先問你一個問題：你認為在你的生活中，大多數人是可信任還是不可信任的？今天看見有一個人撰文討論這個問題：We Americans Don't Trust Each Other。我把內容記在這裡，他說美國的社會信任度正在下降。
甚麼是社會信任？就是假定別人會履行他們的義務。比如你到商店使用信用卡購物，你假定店家不會把你的信用資料拿去支取更多的款數，還要假定你買的東西好用，多少和他們做的廣告一樣。商店必須假定你進去不會偷竊貨物，而且你的信譽良好，可以使用信用卡付帳等等。當然，偷竊和被盜是會發生的，但總地來說，你必須信任。
社會信任在政治生活中也必不可少。公民一定要同意自覺遵守某些程序，才能有任何的自主管理。不過我們最近的兩次總統選舉有不信任的特徵。2016年，許多人認為川普是俄國人幫助他當選的。而現在2020年，川普和不少共和黨人相信有大規模舞弊發生，所以拜登當選舉是有問題的。
另外COVID-19大流行也表明人們缺乏社會信任。許多美國人不信任政府、不信任製藥公司、不信任科學家或不信任川普。
通常你如果不信任一個機構、一個體制、某個精英群體還是很可能的，但是社會信任度下降到一定程度時，一個國家就會陷入困境。有個Kevin Vallier在《華爾街日報》上寫了一篇文章，題為「美國人為何如此互不信任？」
他做問卷調查，看美國人的信任感下降了多少。他說在1968年，56%的美國人認為大多數人可以信任。到2018年，只有31.5%的人相信這一點。這與年代輩份有關，1970年代那些比較信賴的人現在仍然比較信賴，因為65歲以上的人中只有29%說大多數人不可信任，而在18到29歲的人當中，有60%的人認為大多數人不可信任。
這是個獨特的美國現象。與所有其他的民主國家相比，別人的社會信任都是增加的。從1998年到2014年，瑞典認為大多數人可以信任的人從56.5％上升到67％，世界信任度最高的國家之一。澳大利亞從40％上升到54％，德國從32％上升到42％。至少美國比巴西更信任吧？開玩笑，巴西只有5％。
那麼為什麼美國人不互相信任呢？ Vallier列舉了一些可能的原因，每個理由似乎都不太充分。他說族群同一的社會可能比多元化的社會多一些信任，這也許有助於解釋瑞典的情況，但是多樣化的社群少一些彼此隔絕時，這個因素就不見了。在政治和經濟比較腐敗的社會裡，人們的信任度比較低，這可以解釋巴西，但美國的腐敗程度似乎並沒有比其他信任度較高的社會大。收入不平等可能是另外一個因素，但美國的收入不平等在2007年達到頂峰，信任度卻持續下降。
Vallier認為美國的政治分化可能是一個因素。他援引一項調查的發現，2017年有70％的民主黨人說川普的選民不可信，而70％的共和黨人說克林頓選民不可信。但可以肯定的是，我們不知道每天遇到的大多數陌生人的政治背景是甚麼，但我們仍然傾向於不信任他們。
不過，住在低信任度社區的人可能會說，體制和人員總體而言都不值得信任--看看我們政府做的事，和它要掩蓋的事！看看公司和大企業做的事！看看人們有能力做甚麼壞事！也許美國人傾向於相信原罪說，我們對人性的懷疑是有根據的。
但是美國人真的比瑞典人差很多嗎？ 我們是否比其他民主社會信任度高的國家更不道德、更不誠實、更腐敗？我看不見得。
關於美國人為什麼對彼此的信任如此之少，您是否有任何理論？ 假設這是一個問題，您對如何建立社會信任有甚麼想法？我個人覺得美國人的資本主義搞過頭了，應該加點「社會主義」因素了：加強公立大專教育啊，公共衛生保健服務啊，公共住房啊，來點從上到下的公平人格教育，為的是比較好地照顧社會中的窮人。
Friday, January 1, 2021
Wednesday, December 30, 2020
共和黨的「社會主義」政策
美國人把政府多抽稅、多辦事，諸如在聯邦層面制定企業的環保政策，叫作「社會主義」--他們的「社會主義」不是中國人所想的，中國式暴力革命實現公有制。共和黨人喜歡攻擊民主黨人搞「社會主義」，但今天看見USA Today報的小型企業專欄寫手Steven Strauss一篇觀點文章，列舉了兩項共和黨的「社會主義」政策，挺有趣，要記下來。
首先，聯邦政府有個補貼農民的計劃，今年因為貿易戰和病毒大流行的政府補貼，據說美國農夫獲利達到七年最高。去年政府花了220億，今年花了460億，幾乎等於農民收入的40%，來干預農業市場。有個加圖研究所指出，97%的農夫家庭收入都超過美國的中位數，其中白人農夫佔了95%。
其次，聯邦政府有個保險計劃，專門給那些容易遭受洪水災害的地區提供帶補貼的保險。2017年這個政府計劃損失了160億美金，被國會銷帳。今年到3月份為止，該計劃已經累積了200億。
上面這兩項政策是哪些地區受惠呢？大多在佛州、路州、德州這些共和黨執政的地區。如果是民主黨搞「社會主義」呢？做法會完全不同。他們會花錢加強國稅局，支持他們多去追討富人欠繳的稅務。還會要求那些從聯邦得到資助很多、自己的稅收卻不夠用的州，調整自己的稅收和公益政策，為老百姓做點實事。
比如共和黨人執政的密西西比，他們每年上繳聯邦的稅款比聯邦資助給他們的錢少190億，然而他們的謀殺犯罪率和嬰兒死亡率是全美最高，同時他們家庭收入的中位數卻是全美最低。管它說是甚麼主義，這不是需要改革嗎？
我贊成政府補助農夫，保證糧食和副產品價格穩定嘛。而補助洪水災害或許相當於救災努力？如果對於重建卓有成效，我希望西北部各州的大火也獲得類似的補助。令人不以為然的是：共和黨為甚麼要反對民主黨搞補助？他們看見不同的群體有需要嘛！
首先，聯邦政府有個補貼農民的計劃，今年因為貿易戰和病毒大流行的政府補貼，據說美國農夫獲利達到七年最高。去年政府花了220億，今年花了460億，幾乎等於農民收入的40%，來干預農業市場。有個加圖研究所指出，97%的農夫家庭收入都超過美國的中位數，其中白人農夫佔了95%。
其次，聯邦政府有個保險計劃，專門給那些容易遭受洪水災害的地區提供帶補貼的保險。2017年這個政府計劃損失了160億美金，被國會銷帳。今年到3月份為止，該計劃已經累積了200億。
上面這兩項政策是哪些地區受惠呢？大多在佛州、路州、德州這些共和黨執政的地區。如果是民主黨搞「社會主義」呢？做法會完全不同。他們會花錢加強國稅局，支持他們多去追討富人欠繳的稅務。還會要求那些從聯邦得到資助很多、自己的稅收卻不夠用的州，調整自己的稅收和公益政策，為老百姓做點實事。
比如共和黨人執政的密西西比，他們每年上繳聯邦的稅款比聯邦資助給他們的錢少190億，然而他們的謀殺犯罪率和嬰兒死亡率是全美最高，同時他們家庭收入的中位數卻是全美最低。管它說是甚麼主義，這不是需要改革嗎？
我贊成政府補助農夫，保證糧食和副產品價格穩定嘛。而補助洪水災害或許相當於救災努力？如果對於重建卓有成效，我希望西北部各州的大火也獲得類似的補助。令人不以為然的是：共和黨為甚麼要反對民主黨搞補助？他們看見不同的群體有需要嘛！
Monday, December 28, 2020
歌曲分享：Stand by Me
這首歌最初是1960年代的黑人福音歌曲，是在困難中向天父上帝唱的。後來很流行，情境卻似乎改成了男女愛情嚮往--你或許從某些油管頻道的動畫配圖看出來。但其實我要聽的主要是後面的伴奏。
我遇到這首歌是在一份初學鋼琴的教材裡。那位從網上授課的教師用這首歌教學生如何彈奏和弦，原來很多歌曲都是按照一套反覆進行的固定和弦韻律來伴奏的。在這首4/4的曲子裡，固定的和弦伴奏是C-C-Amin-Amin-F-G-C-C，當然，演奏的人可以根據這套和弦變出各種伴奏花樣來。
還有一首詩歌是眾教會在聖誕節之後的禮拜天所唱，我很喜歡。從網上找到了：Jesus the Light of the World，也是首黑人福音歌曲，但比較有鄉村音樂的味道。
耶穌是世界的光，然而他說有許多人油蒙了心，耳朵發沉，眼睛閉著，其中包括不少口口聲聲稱主的人（馬太福音25章31-46節）。美國長老會原則上支持和號召跟從耶穌馬太25章的教導，但實際上仍有不少動員的功夫要做。
我遇到這首歌是在一份初學鋼琴的教材裡。那位從網上授課的教師用這首歌教學生如何彈奏和弦，原來很多歌曲都是按照一套反覆進行的固定和弦韻律來伴奏的。在這首4/4的曲子裡，固定的和弦伴奏是C-C-Amin-Amin-F-G-C-C，當然，演奏的人可以根據這套和弦變出各種伴奏花樣來。
還有一首詩歌是眾教會在聖誕節之後的禮拜天所唱，我很喜歡。從網上找到了：Jesus the Light of the World，也是首黑人福音歌曲，但比較有鄉村音樂的味道。
耶穌是世界的光，然而他說有許多人油蒙了心，耳朵發沉，眼睛閉著，其中包括不少口口聲聲稱主的人（馬太福音25章31-46節）。美國長老會原則上支持和號召跟從耶穌馬太25章的教導，但實際上仍有不少動員的功夫要做。
Sunday, December 27, 2020
競選：大眾的公平心理
本文內容取自密西根大學管理組織系David M. Mayer教授的文章：The psychology of fairness。
各州選舉團的代表已經投票，確認2020年美國總統選舉的結果，是拜登以306票對232票勝選。他的普選票數總共比川普多了700萬票。
但是，好幾個新的公眾民意調查結果顯示，大約四分之三的共和黨人不信任選舉結果。有一項針對24,000名美國人的單獨調查也證實了這一發現，說將近三分之二的共和黨人對選舉的公正性缺乏信心，超過80％的共和黨人擔心發生了欺詐、不准、偏差和違法行為。此外，川普提起將近60宗訴訟，指控各種形式的選舉舞弊，都被各級法院駁回，其中包括兩項由美國最高法院來評判的訴訟。
當然，對於失望的結果懷疑其公平性，這種現象不只是共和黨人才有--而是人人都有的傾向。
當選舉結果符合人想要的結果時，他們往往傾向於相信結果是公平的。例如人若申請升職並獲得升職時，他們很可能認為是自己應得的。但如果他們沒有獲得晉升，很可能會有不同的反應，這時做出決定的過程就顯得至關重要，有人可能會看這個過程是否真的沒有偏見、前後一致、和符合道德倫理。
為此人們一定要了解一點「公平心理學」（psychology of fairness），公平的過程通常都很重要。
研究人員一再發現，當人們相信決定過程公平時，他們對於不喜歡的結果反應會比較好。失望歸失望，他們還是會繼續相信體制、接受決定。這叫做「公平過程效應」：公平的過程有減輕對所不喜歡結果做出負面反應的傾向。
反過來，Mayer教授和他的同事在2009年做一項研究，發現這一效應有個很重要的警示。他們發現，當某人感到某個不喜歡的結果意義太重大，以至於似乎是否定了人作為一個群體的自我觀(identity)，或影響到他們的個人價值觀時，他們傾向於尋找過程中的缺陷，來表明結果是不公平的。
在第一組研究中，我們告訴180名大學生，政府很快就要限制他們的言論自由了，請他們發表意見。我們操控這個過程，預先告訴一半學生政府關於限制言論自由的計劃，而告訴另一半學生，不會有限制。我們還告訴學生他們有機會在一個公共論壇發表意見，或者沒有那個機會。
然後，我們要評估政府限制言論自由的決定是否違反了學生作為大學一員的人格和個人價值觀。我們發現當學生感到他們的社會自我觀或人格受到了否定時，儘管有機會在公共論壇表達意見，仍會視失去言論自由的結果為不公平。換句話，對於感到自我觀受到了否定的人來說，有機會發聲和過程是否公平的關係不大或沒有關係。
在第二組研究中，我們詢問277位在職的成人，他們對於所遇到的求職或晉升過程，結果是否如意，以及過程是否公平。如前所述，在結果不如意的情況下，一個客觀公平的過程並沒有改進那些感到人格或價值觀受了否定者關於公平的感受。他們反而傾向於說過程有問題，他們懷疑自己所提供的信息沒有得到考慮。
所申請的東西沒有得到，這件事很影響這些調查參與者的自我觀，以至於他們會找到理由，把客觀公平的過程看成有問題。他們感到懷疑那個過程是很必要的。
這些發現和其它的調查研究結果一致。當人們有著強烈的道德倫理立場和判斷時，確定過程和結果是否公平，主要是由結果是否如意來決定，而不是由客觀上過程是否公平來決定。
舉個例子，一個支持婦女墮胎權利的人，對於一個在墮胎診所放炸彈而不定罪，會比那些反墮胎的人更加感到聽審過程不公平。同樣，對於一個提供晚期墮胎的醫生受審，他若被判定無罪，反對婦女有墮胎權利的人會比支持婦女有墮胎權利的人更多地感到不公平。當你深深關注一件事，而結局卻不合你意時，你就越發質疑那個過程。
那怎麼辦呢？如果大家都是對兩黨政治流派嚴肅、是非感強烈、價值觀明確的人群，也許最終結果總要傷害到一些人的社會自我觀並不奇怪--他們堅決不相信自己會錯。這次是支持共和黨的人士，他們會感到原本公平的過程可能是出了問題，儘管客觀實際上找不到出差錯的證據。
當然，感到價值觀和自我人格受到否定，因而說選舉過程不公平的原因不止是共和黨。比如在確認大法官Brett Kavanaugh時，民主黨人傾向於相信他的聽證確認過程不公正。
既然所有人都可能掉在這一偏見陷阱裡，我們有幾件事可以做。首先是領袖們要認定並告訴大家，過程是合法的。比如決定增加或減少每周遠程工作的天數，領導層一定要在所有層面清楚說明，作這一決定有個公平合理的過程。
其次，邀請不偏不倚的人至關緊要。在面臨道德難題時，人們常常會得到一個結論--人必定為自己利益著想。心理學家把這叫做「動機道德推理」，所以找個中立的人比較能夠準確地評估。
第三，減少人感到與其他人隔離孤立起來的機會。不貶低嘲笑，可以減少對方覺得被操控或被偏待的感覺。
人們常常都會在他們的人格和價值觀問題上得不到希望的結果，所以不容自己隨便質疑客觀過程的合理合法性很重要。總而言之，被別人證明自己信錯了是件難過的事，但是大大方方地說「原來是這樣，我還以為...」，比固執為某個爭執丟棄友好關係強多了。
各州選舉團的代表已經投票，確認2020年美國總統選舉的結果，是拜登以306票對232票勝選。他的普選票數總共比川普多了700萬票。
但是，好幾個新的公眾民意調查結果顯示，大約四分之三的共和黨人不信任選舉結果。有一項針對24,000名美國人的單獨調查也證實了這一發現，說將近三分之二的共和黨人對選舉的公正性缺乏信心，超過80％的共和黨人擔心發生了欺詐、不准、偏差和違法行為。此外，川普提起將近60宗訴訟，指控各種形式的選舉舞弊，都被各級法院駁回，其中包括兩項由美國最高法院來評判的訴訟。
當選舉結果符合人想要的結果時，他們往往傾向於相信結果是公平的。例如人若申請升職並獲得升職時，他們很可能認為是自己應得的。但如果他們沒有獲得晉升，很可能會有不同的反應，這時做出決定的過程就顯得至關重要，有人可能會看這個過程是否真的沒有偏見、前後一致、和符合道德倫理。
為此人們一定要了解一點「公平心理學」（psychology of fairness），公平的過程通常都很重要。
研究人員一再發現，當人們相信決定過程公平時，他們對於不喜歡的結果反應會比較好。失望歸失望，他們還是會繼續相信體制、接受決定。這叫做「公平過程效應」：公平的過程有減輕對所不喜歡結果做出負面反應的傾向。
反過來，Mayer教授和他的同事在2009年做一項研究，發現這一效應有個很重要的警示。他們發現，當某人感到某個不喜歡的結果意義太重大，以至於似乎是否定了人作為一個群體的自我觀(identity)，或影響到他們的個人價值觀時，他們傾向於尋找過程中的缺陷，來表明結果是不公平的。
在第一組研究中，我們告訴180名大學生，政府很快就要限制他們的言論自由了，請他們發表意見。我們操控這個過程，預先告訴一半學生政府關於限制言論自由的計劃，而告訴另一半學生，不會有限制。我們還告訴學生他們有機會在一個公共論壇發表意見，或者沒有那個機會。
然後，我們要評估政府限制言論自由的決定是否違反了學生作為大學一員的人格和個人價值觀。我們發現當學生感到他們的社會自我觀或人格受到了否定時，儘管有機會在公共論壇表達意見，仍會視失去言論自由的結果為不公平。換句話，對於感到自我觀受到了否定的人來說，有機會發聲和過程是否公平的關係不大或沒有關係。
在第二組研究中，我們詢問277位在職的成人，他們對於所遇到的求職或晉升過程，結果是否如意，以及過程是否公平。如前所述，在結果不如意的情況下，一個客觀公平的過程並沒有改進那些感到人格或價值觀受了否定者關於公平的感受。他們反而傾向於說過程有問題，他們懷疑自己所提供的信息沒有得到考慮。
所申請的東西沒有得到，這件事很影響這些調查參與者的自我觀，以至於他們會找到理由，把客觀公平的過程看成有問題。他們感到懷疑那個過程是很必要的。
這些發現和其它的調查研究結果一致。當人們有著強烈的道德倫理立場和判斷時，確定過程和結果是否公平，主要是由結果是否如意來決定，而不是由客觀上過程是否公平來決定。
舉個例子，一個支持婦女墮胎權利的人，對於一個在墮胎診所放炸彈而不定罪，會比那些反墮胎的人更加感到聽審過程不公平。同樣，對於一個提供晚期墮胎的醫生受審，他若被判定無罪，反對婦女有墮胎權利的人會比支持婦女有墮胎權利的人更多地感到不公平。當你深深關注一件事，而結局卻不合你意時，你就越發質疑那個過程。
那怎麼辦呢？如果大家都是對兩黨政治流派嚴肅、是非感強烈、價值觀明確的人群，也許最終結果總要傷害到一些人的社會自我觀並不奇怪--他們堅決不相信自己會錯。這次是支持共和黨的人士，他們會感到原本公平的過程可能是出了問題，儘管客觀實際上找不到出差錯的證據。
當然，感到價值觀和自我人格受到否定，因而說選舉過程不公平的原因不止是共和黨。比如在確認大法官Brett Kavanaugh時，民主黨人傾向於相信他的聽證確認過程不公正。
既然所有人都可能掉在這一偏見陷阱裡，我們有幾件事可以做。首先是領袖們要認定並告訴大家，過程是合法的。比如決定增加或減少每周遠程工作的天數，領導層一定要在所有層面清楚說明，作這一決定有個公平合理的過程。
其次，邀請不偏不倚的人至關緊要。在面臨道德難題時，人們常常會得到一個結論--人必定為自己利益著想。心理學家把這叫做「動機道德推理」，所以找個中立的人比較能夠準確地評估。
第三，減少人感到與其他人隔離孤立起來的機會。不貶低嘲笑，可以減少對方覺得被操控或被偏待的感覺。
人們常常都會在他們的人格和價值觀問題上得不到希望的結果，所以不容自己隨便質疑客觀過程的合理合法性很重要。總而言之，被別人證明自己信錯了是件難過的事，但是大大方方地說「原來是這樣，我還以為...」，比固執為某個爭執丟棄友好關係強多了。
Friday, December 25, 2020
不同意時如何做到不爭辯
本文內容是一位美籍印度裔屬靈默想大師Deepak Chopra受媒體採訪的談話內容。他說為了化解不同意見的衝突，人們可以用不爭辯的方式來表示不同意。
第一種方法是考慮不作聲。一般來說，討論不同意見的目的是為了達到某種協商，而不是說服對方接受你的觀點。比如你在病毒大流行9個月後仍看見人故意不戴口罩，你不必和他討論。但你可能氣得夠嗆--做點深呼吸讓自己安靜吧。
我覺得這個方法要看是對誰。對平時彼此比較敞開心懷的朋友我很難做到不作聲。對無關緊要的陌生人，很多人都會做到不理睬。另外，我平時如果發言沒有聽見回應，我常會自動當作對方的負面反應，而不會當作積極的反應。
第二種方法是快快地聽。別忙著解釋自己的立場，而是試圖去了解對方的思路、對方的生活經歷和人際關係、以及對方認為重要的事，了解對方為甚麼會提出那樣的問題。
我覺得比較需要了解對方的恐怕是保守的右翼人士，因為很多左翼人士是從右翼轉變過來的，他們不是不了解右翼的想法，而是刻意選擇拒絕那些想法。我懷疑更多的人若是了解左翼的思想緣由，恐怕也會轉向左翼。
第三種方法是設法理解對方的價值觀。Chopra認為這是最有效的溝通方法之一，彼此有衝突的人都談談自己的父母和童年時代。這樣可以發現對方的核心信念從哪裡來，超越當下衝突的話題。
第四種方法是在回應對方之前有所停頓。太快的條件反射式的反應，一般來說不是用討好或發怒來操縱，就是用冷漠固執或扮演受害來操縱對方。你如果停頓一下就可能超越本能反應，用洞見、直覺、啟發、創意、理想、更高目的、或選擇用真誠來回答。
第五種方法是避免黑白式思維。認為對方沒有贊同就等於反對，這常常並不正確，反而引起衝突升級。很多事情都很複雜，可能有多方面的視角和考量，不能簡單地定論為是與非、或正義與邪惡。在這種情況下，你或許能找到雙方都同意的原則。
第一種方法是考慮不作聲。一般來說，討論不同意見的目的是為了達到某種協商，而不是說服對方接受你的觀點。比如你在病毒大流行9個月後仍看見人故意不戴口罩，你不必和他討論。但你可能氣得夠嗆--做點深呼吸讓自己安靜吧。
我覺得這個方法要看是對誰。對平時彼此比較敞開心懷的朋友我很難做到不作聲。對無關緊要的陌生人，很多人都會做到不理睬。另外，我平時如果發言沒有聽見回應，我常會自動當作對方的負面反應，而不會當作積極的反應。
第二種方法是快快地聽。別忙著解釋自己的立場，而是試圖去了解對方的思路、對方的生活經歷和人際關係、以及對方認為重要的事，了解對方為甚麼會提出那樣的問題。
我覺得比較需要了解對方的恐怕是保守的右翼人士，因為很多左翼人士是從右翼轉變過來的，他們不是不了解右翼的想法，而是刻意選擇拒絕那些想法。我懷疑更多的人若是了解左翼的思想緣由，恐怕也會轉向左翼。
第三種方法是設法理解對方的價值觀。Chopra認為這是最有效的溝通方法之一，彼此有衝突的人都談談自己的父母和童年時代。這樣可以發現對方的核心信念從哪裡來，超越當下衝突的話題。
第四種方法是在回應對方之前有所停頓。太快的條件反射式的反應，一般來說不是用討好或發怒來操縱，就是用冷漠固執或扮演受害來操縱對方。你如果停頓一下就可能超越本能反應，用洞見、直覺、啟發、創意、理想、更高目的、或選擇用真誠來回答。
第五種方法是避免黑白式思維。認為對方沒有贊同就等於反對，這常常並不正確，反而引起衝突升級。很多事情都很複雜，可能有多方面的視角和考量，不能簡單地定論為是與非、或正義與邪惡。在這種情況下，你或許能找到雙方都同意的原則。
Tuesday, December 22, 2020
轉發：俄國的惡意網絡襲擊
本文轉自微軟新聞網技術專欄的報導：Microsoft head calls SolarWinds hack 'act of recklessness'。
Earlier this year, hackers compromised software made by a cybersecurity company you might not have heard of. The infiltration led to a massive malware campaign that's now affecting US federal agencies as well as governments around the world, according to the security firm and news reports. 對美國聯邦機構的大規模惡意軟件活動是從今年早些時候對SolarWinds的駭客襲擊開始的。
The hacked company, SolarWinds, sells software that lets an organization see what's happening on its computer networks. Hackers inserted malicious code into an updated version of the software, called Orion. Around 18,000 SolarWinds customers installed the tainted updates onto their systems, the company said. SolarWinds生產的軟件Orian幫助用戶監測電腦網絡。駭客在軟件更新版本中插入了惡意編碼，被1萬8千客戶安裝。
The compromised update process has had a sweeping effect, the scale of which keeps growing as new information emerges. Based on newspaper reports, the company's statements and analysis from other security firms, a Russian intelligence agency reportedly carried out a sophisticated attack that struck several US federal agencies and private companies including Microsoft. 是一家俄國情報機構的作為，攻擊到好幾個聯邦機構，以及包括微軟在內的私營公司。
On Saturday, President Donald Trump floated on Twitter the idea that China might be behind the attack. Trump, who didn't provide evidence to support the suggestion of Chinese involvement, tagged Secretary of State Mike Pompeo, who had earlier said in a radio interview that "we can say pretty clearly that it was the Russians that engaged in this activity." 川普說也許是中國的襲擊。
US national security agencies issued a joint statement Wednesday acknowledging a "significant and ongoing hacking campaign" that's affecting the federal government. It's still unclear how many agencies are affected or what information hackers might have stolen so far, but by all accounts the malware is extremely powerful. According to analysis by Microsoft and security firm FireEye, both of which were also infected with the malware, it gives hackers broad reach into impacted systems. 根據微軟和FireEye保安公司，受襲擊情況相當嚴重。
On Thursday, Politico reported that systems at the Department of Energy and the National Nuclear Security Administration were also affected. Also on Thursday, Microsoft said it had identified more than 40 customers that were targeted in the hack. 國家能源部與核子安全部門以及40多家客戶這次也受到了攻擊。More information is likely to emerge about the hack and its aftermath. Here's what you need to know about the SolarWinds hack:
How did hackers sneak malware into a software update? Hackers managed to access a system that SolarWinds uses to put together updates to its Orion product, the company explained in a filing with the SEC. From there, they inserted malicious code into otherwise legitimate software updates. This is known as a supply-chain attack, because it infects software while it's being assembled. 駭客設法訪問了SolarWinds的客戶軟件更新系統，叫作供應鏈襲擊。
It's a big coup for hackers to pull off a supply-chain attack, because it packages their malware inside a trusted piece of software. Instead of having to trick individual targets into downloading malicious software with a phishing campaign, the hackers could rely on several government agencies and companies to install the Orion update at SolarWinds' prompting. 供應鏈襲擊相當於實現了政變之後，打擊一切與之有信任關係的國內外實體。
The approach is especially powerful in this case because hundreds of thousands of companies and government agencies around the world reportedly use the Orion software. With the release of the tainted software update, SolarWinds' vast customer list became potential hacking targets. 世界上有幾十萬公司和政府部門使用SolarWinds的Orion軟件。
Which government agencies were infected with the malware? According to reports from Reuters, The Washington Post and The Wall Street Journal, the malware affected the US Homeland Security, State, Commerce and Treasury Departments, as well as the National Institutes of Health. Politico reported on Thursday that nuclear programs run by the US Department of Energy and the National Nuclear Security Administration were also targeted. 國土安全部、能源部下面的核武器部門、國家核子安全管理局都屬於襲擊目標。
It's still unclear what information, if any, was stolen from the federal agencies, but the amount of access appears to be broad.
Though the Department of Energy and the Commerce Department have acknowledged the hacks to news sources, there's no official confirmation that other specific federal agencies have been hacked. However, the US Cybersecurity and Infrastructure Security Agency put out an advisory urging federal agencies to mitigate the malware, noting that it's "currently being exploited by malicious actors." 其他聯邦部門尚未確認襲擊。美國網絡安全局CISA促請採取減輕損害的措施，因惡意分子正在利用所攻破的漏洞。
In a statement Thursday, President-elect Joe Biden said his administration will "make dealing with this breach a top priority from the moment we take office." 當選的拜登說他的政府一上台就會首先處理這事。
Why is the hack a big deal? In addition to gaining access to several government systems, the hackers turned a run-of-the-mill software update into a weapon. That weapon was pointed at thousands of groups, not just the agencies and companies that the hackers focused on after they installed the tainted Orion update. 將運行的軟件更新系統變為武器，指向幾千個公司和部門。
Microsoft president Brad Smith called this "an act of recklessness" in a wide-ranging blog post that explored the ramifications of the hack. He didn't directly attribute the hack to Russia, but described its previous alleged hacking campaigns as proof of an increasingly fraught cyber conflict. 俄國在網絡衝突中的肆意行動。
"This is not just an attack on specific targets," Smith said, "but on the trust and reliability of the world's critical infrastructure in order to advance one nation's intelligence agency." He went on to call for international agreements to limit the creation of hacking tools that undermine global cybersecurity. 微軟號召國際合作，限制駭客工具的開發。
Former Facebook cybersecurity chief Alex Stamos said on Twitter that the hack could lead to supply-chain attacks becoming more common. However, he questioned whether the hack was anything out of the ordinary for a well resourced intelligence agency. 臉書網絡安全官說，供應鏈襲擊可能會更多地發生，俄國情報部門說不定早就在做。
Were private companies or other governments hit with the malware? Yes. Microsoft confirmed Thursday that it found indicators of the malware in its systems, after confirming Sunday that the breach was affecting customers of its cybersecurity services. A Reuters report also said that Microsoft's own systems were used to further the hacking campaign, but Microsoft denied this claim to news agencies. On Wednesday, the company began quarantining the versions of Orion known to contain the malware, in order to cut hackers off from its customers' systems. 私營的微軟也發現其網絡安全服務遭襲。路透社說微軟被駭客用於進一步攻襲，微軟否認--他們已開始隔離Orion惡意版本，切斷它對顧客系統的訪問。
FireEye also confirmed last week that it was infected with the malware and was seeing the infection in customer systems as well.
Other than FireEye and Microsoft, it isn't clear which of SolarWinds' private sector customers saw malware infections. The company's customer list includes large corporations, such as AT&T, Procter & Gamble and McDonald's. The company also counts governments and private companies around the world as customers. FireEye says many of those customers were infected. 除了FirEye，SolarWinds的私營客戶還包括AT&T、P&G、McDonald's，不知這些公司是否看到惡意感染。
What do we know about Russian involvement in the hack? Unnamed US government officials have reportedly told news outlets that a hacking group widely believed to be a Russian intelligence agency is responsible for the malware campaign. SolarWinds, cybersecurity firms and US government statements have attributed the hack to "nation-state actors" but haven't named a country directly. 美國政府官員告訴媒體，這次惡性網絡活動的幕後是俄國情報機構。
In a statement on Facebook, the Russian embassy in the US denied responsibility for the SolarWinds hacking campaign. "Malicious activities in the information space contradict the principles of the Russian foreign policy, national interests and our understanding of interstate relations," the embassy said, adding, "Russia does not conduct offensive operations in the cyber domain." 俄國大使館否認了指控。
Nicknamed APT29 or CozyBear, the hacking group named by news reports has previously been blamed for targeting email systems at the State Department and White House during the administration of President Barack Obama. It was also named by US intelligence agencies as one of the groups that infiltrated email systems at the Democratic National Committee in 2015, but the leaking of those emails isn't attributed to CozyBear. (Another Russian agency was blamed for that.) 新聞報告中所指控的駭客群組APT29曾被控攻擊白宮和國務院的電郵系統，還於2015年滲透到民主黨全國委員會的電郵系統。
More recently, the US, UK and Canada have identified the group as responsible for hacking efforts that tried to access information about COVID-19 vaccine research. 最近，美國、英聯邦、加拿大還指證他們企圖訪問關於COVID-19疫苗的研究信息。
Earlier this year, hackers compromised software made by a cybersecurity company you might not have heard of. The infiltration led to a massive malware campaign that's now affecting US federal agencies as well as governments around the world, according to the security firm and news reports. 對美國聯邦機構的大規模惡意軟件活動是從今年早些時候對SolarWinds的駭客襲擊開始的。
The hacked company, SolarWinds, sells software that lets an organization see what's happening on its computer networks. Hackers inserted malicious code into an updated version of the software, called Orion. Around 18,000 SolarWinds customers installed the tainted updates onto their systems, the company said. SolarWinds生產的軟件Orian幫助用戶監測電腦網絡。駭客在軟件更新版本中插入了惡意編碼，被1萬8千客戶安裝。
The compromised update process has had a sweeping effect, the scale of which keeps growing as new information emerges. Based on newspaper reports, the company's statements and analysis from other security firms, a Russian intelligence agency reportedly carried out a sophisticated attack that struck several US federal agencies and private companies including Microsoft. 是一家俄國情報機構的作為，攻擊到好幾個聯邦機構，以及包括微軟在內的私營公司。
On Saturday, President Donald Trump floated on Twitter the idea that China might be behind the attack. Trump, who didn't provide evidence to support the suggestion of Chinese involvement, tagged Secretary of State Mike Pompeo, who had earlier said in a radio interview that "we can say pretty clearly that it was the Russians that engaged in this activity." 川普說也許是中國的襲擊。
US national security agencies issued a joint statement Wednesday acknowledging a "significant and ongoing hacking campaign" that's affecting the federal government. It's still unclear how many agencies are affected or what information hackers might have stolen so far, but by all accounts the malware is extremely powerful. According to analysis by Microsoft and security firm FireEye, both of which were also infected with the malware, it gives hackers broad reach into impacted systems. 根據微軟和FireEye保安公司，受襲擊情況相當嚴重。
On Thursday, Politico reported that systems at the Department of Energy and the National Nuclear Security Administration were also affected. Also on Thursday, Microsoft said it had identified more than 40 customers that were targeted in the hack. 國家能源部與核子安全部門以及40多家客戶這次也受到了攻擊。More information is likely to emerge about the hack and its aftermath. Here's what you need to know about the SolarWinds hack:
How did hackers sneak malware into a software update? Hackers managed to access a system that SolarWinds uses to put together updates to its Orion product, the company explained in a filing with the SEC. From there, they inserted malicious code into otherwise legitimate software updates. This is known as a supply-chain attack, because it infects software while it's being assembled. 駭客設法訪問了SolarWinds的客戶軟件更新系統，叫作供應鏈襲擊。
It's a big coup for hackers to pull off a supply-chain attack, because it packages their malware inside a trusted piece of software. Instead of having to trick individual targets into downloading malicious software with a phishing campaign, the hackers could rely on several government agencies and companies to install the Orion update at SolarWinds' prompting. 供應鏈襲擊相當於實現了政變之後，打擊一切與之有信任關係的國內外實體。
The approach is especially powerful in this case because hundreds of thousands of companies and government agencies around the world reportedly use the Orion software. With the release of the tainted software update, SolarWinds' vast customer list became potential hacking targets. 世界上有幾十萬公司和政府部門使用SolarWinds的Orion軟件。
Which government agencies were infected with the malware? According to reports from Reuters, The Washington Post and The Wall Street Journal, the malware affected the US Homeland Security, State, Commerce and Treasury Departments, as well as the National Institutes of Health. Politico reported on Thursday that nuclear programs run by the US Department of Energy and the National Nuclear Security Administration were also targeted. 國土安全部、能源部下面的核武器部門、國家核子安全管理局都屬於襲擊目標。
It's still unclear what information, if any, was stolen from the federal agencies, but the amount of access appears to be broad.
Though the Department of Energy and the Commerce Department have acknowledged the hacks to news sources, there's no official confirmation that other specific federal agencies have been hacked. However, the US Cybersecurity and Infrastructure Security Agency put out an advisory urging federal agencies to mitigate the malware, noting that it's "currently being exploited by malicious actors." 其他聯邦部門尚未確認襲擊。美國網絡安全局CISA促請採取減輕損害的措施，因惡意分子正在利用所攻破的漏洞。
In a statement Thursday, President-elect Joe Biden said his administration will "make dealing with this breach a top priority from the moment we take office." 當選的拜登說他的政府一上台就會首先處理這事。
Why is the hack a big deal? In addition to gaining access to several government systems, the hackers turned a run-of-the-mill software update into a weapon. That weapon was pointed at thousands of groups, not just the agencies and companies that the hackers focused on after they installed the tainted Orion update. 將運行的軟件更新系統變為武器，指向幾千個公司和部門。
Microsoft president Brad Smith called this "an act of recklessness" in a wide-ranging blog post that explored the ramifications of the hack. He didn't directly attribute the hack to Russia, but described its previous alleged hacking campaigns as proof of an increasingly fraught cyber conflict. 俄國在網絡衝突中的肆意行動。
"This is not just an attack on specific targets," Smith said, "but on the trust and reliability of the world's critical infrastructure in order to advance one nation's intelligence agency." He went on to call for international agreements to limit the creation of hacking tools that undermine global cybersecurity. 微軟號召國際合作，限制駭客工具的開發。
Former Facebook cybersecurity chief Alex Stamos said on Twitter that the hack could lead to supply-chain attacks becoming more common. However, he questioned whether the hack was anything out of the ordinary for a well resourced intelligence agency. 臉書網絡安全官說，供應鏈襲擊可能會更多地發生，俄國情報部門說不定早就在做。
Were private companies or other governments hit with the malware? Yes. Microsoft confirmed Thursday that it found indicators of the malware in its systems, after confirming Sunday that the breach was affecting customers of its cybersecurity services. A Reuters report also said that Microsoft's own systems were used to further the hacking campaign, but Microsoft denied this claim to news agencies. On Wednesday, the company began quarantining the versions of Orion known to contain the malware, in order to cut hackers off from its customers' systems. 私營的微軟也發現其網絡安全服務遭襲。路透社說微軟被駭客用於進一步攻襲，微軟否認--他們已開始隔離Orion惡意版本，切斷它對顧客系統的訪問。
FireEye also confirmed last week that it was infected with the malware and was seeing the infection in customer systems as well.
Other than FireEye and Microsoft, it isn't clear which of SolarWinds' private sector customers saw malware infections. The company's customer list includes large corporations, such as AT&T, Procter & Gamble and McDonald's. The company also counts governments and private companies around the world as customers. FireEye says many of those customers were infected. 除了FirEye，SolarWinds的私營客戶還包括AT&T、P&G、McDonald's，不知這些公司是否看到惡意感染。
What do we know about Russian involvement in the hack? Unnamed US government officials have reportedly told news outlets that a hacking group widely believed to be a Russian intelligence agency is responsible for the malware campaign. SolarWinds, cybersecurity firms and US government statements have attributed the hack to "nation-state actors" but haven't named a country directly. 美國政府官員告訴媒體，這次惡性網絡活動的幕後是俄國情報機構。
In a statement on Facebook, the Russian embassy in the US denied responsibility for the SolarWinds hacking campaign. "Malicious activities in the information space contradict the principles of the Russian foreign policy, national interests and our understanding of interstate relations," the embassy said, adding, "Russia does not conduct offensive operations in the cyber domain." 俄國大使館否認了指控。
Nicknamed APT29 or CozyBear, the hacking group named by news reports has previously been blamed for targeting email systems at the State Department and White House during the administration of President Barack Obama. It was also named by US intelligence agencies as one of the groups that infiltrated email systems at the Democratic National Committee in 2015, but the leaking of those emails isn't attributed to CozyBear. (Another Russian agency was blamed for that.) 新聞報告中所指控的駭客群組APT29曾被控攻擊白宮和國務院的電郵系統，還於2015年滲透到民主黨全國委員會的電郵系統。
More recently, the US, UK and Canada have identified the group as responsible for hacking efforts that tried to access information about COVID-19 vaccine research. 最近，美國、英聯邦、加拿大還指證他們企圖訪問關於COVID-19疫苗的研究信息。
Sunday, December 20, 2020
危機之年看關於環保的好消息
年底是回顧的時機。今天看見一位加州伯克利大學的教授，Maximilian Auffhammer列出今年關於氣候變化問題的10個「好消息」。他是教「可持續發展學」的。我在這裡記下來，日後可以參考，看他說得是否真確。
1. 拜登與賀錦麗（Kamala Harris）當選美國終統。他們的競選團隊能夠將氣候變化和新能源經濟當作競選的一個重要主題，這是歷史上第一次，政客響應了美國公眾這方面的呼聲。他們有雄心勃勃的行動計劃，若實行就會對於解決氣候變化問題帶來的問題產生深遠影響。
2. 中國設定了氣候目標。他們一向有目標，卻沒有相關的經濟活動，比如最近有記者報告說他們還在到處建立新的煤電站，這怎麼可能實現碳中和呢？不過另有消息說，中國現在因為煤炭緊缺，各地常有生活斷電。Auffhammer博士相信中國這次很認真。中國作為最大的碳排放國家，如果認真起來就相當了不起。
3. 可再生能源，諸如太陽能發電和風力發電，以及其能量儲蓄，成本越來越便宜，不斷地邁向市場上最便宜能源的地位。我們看到世界各地都是這個情形。最後需要攻克的就是電網供電的貯藏，看上去也是大有希望。
4. 煤發電量正在減少，唱一曲天鵝終曲吧，點燃最後一隻雪茄菸，讓我們歡慶。美國的煤碳生產仍然得到政府的津貼，然而還是無法與其它能源競爭，在過去一年中一落千丈。
5. 車輛製造商都追求高效能燃油。奧巴馬政府建立了很高的碳排放標準，川普政府橫加打擊--看來製造商們仍然不願意生產那種一時降低標準的車輛。他們相信車輛碳排放標準最後還是要統一在高標準。
6. 企業碳排放的社會代價進展了。奧巴馬時代每噸二氧化碳排放徵收$42作為補償，川普政府將其降低為$1至$7，並且停止一切的有關研究。但「未來資源與加州氣候影響」實驗室的人員仍然推動了必要的研究，讓新政府能夠即時上馬，投入運作。
7. 有很大的一部分溫室氣體，我們不知道是從哪裡來的。現在有新的衛星技術能夠讓人檢測到石油井、天然氣井、和運輸管道架構上小小的甲烷泄漏，對於發現問題和未來的有效規章管理很重要。
8. 汽油內燃發動機要完結了，我們可以為它唱天鵝終曲。美國人都喜歡汽車，但現在電動與汽油合用的車子比較受歡迎了。只要電動車輛的價格能降下來，造型更加完美，人們就會大量購買使用。加州和歐洲國家已經設下規章：汽車製造商必須在2035年以前設法把電動車的價格降下來。
9. 大卡車一向以耗油高著名，而且用的是柴油，對環境和健康損害很大，特別影響到在黑人社區和窮人社區。現在加州有了新的環保政策，要求所有使用柴油的運輸大卡車和輪船，都必須在一定限期之內設法減少二氧化氮的排放。
10. 2020年發生的病毒流行暴露出一些社會問題，連經濟學家都終於明白了，經濟效益不單單是利潤，還要關注社會公平的機會和權利。有人說他們是不是明白得太晚了，但經濟學科如何衡量經濟，會直接影響到政府的環保政策。
Auffhammer博士說，「是的，2020年太糟了。 但讓我們感到安慰的是，今年發生了一些非常了不起的事情，要讓我們為地上所有人建立一個更好的未來。」
1. 拜登與賀錦麗（Kamala Harris）當選美國終統。他們的競選團隊能夠將氣候變化和新能源經濟當作競選的一個重要主題，這是歷史上第一次，政客響應了美國公眾這方面的呼聲。他們有雄心勃勃的行動計劃，若實行就會對於解決氣候變化問題帶來的問題產生深遠影響。
2. 中國設定了氣候目標。他們一向有目標，卻沒有相關的經濟活動，比如最近有記者報告說他們還在到處建立新的煤電站，這怎麼可能實現碳中和呢？不過另有消息說，中國現在因為煤炭緊缺，各地常有生活斷電。Auffhammer博士相信中國這次很認真。中國作為最大的碳排放國家，如果認真起來就相當了不起。
3. 可再生能源，諸如太陽能發電和風力發電，以及其能量儲蓄，成本越來越便宜，不斷地邁向市場上最便宜能源的地位。我們看到世界各地都是這個情形。最後需要攻克的就是電網供電的貯藏，看上去也是大有希望。
4. 煤發電量正在減少，唱一曲天鵝終曲吧，點燃最後一隻雪茄菸，讓我們歡慶。美國的煤碳生產仍然得到政府的津貼，然而還是無法與其它能源競爭，在過去一年中一落千丈。
5. 車輛製造商都追求高效能燃油。奧巴馬政府建立了很高的碳排放標準，川普政府橫加打擊--看來製造商們仍然不願意生產那種一時降低標準的車輛。他們相信車輛碳排放標準最後還是要統一在高標準。
6. 企業碳排放的社會代價進展了。奧巴馬時代每噸二氧化碳排放徵收$42作為補償，川普政府將其降低為$1至$7，並且停止一切的有關研究。但「未來資源與加州氣候影響」實驗室的人員仍然推動了必要的研究，讓新政府能夠即時上馬，投入運作。
7. 有很大的一部分溫室氣體，我們不知道是從哪裡來的。現在有新的衛星技術能夠讓人檢測到石油井、天然氣井、和運輸管道架構上小小的甲烷泄漏，對於發現問題和未來的有效規章管理很重要。
8. 汽油內燃發動機要完結了，我們可以為它唱天鵝終曲。美國人都喜歡汽車，但現在電動與汽油合用的車子比較受歡迎了。只要電動車輛的價格能降下來，造型更加完美，人們就會大量購買使用。加州和歐洲國家已經設下規章：汽車製造商必須在2035年以前設法把電動車的價格降下來。
9. 大卡車一向以耗油高著名，而且用的是柴油，對環境和健康損害很大，特別影響到在黑人社區和窮人社區。現在加州有了新的環保政策，要求所有使用柴油的運輸大卡車和輪船，都必須在一定限期之內設法減少二氧化氮的排放。
10. 2020年發生的病毒流行暴露出一些社會問題，連經濟學家都終於明白了，經濟效益不單單是利潤，還要關注社會公平的機會和權利。有人說他們是不是明白得太晚了，但經濟學科如何衡量經濟，會直接影響到政府的環保政策。
Auffhammer博士說，「是的，2020年太糟了。 但讓我們感到安慰的是，今年發生了一些非常了不起的事情，要讓我們為地上所有人建立一個更好的未來。」
Subscribe to:
Posts (Atom)