杜佳：当美国说网络安全与开放的时候，到底在说什么？

（文/杜佳）

“政治保卫”部门

1947年，美国通过《国家安全法》（National Security Act of 1947，公法80-235），为保卫国家安全搭建起法律和机构体系。(美国国会，1947)

（德州大学奥斯汀分校：美国的情报部门）

根据该法律102条（SEC.102），美国建立中央情报局（Central Intelligence Agency），“协调各政府部门、司、局的情报工作，以便符合国家安全利益”。CIA局长有权力“核查”各部门的情报，相当于美国情报界（intelligence community）的“大总管”。2005年之后，CIA局长只管理本部门，统合其他情报部门的职能被“国家情报总监”（Director of National Intelligence）接管。

（《国家安全法》：建立中央情报局）

美国情报部门包括CIA、国家安全局、国防情报局（Defense Intelligence Agency）等。此外，负责打击犯罪的联邦调查局也承担部分情报工作。

《美国法典》第28编33章规定了联邦调查局的职能，533条规定，美国司法部长可以任命官员“侦办、检举反对美国的罪行”。(美国国会，1966)

（《美国法典》：“侦办、检举反对美国的罪行”。）

根据1968年6月19日通过的《综合防控犯罪和街道安全法》（Omnibus Crime Control and Safe Streets Act of 1968，公法90-351），美国执法部门有权力使用电话监听等技术手段。(美国国会，1968)

那么什么叫“情报工作”？根据最新版的《国家安全法》第3条（SEC.3），情报工作分成两个部分，分别是“对外情报”工作（foreign intelligence）和“反情报”工作（counterintelligence）。

所谓“对外情报”，是指一切关于外国政府、组织、个人和国际恐怖组织之意图和活动的情报。“反情报”是指对抗外国政府、组织、个人或国际恐怖组织实施的谍报、破坏、刺杀等活动的工作。(美国国会，1947)

1978年，美国通过《外国情报监听法》（Foreign Intelligence Surveillance Act of 1978，公法：95-511），该法律101条（SEC.101）对“外国情报”有了更加细致的规定：“外国势力或外国代理人”所实施的“进攻或其他严重敌意行为”、“破坏或国际恐怖活动”、“秘密情报活动”，与之相关的一切信息。或者说与国防、国家安全有关，与外国有关并牵扯到美国人的一切信息。(美国国会，1978)

102条（SEC.102）规定，美国总统可以通过司法部长，授权针对外国情报的电子监控，不需要法庭同意。监控的对象是“外国势力”之间的通讯，不能牵扯进美国人。

103条（SEC.103）规定，专门设立的外国情报监听法庭（Foreign Intelligence Surveillance Court）。美国联邦政府官员在经过司法部长同意后，向法庭提起申请，获得批准后对目标实施监控，可以涉及美国人。

法庭自设立以来，直到2017年，收到41222个申请，批准了绝大多数申请，只拒绝了85个。(电子隐私信息中心，2018)

这就是美国的“政治保卫”工作和有关部门。

不许“阴谋”干涉美国

美国是个奉行自由主义的国家，但美国有一整套严密的法律体系，来保卫自己的政治体制。

在这个体系中，首先必须被提到的，是关于“阴谋罪”（conspiracy）的规定。

美国法典第18编371条（18 U.S. Code § 371）很简短，规定不准阴谋侵犯、欺骗美国政府（conspire either to commit any offense against the United States，or to defraud the United States）。(美国国会，1948)

（《美国法典》：不准阴谋反对美国！）

“如果两人及以上人等阴谋或者实施针对美国的侵犯，或者针对美国的欺骗，或者为任何目的，以任何方式欺骗任何政府部门，一人及以上人等有任何实施阴谋目标的行为”，每个人都会接受惩罚。

第18编1349条（18 U.S. Code § 1349）规定“企图、阴谋犯罪”与实施犯罪同罪。(美国国会，1948)

所谓“阴谋侵犯、欺骗美国政府”者，囊括了所有针对美国政府的谋划。2018年2月16日，美国华盛顿特区大陪审团根据这条法律批准司法部指控“通俄门”俄罗斯涉案人员和机构干扰美国大选，干涉美国内政。

根据起诉书，俄罗斯网络研究局（Internet Research Agency）被控对美国发动“信息战”（information warfare），通过伪造身份，假装美国人，在美国的社交媒体和其他网络平台上发布各种信息，干扰美国大选。

这一条就落在了“阴谋罪”的范畴里，被有关部门依法指控。

1938年，美国通过的《外国代理人注册法》（Foreign Agents Registration Act，《美国法典》第18编951条，第22编611至622条），除外交人员之外的任何人，在美国境内作为“外国政府的代理人”，必须公开代理关系，并在美国司法部注册。

如何认定“外国代理人”（agent of a foreign government）呢？《美国法典》第18编951条（18 U.S. Code § 951）规定，只要在美国境内，“服从外国政府或官员指示，或受其控制”。(美国国会，1948)

《美国法典》第22编611条（22 U.S. Code § 611）规定，任何“外国委托人的代理人”（agent of a foreign principal）必须注册。“外国委托人”包括一切外国的组织和个人，包括外国政府、政党、公司等。(美国国会，1938)

611条c部分特别指明，“任何人”受“外国委托人”“命令、要求，或接收指示，或被其控制”，或者“任何人的活动直接或间接，全部或部分被外国委托人监管、指导、控制、资助、补贴”，在美国从事“政治活动”（political activities），那他就是外国代理人，必须去司法部申请注册。

在司法实践中，美国对外国代理人的认定是高度政治化的，是不是“代理人”由有关部门说了算，跟当时美国的政治环境和态度有关。2018年9月18日，《华尔街日报》报道，美国司法部要求新华社和中国国际电视台注册成为外国代理人。(凯特·基菲和阿鲁纳·维斯旺达，2018)

（《华尔街日报》：美国司法部要求新华社和中国国际电视台注册成为外国代理人。）

1971年，美国通过《联邦竞选活动法》（Federal Election Campaign Act，《美国法典》第52编30121条），禁止外国干涉美国的竞选活动。(美国国会，1972)

该法律禁止任何“外国人”或“外国委托人”“直接或间接”为“联邦、州和地方选举”做出任何“贡献”。所谓“贡献”（contribution），囊括所有“有价之物”（anything of value），只要是用来影响选举。(美国国会，1972)

相关法律可以放在司法实践中去理解。2011年8月8日，华盛顿特区地区法院对布鲁曼诉美国联邦选举委员会案（Bluman v. Federal Election Commission）做出判决。

法庭认为，“外国公民没有宪法权利参与”美国的“民主自治活动”，“对于我们（美国）国家政治共同体定义来说这是最基础的”。而且“限制外国公民参与美国民主自治活动，从而阻止外国对美国政治进程的影响”，对美国政府来说“利益攸关”。(美国联邦选举委员会，2012)

（美国联邦选举委员会：维持美国政治独立性，阻止外国干涉，这是“最基础的”。）

官司打到最高法院，2012年1月9日，美国最高法院维持原判。

一句话，美国政府对自己的政治自主性非常在乎，不允许任何外部影响，这属于不容商议的政治共识，是“最基础的”。美国人自然没有“宪法权利”参与他国“政治进程”，但这不妨碍美国干涉和影响他国。这一套不准“出口转内销”，不然就是“阴谋侵犯、欺骗美国政府”，政治保卫部门的铁拳随时降临。

“网络恐怖主义”

网络时代到来，美国有了新的干涉工具，同时面临新的政治保卫任务。美国是互联网的诞生地，较早地将网络用于各个领域，同时很早就开始重视网络安全。

《美国法典》第18编1030条针对各种计算机犯罪做出规定，禁止“未经授权”或者“超出授权范围”登入计算机获取资料，特别是窃取美国政府、金融机构“受保护电脑”的信息。这类信息可能被用来“损害美国”，或者“增进任意外国利益”。(美国国会，1984)

法律授权美国联邦调查局、美国特勤局（Secret Service）来查处此类犯罪。

1997年6月9日到13日，美国国家安全局、CIA、联邦调查局、国防情报局、国务院、司法部等国家军政要害部门，举行了一场联合网络安全演习，代号“合格接球员97”（Eligible Receiver 97）。在演习中，美国国安局扮演红方（假想敌），使用能够公开获取的各种技术手段，对美国各处民用和军事设施发动网络攻击。

演习暴露出很多问题，“在第三天，我们让蓝方（防守方）疲于奔命”。美国需要搭建网络安全防御体系。(国家安全档案库，2018)

“9·11事件”后，美国对国家安全的重视到达新的高度。2002年11月25日，美国通过《国土安全法》（Homeland Security Act of 2002，公法：107-296）。国土安全部（Homeland Security Department）依法成立，统合相关工作，以阻止恐怖袭击，填补美国安全漏洞。

依照该法律规定，国土安全部的一项重要职能是维护信息安全以及网络完全。第224条（SEC.224）要求该部门分管信息分析和基础设施保护的次长（The Under Secretary for Information Analysis and Infrastructure Protection）建立“网络护卫”（NET guard），作为全国的“技术守护”（national technology guard），守护信息系统和通讯网络的安全。

《2002年度强化网络安全法》（Cyber Security Enhancement Act of 2002）作为《国土安全法》的第225条（SEC.225），与该法律一起通过。

根据该条目，美国量刑委员会（United States Sentencing Commission）在制定有关计算机犯罪的刑罚时，必须考虑网络安全情况。包括被告人的犯罪计划是否复杂；被告人是否侵犯个人隐私；犯罪行为是否涉及国防、国家安全与司法部门使用的电脑；犯罪行为是否对关键基础设施造成（潜在）损害；是否损害公共卫生、公共安全；等等。

就在《国土安全法》通过之后的第3天，美国又通过了《网络安全研究发展法》（Cyber Security Research and Development Act，公法：107-305）。(美国国会，2002)

该法律第2条（SEC.2）称，国会认为，美国在网络安全方面有很多漏洞，因此应该“显著增加”“计算机和网络安全的研发投入”。

2003年，美国联邦调查局对“网络恐怖主义”（cyber-terrorism）做出定义：“通过利用电脑或者电信设备，导致暴力、破坏、扰乱服务，通过在特定人群中制造混乱和打消确定性来制造恐惧，旨在影响政府或人群，以符合特定政治、宗教、社会或者意识形态议程。”(哈罗德·亨德舒特，2003)

（美国陆军：联邦调查局钦定了，这种属于网络恐怖主义。）

2005年8月15日，美国陆军发布《网络行动和网络恐怖主义手册》（U．S．Army Training ＆ Doctrine Command，DCSINT Handbook no．1．02），援引了2003年美国联邦调查局对“网络恐怖主义”的定义。(美国陆军训练与条令司令部，2005)

按照这个标准，美国通过网络颠覆他国政府的诸多行动，简直在字面意义上符合美国自己对网络恐怖主义的定义。根据笔者杜佳此前提到的种种作为，CIA和美国国际开发署岂不成了“恐怖组织”？

2014年12月18日，美国同时通过两个网络安全法律，其一是《2014年度强化网络安全法》（Cybersecurity Enhancement Act of 2014，公法113-274），以美国商务部牵头，联系各有关部门、企业，制定减少关键基础设施网络风险的标准和程序。同时该法律要求美国国防部、能源部、科学基金会等各有关部门，每4年制定一份网络安全研发战略计划。(美国国会，2014)

其二是《国家网络安全保护法》（National Cybersecurity Protection Act of 2014，公法113-282），规定在国土安全部内建立国家网络安全和信息综合中心（national cybersecurity and communications integration center），统合关键基础设施保护、网络安全和其他相关事务。(美国国会，2014)

2017年11月2日，美国通过《强化各州和地方打击网络犯罪法》（Strengthening State and Local Cyber Crime Fighting Act of 2017，公法：115-76）。第2条（SEC.2）规定在美国特勤局内建立国家电脑取证研究所（National Computer Forensics Institute），为打击网络犯罪提供宣传和训练，指导各州、地方执法机关的调查工作。(美国国会，2017)

美国网络不是“法外之地”

2009年发生在摩尔多瓦、伊朗的一系列事件，和2010年末开始的阿拉伯之春，也让美国直观地感受到了网络的威力，同时也引发担忧。美国必须警惕其他国家对美国也来这一手。

2011年，奥巴马政府的白宫和国防部相继发布重要文件，站在各自的立场上阐述美国的网络战略。

2011年5月，北非地区的“脸书青年”们革命劲头正旺，白宫发布《网络空间国际战略》（International Strategy for Cyberspace），系统阐述本届政府的网络政策。(美国白宫，2011)

（白宫：《网络空间国际战略》）

文件开宗明义，“美国致力于保证和提高数字网络对于社会和经济的有利方面”，“我们的网络空间国际战略反映了我们对基本自由、隐私和信息自由流动的核心承诺”。

所谓“基本自由”，是美国一直以来所主张的言论、结社、表达等“公民自由”（civil liberties）在网络时代的翻版。保护隐私，主要是指“个人应得以知晓他的个人信息会被如何使用，并有信心相信他的信息会被公正处理”。

不过美国承认，网络带来了各种挑战，因此网络不是法外之地。在保护“基本自由”的同时，“美国不会对恶意的网络用户视而不见”；在保护隐私的同时，“给予执法机关所需求的调查权力”；在保障信息自由流动的同时，兼顾网络安全。

在三大“核心承诺”的基础上，美国的目的声称是推动网络环境朝着“开放、可互相操作、安全和可靠”的方向发展。

所谓“可互相操作”（interoperable），是指世界各地的网络相互连接，信息可以在不同国家之间流动。网络不至于因为各国的限制，变成一个个“局域网”而“碎片化”（fragmented）。

除了政治因素，技术因素也限制可互相操作性。全球网络“可互相操作”的技术前提是各个网络终端在发送和接受信息时使用同一套技术标准。在这方面，美国和西欧作为计算机和网络的诞生地，贡献了几乎所有的网络协议，如网络地址的IPv4协议、超文本链接协议（http）等。

“开放”和“可互相操作”是为了保证美国核心承诺中有关自由的部分。为了确保“安全和可靠”，美国呼吁建立国际法律和规则体系，以约束网络行为体，并减少误判。

明确了目的之后，美国又拿出五大原则：“坚持基本自由”、“尊重财产”、“重视隐私”、“犯罪防御”、“自卫权利”。

从经济学的角度来讲，这五大原则合起来看上去像是网络版的“守夜人政府”原则，新自由主义气息浓厚。在这个模式下，非国家行为体（资本和企业）的“自由”和“财产”被放在第一位，国家的目的仅是提供必要的保护。

不过，白宫可不打算做消极的守夜人。在网络安全防御方面，白宫提出积极防御的方针，主动出击，威慑和阻吓对手。白宫还提出走出国门，建立“全球分布的早期预警系统”，尽早发现威胁，并将之消灭在萌芽状态。

同时，美国的外交部门也要积极行动，在全球推动三大“核心承诺”，实现“开放、可互相操作、安全和可靠”的发展目的。

乍看之下，似乎美国的网络外交目标似乎没有问题。但仔细想想，发现问题不小。

美国要如何在全球“推动”网络“开放”和“基本自由”？再说了，“自由”和“安全”往往会很难兼顾，特别是对小国来说。

在文件中，美国承认“国家是责任方”，“国家持续地发挥作用维护和平和稳定”。这相当于承认各个主权国家管理自家网络的自主地位。那么不同的国家各有制度，或选择开放，或选择有限的开放，或者对开放的理解与美国不一样。美国要如何去各主权国家“推动开放”？

白宫的想法很简单，世界各国必须按照美国的要求去“开放”，否则就会由美国来确保开放。

“我们不会允许网络治理或者技术架构被重新设计，去适应侵犯基本自由的决定。”

通过这句话，美国的网络发展目的可以得到更好理解。所谓“安全”，主要是指维护美国的网络安全；所谓“开放”，主要是指世界其他国家对美国开放。

因此美国特别重视网络自由。人们在网络上“自由表达，分享信息，监督选举、揭露腐败、组织社会和政治运动”，并谴责对人权的侵犯。文件提出，美国将会“不遗余力地”在网络空间推动自由，“支持公民社会活动者，人权支持者和记者使用数字媒体”。

参考美国以往的“光荣事迹”，我们发现美国总是以“人权”、“自由”为借口输出影响，干涉他国；以支持“公民社会”为名义扶植反对派，试图颠覆他国政府。

在信息时代，美国国家部门通过美国的科技公司，掌握了大量技术工具，以收集用户信息并进行大数据挖掘和分析，以便引导网络上的“精确打击”。

再说了，美国在全球监控“一切外国通讯”，有关部门肆意入侵中国企业计算机系统，对中国发动“数码冷战”，哪里尊重过别人的“隐私”和“财产”权？

但是谁敢把这一套用在美国身上，就会被美国视作威胁，引发美国的反击。

结合起来就是世界各国必须服从美国管制，对美国保持开放，维护美国进入本地网络的自由，同时进入美国网络时必须服从美国法律和司法机构的管理，以确保美国的安全。

2011年7月，为响应白宫精神，美国国防部发布《网络空间行动策略》（Strategy for Operating in Cyberspace）。(美国国防部，2011)

文件开门见山，认定网络空间属于“作战领域”（operational domain），与陆、海、空、天等传统作战领域具有同样地位。因此美国国防部需要组织、训练力量并进行装备，以便“充分利用网络空间的潜在优势”。

（美国国防部：网络空间属于“作战领域”。）

美国国防部认定美国面临三大威胁：敌对势力或者犯罪分子盗取并利用网络数据；扰乱或阻断网络或者网络服务；打击、瘫痪互联网或者联网的其他设施。

面对这些威胁，美国需要组织力量，采取“网络积极防御，以阻止入侵，击败对手的活动”。

同时，国防部表示与白宫达成高度一致，支持白宫承诺在全球“推动基本自由，保护隐私，确保信息自由流动”。

执行国防部政策的机构，就是美国战略司令部属下的网络司令部。在未来的几年，这个部门会发展壮大，并升级成为联合作战司令部。美国的网络战队，既是向他国进攻的利剑，也是网络防御的盾牌。

《塔林手册》

2011年美国白宫的《网络空间国际战略》提出建立健全有关网络安全的国际法律体系。由北约卓越合作网络防御中心（the NATO Cooperative Cyber Defence Centre of Excellence）2009年开始编撰，2013年出版的《塔林网络战国际法手册》（Tallinn Manual on The International Law Applicable to Cyber Warfare，简称“塔林手册”）就是这样的一次尝试。(北约卓越合作网络防御中心，2013)

该文件由各国法律专家共同编撰而成，专家组主任是美国海军战争学院（US Naval War College）的教授迈克尔·施密特（Michael Schmitt）。美国网络司令部派人充任观察员。该文件不是国际协议，没有强制力。文件在开篇表示，不代表北约或者专家所在国家的意见和立场，只反映专家组的看法。不过该文件依然具有参考价值。

《塔林手册》原则上尊重各国主权，认为国家对网络本身（per se）没有控制权，但是国家应该对主权范围内的网络基础和网络活动设施享有控制权。文件援引《联合国宪章》（the United Nation Charter）等国际法，认为一国不应该对另一国发动“网络进攻”（cyber attack）。威胁或“使用武力”（use of force）的“网络行动”（cyber operation），损害他国领土完整和政治独立，是非法的。

文件还提到，国际刑事法庭原则上“禁止任何国家或者国家组织直接或间接其他国家的内部和外部事务”，干涉的对象包括对方国家“对政治、经济、社会和文化政策的选择，和外交政策的形成”。

按照这个精神，文件特别提到，美国用“震网病毒”对伊朗核设施发动的网络攻击属于“网络攻击”，原则上不合法。

那美国网络司令部岂不是应当停止运作？无怪乎该文件虽然是打着北约的名义制定，但是不代表以美国为首的各国立场。

具体法律细节，笔者无意在此深究。《塔林手册》在原则上尊重各国主权，希望促成各国在网络上和平共处。然而在现实中，美国这样的大国不断开发网络武器，保持全球存在，时刻准备发动进攻。这就是“应然”和“实然”之间的巨大鸿沟。