2026-10-22 12:53:25 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

FBI线索网站、情报界招聘网站在列：350个联邦网址被指缺少关键防窥保护

网空闲话
网空闲话

网空闲话plus

2026年10月20日 07:06
北京

去阅读

Nextgov/FCW网站10月19日报道称，俄勒冈州民主党参议员罗恩·怀登给CISA和OMB写信，称约350个联邦网址没有启用能隐藏“访客到底上了哪个网站”的ECH协议，名单里包括FBI线索门户、退伍军人危机热线、情报社区招聘网站等敏感站点。

一封信点名350个联邦网址

这封信是周一发给网络安全和基础设施安全局（CISA）与管理和预算办公室（OMB）的，最先由Nextgov/FCW看到。报道时间是2026年10月19日09:00 ET。怀登要求特朗普政府推动各机构实施一项Web安全标准——加密客户端问候（Encrypted Client Hello，ECH）。这项协议的作用很具体：当用户浏览器连接网站时，把网站名称也保护起来，而不是只加密页面内容。主要浏览器和部分网络基础设施提供商从2023年起就支持它。

怀登办公室识别出350个联邦网址缺少该加密规范，涉及情报社区职位申请、移民服务、健康信息以及全球各地的美国外交网站。信里写得很直白：这种“可见性”可能让恶意窃听者识别举报人、给有安全许可的联邦人员做画像、追踪寻求危机支持的美国人，还能摸清各机构之间的互动关系。收信人是CISA代理局长尼克·安德森和联邦副首席信息官托马斯·弗拉格。怀登还要求OMB与CISA、国家网络总监办公室合作，把“支持ECH”变成云和网络提供商获得联邦合同的条件，并请对方在11月20日前回复。

两个最扎眼的站点

信里单独点了两个服务。退伍军人事务部的退伍军人危机热线平台使用亚马逊云服务（AWS），而信中说AWS目前不为该站点支持ECH。怀登警告，这种暴露可能帮外国对手识别正在寻求心理健康援助的退伍军人。另一个是FBI的tips.fbi.gov：它使用Cloudflare，而Cloudflare支持ECH，但该门户没有启用。参议员认为，这会让联系FBI的人面临被识别风险。报道还提到一个背景：此前一个高产的犯罪黑客组织刚刚从FBI招聘门户窃取了大量敏感员工信息。

名单还包括hotline.oig.dhs.gov（国土安全部监察长投诉热线）、civilrights.justice.gov（司法部民权举报门户）、apply.intelligencecareers.gov（情报社区招聘网站），以及hivinfo.nih.gov和clinicalinfo.hiv.gov等联邦HIV信息站点。

ECH是什么，名单怎么来的

联邦网站通常会加密用户阅读或提交的信息，但黑客仍可通过监控流量知道用户访问了哪个网站。ECH补的就是这个“域名可见”的口子。怀登的工作人员用第三方网络提供商测试这些联邦网址，看ECH是否成功隐藏了具体访问的网站；一名发言人告诉Nextgov/FCW，保护似乎只在依赖Cloudflare免费服务层级的站点上生效。需要强调：信中没有证明对手已经追踪过名单上任何地址的访客，这是风险预警，不是已发生事件的指控。

怀登认为补洞并不难。对提供商本来就支持ECH的机构来说，启用可能只是改一个设置。他写道，现代联邦零信任网络安全实践依赖直接安装在机构设备上的保护软件，因此启用ECH将严格改善联邦网络的网络安全。这件事也和他9月呼吁国家安全局更新VPN建议一脉相承：当时他办公室要求国会研究服务局做的分析警告，对互联网流量有广泛可见性的外国情报机构，可能通过比较流量模式把VPN用户和网站关联起来。

各方表态与后续看点

截至报道发出，Nextgov/FCW仅表示已向CISA和OMB请求置评，文中未载明两机构的具体回应。Wyden方面则通过发言人补充了测试方法和“仅Cloudflare免费层级似乎生效”的观察。可预见的后续有三个观察点：一是11月20日前CISA和OMB如何答复；二是OMB是否真把ECH支持写进联邦合同门槛，这会影响到AWS等提供商；三是这350个网址是全部还是冰山一角，更全面的盘点恐怕要等机构自己动手。影响层面，最直接的是那些“访问行为本身就敏感”的人群——向FBI提供线索的人、申请情报岗位的人、打退伍军人危机热线的人、向监察长投诉的人。他们访问了哪个网站，在流量层面被看见，就可能成为被识别、被画像、被追踪的起点。球现在在特朗普政府那边，截止日期已经写在信上。

参考文献