隨著網(wǎng)絡(luò)攻擊威脅的日益增加，一場科技巨頭與網(wǎng)絡(luò)黑市之間的漏洞爭奪戰(zhàn)也愈演愈烈。雙方爭相從能夠挖出軟件和系統(tǒng)漏洞的天才黑客手中購買能夠帶來或破壞巨大經(jīng)濟(jì)利益的漏洞。
包括谷歌、臉譜和Mozilla，都提供價值數(shù)千至上萬美元的“漏洞賞金”計劃，以鼓勵外部的破解高手尋找企業(yè)的漏洞。但是，網(wǎng)絡(luò)黑市的買主卻能拿出10倍甚至更高的價格購買這些漏洞。按目前的狀況來看，以后企業(yè)很可能要大幅度的提高他們的“賞金”，以保持在這場漏洞爭奪戰(zhàn)中的競爭力。
“目前的形勢相當(dāng)嚴(yán)峻。如果再這樣下去的話，將沒有人能夠擁有一臺沒有遭到入侵的電腦，我們已經(jīng)準(zhǔn)備好迎接一場大災(zāi)難的到來。”－－維克雷姆·菲塔克 NSS實驗室首席執(zhí)行官
安全企業(yè)NSS實驗室正在推進(jìn)建立一個集中化的賞金平臺，讓擁有大量漏洞的公司，如甲骨文、蘋果、谷歌、Mozilla、Adobe等，拿出至少與網(wǎng)絡(luò)黑市買主一樣的價格購買其存在的零日漏洞。蘭德公司今年的一個調(diào)查報告披露，一些重大的零日漏洞在黑市上可以賣到30萬美元。還有一些安全專家表示，這個數(shù)字可以是100萬。
但NSS的這個計劃缺少各方面的支持，漏洞賞金的幅度很難一下提高，更不用說那些堅持一毛錢都不想出的企業(yè)了。Adobe就是個例子，盡管在去年被黑客盜走了3800萬用戶的密碼，但也僅表示要與“用戶和報告漏洞的安全社區(qū)研究人員”一起合作，并認(rèn)可他們對網(wǎng)站提交的建議。
其他一些不愿提供賞金的公司還有蘋果、思科和甲骨文，后者出品的Java軟件，因漏洞無數(shù)極易遭受黑客攻擊，而飽受各方面多年來的批評和指責(zé)。
一些鼓勵漏洞獎勵的公司支持NSS實驗室的獎池計劃，但他們能夠給出的價錢無法與地下網(wǎng)絡(luò)相比。比如去年的雅虎，其軟件中的一個漏洞被安全公司 High-Tech Bridge發(fā)現(xiàn)并提交，雅虎獎勵給該公司12.5美元折扣的T恤、筆和其他雅虎商店的出售的小商品。在被狠狠地嘲笑了一番后，雅虎最終把獎金提高到了1.5萬美元。
“這是開玩笑嗎？以后還能不能一起玩耍了？”
今年9月，谷歌開始為“一般”漏洞提供1.5萬美元，3倍于之前的獎勵，并同時在博客中表示，付給一個“非常令人印象深刻”的漏洞3萬美元。而臉譜盡管聲稱它的一般漏洞獎金也就2千美元，但也曾為一個非常嚴(yán)重的漏洞拿出了3.35萬美元。一開始反對獎池平臺計劃的微軟，也在2013年底把獎金上限提高到10萬美元。中國知名安全研究人員于旸（TK）是該筆獎勵僅有的兩個獲得者之一。
另外一些渴望獲悉本身漏洞的公司雇用專業(yè)漏洞查找團(tuán)隊，如舊金山的Bugcrowd，它為漏洞開出的最高價格是2萬美元。該公司已成立兩年，在全世界聚攬了超過1.3萬名白帽子。
Bugcrowd里的賞金之王是一名24歲的大學(xué)生，本·塞德吉波爾（Ben Sadeghipour）。他在美國加州的薩克拉曼多大學(xué)上學(xué)，專業(yè)是計算機(jī)信息安全。還是孩提時代的時候，就學(xué)習(xí)黑客技術(shù)以繞過媽媽為了防止他玩電腦設(shè)置的密碼。
據(jù)估計，僅在今年本就已經(jīng)挖出30多個漏洞并拿到了2.3萬美元。本表示，一直有黑市上的人聯(lián)系他購買漏洞，但他從不接受。因為他“不想掙不干凈的錢”。
國內(nèi)第三方漏洞提交平臺烏云，是首家提出讓白帽子“站著把錢掙了”的企業(yè)。烏云聚焦覆蓋了數(shù)量眾多的行業(yè)內(nèi)與民間中的安全愛好者，其中活躍的白帽子有數(shù)千人。他們協(xié)助企業(yè)修復(fù)安全漏洞或整理解決方案的知識沉淀。在烏云這些年努力下，目前大型互聯(lián)網(wǎng)企業(yè)對安全上升了一個臺階，白帽子報告的漏洞均被重視并得到確認(rèn)與處理。但仍有部分互聯(lián)網(wǎng)企業(yè)與傳統(tǒng)行業(yè)對安全的重視不足，導(dǎo)致安全事件頻發(fā)，用戶受到安全困擾。
“黑色產(chǎn)業(yè)”內(nèi)流動著龐大的黑色利益，是建立在企業(yè)與用戶的痛苦之上的，對互聯(lián)網(wǎng)造成難以估量的經(jīng)濟(jì)造成損失。但如果互聯(lián)網(wǎng)企業(yè)可以重視安全研究者勞動付出，并提供其客觀合法的經(jīng)濟(jì)收入來調(diào)動安全行業(yè)的積極性，很多安全問題都將及時發(fā)現(xiàn)并得到主動的處理。
阿里巴巴、騰訊、百度、360、京東、新浪、網(wǎng)易都有著各自的漏洞響應(yīng)中心，對提交漏洞的白帽子給予相應(yīng)的獎勵。幾年前，付錢給攻擊你的人，還是一種激進(jìn)的思想。但互聯(lián)網(wǎng)世界變化的如此之快，現(xiàn)如今激進(jìn)已經(jīng)成為實用。網(wǎng)絡(luò)空間，有著成千上萬擁有漏洞發(fā)現(xiàn)技術(shù)的黑客人才，把這些人召集起來，給予他們一個可以實現(xiàn)自我并可以“站著把錢掙了”的機(jī)會，豈非一件利已利人的大好事？
烏云聯(lián)合創(chuàng)始人孟卓向安全牛介紹，白帽子在烏云一個月內(nèi)的漏洞獎金額度較多的相當(dāng)于其近半年的薪資總額，平均起來白帽子每個月都能拿到一般薪資水平1~3倍的漏洞獎金。漏洞獎勵在烏云以及國內(nèi)企業(yè)的努力下，給了白帽子們一個展現(xiàn)自己、被企業(yè)認(rèn)可與合法收益的渠道，為行業(yè)創(chuàng)造著巨大價值。
由兩名前美國國家安全局官員在2013年創(chuàng)立的Synack，則使用另一種方法尋找軟件漏洞。他們并不招攬大量的黑客，而是付錢給企業(yè)、院校和政府里的安全專家，后者包括國家安全局的現(xiàn)有員工。Synack開出的單個漏洞獎金上限一般是5千美元。
還有一些公司把發(fā)現(xiàn)的零日漏洞賣給全球的政府機(jī)構(gòu)，包括美國的情報部門和軍事機(jī)構(gòu)。他們用這些漏洞開發(fā)漏洞利用程序，以滲透他國的計算機(jī)系統(tǒng)。工控安全專業(yè)廠商匡恩科技總裁孫一按曾向安全牛表示：“在網(wǎng)絡(luò)黑市上，重要的工控安全漏洞能賣到60萬至100萬歐元?！?/p>
“在極少數(shù)情況下，為了收集頂級情報信息，政府授權(quán)國家安全局使用零日漏洞?！保绹偨y(tǒng)顧問小組
由于這些漏洞有時無法得到修復(fù)，從而將公眾暴露于危險之中，而且全世界各個國家對零日漏洞的購買需求也在極大的推動著網(wǎng)絡(luò)黑市。為此，美國政府一直飽受批評。
發(fā)現(xiàn)漏洞并不是一件很容易的事，即使對于專業(yè)的軟件公司來說。這主要是因為傳統(tǒng)的計算機(jī)教育只關(guān)注于實現(xiàn)功能的代碼編程，并沒有關(guān)注安全漏洞，更談不上符合安全規(guī)范的代碼編程了。因此，許多業(yè)內(nèi)人士人為，雇用黑客來查找漏洞不失為一個很好的辦法。
安全咨詢服務(wù)商谷安天下總經(jīng)理李華對安全牛表示，對于大型機(jī)構(gòu)來說，雇傭黑客進(jìn)行眾測最大的問題是信任問題和風(fēng)險控制問題。因此，做為深受客戶信任的咨詢顧問方，谷安天下的專家進(jìn)行風(fēng)險控制以及與客戶的需求溝通，再與烏云平臺組織的業(yè)內(nèi)著名白帽子合作，針對行業(yè)應(yīng)用進(jìn)行深度測試。目前已經(jīng)在一些知名的金融機(jī)構(gòu)取得了非常不錯的效果，得到了行業(yè)客戶的認(rèn)可。
“中國知名的金融服務(wù)機(jī)構(gòu)已經(jīng)在實施眾測，并取得了良好的效果，這是一種未來的發(fā)展趨勢?！保钊A
