"

54年 ，从CIA买下整家加密机公司，到有人潜伏开源社区两年半—— 20个实锤 案例，操盘的几乎都是同一拨人

很多人觉得“软件留后门”是这几年才有的事，是华为被制裁之后才热起来的话题。

真不是。这事儿从1970年就开始了。到2024年， 整整54年，被实锤的案例大概20个 。操盘的几乎都是同一拨人：NSA、CIA、GCHQ，偶尔加上俄罗斯的SVR和以色列的NSO。

今天把这些实锤的案例从头捋一遍。每一条都有 权威报道、法院判决、解密文件或泄露文档 支撑，不收阴谋论。阴谋论有什么好写的，实锤的都够你看了。

📌 本文看点

1970年，瑞士有家叫Crypto AG的加密机公司。做的东西卖给各国政府用，客户包括伊朗、巴基斯坦、拉美一堆国家。加密机嘛，听着就高端，你的外交电报、军事通信全靠它加密， 花大价钱买了，往办公室一摆，放心了 。

放心个鬼。

2020年华盛顿邮报和德国ZDF联合调查曝光：这家公司从1970年开始就被CIA和德国联邦情报局BND秘密收购了持股。不是投资，是收购。所有卖给“目标国家”的加密机都 内置了后门，CIA想看什么就看什么 。伊朗的外交电报、巴基斯坦的军事通信、拉美各国的机密文件，CIA坐在华盛顿办公室里端着咖啡就能读。

干了多久？将近50年。一直到2018年公司注销才收场。

你买的不是加密机，是CIA的阅读器，还付了钱

Crypto AG后面还衍生出两家子公司继续干，一个叫Crypto International，一个叫Gretag Data Group，一直干到2018年才彻底注销。 50年，三代公司，一个后门，从尼克松干到特朗普 。

为什么能干50年没人发现？因为客户买的不是软件，是硬件加密机。 黑盒，你拆开也看不出门道 。而且谁会怀疑一家瑞士公司？瑞士是中立国啊，中立国卖的东西能有什么问题？

在Crypto AG之前，NSA的前身还干过一票更大的。1945年二战刚结束，NSA的前身就要求美国三大电报公司（RCA、ITT、西联）把所有国际电报副本交给情报机构。这事叫SHAMROCK， 干了30年，一直到1975年才被参议院Church委员会曝光 。

1971年，五眼联盟又搞了个ECHELON，全球信号情报拦截网络。 1988年记者第一次曝光，没人信。2000年欧洲议会正式调查，2001年确认存在 ，美国官方至今不承认但也没否认。

Crypto AG是偷偷干的，到了1993年，NSA觉得偷偷干不如明着干，干脆 把后门写成政策 。

NSA设计了一个加密芯片叫Clipper Chip，装在AT&T的商用电话加密设备里。每个芯片有个“密钥托管”机制：你的加密密钥会存一份副本在两个联邦机构那里，执法部门需要时可以调取。

说白了就是：你家的锁，钥匙配一把放派出所。你说我不犯法怕什么？问题是 钥匙在谁手里、谁有权来取、取了看什么，全是人家说了算 。

这是政府 公开承认的后门 ，不是偷偷留的，是写进政策、发新闻稿的。NSA说这叫“合法监听能力”，名字取得挺好听的。

结果1994年AT&T研究员Matt Blaze发现这个密钥托管机制有重大设计漏洞，可以绕过。到1996年，整个项目被业界抵制而死。Skipjack加密算法至今保密，但密码学界公认： 这是NSA公开尝试后门的标志性失败案例 。

1997年，Lotus的出口版Notes软件被发现了一个有意思的设计：64位加密密钥里有24位，用NSA的公钥加密后附在消息里。Lotus官方给这个机制起了个委婉的名字，叫 workload reduction factor ，给NSA减负。

翻译大白话：你的密码是64位的，但 NSA直接拿到24位，只需要破解剩下40位 。而当时美国出口法规规定的加密上限就是40位。所以对NSA来说，这个出口版加密跟没有一样。

Lotus自己的开发者在RSA大会上还振振有词地解释过：“NSA拿到24位后还剩40位要破解，跟以前一样，我们对其他任何人反而更强了。”

我主动把钥匙给了一半给NSA，但对其他小偷来说锁更难撬了，所以你该感谢我

2001年美国修改出口法规后这个机制就取消了，但 厂商主动配合这个模式留下了 。后面你会看到，这个模式越玩越花。

1999年8月，加拿大Cryptonym公司首席科学家Andrew Fernandes在Windows NT4 SP5的ADVAPI32.DLL里发现了一个变量。

变量名叫 _NSAKEY 。

就这名字，你说跟NSA没关系，那为什么不起名叫 _BACKUPKEY 或者 _SPAREKEY ？非要叫 _NSAKEY ，这是跟自己过不去还是跟用户过不去？

里面存着一个1024位的公钥。微软解释说：这是加密服务提供模块（CSP）签名验证用的备用密钥，叫_NSAKEY只是因为 NSA是出口审查的技术机构，不是NSA的后门 。

微软至今没承认这是后门。但密码学界一直觉得可疑。后来Nicko van Someren在Windows 2000测试版里还发现了第三个密钥，微软说是测试用的。

2003年，AT&T旧金山Folsom Street 611号大楼6楼，有一间没有窗户的房间，编号641A。

AT&T技术员Mark Klein亲眼看着这间房间被改造成NSA的监听站。NSA在这里装了一台Narus STA 6400设备， 通过光纤分光器把所有流经AT&T骨干网的国际互联网流量复制一份 ，送给NSA。

你发的邮件、聊的天、传的文件、浏览的网页，只要经过AT&T的网络，NSA都有一份副本。不是“可能有”，是“一定有”。

Mark Klein 2006年带着 100多页内部工程文档 找到了电子前线基金会（EFF），把这事捅了出来。类似的NSA黑屋在西雅图、圣何塞、洛杉矶等地都有， 估计全美至少20个 。

国会通过了《FISA修正案2008》，追溯豁免了AT&T等电信公司的法律责任

Mark Klein 2025年因胰腺癌去世，EFF发了讣告称他为 “英雄” 。一个AT&T的技术员，拿着100多页证据，顶着被起诉的风险把NSA的家底抖了出来，干了一件整个科技行业都没人敢干的事。

2013年，Snowden一口气把NSA的家底全抖了出来。一个事件变成了一连串事件，信息量大到 媒体追了好几年都没追完 ：

PRISM：9大科技公司全在列

NSA直接接入9家科技公司服务器实时抓取用户数据，谷歌、苹果、微软、Facebook、雅虎、AOL、Skype、PalTalk、Dropbox全在列。严格说这不是软件后门，是 厂商配合开放后端接口 。但对用户来说效果一样：你用美国软件产生的所有数据，NSA看得到。

Dual EC DRBG：教科书级的“标准里埋雷”

NSA推了一个随机数生成算法，2006年写进了NIST标准（SP 800-90A）。2007年微软研究员就发现可能藏有后门，但没法证实。2013年Snowden文件确认：NSA为此给RSA Security付了 1000万美元 ，让这个算法成为RSA BSAFE工具包的默认算法。

后门的机制是：拥有特定密钥的人可以 预测随机数，从而破解所有用这个算法的加密 。NSA有个叫Bullrun的项目，每年花约2.5亿美元干这个事，专门在加密标准里埋雷。2014年4月NIST正式撤回这个标准。

NSA ANT产品目录：超市货架级的植入工具

Snowden泄露了一份50页的NSA ANT部门产品目录，跟超市货架似的。JETPLOW给Cisco防火墙装固件后门。FEEDTROUGH、GOURMETTROUGH、SOUFFLETROUGH，光Juniper就准备了四款。IRONCHEF给HP服务器，DEITYBOUNCE给Dell服务器，IRATEMONK直接往硬盘固件里写后门， 迈拓、三星、希捷、西数全覆盖 。

最有意思的是两个： HEADWATER 和 HALLUXWATER ，专门给华为路由器和防火墙植入持久后门。

NSA截获计划：中转站开箱植后门

Greenwald后来公开了NSA的照片，工作人员在打开一台运往叙利亚的Cisco路由器包装箱，安装“beacon植入物”后重新封箱发货。 包装完好无损，东西已经不是原来的东西了 。

Cisco CEO John Chambers后来给奥巴马写信，说客户不信任了。你信不信他写那封信的时候心里在骂娘？ 自己产品被人在中转站动了手脚，全球客户看了照片 ，这事你公关都公关不了。

2015年12月，Juniper Networks公开承认自家ScreenOS防火墙系统里有个 硬编码密码后门，攻击者可以远程解密VPN流量 。

这事最骚的地方是：调查发现这个后门用的就是Dual EC DRBG那套机制，基本可以确定是NSA通过SIGINT Enabling项目植入的。

但更骚的是：后来发现 有人改了后门的密钥 。等于第二个攻击者发现了NSA埋的雷，没拆，而是把引信改了，变成了自己的武器。

你埋的雷，最后炸的是你自己

Fortinet FortiOS 4.x到5.0.7版本被发现有个硬编码密码 FGTAbc11*xy+Qqz27 ，通过 Fortimanager_Access 账号可以SSH远程登录防火墙。而且这个操作 不出现在访问日志里 ，你查不到谁进来的、什么时候进来的、进来看了什么。

Fortinet官方说这是“管理认证问题”不是后门。安全研究员Ralf-Philipp Weinmann直接在Twitter上确认：“FortiOS backdoor confirmed working”。

2019年9月，俄罗斯SVR（APT29，也叫Cozy Bear）入侵了SolarWinds的软件构建环境。SolarWinds做的是网管软件Orion，客户包括美国国务院、财政部、国土安全部、能源部、核安全委员会，以及微软、FireEye、英特尔、思科。

攻击者在Orion的更新包里植入了SUNBURST后门，从2020年3月到6月持续推送被感染的更新。 约1.8万客户下载了带毒版本，其中约100个高价值目标被进一步渗透 。潜伏9个月没被发现，最后是FireEye自查自己被黑时意外发现的。

谁也别装白莲花，大哥别说二哥

2024年3月29日，微软工程师Andres Freund在调试PostgreSQL时发现了一个异常：SSH登录 慢了500毫秒 。

500毫秒。就是半秒钟。正常人根本不会注意到的延迟，他注意到了，追下去了，发现了一个后门，代号CVE-2024-3094， CVSS评分10.0，满分 。

后门藏在xz-utils里。xz-utils是Linux最底层的压缩工具之一，几乎所有Linux发行版默认安装。后门通过systemd启动的SSH服务触发，能 让攻击者绕过认证直接获得root权限 。

如果晚一周发现，就会进入Debian稳定版和Fedora正式版， 影响全球数亿台Linux服务器。一周之差 。

但真正恐怖的不是后门本身，是埋后门的人。

有人化名“Jia Tan”，从2021年底开始参与xz-utils开源项目。 两年半时间里，他提交正常代码、修复bug、积极参与讨论 。一个勤勤恳恳、任劳任怨的开源贡献者形象。社区的人觉得他靠谱，2024年初，他被授予了维护者权限。

拿到权限后，他在5.6.0和5.6.1两个版本里植入了后门， 藏在测试固件和构建脚本里，普通代码审查根本看不出来 。

Kaspersky前研究主管Costin Raiu评价：“ 这是我见过的比所有之前供应链攻击都更狡猾的操作 。“

Jia Tan的真实身份至今不明。提交时区分析显示他可能在冒充中国人，但实际时区更像是欧洲或以色列。化名“Jia Tan”，听着像中国人的名字，但干活的时间跟中国时区对不上，跟欧洲倒是很合拍。

2016年至今，以色列公司NSO Group开发的Pegasus间谍软件卖给了50多个国家的政府。号称 零点击入侵 ：目标什么都不用做，收到一条iMessage或WhatsApp消息就被感染了。不用点，不用看，消息到了你就中招了。能偷通讯录、照片、密码、聊天记录，还能远程开启麦克风和摄像头。

卖的时候说是给政府用来反恐的。结果被滥用于监控记者、活动家、律师、政客。2021年7月“飞马项目”调查曝光了一份 5万个手机号码清单 ，确认的受害者包括西班牙首相桑切斯、英国首相办公室设备、法国5名部长、11名美国驻乌干达大使馆外交官。

首相都被监听了，你想想普通记者算什么。

2021年11月美国商务部把NSO列入黑名单。2025年5月，美国联邦陪审团判决NSO对约1400名WhatsApp用户的攻击负责，赔偿Meta约1.67亿美元。但到了2025年10月，法官把惩罚性赔偿从1.67亿砍到了400万美元，同时下了永jiu禁令。

以前监听是国家机密，现在监听是明码标价

说了这么多，有人可能要问：那国内搞信创到底为了啥？是不是就是闭关锁国、排斥国外技术？

真不是。信创的底层逻辑不是“国产软件一定没有后门”，而是 信任成本和追责路径的问题 。

你想，Crypto AG干了50年，哪个客户追到责了？一个都没有。你是伊朗，你发现自己50年的外交电报被CIA看了，你找谁说理去？

你用美国厂商的云服务，数据存在新加坡的服务器上，NSA要拿的时候，美国法律（FISA 702条款、CLOUD Act）直接要求美国厂商交数据，不管你数据存在哪个国家。厂商敢不交？不交就是违法。 你连告的地方都没有 ，因为你不是美国公民，FISA法庭的判决你连看都看不到。

国产软件也可能有后门，这话说得没错。但国产软件出了事，你能查。你能要求审计源代码，能约谈厂商，能走法律程序追责， 能罚他款，能吊销他的资质。厂商跑不了 ，人在国内，公司在国内，营业执照在国内。出了事他得兜着。

国外软件出了事呢？你发个邮件问问，人家回一句“我们对此深表关切，将认真调查”，然后就没有然后了。RSA拿了NSA 1000万美元，被曝光后屁事没有，继续做生意。AT&T帮NSA监听全美互联网流量，国会追溯免责。

再说了，Intel的Management Engine，一个嵌在CPU里的独立子系统，即使你的操作系统关机了它还在运行，能访问网络、内存、硬盘，整个是黑盒，源码不公开。 十几年了，没人能完全证明它干净，也没人能证明它有后门 。

信创的本质不是“国产的一定更好”，而是出了事有地方说理

你家里的保险柜，锁是别人造的，钥匙配一把放在别人手里，你连钥匙放在哪都不知道，出了事你找不到人。你换一个自己能管锁的，哪怕锁没那么高级， 至少钥匙在自己手里 。

不是国产没有后门，是 国产的后门出了事能拆。国外的后门出了事，你连门都找不到在哪 。

从1970年Crypto AG到2024年XZ Utils，54年， 约20个实锤案例 。

几个规律摆在这：

第一，不是个例是模式

Crypto AG、SHAMROCK、ECHELON、Clipper Chip、Lotus Notes、_NSAKEY、Room 641A、PRISM、Dual EC DRBG、ANT目录、Juniper、Fortinet、SolarWinds、XZ Utils…… 一个接一个，而且大部分都能追到NSA/CIA的SIGINT Enabling项目 。这不是某家公司犯了次错，是体系性的、持续了半个多世纪的操作。54年，换了多少届总统，NSA的后门计划一天没停过。

第二，法律层面明摆着

美国FISA 702条款、CLOUD Act、爱国者法案，都给了美国情报机构合法调取数据的权力。你 用美国厂商的云服务，数据存在哪个国家的服务器上都没用 ，人家有法律工具拿。这跟你把保险柜放在朋友家一个道理：朋友愿意配合，你的保险柜锁再厚也没用。

第三，被抓住的代价极低

RSA拿了1000万美元把Dual EC DRBG设为默认算法，被曝光后继续做生意。AT&T帮NSA监听全美互联网流量，国会追溯免责。Juniper被植入了后门，查到最后发现是NSA干的，然后呢？然后没有然后了。 没有一家公司因为配合情报机构留后门而破产或被起诉 。代价低意味着下次还会有人配合。

第四，不可证伪

软件是不是有后门，外人很难证明“没有”。Intel的Management Engine十几年了，至今 没人能完全证明它干净，也没人能证明它有后门 。这种“无法自证清白”的状态，天然就滋长不信任。

如果你觉得今天这篇有收获，欢迎 点赞、在看、转发 三连，我们下篇见。