2014 年 2 月，RSA Conference 如期在舊金山 Moscone Center 舉辦，但一場平行會議——TrustyCon 於 2 月 27 日在 AMC Metreon 同期登場。這不是商業競品會議，而是安全圈對 RSA Security 與 NSA 合作植入隨機數生成器後門 (Dual_EC_DRBG) 事件的集體抗議與信任重建行動。
事件發酵時間軸
- 2013 年 9 月： Snowden 文件披露 NSA 支付 RSA 1,000 萬美元，將有後門嫌疑的 Dual_EC_DRBG 設為 BSAFE 加密庫預設 CSPRNG。
- 2013 年 12 月： RSA 公開承認並勸告客戶停用 Dual_EC_DRBG，但未公開具體協作細節，引發信任危機。
- 2014 年 1 月： F-Secure 首席研究官 Mikko Hypponen 率先宣佈退出 RSA 2014 主題演講，隨後 Bruce Schneier、Christopher Soghoian、Jeff Moss (Dark Tangent, DEFCON 創辦人) 等重量級專家接連退出/抵制。
- 2014 年 2 月初： 退出專家發起 TrustyCon，意旨「重建信任」，一週內完成議程籌備、場地確認、直播安排。
TrustyCon 核心議程與講者
| 講者 | 身分 | 議程主題 |
|---|
| Mikko Hypponen | F-Secure 首席研究官 | 「我原本在 RSA 年會上的演講」—— 回應後門事件、呼籲透明化 |
| Chris Palmer | Google 軟體安全工程師 | 瀏覽器安全機制與信任基礎設施建設 |
| Marcia Hoffmann | EFF (電子前線基金會) 特別顧問 | 法律視角的監控改革與數位權利捍衛 |
| Christopher Soghoian | ACLU 資深政策分析師 | 政府監控授權架構缺陷與技術對抗策略 |
| Jeff Moss (Dark Tangent) | DEFCON 創辦人、Black Hat CSO | 駭客社群自治與安全產業倫理邊界 |
TrustyCon 的象徵意義
- 技術社群的道德覺醒： 安全從業者不再默認「國家安全 > 用戶隱私」的單邊敘事，要求供應鏈透明化、演算法可驗證、政府監控受法律嚴格制約。
- 會議經濟學的反叛： RSA Conference 年營收超億美元，贊助商多為情報機構合作廠商；TrustyCon 免費直播、無商業贊助、講者自費參會，以行動投票表達價值觀。
- 開放加密標準化的推手： 事件直接推動 NIST 重啟 SP 800-90A 修訂、IETF CFRG 淘汰 Dual_EC_DRBG、OpenSSL/LibreSSL/BoringSSL 移除相關代碼、TLS 1.3 強制前向保密與 AEAD。
後續影響
- RSA Conference 2015 起增設「信任與透明度」專題，邀請 EFF、ACLU、學者同台對話。
- 美國《網路安全資訊共享法案》(CISA)、《美國自由法案》立法過程中，技術社群聲音權重顯著提升。
- 「Trustworthy/Trustworthy AI」成為後續學術/產業關鍵詞，可追溯至這場突圍。
TrustyCon 不是一場會議的終點，而是安全圈「拒絕被收編、堅守技術中立與用戶信任」的起點。每當商業利益與國家權力試圖綁架密碼學基礎設施時，總會有像 Mikko、Jeff、Chris 這樣的聲音站出來說：「Not on my watch.」