解读思科声明：军火商称自己没有杀人

图为思科CEO约翰·钱伯斯(JohnChambers)

6月17日，媒体报道思科卷入棱镜门事件，称斯诺登揭露美国国家安全局通过思科路由器监控中国网络和电脑。

6月19日，见到思科中国网站发表声明称：“棱镜”项目不是思科项目，思科网络没有参与该项目，思科没有在中国或世界任何地方监控普通公民或政府部门的通讯。思科在全球销售同样的设备，不会为前述项目进行设备定制。

尽管声明的落款是“思科系统网络技术有限公司”，但我注意到，该声明的栏目归属是“2013年中国新闻”，显然，这个声明可能不是全球性的。为了证实这个判断，随即，我查阅了思科美国，思科加拿大，思科澳大利亚……，均无类似声明。难道有时差？我又点击思科台湾，思科香港、思科日本……也均无类似声明。可以推断，该声明仅仅是思科中国针对大陆地区做的危机公关声明，而且决非思科总部的声明。

从字面上看，思科的这个声明十分的软弱无力，不仅没有解除公众疑虑，反而证实了许多推测。

思科有“枪”，是军火商

思科否认参与棱镜项目，但是没有否认媒体曝光的事实：思科产品有网络侦听功能，而且存在后门。其实，无论参与还是不参与，思科都能有能力和条件监控互联网。有没有枪是一回事，参没参与杀人是另外一回事。思科否认了自己杀人，但是没有否认自己有枪。

思科否认自己监视普通公民或政府部门，这好比军火商对着战场上累累的尸体辩称自己没有杀人。当然，思科没有进一步否认，思科的产品可以监控普通公民和政府部门，更没有否认，采用了思科产品的美国运营商有没有监控普通公民或政府部门。在俺推测，这些大概是毋庸置疑的。

思科不光是军火商，还可以是超级战士

思科承认自己在全球销售同样的设备，说明监听能力覆盖全球范围。其实，思科不光是军火商，还可以在特定条件下变成超级战士。

首先，我们知道，思科生产的美国产品有监听功能（美国法律规定的）。天马来行空在《全球顶级网管：美国“合法”监听互联网》一文中提到过，1994年，美国国会通过CALEA《执法通信辅助法》，大大增强了执法机构的电子监听能力，之前执法机关进行监听必须先从法院申请令状，由电信运营机构安装监听装置，该法通过之后，执法机关可以根据法院监听令状直接接入电信网络启动电信运营商交换机中的监听功能。所以，这意味着美国法律要求电信运营商必须提供监听服务，美国境内的通信设备生产商、通信服务提供商，均具备从事网络监听和间谍活动的义务和动机。换句话说，任何一台用于通信的设备，只要打上了“Made in USA”的标签，就意味着需要接受上述法令的要求。思科产品自然不能例外。

其次，既然思科设备销售到了全球，说明思科监控能力可以覆盖全球。

我在《由“棱镜门事件”审视思科的角色扮演》文中指出，思科公司在网络监控领域的技术实力，全球领先。思科公司开发了极其强大的网络监控管理产品，并将这种能力嵌入到了其网络产品中。美国政府借反恐之由，设定法令要求对所有网络活动进行监控。思科公司的设备遍布全球重要机构，借助于思科公司及其庞大的技术服务队伍，某些组织能够很方便的开展相应的间谍活动。当然，俺很乐意看到思科强烈否认这一点。

思科公司没有监控普通公民，我们姑且相信这个声明的道德纯洁性，思科中国犹如一朵娇羞的莲花出酱缸而不染。但是，我们要追问：思科设备在做什么呢？两个字：监控。除了监控还是监控。

有些网友觉得不可思议，甚至有不同意见，希望能够深入了解思科产品的相关功能。为此，俺专门咨询了网络技术专家和信息安全专家，这里单开一文，具体讲讲我了解到的情况：

专家公认，思科公司在互联网监听、监控、内容安全领域，拥有全世界最为强大的技术实力。思科公司的通信产品集成了网络监听相关的功能。这个容易理解，运营商嘛，监听网络；GFW嘛，过滤内容。在天朝长大的，应该见怪不怪，斯诺登同学实在大惊小怪。

专家又强调，思科产品都默认监听功能。晕。俺不敢想了，莫非家用路由器中也有这么高级的功能？专家答：非也，该功能主要隐藏在思科的核心通信产品中，默认集成的！不管你是否需要，只要你买了这些产品，你的网络就被监听了。

这个功能，美其名曰：合法监听（Lawful Interception），即美国安全机构出于执法的需要,对某个用户或某个通信过程进行监听,它是电信运营过程中必须提供的功能。合法监听功能使用SNMP v3协议进行管理，而这个协议本身并不安全，政府机构无法了解这些功能是否被滥用。

思科声明中说了“思科在全球销售同样的设备，不会为前述项目进行设备定制”。这其实是一种暗示：由于这个合法监听功能是默认集成在设备中的，因此，无论设备所在国家政府是否要求运营商提供合法监听服务，该功能都可以被使用。

我又问：思科公司是否可以保证其产品中包含的合法监听功能不会被滥用？

答：思科公司不会主动将这种敏感的功能进行“脱敏”处理，因为要守法嘛。思科公司的主流高端路由器包括Catalst7600、GSR12000、CRS-1/3、ASR9000等系列，都默认集成合法监听功能。

其实啊，合法监听功能只是小菜，更牛的是，思科公司提供了处理性能最强的DPI（深度内容检测）系统。

DPI系统能够把用户通信的IP报文，还原成原始的语音、邮件、短信、网页等，一旦部署这种系统，就能够把用户的传输报文还原成原始通信内容。思科DPI设备不仅接口速率很高，处理性能也很强劲，上网的用户感知不到路由器已经启用DPI功能对他实施监听。思科DPI设备可以识别用户，因此在执行监听操作的时候，可以针对某个用户来实施监听。

合法监听+核心网DPI系统，什么秘密都保不住。业界传闻一些云计算公司，通过COOKIE或客户端悄悄收集用户资料，侵犯隐私云云，相比之下，真是太低级了，真是弱死了。