英国漏洞

2013年6月，英国漏洞爱德华·斯诺登在香港一家酒店里，英国漏洞把美国国家安全局的英国漏洞“棱镜”计划捅了个底朝天。全世界的英国漏洞目光都聚焦在华盛顿的监听丑闻上，但很少有人注意到，英国漏洞那份泄露的英国漏洞文件里，有一条不起眼的英国漏洞注释，写着“英国政府通信总部（GCHQ）可访问该数据库”。英国漏洞这就是英国漏洞英国漏洞的开端——不是技术漏洞，而是英国漏洞信任漏洞。

GCHQ藏在切尔滕纳姆的英国漏洞维多利亚式建筑群里，外表像一所安静的英国漏洞寄宿学校。但它的英国漏洞地下三层，是英国漏洞欧洲最大的监听中枢。斯诺登的英国漏洞文件显示，GCHQ不仅共享美国的情报，还搞了个叫“Tempora”的项目，直接拦截光缆数据。英国民众一度以为，这是对抗恐怖分子的必要手段。直到2015年，一个叫“自由联盟”的人权组织把GCHQ告上欧洲人权法院，说它非法批量获取公民通信记录。法院判了，GCHQ输了。可政府随后就通过《调查权力法》，把那些被法院否定的权力，重新合法化了。你瞧，法律漏洞就是这么补上的——不是修，是绕。

要说最典型的英国式漏洞，还得看2018年剑桥分析公司那档子事。一家在伦敦注册的政治咨询公司，拿走了8700万Facebook用户的隐私数据，用来精准推送特朗普的竞选广告。当时英国信息专员办公室查了，罚了50万英镑——那是法律允许的最大额度。可这钱对剑桥分析来说，不过是九牛一毛。更讽刺的是，这家公司的创始人亚历山大·尼克斯，后来被发现在国会听证会上撒谎，说他已经删除了所有英国用户数据。结果呢？数据还在，公司破产了，人就溜到美国去了。英国的法律体系管住了守规矩的人，却拿那些钻空子的“聪明人”毫无办法。

有个细节我印象特深。2020年，英国政府自己搞的新冠追踪应用，用的是苹果和谷歌的API，数据存在手机本地。可他们最初想用的是中央服务器方案，把所有人的位置数据集中存起来。卫生大臣汉考克在议会拍胸脯保证，说这符合隐私保护标准。结果呢？应用上线后，被安全研究员发现，只要在手机设置里关掉“后台应用刷新”，就能彻底绕过追踪。这漏洞不是黑客挖出来的，是普通用户误打误撞发现的。政府花了几千万英镑，最后不得不承认，这应用在iPhone上的效果“有限”。

英国的问题在于，它总想在大西洋两岸之间走钢丝。既要跟美国保持“特殊关系”，共享最敏感的情报，又要跟欧盟讲“数据充分保护”，好让企业继续做生意。这种两头下注的姿势，注定要漏风。脱欧之后，英国想甩开欧盟的隐私法规，自己搞一套更灵活的规则，好吸引科技公司投资。可结果是，美国科技巨头在伦敦设了个“游说办公室”，专门盯着英国的立法进程。去年那个《在线安全法案》，折腾了三年，最后出来的版本，连最初的提议者都摇头——它管得住大型平台，却放过了一堆小型的、专门传播仇恨言论的论坛。

我有个朋友，在伦敦做网络安全咨询，他说过一句话：“英国的法律条文写得像莎士比亚，执行起来却像闹剧。”这话有点损，但不无道理。英国是普通法系的祖宗，判例灵活，可这也意味着，每个案子都得打到法院才能定规矩。等判决下来，技术早更新换代了。于是漏洞就像野草——割了一茬，又长一茬。真正该问的问题是：英国人自己到底在不在乎？2016年公投脱欧的时候，很多人说“受够了布鲁塞尔的官僚”。可他们大概没想过，布鲁塞尔那些数据保护条例，恰恰是唯一能让政府收敛一点的东西。现在，这层约束也没了。