供应链攻击：当威胁来自软件内部
你从可信赖的供应商处安装软件。你遵循最佳实践。你保持所有程序处于最新状态。然而，你的系统还是遭到了入侵。这就是供应链攻击令人不安的现实——威胁并非来自直接入侵，而是来自你已经信任的东西。
什么是供应链攻击
供应链攻击发生时，网络犯罪分子通过入侵目标所依赖的供应商、软件库、更新机制或硬件组件，间接渗透攻击目标。攻击者不会正面攻击防御严密的公司，而是在该公司所依赖的依赖链中寻找较弱的环节，并从源头对其下毒。
其结果是，恶意代码、后门或间谍软件会自动传递给成千上万甚至数百万用户，而传递途径往往正是那些本应保障软件安全的更新机制。
攻击原理
现代软件大多建立在多层依赖之上：第三方库、开源软件包、云服务以及供应商提供的组件。这种复杂性创造出任何单一组织都难以全面监控的攻击面。
以下是一个典型的攻击流程：
- 锁定目标 – 攻击者识别出一个被广泛使用的软件供应商或开源软件包，其安全实践比其客户更为薄弱。
- 实施入侵 – 攻击者渗透进供应商的构建系统、代码仓库或更新服务器。这可能通过网络钓鱼、窃取凭证或利用供应商自身基础设施中的漏洞来实现。
- 注入代码 – 恶意代码被悄然插入合法的软件更新或某个库的版本中。
- 传播分发 – 被污染的更新以合法证书签名后推送给所有用户。由于其来源可信，安全工具通常不会对其发出警报。
- 执行恶意程序 – 恶意软件在受害者设备上静默运行，可能窃取凭证、建立后门或外泄数据。
2020年的SolarWinds攻击是最臭名昭著的案例。黑客将恶意软件植入一次常规软件更新，该更新随后被分发至约18,000个组织，其中包括美国政府机构。此次入侵长达数月未被发现。
另一个广为人知的案例涉及NPM软件包生态系统。攻击者发布了名称与热门库极为相似的恶意软件包——这种技术称为域名仿冒（typosquatting）——希望开发者会不小心将其安装。
为何VPN用户应当重视
VPN软件本身并不能免疫此类攻击。当你安装VPN客户端时，你默认信任该应用程序——以及其依赖的每一个库——都是干净的。针对VPN提供商软件分发渠道的供应链攻击，理论上可以传递一个被篡改的客户端，导致你的真实IP地址泄露、断网保护（kill switch）被禁用，或在你不知情的情况下记录你的流量。
因此，以下几点至关重要：
- 只从官方渠道下载VPN软件，切勿使用第三方应用商店或镜像站点。
- 选择发布可重现构建（reproducible builds）或接受定期第三方审计的提供商，以便对编译后的软件进行独立验证。
- 检查代码签名证书，确认软件自离开开发者之后未被篡改。
- 保持软件更新，同时关注安全资讯——如果某供应商宣布发生供应链事件，请迅速采取行动。
除VPN软件外，供应链攻击还会波及你用于保护隐私的其他工具：浏览器、浏览器扩展程序、密码管理器以及操作系统。例如，一个被植入恶意代码的浏览器扩展程序，可能会破坏VPN为保护你的隐私所做的一切努力。
更宏观的视角
供应链攻击之所以格外危险，在于它们利用的是信任。传统网络安全建议告诉我们"只从可信来源下载"——但供应链攻击恰恰将可信来源本身变成了威胁。正因如此，零信任架构（zero trust architecture）、软件物料清单（SBOM）以及软件包的加密验证等概念，正在安全社区中获得越来越广泛的关注。
对于普通用户而言，结论简单却重要：你所依赖的软件，其安全性取决于其背后整个生态系统的安全水平。保持信息畅通、选择安全实践透明的供应商，以及借助VPN审计等工具来核实提供商的说法，都是构建真正可靠的隐私保护体系的必要组成部分。