过错”，所以希望国家迟早健全制约泄密的法律机制，让所有泄密行为 受到公共法律的严厉约束。