事件概述 - 美国俄勒冈州民主党参议员罗恩·怀登致信联邦贸易委员会主席 公开指责微软存在明显的网络安全漏洞并呼吁展开调查 [1] - 该网络安全疏忽导致美国医院系统遭受勒索软件攻击 例如2024年阿森松医疗系统事件 [1] 具体指控与事件细节 - 参议员怀登指责微软存在严重的网络安全疏忽 具体表现为长期使用古老且不安全的RC4加密技术 [1] - 以阿森松医疗系统事件为例 攻击始于必应返回恶意链接给一名承包商 该承包商点击后导致黑客入侵 [1] - 黑客利用Windows系统默认支持的RC4加密技术 通过Kerberoasting攻击手段破解特权账户密码 最终实现系统入侵 [1] - 此次攻击造成阿森松医疗系统手术暂停 超过500万患者敏感数据泄露 [1] - 怀登指出微软对企业和政府客户隐瞒了使用RC4加密技术的危险决策 [1] 微软的回应与现状 - 微软发言人戴维·卡迪回应称RC4是旧标准 占其流量不足0.1% [2] - 公司正逐步减少客户对RC4的使用 并计划于2026年起在新安装的Active Directory系统中默认禁用该技术 [2] - 怀登认为目前绝大多数微软客户仍暴露在攻击风险中 因为相关更新至今未正式发布 [2] 历史背景与潜在影响 - 这并非怀登首次批评微软 2024年7月他曾就Kerberos安全问题向微软高层提出质询 [2] - 微软在2024年10月发布了技术博客指导组织防范攻击 并宣布开发禁用RC4的更新 但该更新尚未发布 [2] - 怀登警告 若联邦贸易委员会不采取行动 微软忽视网络安全的企业文化与其在操作系统市场的事实垄断地位将构成国家安全威胁 [2]