“白帽子”的生存模式究竟是靠“奖励”还是“勒索”?周鸿祎是这么看的
“白帽子”的生存模式究竟是靠“奖励”还是“勒索”?周鸿祎是这么看的
发布时间:2016-09-21 来源:查字典编辑
摘要:著名的漏洞报告平台乌云网,一直是以“守护者”的角色的行径于互联网世界的,但其模式自诞生起就从不乏争议,有人视它为“云时代罩在信息小偷和互联网...

著名的漏洞报告平台乌云网,一直是以“守护者”的角色的行径于互联网世界的,但其模式自诞生起就从不乏争议,有人视它为“云时代罩在信息小偷和互联网企业头上的一道警示咒”,也有人将它看作是随时可能会引爆的行业炸弹。而在今年7月底,先是有著名 “白帽子”袁炜被捕,而后乌云网包括创始人在内的“多名高管被抓”,平台被破停摆,接连的事件再次引发了人们对于“白帽子”黑客行为边界的大讨论。

此前,澎湃新闻的报道中,记录了一些业内人士的观点:

国内黑客界教父级人物、腾讯玄武实验室总监于旸:“可能很多人不知道:按《刑法》285条第2款及相关司法解释,入侵获取金融证券系统身份认证信息10条以上、一般系统500条以上,就可以判刑。”

软件从业人员“苏莉安”:“正邪的分界线也绝没有那么清晰:'白帽子'在未授权情况下对某网站或服务器的渗透测试,和真正准备盗取数据的黑客所做的准备工作是一模一样的。区别只在发现漏洞后的处置上,是报告给管理者,还是盗走数据卖掉。”

长期研究IT行业的律师赵占领: “如果最终判定构成犯罪,将对整个‘白帽子’群体造成极大的震慑,没有‘白帽子’还敢去给网站寻找、发现漏洞,这对于企业的商业利益以及用户的信息安全都是非常不利的。”

而在8月16日召开的互联网安全大会上,旗下拥有类似平台的360董事长周鸿祎也在接受南读记者采访时,发表了一些自己的看法。

他肯定了 “白帽子”的对于企业的重要性:

“whitehat的存在很重要,网络上大量的后门、漏洞是未知的,必须通过模拟攻防才能发现其弱点,就像军队的训练要分组对抗一个道理。”周鸿祎告诉南都记者,“但是他们并没有获得应有的尊重。”

“主要是许多网站安全意识淡薄,他们觉得自己只是个小网站,并没有敏感信息,没有被攻击的可能。”周鸿祎透露说,比如360补天之前发现了一个高校的漏洞,但技术方获悉后近半年时间也没修复。“一个同学在校园BBS的ID密码有可能是他支付宝的ID,这是个‘顺藤摸瓜’的过程。如果一个店家被发现有火灾隐患会被联防勒令整改,但网络安全的规则是缺失的。希望国家可以有一些政策规定,比如发现漏洞必须在多长时间响应及修复。”

同时也承认这其间的边界模糊,他打了个比方:“这好比要试试一个锁是不是好的,你要动手撬一撬试试,如果真撬开了,黑客会干坏事,而善意的黑客会把这个事情告诉厂商。这是区别,但‘撬’的这个动作确实存在‘灰色’。”

而为了规避掉“瓜田李下”的嫌疑,360补天的做法是自己来 “白帽子”,因为“在目前的游戏规则下,这种奖励与‘敲诈’确实界限比较模糊。”周鸿祎表示,“长远看,厂商需要为这样的劳动付出埋单。”现在厂商宁愿多买服务器硬件,也不愿雇一个安全人员进行长期监测。“但安全不是机器与机器斗,而人与人斗,永远没有一个方案可以一劳永逸,人的服务才是安全最好的解决方案,而这种咨询服务理应获得其收入。”

创新永远比规则快,现在的 “白帽子”存在灰色很正常,也需要国家尽快制定相关规则予以保护。“比如说统一管理模拟攻击,哪怕是发个资格证书也行。”

此外,周鸿祎还透露了私有化的目的:“在欧盟,如果你研制一种政府无法破译的加密软件被视为军火;我们在美国投资一家安全通信公司,而他们同样被美国政府要求备案秘钥;有一年波士顿爆炸案,当时犯罪嫌疑人只是网上搜索‘高压锅’,20分钟后就有反恐部队上门,如果没有谷歌之类搜索引擎配合怎么可能实现?而且现在军民融合是一个趋势,未来军工安全会是一个很大的市场,内资公司的身份更有利于我们切入这个市场。”

推荐文章
猜你喜欢
附近的人在看
推荐阅读
拓展阅读
相关阅读
网友关注
最新互联网学习
热门互联网学习
建站子分类