并且窜改了会计系统。但是如果他们已经可以使用系统管理人员的帐户，他们为什么还要用一
个新的帐户呢。
我们的上司从来都不想听坏消息。但是我们尽量克制住自己。我们没有明确的证据说明的
确有一个黑客，我只有一些间接的线索，是从一些会计上的小小错误中推断出来的。即使真的
有人闻进我们的系统，我们也不知道他打入的范围有多大，也不知道这是谁干的。罗伊·克思
对我们大发脾气：“你们为什么要浪费我的时间？你们什么事情也不知道，而且你们一点儿证据
也没有。回去把情况弄清楚，我要看证据。”
那么怎么才能把黑客挖出来呢？我想事情很简单：只需要盯住观察使用斯文特克帐户的任何
人并设法追踪他们是怎样联机的就行了。
我在星期四那天一整天都在观察向我们的计算机登记联机的人。我编制了一个程序，每当
有人同尤尼克斯系统计算机联网时，我的终端机便发出呼叫声。我无法看到每个用户在干什么，
但是我可以看到他们的名字。每隔几分钟，我的终端机便发出呼叫声，我便去看看是谁登记使
用我们计算机。有几位是朋友，有些是在撰写研究论文的天文学家，也有的是在埋头写论文的
研究生。大多数帐户都是陌生人，所以我不知道我怎样才能判断出哪一条连接线路可能是个黑
客。
星期四中午12点33分，斯文特克登记和我的计算机联网了。我感到一阵抑制不住的兴奋，
接着他在一分钟后消失了，我又大失所望。他在什么地方？他留给我的唯一的蛛丝马迹是他的终
端机的标识符号：他使用的终端机接口是tt23。
有人坐在一台计算机终端后面，手指放在键盘上就同我们的实验所连接上了。我的尤尼克
斯计算机显示他用的接口地址为tt23。
很好，这是个开头，我的问题是推算出哪条具体的线路与逻辑名字tt23相一致。
我们实验所的终端机和拨入电话调制解调器的指定代码都是“tt”，而网络连接都以“NT”
为代码出现。我推测这个家伙要么是我们实验所里的人，要么就是通过一条和调制解调器相接
的电话线进入的。
有那么几秒钟，我感觉到有人犹犹豫豫地进入我们的计算机进行试探。从理论上说，从计
算机顺着这条线追查到闯入的人应当是可能的。这条连接线遥远的那一端一定有个人。
要追踪这条线得用半年的时间，不过我的第一步是追踪在这座大楼以外的连接点。我疑心
有一个拨号调制解调器和某条电话线相连接，但是可以想象，这也许是实验所里的什么人。多
年来，联网的终端机远远超过5D0台，而只有保罗·默里一个人在追踪它们。幸运的是，我们本
国制造的硬件连接装置有记录证明比我们土造的会计软件要好一些。
保罗是一个离群索居的硬件技师，他整天在密密麻麻的电话线当中埋头工作。我发现他正
在一块电子仪器板后面，把一个粒子探测器接到整个实验所在用的“以太”计算机网络系统上。
“以太”计算机网络是同千百台小型计算机相连接的电子流水线。有几英里长的桔黄色的以太
网电缆曲曲弯弯布满了我们的实验室，而保罗对每一条电缆都一清二楚。
我去找他时他正在焊接一条线，他骂我把他吓了一跳。他拒绝给我帮忙，后来当我证明我
有正当需要来找他了解情况时，他才答应给我帮忙。唉，活见鬼，硬件技师不懂得软件问题，
而软件操作人员对硬件又一窍不通。
我业余摆弄无线电很多年，学会了焊接技术，因此保罗和我至少有一个共同之处．于是我
也拿起他的多余的一把烙铁。我焊了几分钟之后，他的脸色才稍微平和下来一点，斜着眼看了
我一下。他摆脱了这些“以太”计算机网络电缆，领着我在劳伦斯一伯克利实验所的通信交换
室转了一圈。
在这间满屋都是线路的房子里，电话、内部联络机，无线电收音机和计算机都由一大堆乱
七八糟的电缆，线路和光纤以及配电板连结在一起。这个令人可疑的tt23接口进到这个房间里
来，由一个辅助计算机将它转接到一千台可能的终端机中的某一台上去。任何人拨号进入实验
所将被随意分派到一个尤尼克斯端口。下次我再发现可疑的人的话，我一定要跑到交换室去，
通过检查交换计算机把连接切断。要是他在我切断之前就消失了的话，那就难办了。而且即使
我真能做到了这一点，我也只是能指出进入我们实验所的那根双股线，距离找到“黑客”还差
远着呢。
不过幸运的是，中午的这次联网留下了一些蛛丝马迹。保罗一向搜集有关有多少人使用过
这个交换室的统计材料。而且碰巧他又把上个月各次联网的端口号码都记录下来了。由于我知
道斯文特克在tt23端口活动的时问，因此我们可以推测出他是从哪个端口进来的。打印的统计
数字表明：在12点33分时出现过l分钟的1200波特的联网活动。
呵，1200波特！这可非同小可。波特率是测量数据经过一条线路时的速度的。而1200波特的
意思是每秒1200个字符——一分钟要打印几页文字。
通过电话线的拨号调制解调器以1200波特速度运行。在这里，实验所的每个工作人员都是
高速操作的：用9600波特或19200波特，只有通过调制解调器联系的人才让他们的数据以1200
波特的速度慢慢泡蘑菇。拨号线路不用通报姓名而且使用方便，这对陌生人是极有吸引力的。
就这样，一点一滴的线路开始凑在一起了。我不能证明我们系统中有一个“黑客”，但是确实
有人通过电话拨号接到我们实验所来了，并且使用了斯文特克的帐户。
然而，以1200波特速度联网很难证明有一个“黑客”进入我们的系统中。这次不完全的追
踪，特别是没有超出我们大楼范围之外的追踪，绝不会使我们的上司相信发生了离奇古怪的事
情。我需要找到有一个关于有“黑客”的不容置疑的证据。但是怎么样才能找到呢？
罗伊·克思领我参观过同高能质子同步稳相加速器连接在一起的高能粒子探测器。这些探
测器找到了大量的亚原于相互作用，而且99 99％都可以用物理学定律加以说明解释。花费时问
探索每一个粒子的踪迹会使你得出结论，认为所有粒子都按已知的物理学规律运动，没有什么
可发现的了。否则的话，你可以把所有可以解释的相互作用抛在一边不管，而只去考虑那些不
大符合典型规则的相互作用。
高能物理学家的远亲天文学家们就是依据类似方针工作的。大部分恒星都是枯燥乏味的。
要有进步就得研究如类星体、脉冲量、引力镜等稀奇古怪的现象，这些现象看来和我们从小到
大一直信而不疑的模式是不相符的。知道水星上的环形山的统计数字，你就会知道在太阳系的
早期，这颗行星是多么经常遭到陨石的轰击。但是研究一下那些被纵横交错的悬崖和山脊阻断
的环形山，你就会了解这颗行星在最初的几十亿年中，随着渐渐玲却而收缩的情况。把原始数
据收集起来，撇开意料中的数据。剩下来的数据就会对你的理论提出挑战。
好吧，让我们用这种思维方式来观察进入我们计算机的某个人吧。我在办公桌上放上一台
终端机，另外还可以借用两三台。假设我只观察进入计算机中心的通信量。进入这个系统的线
路大约有500条。这些线路大都以9600波特的速度传输信息，换句话说就是每秒钟150个字左右。
如果在同一时间使用一半线路，我必须每分钟阅读远远超过一万页的数据。就是这样。我绝没
有办法在我的终端机上监控这样庞大的通信量。
不过这些高速线路是劳伦斯伯克利实验所的人用的。我们早就在追踪和一条1200波特线路
相连的可疑的连接线了。这种连接线较少（我们没有钱安装太多打进来的电话线），而且这种电
话线传送速度也比较慢。50条1200波特的线路，每分钟可能打出100页纸的数据，在我的终端机
荧屏上，这也太快，无法进行观察。如果有50个人同时出现，我可能耳不暇接，无法观察，但
是也许我能够把他们所有相互关系都打印下来，等我空闲的时侯再来阅读这一大堆材料。如果
找到一张有打印材料的纸，那会成为有人在附近遗巡的确凿证据。要是我们找不到可疑的东西，
我们就可能把这整个项目丢下不管了。
我要把每个1200波特连接期间发生的每一件事情都记录下来。这在技术上将是非常困难的
——由于我不知道这个“黑客”使用哪条线路，因此我必须监视48条线路。更叫人伤脑筋的是
监视我们自己人的来往通信构成道德上的问题。我们有权监视经过我们线路来往的信息吗？
我的情人马莎就要结束在法学院的学习了。我们在一起吃着意大利馅饼，一边吃一边谈论
有人偷偷闯入我们的计算机会产生什么影响。我当时很想知道我收听输入我的终端的通信会有
多太麻烦。
“嗯，这个嘛”，她咀嚼着一块意大利式白奶酪，烫得直哈气，后也说不清楚。“你又不是
代表政府，所以你无需搜查证。最坏不过也只是侵犯隐私而已。一个人拨通一台计算机，大概
没有权利坚持这台计算机的主人不得查看他的通信。所以我看不出你为什么不能这样做。”
于是我就问心无愧地开始建造一个监视系统。我们共有50条1200波特的线路，而一个“黑
客”可能使用其中任何一条。我没有专门用来记录传输信息的设备。
但是要记录一个“黑客”的活动有一个简便易行的办法。把尤尼克斯系统修改一下，以便
在任何时候，一旦一个可疑的人申请使用计算机时，这个系统就把所有键盘的活动记录下来。
这是很吸引人的，因为我只要把几条编码线加在尤尼克斯“守护神”软件上就可以了。
这些“守护神”软件本身只是把从外界输入的数据复制到操作系统中去的程序，是尤尼克
斯操作系统的耳目。（在古代希腊，“守护神”是低级的神灵，介于神和人之间，我的“守护神”
软件介于象神一样的操作系统和终端机与磁盘这个尘世之间。）
我可以象管道中的T型连结节一样，把守护神软件输出的数据分成两股，这样黑客发来的通
信将同时分别输入操作系统和打印机。使用软件的解决办法既简单又漂亮。
戴夫·克利夫兰说：“你自己冒险同‘守护神’鬼混吧，只是要尊重他们的定时需要。”
韦恩也警告我说：“喂，你要是捅出了大漏子来，你肯定会把系统毁掉。那将使这个系统
变得一塌糊涂，你根本没有办法跟踪将发生的一切。你只能等着，等到仪表盘上打印出‘应急
核心态中断’的字样——到那时你可别来找我哭诉！”
戴夫插嘴说：“嘿，要是你这位黑客有点使用尤尼克斯系统的经验，他必定会注意到这些
‘守护神’软件身上的变化。”
这番话说服了我，一个敏锐的系统使用人员是会注意到我们已改变了操作系统。一旦这位
黑客得知有人在监视他，他就会搞乱我们的数据库，溜之大吉。我们的线路窃听器必须是完全
发现不了的，甚至连那些权力极大的超级用户也探测不出来才行。要暗中设下既无声息又看不
到的监视器来捕捉“黑客”的活动�