隨著網絡攻擊威脅的日益增加，一場科技巨頭與網絡黑市之間的漏洞爭奪戰也愈演愈烈。雙方爭相從能夠挖出軟件和系統漏洞的天才黑客手中購買能夠帶來或破壞巨大經濟利益的漏洞。
包括谷歌、臉譜(pu)和Mozilla，都(dou)提供價值數千至(zhi)上萬美元(yuan)的(de)“漏洞(dong)賞金(jin)”計劃，以鼓勵外部的(de)破解高手尋(xun)找企業(ye)(ye)的(de)漏洞(dong)。但(dan)是，網絡(luo)黑市(shi)的(de)買主卻能(neng)拿(na)出10倍甚至(zhi)更高的(de)價格購(gou)買這(zhe)(zhe)些(xie)漏洞(dong)。按(an)目前的(de)狀況來看，以后(hou)企業(ye)(ye)很(hen)可能(neng)要(yao)大幅度的(de)提高他們的(de)“賞金(jin)”，以保持在這(zhe)(zhe)場漏洞(dong)爭(zheng)奪戰中的(de)競爭(zheng)力。
“目前的(de)形勢相(xiang)當嚴峻(jun)。如果再這樣下(xia)去的(de)話(hua)，將沒有人能夠擁有一臺沒有遭(zao)到入侵的(de)電腦，我(wo)們已經準備好(hao)迎接一場(chang)大災(zai)難的(de)到來(lai)。”－－維(wei)克雷(lei)姆·菲塔克 NSS實驗室首席執行官
安全(quan)企業NSS實驗室正在(zai)推進建立(li)一(yi)(yi)個集(ji)中化的(de)賞金平(ping)臺，讓擁有大量(liang)漏(lou)(lou)洞的(de)公司，如(ru)甲骨(gu)文(wen)、蘋果、谷歌(ge)、Mozilla、Adobe等，拿出至少與(yu)網絡黑市買(mai)主一(yi)(yi)樣的(de)價格購買(mai)其存在(zai)的(de)零日漏(lou)(lou)洞。蘭德公司今年的(de)一(yi)(yi)個調查(cha)報(bao)告(gao)披露，一(yi)(yi)些重大的(de)零日漏(lou)(lou)洞在(zai)黑市上可以(yi)賣到30萬美元。還有一(yi)(yi)些安全(quan)專家(jia)表示，這個數字可以(yi)是(shi)100萬。
但NSS的(de)這個計劃缺(que)少各方面的(de)支持，漏(lou)洞賞金的(de)幅度(du)很難一(yi)下提高，更不用說那些堅持一(yi)毛錢都不想出的(de)企業了。Adobe就是個例(li)子，盡(jin)管在去(qu)年被(bei)黑客盜走了3800萬(wan)用戶的(de)密(mi)碼(ma)，但也(ye)僅表示要(yao)與“用戶和報告(gao)漏(lou)洞的(de)安全社區研究人員”一(yi)起(qi)合作，并認可他們對網(wang)站提交的(de)建議。
其他一些不愿提供賞(shang)金的(de)公司還有蘋果、思科和甲骨文，后者出品(pin)的(de)Java軟件，因漏洞無數極(ji)易(yi)遭受黑(hei)客(ke)攻擊，而飽受各(ge)方面多年來的(de)批評和指責(ze)。
一(yi)些鼓勵(li)漏(lou)洞獎勵(li)的(de)(de)公司支持(chi)NSS實驗室的(de)(de)獎池(chi)計劃，但他們能夠給(gei)出(chu)的(de)(de)價(jia)錢(qian)無法與地下網(wang)絡相比(bi)。比(bi)如去(qu)年的(de)(de)雅(ya)虎，其軟件中的(de)(de)一(yi)個漏(lou)洞被安(an)全公司 High-Tech Bridge發現(xian)并(bing)提交，雅(ya)虎獎勵(li)給(gei)該公司12.5美元(yuan)折扣(kou)的(de)(de)T恤、筆和(he)其他雅(ya)虎商(shang)店(dian)的(de)(de)出(chu)售的(de)(de)小商(shang)品。在被狠狠地嘲(chao)笑了一(yi)番后，雅(ya)虎最(zui)終把獎金提高到了1.5萬(wan)美元(yuan)。
“這是開(kai)玩(wan)笑(xiao)嗎？以后還能(neng)不能(neng)一起玩(wan)耍了？”
今年9月，谷歌(ge)開(kai)始為(wei)“一般”漏洞(dong)提(ti)供1.5萬(wan)(wan)美元(yuan)(yuan)，3倍于之前的獎勵，并(bing)同時在博客中表示，付給一個“非(fei)常(chang)令人印(yin)象深刻”的漏洞(dong)3萬(wan)(wan)美元(yuan)(yuan)。而臉譜盡(jin)管聲(sheng)稱它的一般漏洞(dong)獎金也(ye)就2千美元(yuan)(yuan)，但也(ye)曾為(wei)一個非(fei)常(chang)嚴重(zhong)的漏洞(dong)拿出了3.35萬(wan)(wan)美元(yuan)(yuan)。一開(kai)始反(fan)對獎池平(ping)臺計劃的微軟，也(ye)在2013年底(di)把獎金上(shang)限提(ti)高到10萬(wan)(wan)美元(yuan)(yuan)。中國(guo)知名(ming)安全研究人員于旸（TK）是該筆獎勵僅有(you)的兩個獲得者(zhe)之一。
另外一些渴望獲悉本身漏(lou)(lou)洞(dong)的公司雇用專業漏(lou)(lou)洞(dong)查找團隊，如舊金山的Bugcrowd，它為漏(lou)(lou)洞(dong)開(kai)出的最高(gao)價(jia)格是2萬美元。該公司已成立兩年，在全世(shi)界聚(ju)攬(lan)了超過1.3萬名白(bai)帽子。
Bugcrowd里的(de)(de)賞(shang)金之王是一(yi)名24歲(sui)的(de)(de)大(da)學(xue)生，本·塞(sai)德吉波(bo)爾（Ben Sadeghipour）。他在(zai)美(mei)國加州的(de)(de)薩克拉曼(man)多大(da)學(xue)上(shang)學(xue)，專業(ye)是計算機信息安全。還是孩提(ti)時(shi)代的(de)(de)時(shi)候，就學(xue)習黑客技術以繞過媽媽為了防止他玩電腦設置(zhi)的(de)(de)密碼。
據估計，僅在今年本(ben)就已經挖出30多個漏洞并拿(na)到了(le)2.3萬(wan)美(mei)元(yuan)。本(ben)表示，一直有(you)黑(hei)市上(shang)的(de)(de)人聯系他(ta)購買漏洞，但他(ta)從不接受。因為他(ta)“不想掙不干凈的(de)(de)錢”。
國內(nei)第三方漏洞(dong)提交平臺(tai)烏(wu)云(yun)，是首家提出讓白(bai)帽子“站著把(ba)錢掙了”的(de)企(qi)業。烏(wu)云(yun)聚焦(jiao)覆蓋(gai)了數量眾(zhong)多(duo)的(de)行(xing)業內(nei)與(yu)(yu)民(min)間中的(de)安(an)(an)全愛好者(zhe)，其(qi)中活(huo)躍(yue)的(de)白(bai)帽子有數千人。他(ta)們協助企(qi)業修復安(an)(an)全漏洞(dong)或整理(li)解決方案的(de)知識沉淀。在烏(wu)云(yun)這些年努力下，目(mu)前大型互聯網企(qi)業對安(an)(an)全上(shang)升了一個(ge)臺(tai)階(jie)，白(bai)帽子報告的(de)漏洞(dong)均(jun)被重視(shi)并得到確認(ren)與(yu)(yu)處理(li)。但仍有部(bu)分(fen)互聯網企(qi)業與(yu)(yu)傳統行(xing)業對安(an)(an)全的(de)重視(shi)不足，導致安(an)(an)全事件頻發，用戶受到安(an)(an)全困擾。
“黑色產業(ye)(ye)”內(nei)流(liu)動(dong)著龐(pang)大(da)的(de)黑色利益，是建立在企(qi)業(ye)(ye)與用戶(hu)的(de)痛苦之上(shang)的(de)，對互聯網造(zao)成(cheng)難以估(gu)量(liang)的(de)經(jing)濟(ji)造(zao)成(cheng)損(sun)失。但如果互聯網企(qi)業(ye)(ye)可以重視安(an)(an)全研究者勞動(dong)付出，并提(ti)供(gong)其客(ke)觀合法的(de)經(jing)濟(ji)收入來(lai)調(diao)動(dong)安(an)(an)全行業(ye)(ye)的(de)積(ji)極性，很多安(an)(an)全問(wen)題都將(jiang)及時發現并得到主動(dong)的(de)處理。
阿里(li)巴(ba)巴(ba)、騰訊、百(bai)度、360、京(jing)東、新浪、網(wang)易都有(you)著(zhu)各自的(de)漏(lou)洞(dong)響應(ying)中心，對提(ti)交(jiao)漏(lou)洞(dong)的(de)白帽子(zi)給予(yu)相(xiang)應(ying)的(de)獎勵。幾年前，付(fu)錢給攻擊你的(de)人(ren)，還是(shi)一(yi)種激進的(de)思想。但互聯網(wang)世(shi)界變(bian)化的(de)如(ru)此之快(kuai)，現(xian)如(ru)今激進已經成為實(shi)(shi)用。網(wang)絡空間，有(you)著(zhu)成千上萬擁有(you)漏(lou)洞(dong)發(fa)現(xian)技(ji)術的(de)黑客人(ren)才(cai)，把這些人(ren)召(zhao)集起來，給予(yu)他(ta)們一(yi)個可以(yi)(yi)實(shi)(shi)現(xian)自我(wo)并(bing)可以(yi)(yi)“站著(zhu)把錢掙了(le)”的(de)機(ji)會，豈非一(yi)件利已利人(ren)的(de)大(da)好事(shi)？
烏云聯合創(chuang)始人孟卓向(xiang)安(an)全牛介紹，白(bai)帽(mao)子在(zai)烏云一(yi)個月內(nei)的漏(lou)洞(dong)獎金(jin)額(e)度較多的相(xiang)當(dang)于其近半(ban)年的薪資總額(e)，平均起來白(bai)帽(mao)子每個月都(dou)能(neng)拿到一(yi)般(ban)薪資水平1~3倍的漏(lou)洞(dong)獎金(jin)。漏(lou)洞(dong)獎勵在(zai)烏云以及(ji)國(guo)內(nei)企業(ye)的努力下，給(gei)了白(bai)帽(mao)子們一(yi)個展現自己、被企業(ye)認(ren)可與合法(fa)收(shou)益的渠道，為(wei)行業(ye)創(chuang)造著巨(ju)大價值。
由兩名前美國(guo)國(guo)家(jia)(jia)安(an)全局官員在(zai)2013年(nian)創立的Synack，則(ze)使用另(ling)一種方(fang)法尋找軟件漏洞(dong)。他們并(bing)不招攬大(da)量的黑客，而是付錢給(gei)企業、院(yuan)校(xiao)和政府里的安(an)全專家(jia)(jia)，后者包(bao)括(kuo)國(guo)家(jia)(jia)安(an)全局的現有(you)員工。Synack開出的單個漏洞(dong)獎金上限一般是5千美元。
還有一些公司把發(fa)現的零日(ri)漏(lou)洞賣(mai)給(gei)全球(qiu)的政府機構，包括(kuo)美國的情(qing)報部門和(he)軍(jun)事機構。他們用這(zhe)些漏(lou)洞開(kai)發(fa)漏(lou)洞利(li)用程序，以滲透他國的計算機系(xi)統。工控(kong)安(an)全專業廠商匡恩科技總(zong)裁孫一按曾向安(an)全牛表示(shi)：“在網絡黑(hei)市(shi)上，重要的工控(kong)安(an)全漏(lou)洞能(neng)賣(mai)到60萬至100萬歐元。”
“在極少數情(qing)況下(xia)，為了(le)收(shou)集頂級情(qing)報信息(xi)，政府(fu)授權國家安全局(ju)使用零日漏洞。”－－美國總(zong)統顧問小組
由于這(zhe)些漏洞有時無法得到修復，從而將公眾暴露于危(wei)險之中，而且全世界各個國家對(dui)零日(ri)漏洞的(de)購買需求(qiu)也在(zai)極大的(de)推(tui)動著網絡黑市。為(wei)此，美國政府一直飽(bao)受批評(ping)。
發(fa)現漏洞并不(bu)是(shi)一件(jian)很(hen)容易(yi)的(de)事，即(ji)使對于專業的(de)軟件(jian)公司來說。這主要是(shi)因為(wei)傳統的(de)計算機教(jiao)育只關注于實現功(gong)能的(de)代碼編程(cheng)，并沒有(you)關注安全(quan)漏洞，更(geng)談不(bu)上符合(he)安全(quan)規范的(de)代碼編程(cheng)了。因此，許(xu)多業內(nei)人(ren)士人(ren)為(wei)，雇(gu)用黑(hei)客來查找漏洞不(bu)失為(wei)一個很(hen)好的(de)辦法。
安(an)(an)全咨(zi)詢服務商谷安(an)(an)天下總經(jing)理李(li)華(hua)對(dui)安(an)(an)全牛表示，對(dui)于大(da)型機(ji)構(gou)來說(shuo)，雇傭黑客(ke)進(jin)(jin)行(xing)眾測最大(da)的(de)問(wen)題是信(xin)(xin)任(ren)問(wen)題和風險控制問(wen)題。因此(ci)，做為深受客(ke)戶信(xin)(xin)任(ren)的(de)咨(zi)詢顧(gu)問(wen)方，谷安(an)(an)天下的(de)專家進(jin)(jin)行(xing)風險控制以(yi)及(ji)與客(ke)戶的(de)需求(qiu)溝通，再(zai)與烏云平(ping)臺組(zu)織的(de)業(ye)內著名白帽子(zi)合作(zuo)，針(zhen)對(dui)行(xing)業(ye)應用進(jin)(jin)行(xing)深度(du)測試。目前已經(jing)在(zai)一些知名的(de)金(jin)融機(ji)構(gou)取得了非常不錯的(de)效果(guo)，得到了行(xing)業(ye)客(ke)戶的(de)認可(ke)。
“中國(guo)知名的(de)金(jin)融服(fu)務機(ji)構已經在實(shi)施眾測，并取得了良好的(de)效果，這是一種未來的(de)發展趨(qu)勢。”－－李(li)華
