黎巴嫩BP機爆炸事件，如何為物聯(lián)網(wǎng)和供應(yīng)鏈安全敲響警鐘？

作者：Sophia物聯(lián)網(wǎng)智庫 原創(chuàng)

近日，黎巴嫩 BP 機爆炸事件在世界范圍內(nèi)引發(fā)廣泛關(guān)注。

據(jù)外媒報道，9 月 17 日下午，黎巴嫩全國范圍同時發(fā)生傳呼機爆炸，造成 11 人死亡，4000 人受傷。18 日，媒體報道黎巴嫩又發(fā)生對講機以及無線通信設(shè)備爆炸，造成 3 人死亡。

由于充當(dāng)“詭雷”的是無辜的通信設(shè)備，所以通信圈和物聯(lián)網(wǎng)圈也對該事件進(jìn)行了熱烈討論——一方面，這讓業(yè)內(nèi)對更廣泛的供應(yīng)鏈安全進(jìn)行重新思索；另一反面，在聯(lián)網(wǎng)設(shè)備日漸普及的數(shù)字時代，設(shè)備商應(yīng)如何增強普通民眾的安全和信任感，也將成為一個長期議題。

“奪命”傳呼機是怎么爆炸的？

如今，經(jīng)過專家和媒體的梳理，已經(jīng)基本上還原了此次爆炸事件的前因后果。

首先，這不是鋰電池問題。一是因為此次事件的爆炸威力遠(yuǎn)超當(dāng)年三星 Note7 的電池事故，而且 BP 機的電池要比手機電池更小，根本不可能引發(fā)如此大規(guī)模的災(zāi)難；二是因為通過電池自身短路或過載來引起爆炸這種方式不可控因素會比較多，同一時間引起多起爆炸更是難上加難；三是因為從以往的老舊尋呼機來看，更多的是使用干電池，而非鋰電池。

基于此，事件剛發(fā)生時就有專家猜測是因為尋呼機中提前放了一些爆炸物，后續(xù)一名黎巴嫩高級安全部門消息人士證實了這一說法，并稱尋呼機爆炸事件是以色列醞釀已久的一項現(xiàn)代“特洛伊木馬”計劃。

追溯整個計劃的源頭，還要從今年年初說起——今年 2 月，一批真主黨高級特戰(zhàn)人員被以色列精準(zhǔn)追擊后，真主黨領(lǐng)導(dǎo)層左右決定回歸尋呼機這一“原始”通訊技術(shù)，以躲避以色列的手機網(wǎng)絡(luò)定位追蹤。

尋呼機，或者說 BP 機，是一種早期的便攜式無線通訊設(shè)備。它通過無線電信號接收信息，通常用于傳遞簡短的消息。

在當(dāng)今這個智能手機等先進(jìn)通訊設(shè)備占據(jù)主導(dǎo)地位的時代，年輕人會對 BP 機感到十分陌生。但在戰(zhàn)亂和信息戰(zhàn)的背景下，BP 機相比手機有其獨特的優(yōu)勢。

簡單來說，BP 機信號強、穿透力好，甚至可以穿越墻體，一臺小型 1KW 功率的尋呼臺就能夠覆蓋方圓 40 公里的范圍，無需依賴復(fù)雜的基站系統(tǒng)，甚至可以通過自行搭建的局域?qū)ず襞_來運營。即便是在戰(zhàn)爭中，通信基站被炸毀或網(wǎng)絡(luò)中斷，BP 機依然能夠通過其簡單而穩(wěn)定的工作方式發(fā)揮作用。

過去幾年的數(shù)次悲劇已經(jīng)證明，通過手機進(jìn)行定位、跟蹤和襲擊，早已非常普遍。因此，真主黨領(lǐng)導(dǎo)人哈桑·納斯魯拉 (Hassan Nasrallah) 不僅禁止其成員在開會時使用手機，還嚴(yán)格規(guī)定，行動和計劃的細(xì)節(jié)不能通過手機傳達(dá)，并要求手下軍官隨時攜帶尋呼機。

然而，就是這個看似安全的決定被鉆了空子，報道稱，以情報部門利用了真主黨轉(zhuǎn)向使用尋呼機的倡議，在很早之前就成立了至少 3 家幌子公司，冒充成國際尋呼機生產(chǎn)商進(jìn)行生產(chǎn)銷售，將大量摻雜了炸藥的尋呼機送到黎巴嫩。

為了讓真主黨信以為真，這個偽裝的公司此前還接受了普通客戶訂單，生產(chǎn)了一批普通的尋呼機。但為真主黨制造的機器是單獨制造的“特供”產(chǎn)品，里面的電池?fù)接?PETN(季戊四醇四硝酸酯)炸藥。曾有實驗表明，僅僅 6 克的 PETN，就足以將數(shù)毫米厚的鋼板炸癟，而這次每臺 BP 機里集成了 1.3 克。

紐約時報稱，爆炸可能是由發(fā)送到尋呼機的信息觸發(fā)的；另一種可能是，攻擊者通過利用運行尋呼機內(nèi)置代碼中的漏洞，使電池過熱并引爆炸藥。

供應(yīng)鏈安全風(fēng)險再升級

通過對整個事件的還原，我們可以看出，其在技術(shù)上并不難實現(xiàn)，最核心的點在于爆炸物是何時被植入的，而這牽涉到整個供應(yīng)鏈的安全。

以真主黨傳呼機為例，從供應(yīng)鏈環(huán)節(jié)上看，其包括臺灣制造商的本廠，臺灣制造商外包/外采的所有零部件和材料供應(yīng)商，組裝生產(chǎn)過程中的所有物流環(huán)節(jié)，以及將成品運送到最終使用者手中的整個物流體系。KOL 兔主席在其文章中分析——植入爆炸物涉及將設(shè)備拆開，有一定的技術(shù)含量的，所以理論上應(yīng)該更加接近供應(yīng)鏈的上游（或生產(chǎn)制造端），但也不能因此排除后面的物流環(huán)節(jié)出現(xiàn)問題。

由于爆炸的元兇是來自臺灣生產(chǎn)的金阿波羅 AR-924 型尋呼機，統(tǒng)一型號、統(tǒng)一生產(chǎn)廠商，所以第一線索自然指向了臺灣金阿波羅公司，因為傳呼機背面貼紙的格式與該公司的產(chǎn)品一致。

但是該公司火速發(fā)聲明甩鍋，表示：根據(jù)合作協(xié)議，“公司授權(quán)匈牙利 BAC 在特定區(qū)域內(nèi)使用我們的品牌商標(biāo)，但產(chǎn)品的設(shè)計和制造均由 BAC 全權(quán)負(fù)責(zé)”。

BAC 一看這么大的鍋甩到自己頭上了，那還得了，繼續(xù)甩——匈牙利政府發(fā)言人佐爾坦-科瓦奇（Zoltan Kovacs）在 X 社交網(wǎng)絡(luò)上寫道，BAC 公司只是 “一家商業(yè)中介，在匈牙利沒有生產(chǎn)或運營基地”。發(fā)言人補充說，“所指涉案機器從未出現(xiàn)在匈牙利領(lǐng)土上”，“此案也不會對國家安全構(gòu)成威脅”。

值得一提的是，該事件發(fā)生后，在中國的社交網(wǎng)絡(luò)中出現(xiàn)不少帖子，聲稱：電子，特別是通信設(shè)備方面的工廠從中東的訂單激增， 關(guān)鍵要求是完全在中華人民共和國境內(nèi)使用當(dāng)?shù)夭考M(jìn)行生產(chǎn)。

其實，隨著萬物互聯(lián)的推進(jìn)，供應(yīng)鏈安全早已成為世界各國數(shù)字化發(fā)展進(jìn)程中關(guān)注的焦點。多起物聯(lián)網(wǎng)攻擊事件都發(fā)出警醒——對上游供應(yīng)商發(fā)起的攻擊，也將影響到下游產(chǎn)品廠商，尤其是涉及政府部門以及軍工、電力、石油等關(guān)乎國家安全和國民經(jīng)濟命脈的關(guān)鍵領(lǐng)域，更將影響國家安全。

然而，即便大家能對供應(yīng)鏈安全的重要性達(dá)成共識，但到底要把這個安全等級和標(biāo)準(zhǔn)升級到何種地步卻是個問題。第一，現(xiàn)代社會的人類大量使用電子設(shè)備，因此不設(shè)邊界，對電子設(shè)備“一刀切”是不可能的；第二，供應(yīng)鏈本身也是個很寬泛的概念，到底要把多少環(huán)節(jié)和多少相關(guān)人員都納入考慮才算安全？第三，安全、成本以及保持工廠正常產(chǎn)品制造運行——這三者之間如何取得平衡？

另外，雖然中東訂單爆單，但西方國家是否會借此安全問題進(jìn)一步限制中國通信電子產(chǎn)品的出口？

這些問題和隱憂，都會在未來的時間內(nèi)逐漸浮現(xiàn)。

普通民眾會受到多大影響？

最后再來聊聊，這個事件會對普羅大眾產(chǎn)生什么影響？

此前，攻擊硬件設(shè)備的新聞也時常見諸媒體，比如說美國用震網(wǎng)病毒對伊朗核設(shè)施進(jìn)行攻擊，這個病毒有針對性地攻擊西門子的工業(yè)控制系統(tǒng)，在電腦顯示屏幕上顯示出來的離心機轉(zhuǎn)速一切正常的情況下，實際操控離心機超過安全轉(zhuǎn)速運轉(zhuǎn)，最后導(dǎo)致離心機損壞。它的目標(biāo)局限于伊朗破壞鈾濃縮的工業(yè)離心機，而不是針對平民目標(biāo)。美國人自己研發(fā)的針對電網(wǎng)攻擊的策略，雖然停電時如果沒有備用電源，可能影響到一些手術(shù)，會威脅生命，但也算是勉勉強強在游戲規(guī)則范圍之內(nèi)，。

但現(xiàn)在，針對黎巴嫩的襲擊是超出規(guī)格之外的，因為他波及到了大批無辜民眾的生命安全。

于是，當(dāng)此事件在社交媒體上發(fā)酵之后，很多民眾不免發(fā)出擔(dān)憂——如果傳呼機、對講機能被遙控爆炸，手機是不是也有類似的風(fēng)險？國內(nèi)多家媒體對這一擔(dān)憂進(jìn)行了澄清，第一財經(jīng)的報道稱，手機植入后門芯片，難度比尋呼機高出萬倍。

不過，專家們也強調(diào)，普通民用級電子產(chǎn)品，也有可能通過改裝造成損壞或制造安全隱患。比如，有可能通過改造設(shè)備固件，讓電子產(chǎn)品植入有害程序，電腦、手機、機頂盒，甚至汽車部件都有可能。以前發(fā)生過，有黑客用惡意軟件攻擊打印機，造成打印機高溫，可能引發(fā)火災(zāi)?！艾F(xiàn)在的車聯(lián)網(wǎng)有較多風(fēng)險，比如遠(yuǎn)程關(guān)閉電源，熄火，控制車內(nèi)功能，都能實現(xiàn)?！?/p>

援引《每日經(jīng)濟新聞》記者采訪 DARKNAVY·深藍(lán)的網(wǎng)絡(luò)安全專家李忠睿的評價，他認(rèn)為公眾不必對此產(chǎn)生恐慌?！皬膶嶋H案例來看，盡管目前存在一些對充電樁等工控設(shè)備的攻擊，但針對手機或者汽車的電池部分的網(wǎng)絡(luò)攻擊仍然是罕見的。并且，目前的手機和新能源汽車廠商在安全方面是比較重視的，要攻破它們的手機、汽車的一些系統(tǒng)不僅難度很大，攻擊的成本也非常高。各企業(yè)及政府的各種監(jiān)管部門應(yīng)持有重視的態(tài)度，盡可能地保證目前各常用設(shè)備的安全性，同時，各供應(yīng)鏈在生產(chǎn)產(chǎn)品時也要進(jìn)行監(jiān)管，從而杜絕被不法分子利用的可能性。對于普通民眾來說，則需具備一些安全常識，不應(yīng)隨便去點擊一些騷擾短信中的鏈接等?！?/strong>