我们没有使用此选项，并且可能存在错误。但是对此系统负责的人并不认为这很重要。因为“我们不会使用它” ...
我对它进行弹道攻击是错误的吗？
如果它是您的工作场所您将如何处理？
/>
该问题是“本周IT安全问题”。
阅读2012年6月16日博客条目以了解更多详细信息，或提交自己的“本周问题”。
#1 楼
仅仅因为他们不会使用它，并不意味着其他人不会找到并使用它。后门是一个内置漏洞，任何人都可以使用。您应该说明，这样做对您的公司来说是非常冒险的。当某些恶意攻击者找到并使用此后门时，会发生什么？这将花费您的公司很多时间和金钱来修复。当人们问为什么软件首先包含该后门程序时，您的公司会怎么说？公司的声誉可能会永远受损。
风险当然不值得在代码中包含。
评论
+1应该记录所有内容并与用户共享。没有后门，应该被允许。 MSFT甚至禁止所有软件使用无害的复活节彩蛋，因为它暗示代码包含隐藏的功能。您的公司应遵循可信赖计算的指导，否则可能会陷入困境，例如可能无法恢复（不良PR，销售损失等）
–半比特
2012年5月17日18:51
+1“但我们不会使用它”是后门的最糟糕借口。如果您不打算使用它，那有什么意义呢？几乎可以保证会有其他人。至少如果您出于某种原因计划使用它，那么它就有其存在的理由，您可以权衡所涉及的风险。
–马修·沙利（Matthew Scharley）
2012年5月17日23:48
假设一家大公司中的每个人都以相同的方式思考是不现实的，因此一个人说“但我们不会使用它”并不意味着什么，除非它得到明确的政策和对使用它的人的反响。 。如果乐于拥有它的力量存在，那不可能发生。
– Burhan Ali
2012年5月18日下午5:21
@ makerofthings7只是要在您的MSFT声明中弄清楚。他们没有故意阻止它，因为那些人选择了。他们被法院下令制止。 “为了向某些政府机构提供软件，Microsoft不能包括未记录的功能，包括复活节彩蛋”。
– SpoiledTechie.com
2012年5月19日，0：28
软件就像合同一样。如果您在合同中看到一条条款可能会让您真正陷入困境，请不要签署合同，直到他们将其取出。他们说“但是我们永远不会使用该子句”只是愚蠢的。只需要一位对此感到不安的员工对您的公司造成巨大损失。
– Philip Couling
2012年5月20日上午9:15
#2 楼
如果您已告知决策者，但他们决定不对此采取任何措施，那么根据定义，您的公司在故意运送带有严重安全漏洞的产品。 （而且，我认为，对他们的客户隐藏了它。）这是非常严重的事情。具有该后门访问权限的恶意人员所能做的最坏的事情是什么？如果够糟糕的话，我会去找联邦调查局。 （或者，如果您不在美国，则是对计算机安全拥有管辖权的人。）如果您的公司知道此问题并且不在乎，那么公开它是唯一符合道德的行为。如果他们试图对您采取报复行动，您可能会根据情况和居住地的法律而拥有合法的追索权。 （如果您认为这可能适用于您的案件，请与律师讨论。）
评论
+1因为我同意这个主意，但是我认为您可能会失业，而且您将不得不花一生的时间来收获苹果，因为没有其他人会雇用您...这不是一个容易的决定做。
–yms
2012年5月17日在22:08
@Mason您能参考为保护这种情况下的吹哨者提供的法律规定吗？
–抢夺
2012年5月17日在22:09
@Rob：很有意思。当我多看一些时，看起来好像举报人保护法通常只适用于政府雇员。我将编辑答案。
–梅森·惠勒
2012年5月17日22:34
美国政府有一个专门针对举报人的网站，包括那些举报“违反... ...违反消费品和证券法”的人。在大多数富裕国家中，可能会有类似的情况。
–naught101
2012年5月18日，0：33
对我而言，显而易见的是：（1）揭露它是唯一符合道德的行为方式； （2）联邦调查局具有管辖权或利益； （3）举报人有任何合法资源。未记录的功能和记录较差的功能有什么区别？
–emory
2012年5月20日20:27
#3 楼
请原谅我的冷嘲热讽，但这不是我们在合法且鲜有收益的应用程序和设备中看到的第一个也不是最后一个后门。为了刷新我们的记忆，我们可以从最新的版本开始，即新的亚马逊的Big Brother Kindle [1] [2]。但是我们拥有大量的后门软件和服务，例如PGP磁盘加密[3] [4]，ProFTPD [5]或Hushmail [6]等。
不要忘记操作系统：M $始终以其NSA_KEY [ 7] [8]，但不能将OpenBSD [9]和Linux内核[10]视为100％安全。我们也曾尝试通过NSA [11]来获得对Skype的后门访问权限，但是，该访问被评估为“体系结构安全” [12]。几乎使我们的ISP的人员能够在我们的路由器内部进行监视（是的，甚至可以看到我们钟爱的WPA密码），但是这些[13] [14] [15]当然也可以视为后门！ >
最后，关于硬件和BIOS的一些注意事项[16]，以及EULA [17] [18]（这既有趣又有戏剧性），因为律师也有后门。
如果我是你，我只会非常谨慎。首先，从法律上讲，我将真正确保自己看到的是后门。其次，我将尽一切努力说服公司删除后门。
您可能已经与您的公司签署了保密协议[19]，因此您在这里的问题可能已经违反了。但是，我不知道NDA在哪里结束，而您所在的州法律从哪里开始（甚至可能是客户欺诈），并且可能由于该主题的技术性，只有非常专业的律师才能为您提供帮助。因此，如果您要继续进行任何其他操作，甚至在与当局交谈之前，都应该聘请一位非常熟练的律师，并准备好浪费很多时间和金钱甚至工作。
评论
PGP案对我来说似乎不是后门。
–超立方体ᵀᴹ
2012年5月17日23:57
Skype文章似乎不合适。它写于2009年，甚至连文章也听起来像Skype拒绝提供创建后门的提议。
–猎犬
2012年5月18日在13:09
我认为您的大量链接极具误导性。首先阅读它，给我的印象是您指出了所有这些后门实例。然后，我回过头来阅读链接，我发现了几个真正的后门实例，其中大多数不是秘密，一个被黑客入侵的服务器会在短时间内托管一个软件的恶意版本，然后混合使用并非都是后门的东西：对后门的尝试失败，错误地确定了非后门，关于后门的毫无根据的传言以及对潜在后门的理论讨论。
–杰里米·萨尔文（Jeremy Salwen）
2012年5月19日下午5:11
2003年的linux内核链接几乎没有
–Jamespo
2012年5月19日上午9:56
+1：这个问题似乎确实使用了超链接来提高其合法性。看起来有点不好。但是，有两点确实很突出：*您应该生气，因为您对工作的公司失去了信任，而不是因为后门本身的事实（将这种愤怒留给客户）：更好。 *我不知道保密协议在哪里结束，您的州法律从哪里开始[...]：记住，没有任何签订的合同可以在签署后违反国家/州法律，这总是很高兴的。 IANAL，但已经从一个人那里听到了。
–pkoch
2012年5月19日在21:47
#4 楼
如果他们认为这没什么大不了的，那么您并不是在问他们正确的问题。激发对此采取行动的问题不是“这对吗？”但是，“当有人找到并发布此内容时，我们会发生什么？”无论您是大公司还是小公司，如果公司外部有人在修复之前发现了此问题，那么您的声誉就会受到严重损害，并伴随着所有坏事。解决此问题不仅符合道德规范，对于公司的生存至关重要。与所有用户和客户离开您的一周之后相比，现在悄悄进行修复要好得多，因为它是由一些在线记者透露的。评论
我完全同意。他们可能不理解道德/伦理论据，但是如果您强迫他们遵循金钱之道，则会引起他们的关注。
–克里斯·杰恩斯（Chris Jaynes）
2012年5月18日14:00
+1。如果他们拒绝，请介意您自己的事。我年纪大了，知道道德没有任何意义。他们是你的朋友。他们付钱给你。您要对他们负责，而不是对社会负责，除非您的屁股被炸了。
–user4951
2012年5月19日13:50
@JimThio：如果使用后门程序，即使不是他的公司，即使可能（尤其是？），也会对其提起诉讼，并可能面临刑事指控。道德存在，无论您的年龄多大，它都不能保证您有圆满的结局。
– jmoreno
2012年5月19日15:02
我将非常谨慎地陈述“当有人发现并发布此内容时我们会发生什么？”问题，而不是使其听起来像是直接威胁。所有这些背后的决策者显然已经足够傲慢（如果他们可以抛开这些问题），并且相信与他们的任何分歧都是直接威胁，这可能只是一个疑问。
– TildalWave
13年6月6日在2:32
#5 楼
您应该认真考虑这样做，只是为了保护自己。想象一下这种情况：
您将后门告知管理层。现在他们知道您知道了。
Evil Hacker ZmEu发现了后门，并在pastebin上放了一些东西。
您的管理层发现了Evil Hacker ZmEu的pastebin。您是出于事业，而不是出于对纯真的抗议。
大多数安全漏洞都会被多次发现。您不会是唯一找到它的人，而只会是最容易成为替罪羊的人。
评论
情况甚至可能更糟，他可能会作为参与该过程的人之一被起诉作为后门（他知道这一点，但仍在继续参与其中）
–努比亚水手
2012年5月18日在7:34
@lechlukasz是的，他至少应该尽快退出。后来，他很可能成为联邦调查局的明星见证人，无论这到底是怎么回事。
–凯文·坎图（Kevin Cantu）
2012年5月18日在23:28
尊敬的D.W .：您是否曾经被管理层指责过？这不是法律程序，您没有代理人，通常没有上诉。我们在这里说的是替罪羊，不是正义。同样，法院而非“法律专业人士”确定无罪，有罪和诉讼基础的有效性。您只是在尝试支持法律专业人士的权威。
–布鲁斯·埃迪格（Bruce Ediger）
2012年5月21日13:42
如果ZmEu只是“在pastebin上放一些东西”，那肯定不是黑客所能拥有的最邪恶的东西。
–PaŭloEbermann
2012年6月9日19:30
如果您的公司不想与您分享该后门程序的真正原因，该怎么办？在我脑海中浮现出一瞬间：“政府”。如果政府落后于此，则去某个政府机构可能无法解决问题（这完全取决于您所在的国家/地区）。
–lepe
2015年7月1日在2:09
#6 楼
没关系，人们仍然会购买您公司生产的iPhone-您的秘密是安全的。 ;）如果这是我在工作场所工作的安全分析师，我会接受我的职责是识别和传达风险；由企业来承担风险。我个人不能接受风险，因此我唯一的选择就是确保我已尽力在适当的论坛中传达了风险水平。因此，如果您在可以接受风险的水平上受雇，则由您决定这是否可以。但是，根据帖子，您所在的级别不能代表公司接受风险。因此，您可能要做的就是以业务领域可以理解的方式传达风险，然后让业务领域使用对他们可用的所有信息做出适当的业务决策。
您确实有控制权，可以接受为一家您认为不好的决定的公司工作而给自己带来的风险。在Monster.com和朋友中记录了您减轻风险的可用方法。 :)
评论
+1“减轻风险的可用方法”
– mlp
2012年6月4日在7:25
#7 楼
在智能手机领域之前，拥有后门是所有手机的标准功能。 GSM协议允许基站更新电话软件。http://events.ccc.de/congress/2009/Fahrplan/events/3654.en.html很好地讨论了安全方案的疯狂程度
据我所知，参与创建GSM的公司中没有一家对此事件有任何法律上的麻烦。 。目前，政府内部有人希望为每个通信平台都要求使用后门程序。如果贵公司中较高的人员与NSA达成协议，他们可能不会在告诉您时就告诉您有关后门的消息。公司将后门保留在软件中。
在黑市上，进入现代智能手机的清晰后门可能价值6位或更多。员工可以卖掉它，也可以付给专门的薪水将其放在那里。
另一方面，如果后门确实存在是因为您的公司的高层不知所措，而您可能无法向他们解释这是一个严重的问题。
#8 楼
海事组织，您有专业的责任和道德的责任来确保解决此问题。您已经步入雷区。保护你自己。小心台阶。慢点深入考虑防御。我成功地请了一个能够保持匿名的举报人。征集内容包括有关保持匿名的建议；看一看。检查您是否没有对已知的东西（如Carrier IQ东西）吹毛求疵。
向公司法律顾问发送书面通知可能对解决问题有很大帮助-例如通过匿名电子邮件帐户，这样您就可以进行双向通讯。
也：
请参阅我参考过的现在已死的Wikileaks：提交页面的档案。
附录：您是否浏览了源代码版本控制日志以查看谁将后门放入其中？
评论
附录仅是+1
–马夫
2012年5月22日12:38
#9 楼
将其视为已发现的安全漏洞，并将其报告给CVE。如果您愿意，可以匿名。#10 楼
您的反应是正确的，而且在直觉上意味着您关心以下一项或多项：客户的隐私，公司的公共形象，代码库的质量，自己的皮肤。在我的工作场所，那么我将足够资深，知道它是一个安全漏洞（而不是出于公司意图或政府的授权而存在）-并将其删除。但是，这听起来似乎不适用于您的情况。需要它”，您可能会向组织中足够高的人描述当它出现在bugtraq上/被某第三方用于邪恶目的时对公司构成的危险，如果您的智能手机流行，常见，这很可能会发生并且足够有价值（作为目标-可能会转化为“足够重要的人使用”）进行攻击。坚持这样做的内部文档，因此您至少可以保留原样，并且知道您已尽力保护自己的公司，并让您自己的其他熟练同事免于陷入困境良好的代码维护实践。 （并且，如果您觉得这有极大的消极动机，请考虑选择在该行业中工作的工具，这些工具既可以服务又可以牺牲其所有者）。
#11 楼
您有一个已知的安全漏洞，并且您的公司只是可以利用它的无限多方之一。任何一方对该漏洞的任何利用都可能合理地导致索尼承担根套件惨败后的规模的赔偿责任。在直接相似的情况下，他们的美元成本和声誉成本飙升至数亿美元。衡量此漏洞被利用时的潜在责任。#12 楼
不用担心，不用担心，您的反应是正常的^^我会做以下两件事之一：
我会更新用户协议解释了这种可能性的存在，因此要求用户达成共识（如果负责人真的不希望将后门带走）
我会完全移除后门（我认为更好的选择）
此外，如果确实没有使用过此后门，为什么还要把它留在那儿？
评论
我强烈怀疑请求者是否可以在不冒险的情况下进行这两个操作。 UA是律师应创建的东西，不允许任何单纯的软件开发人员接触。如果此功能实际上是故意的，则删除后门的第二个选项可能会导致麻烦。我并不是说离开它在道德上是可以接受的，但是简单地未经上级同意就删除功能是麻烦的一种简单方法。
–马夫
2012年5月22日12:37
@mafutrct可以肯定的是，我的意思是用户在执行任何上述操作之前必须先询问上级：上级批准是强制性的。感谢您指出这一点。
–user1301428
2012年5月22日14:47
#13 楼
我会认真建议不要立即举报。尤其是因为很有可能发生这种情况，是因为CIA / FBI的某人与公司负责人进行了一次简短的交谈，他们下令通过可信任的管理渠道进行此操作，这就是为什么即使所有人都应该意识到这很糟糕也是如此借口。您正确地认识到这是一个卑鄙的借口。问题是其他人也应该拥有。有权力的人一定已经决定要发生这种情况。然后，将永久保留“确定，因为我们不会使用它”的构造。
这意味着如果您举报（并被解雇）并提起诉讼，不仅a）您可能会发现很难找到另一份工作，b）您的诉讼可能不会在任何地方进行，因为它可能事实证明（嘿，我不是律师，但这很合理），该公司不会将其视为“不当行为”。如果我是联邦政府，我会竭尽全力保护人们做我的卑鄙事。您可以对此公开。只需在“替代计算”或自由软件运动中找到一条替代路径。那条路线上没有私人飞机。
我的建议是，获得关于它的大量细节，找到新工作，然后匿名联系安全档案，并说您想通过它们公开/举报。您联系的第一个人可能会遵守。该公司可能会尝试追捕您，但他们不应从任何日志或搜查令中获得确切证据，从某种意义上说，这不是“正式的”，因为新雇主将被迫承认这一点。
评论
没有证据表明CIA / FBI与添加此功能有关。
–猎犬
2012年5月30日13:04
#14 楼
OP：您知道中兴发生了什么事吗？继续进行pastebin，进行全面而全面的安全建议。不用说，掩盖你的足迹。就是说，如果您不确定在此处提出问题的程度，则可以通过提供咨询使我们所有人受益。#15 楼
就像其他地方提到的那样，即使没有原始开发人员/安装人员的任何恶意，也让我感到恐惧的是拦截功能的使用。立刻想到了所谓的“雅典事件”，并强调了这种担忧。要获得技术含量高，同时又令人兴奋的阅读内容，您可以查看：雅典事务：一些非常聪明的黑客如何摆脱了迄今为止最残酷的蜂窝网络入侵
#16 楼
这是本周早些时候在中国的中兴将带有Backdoor的智能手机运送到MetroPCS的报道，但最终有人看到了它。许多人似乎没有注意到它。评论
有趣，但是我不知道为什么您声称它与问题中提到的是同一个后门。您链接到的ZTE程序只是一个setuid-root程序，不是可以远程激活的程序（不是在电话上没有其他功能）。
– D.W.
2012年5月21日，0：38
#17 楼
可能在这里允许政府机构访问您的手机并收听您当时在做什么。这是法律要求的。请参见：
远程激活的手机麦克风（Wikipedia）
远程监听手机麦克风（2006年12月发布） -05）
评论
令人着迷的答案。但是，我不认为“这是法律要求的”。是现行法律的准确陈述。我建议编辑您的答案以删除该句子。
– D.W.
2012年5月21日，0：36
哪个法律？我们知道我们从哪个国家说话吗？中国？
–用户未知
2012年5月21日在9:52
这个答案似乎有点毛茸茸。用户不引用法律是什么。
–猎犬
2012年5月30日13:02
我们正在用这种远程激活的手机麦克风来谈论美国。我会发布法律，但我不知道它在哪里。如果有人在立法方面比较熟练，请随时提供帮助。
– GregT
2012年7月10日23:12
#18 楼
好吧，您真正应该追求的是他们建立后门的动机。正如最高投票者所说，仅仅因为您不会使用它并不意味着就不会找到它。如果是我，我会找出后门背后的动机，以匿名方式向一家大型科技出版物发出有关后门的警报。然后，这又取决于您是否对公众承担责任，还是取决于公司是否应该清理自己的行为并让他人追究他们的不当行为。#19 楼
当然，没有认真考虑就不会出现后门。国家安全机构参与其中，他们为此付出了代价，希望没有任何人注意。蜂窝电话工程师设计为能够在所有者不知情的情况下打开蜂窝电话麦克风（保持指示灯熄灭）。我希望即使拥有者关闭了GPS功能，也可以广播GPS位置，并且即使拥有者也不知道，也可以拍摄和广播照片。评论
没有证据表明任何“国家安全机构”都与所添加的功能有关。
–猎犬
2012年5月30日13:06
#20 楼
这确实取决于后门的性质。比运营商IQ差吗？我知道手机运营商可以拦截我所有的语音和数据传输，并将其移交给政府。实际上，NSA也可以拦截所有内容。我还希望电信运营商和手机制造商，如果可以对手机进行物理访问，则无需我的同意即可完全读取其中的所有数据。因此，如果后门仅限于此类事情，并且由于其他一些安全限制，您个人无法使用后门进入他人的电话，那么我不会对它变形。通过电子邮件向主管报告您的问题，并将其副本保存在家里的纸上。被检测到时，如果您不能让他们将其锁定，那么该是充分告密者的时候了。访问客户的电话应要求公司内部具有特定的安全授权以及完整的日志记录，以便可以识别滥用其安全特权的人，并将其特权撤销（至少）。
如果介于两者之间，可以将其泄漏给安全研究人员....
评论
在任何情况下都不应报告发现的后门。政府的后门仍然侵犯了我的IMO隐私权。同样，如果后门旨在供国家使用并进行适当的检查，则使其后知之明不应阻碍其使用。总是报告这类事情...
–克里斯·弗雷泽（Chris Frazier）
2012年5月31日12:51
@Chris，并非所有后门都是平等的，存在着“哭狼”的严重风险。同样重要的是，权衡违反雇主机密性的个人后果与“后门”所代表的违反期望的程度。可以将软件更新推送到您的手机的运营商几乎是既定的，即使它可能被视为后门。
–主要专业
2012年6月3日18:32
保密部分的好处。
–克里斯·弗雷泽（Chris Frazier）
2012年6月13日13:21
#21 楼
如果您已经签署了与您的公司打交道的工作和产品类型的"non-disclosure agreement"，那么您甚至不应该问这个问题或在此处张贴。如果没有，您可以张贴公司名称和手机中安装的软件以提醒所有人。评论
如果发现漏洞，无论是否签署了NDA，都会将您告上法庭。
–安德烈·波塔洛夫（Andrei Botalov）
2012年5月22日在7:30
不在美国，这不是漏洞。知道存在后门并且不向客户披露是有目的的行为。
–订阅
2012年5月22日7:41
#22 楼
嗯，在提醒他们后将其发布在这里，我想您应该考虑实际公开上市，因为您已经拥有了。赶上。此外，开发社区还没有完全融合。例如，众所周知，互联网是不安全的，直到ISP必须通过立法，许可和交换建立直接访问政府机构的权限。只有到那时，安全才变得重要，因为“正确”的人已经获得了他们所需的所有访问权限。 br />评论
如果发现安全漏洞，则可以将您告上法庭
–安德烈·波塔洛夫（Andrei Botalov）
2012年5月18日20:49
评论
哪些运营商在使用您的手机，因此如有必要，我可以关闭我的提供商吗？一词Wikileaks
我把废话称为“我们不会使用它”。除非您绝对计划使用它或将其提供给他人使用，否则您不会放入这种后门。吹口哨。
“如果公开宣称我们在所有这些手机上都有后门，对我们的声誉会发生什么？”这个问题将迫使补丁...
我需要一颗核弹。我不会用它。我只需要它。