事件

上周，中国工商银行（ICBC）美国分行遭受勒索软件攻击，在一定程度上扰乱了美国国债市场的交易。周一（11月13日），Lockbit勒索软件集团的一名代表在一份声明中表示，中国工商银行已支付了赎金。#中国工商银行#
具体赎金为多少不知。

“他们支付了赎金，交易完成。”Lockbit代表透过在线讯息应用程序Tox告诉路透社。路透社无法独立核实Lockbit的声明。

ICBC的美国子公司工银金融服务公司（ICBCFS）上周四（11月9日）透露遭遇勒索软件攻击，导致部分系统出现故障。ICBCFS称，该公司当时断开并隔离了受影响的系统。

美联社上周报导，ICBC没有透露更多细节，但有报导称，此次攻击是由LockBit发起的，这是一个以成员之间主要以俄语沟通的勒索软件集团。
https://baijiahao.baidu.com/s?id=1782498686203503798

原因分析

工商银行作为国内最谨慎的银行，也遭遇了此种事件，不得不令人惋惜。工商银行的所有数据库服务器都是有备份的，号称至少有三地的服务器。那为什么会出现数据被黑客锁死，不得不支付赎金的情况呢？备用服务器干嘛去了？

请搜索"数据库" “灾备"两个关键词，在本站就能搜到很多教程。其中有一个关键步骤是“SSH免密”。所谓的"SSH免密"是为了让灾备程序可以轻松的操作其它备用机的数据库的Linux账号，从而更详细的了解到其它备用机的状态。SSH免密也是全局的，无论有多少台备用机，互相之间都是免密码可登录。

当时我读到了说明书的这一章节，马上就产生了怀疑。这样数据库主机岂不是对其他数据库备份机不设防？SSH免密是可以帮助其他备份机更准确的判定本机是否真的出了故障，然而它也为黑客从别的备份机直接控制本机数据库打开了方便之门。也就是说，一旦黑客控制了一台数据库的主机，开启了SSH免密的该主机，马上就可以直接登录所有其他备用机的数据库账号，然后直接对数据所在目录进行拷贝，删除，乃至硬盘加锁。

对于系统安全，必须要时刻留意虽然程序崩溃和死机是常见故障，但比它们更危险的是人为攻击。因为一旦发生人为攻击，对手是千方百计的置你于死地。

为了躲开SSH免密，我放弃了postgresql著名的灾备软件pgpool, 又为了躲开灾备软件使用数据库的superuser（留给读者一个问题，为什么不能superuser跨机通用），我又放弃了著名的灾备软件patroni。虽然repmgr还有些问题，但是其权限管理系统允许最小化，经过大半年的钻研，我终于自研出了一套既防自然灾害，又防人为破坏的postgresql灾备控制系统。

教训总结

个人创业做系统，之前曾经将系统外包给某高校进行开发。在开发过程中，经常发生与学生乃至副教授『顶牛』的情况。他们抱怨我想得太多太细了，按照业界惯例，根本就不用考虑那么细。

所以现在的所有开发工作，都是我一个人在做。我发现国内的思维方式，普遍停留在『抄袭模仿』的惯性上，只要大家都这么做，只要之前没出过错，就不需要做得更好，就不需要考虑出错情况。如果我较真严格要求，反而会被程序员们集体抵制。这可以算是经典的『平庸之恶』了。

为什么Snowden暴出来有那么多的软件漏洞可以供CIA利用？很多软件做出来的同时，就在生产漏洞，就在留方便之门。只有避开『集体思维惰性』，多问几个为什么，凭什么，才能防微杜渐，堵住漏洞，防范可能发生的危险。这也是国安部保密局所倡导的『零信任』级防护。