5 日，科技业界又出了一条惊天动地的大新闻。根据彭博《Businessweek》最新封面深度报导：全美多家顶级科技公司，都被一枚不到铅笔尖大小的中国芯片骇了！
罪魁祸首就是下图右这枚芯片。它的尺寸极小，连最小的 1 美分硬币跟它比起来都很巨大。
《Businessweek》报导称，被波及的美国公司包括苹果、亚马逊等，总数可能超过 30 家。
这么大规模的骇客攻击，是怎么做到的？
简单来说是这样：
（Source：Bloomberg）
- 中国骇客设计了这个芯片，内容足够的处理性能、内存和连线能力来实施攻击，芯片伪装成了蓝牙讯号滤波器。
- 芯片被中国代工厂放进全世界最大主机版公司超微电脑公司（Super Micro）的主板里。
- 安装了这种芯片的主板被 Super Micro 组装到服务器里。
- 被攻破的服务器进入了数十家公司的资料中心。
- 服务器被安装并启用后，芯片会修改操作系统的核心，让其接受未经允许的修改。还能透过芯片操控主板和远端控制。
数十名不愿透露姓名的政府高层和各公司内部人士向《Businessweek》透露，这次史无前例的硬件攻击依靠的载体，正是美国芯片巨头超微电脑（Super Micro）生产的服务器主板。
超微电脑创立于美国，创始人为华裔台湾人，主板组装工厂大部分位于中国，自己做不来时会外包给代工厂，也在中国。正是在这些外包商的工厂里，那枚跟铅笔尖差不多大的芯片被装到主板。
为什么说这次攻击史无前例？
大部分人理解的骇客都是透过软件或系统漏洞攻击，像这种硬件攻击，少之又少。精彩之处在于：
- 追溯到生产过程很前端的阶段，在元件采购时就植入“木马”。
- 之后整个生产、组装和校验，多方参与的漫长过程中，都没有曝光。
▲ 动图展示，那枚小芯片在超微主板的位置。
厉害了，我的……
等等，这里面还是有太多蹊跷了。
读完文章之后，这篇所谓的《Businessweek》封面深度报导，技术类说明太含糊不清了，对骇客攻击方法缺乏足够的技术细节阐释，却有大量不成比例的叙述性、故事性内容。
比如这段，调查过此事的美国政府官员，将超微形容为硬件界的微软，“攻击超微主板就像攻击整个世界”。
这篇文章尝试揭露无人知晓而又极其可怕、国家级的骇客攻击，却未提供让人信服的证据，反而加入太多强烈个人色彩的内容，显得专业性不足──和彭博社的名声不符。
刊登之后，苹果和亚马逊立刻发表针对这篇报导的声明，严词反驳有关自家公司的不实报导。
最重要的是，两家公司声明一反平常的公关声明，细节之丰富、反驳之透彻，出人意料，和《Businessweek》报导形成鲜明对比。
朋友圈和 Twitter 不少安全人士，都倾向认为这篇文章报导有问题，可能是假资讯。
接下来，跟笔者一起来盘点一下这篇文章有哪些漏洞：
一，苹果亚马逊声明：不实报导
各位读者有所不知，苹果在回应社会误解和媒体质询方面是出了名的保守和被动，一般不闹大根本不可能指望有回复；就算回复了，通常也是答非所问。
但这次不同，苹果在文章发表后就马上回应，且不到一天就在官网刊登声明。
苹果使用的言辞可说非常激烈。开头就直指《Businessweek》之前多次质询有时含糊，有时干脆精心编造（sometimes vague and sometimes elaborate）。
《Businessweek》文章有一个重要的细节：苹果和亚马逊两家公司在自家服务器主动发现可疑的芯片，并直接找上 FBI 等国家安全机构。
苹果直接驳斥这点，表示根本没这件事：
苹果从未在任何服务器找到可疑的芯片、“硬件操控”或漏洞。
苹果从未就此（文章所说这不存在的）事件主动联系 FBI 或其他机构。
对 FBI 是否有调查，公司和执法部门联络人都不知情。
亚马逊的回应也差不多一样：
正如我们和《Businessweek》多次交流时的澄清，这完全错误。
目前或过去任一时间点，我们在亚马逊或 Elemental（注：亚马逊收购的公司）系统内，都没有发现任何超微主板有修改过的硬件或可疑芯片。
我们也从未和政府合作任何调查行动。
为什么说这次苹果的反应让人印象深刻：针对不实指控，声明甚至深入到技术架构层面，逐点反驳《Businessweek》的文章错误之处。
比如《Businessweek》指出苹果有 7 千台超微主板受影响，其中有来自收购公司 Topsy Labs 的服务器，这些硬件最终用于开发 Siri 的搜寻功能：
苹果提供他们的事实：Siri 和 Topsy 从未共用服务器；Siri 技术从未部署到超微生产的主板；Topsy 使用的超微主板只有 2 千台，并非 7 千台，且这些服务器里从未发现任何可疑芯片。
同样，亚马逊也瞄准《Businessweek》的细节。
文章提到亚马逊收购 Elemental 公司（同上注）时聘用外部机构来稽核，发现可疑芯片并报告美国政府。文章陈述暗示记者看过这份报告。
然而亚马逊的声明，的确聘用外部机构进行技术和安全稽核，却没有发现文章所说的可疑芯片，更没有报告美国政府。
并且，亚马逊及第三方并没有提供报告给任何外部人士，《Businessweek》记者也拒绝向亚马逊展示记者拥有的证据以便亚马逊对质。
《Businessweek》文章指出，亚马逊在亚马逊中国发现同样的问题，且更加严重；文章还暗示亚马逊中国将资料中心卖给北京光环新网（Sinnet）是为了跟资料中心里的超微主板撇清关系。
亚马逊再次澄清：亚马逊不但没有在亚马逊中国发现这问题，且亚马逊中国业务上线之初，就是按照中国法律和光环新网合作（否则无法营运）。合作机构由始至终就拥有资料中心，更无撇清关系一说。
对于苹果、亚马逊声明和《Businessweek》文章的事实冲突，知名科技部落客 John Gruber 总结得很好：
要么彭博的报导（至少关于苹果和亚马逊的部分）严重错误，要么苹果和亚马逊的声明，是堂而皇之的谎言。
说真的，前几天马斯克刚因为在 Twitter 率性推文被 SEC 罚款 2 千万美元，苹果和亚马逊都是美国上市公司，公开声明还撒谎的可能性太低了。
二，缺乏技术论证和公开消息来源
这篇报导另一个严重问题在于，尝试讨论一起大规模硬件骇客事件，想描绘苹果和亚马逊不够严谨的形象，却缺乏严谨的技术论证。
首先，如前所述，这枚小芯片经历了超微、苹果、亚马逊和 30 家美国顶级科技公司极其复杂严格的审查都未被发现的可能性极低。
然后，这枚小芯片的能力之强大，是否达到了记者文章暗示的那样？
记者指出这枚小芯片伪装成讯号调理耦合器。这说得没错，据了解，它应该是一枚阻抗匹配巴伦滤波器。
淘宝人民币 1 元一个，10 元就有一把：
在这里可以告诉大家，虽然这个小东西只有一粒米大，且如此便宜──但的确有开发成骇客装置的潜力。
理论上，这个滤波器可改装成收集并储存电力，用于执行某些本身之外的非原生功能。它有联网能力，但并不是透过上面的焊点连到主板的有线网络，而是透过射频天线劫持蓝牙甚至 Wi-Fi。
但问题在于，以文章展示的滤波器大小来讲，很难有足够空间储存够多程式码，或执行足够作业来维持后门开启，骇掉蓝牙、Wi-Fi 连线。
而《Businessweek》文章是怎么说的呢？这个小芯片内建内存（很小）、网络连通能力（勉强算有），以及足够的计算能力，用于发起攻击。
说实话，这有点强人所难。要达到这种计算能力，需要一个 CPU，无论有时钟还是没时钟，至少得有一个 CPU，来执行逻辑作业，且劫持蓝牙或 Wi-Fi。
有此能力的 CPU、逻辑套件和射频天线，如果装在这种大小的滤波器里，没被苹果和亚马逊发现的可能性极低──特别是《Businessweek》记者多次质询苹果的前提下。
当然可以理解，《Businessweek》这篇文章不是给半导体从业者看的，而是要让广大读者明白，现在这些公司的服务器里有这个威胁，且明白骇客攻击（如果有）的逻辑是什么。
然而，缺乏对具体细节的论证，安全部落客 SwiftOnSecurity 等在 Twitter 表示，文章可信度大打折扣（注：此推文已删除）。
更别提文章里，关于具体的指控没有可公开的来源，反倒几个周边参访对象有名有姓，只是这些人的引语，实在让人无力吐槽。
比如这段，安全专家 Joe Grand 把这种攻击形容为黑魔法，“有如亲眼目睹独角兽越过彩虹”……
三，报导严重低估苹果和亚马逊的安全标准
在硅谷工作过的朋友可能知道，虽然时不时发生一些泄密事件，总体来讲大公司的安全水准可不是开玩笑的（Facebook 除外）。
文章先后多次暗示，苹果和亚马逊采购服务器，收购创业公司整合系统的时候，就是直接把别家服务器插到资料中心里，直接插进生产环境。
过程没有尽责调查，没有技术检核；就算有，也发现不了问题；就算发现了问题，也瞒着不告诉大家。
而且文章还暗示，有这种问题的不仅苹果和亚马逊，还有总共 30 家公司，还有美国海军和 CIA，因为出问题的主板已进入海军舰艇和 CIA 的无人机。
事实上《Businessweek》暗示的这种情况，发生可能性极低──也许在一家公司可能出现，但同时感染美国最优秀的科技网络公司和美国政府军队最重要的部门，几乎不可能。
苹果声明指出：
按照惯例，服务器投入生产环境之前，安全专家会检查安全漏洞，并且更新所有固件和软件，以确保硬件享有最新保护措施。
当我们执行这套程序时，没有在超微服务器内发现任何异常漏洞。
▲ 苹果位于丹麦的资料中心。
文章暗示，这枚伪装成讯号调理耦合器的小芯片，并不在各公司要求的原始设计里。然而亚马逊方面表示：
对外部采购的软硬件，不但会有装机之前的调查，装机之后也会有常规稽核。
特别是处理器、内存、服务器之类装置，亚马逊特别强调，会严格的比较检验，确保主板元件符合公司的原始设计。
正是因为有安全稽核程序，亚马逊方面确定《Businessweek》文章呈现的情况从未出现。
四，强词夺理，混淆真相
算是这篇报导较关键的纠纷吧。
苹果声明特别指出，对《Businessweek》记者极其失望，认为他们从未想过可能是消息来源出了问题。
苹果还猜测，记者混淆了 2016 年苹果发现一枚受感染超微主板的独立事件，夸大处理整起事件。
当时事件的确引起不小骚动，毕竟发生在苹果。然而复盘事件本身，的确像苹果所说，内部稽核时发现主板有驱动漏洞，只是独立事件。
另一个关键纠纷在于，无论那次独立事件，还是超微 CEO 当时暗示苹果砍价太凶，更或其他不可告人之目的──苹果 2016 年已中断和超微的供货合约。
这点再加上苹果多次告知记者没有在自家超微主板找到问题，两个结论合起来，《Businessweek》这次还要扯上苹果，只能说强词夺理了。
最后，错的就一定是《Businessweek》吗？背后还有没有更多隐情？
真相还未完全大白之前，任何情况都有可能。不管怎样，这起案件已成为科技界今年最大的新闻了。
可以参考一下专业 IT 杂志《The Register》的态度，没帮任何一方站台，而是发了这条推文：
无论怎样，彭博社内部对不准确资讯零容忍，有很多层编辑检核文章。这是一支 2 千名记者组成的军队，而这篇文章花了十几个月准备。
看着这篇稿子和苹果、亚马逊的反驳，就像在看物质和反物质对撞。
FWIW: Bloomberg has, internally, a zero tolerance for inaccuracies, with several layers of editors checking stories. It is a virtual army of ~2,000 journalists. The Supermicro story today took months to develop.
Today’s claims and denials are like matter and antimatter colliding
— The Register (@TheRegister) 2018年10月4日
（本文由 PingWest 授权转载；首图来源：shutterstock）
延伸阅读：
- 中国藉植入服务器芯片窃取美国机密，亚马逊及苹果相继否认受害
- Super Micro 声明否认其主板中有间谍芯片，但股价一度大跌 5 成
- 受中国间谍芯片入侵消息影响，小摩建议放空国内 4 家代工商
