“黑客”(Hack)這個(gè)詞,最早出現(xiàn)在麻省理工學(xué)院的計(jì)算機(jī)文化中,被創(chuàng)造的時(shí)候,完全是一個(gè)正面的稱呼。在乘車去往Menlo Park的路上,你會看到寫著“1 Hacker Way(黑客路1號)”的路牌,那就是Facebook的總部。
1946年,世界上第一臺電子計(jì)算機(jī)ENIAC在美國誕生。從此,一些最聰明、最有創(chuàng)造力的年輕人,開始進(jìn)入這個(gè)行業(yè),在他們的身上逐漸形成了一種獨(dú)特的技術(shù)文化——“黑客文化”(Hacker Way)。
1961年,麻省理工學(xué)院(MIT)得到了第一臺PDP-1計(jì)算機(jī),學(xué)院技術(shù)模型鐵路俱樂部(Tech Model Railroad Club,TMRC)的成員把它作為最時(shí)髦的科技玩具,最能干的聰明人會自豪地稱自己為“黑客”。他們認(rèn)為,要完成一個(gè)hack,就必然包含著高度的革新、獨(dú)樹一幟的風(fēng)格和出色的技術(shù)。后來,這些黑客,成為了MIT人工智能實(shí)驗(yàn)室的核心成員。《黑客》(Hackers)的作者史蒂文·利維,把他們稱為計(jì)算機(jī)革命的英雄。
然而,隨著計(jì)算機(jī)的普及,計(jì)算機(jī)病毒泛濫,黑客開始和計(jì)算機(jī)犯罪聯(lián)系在一起。為了澄清“黑客”的概念,傳統(tǒng)意義上的黑客認(rèn)為只有擁有高技術(shù)水平和職業(yè)道德的人才能被稱為Hacker,那些惡意入侵計(jì)算機(jī)系統(tǒng)的人應(yīng)該被稱為駭客(Cracker,入侵者)。
“今天的黑客文化已經(jīng)沒落了。”阿里巴巴安全總監(jiān)陳樹華對《財(cái)經(jīng)天下》周刊感慨道。
如果說,最早的黑客是在追求有趣和探索精神,現(xiàn)在,更多的人則在追求更具實(shí)用性的名和利。
電商、互聯(lián)網(wǎng)金融、云計(jì)算,金錢和信息從來沒有像今天這樣與互聯(lián)網(wǎng)技術(shù)聯(lián)系在一起,這給了黑客們接近財(cái)富的機(jī)會,也改變著他們的生存環(huán)境。
分水嶺
雖然奇虎360、騰訊和阿里巴巴在2010年就開始爭搶安全人才,但彼時(shí)安全人員的平均薪水只是與IT行業(yè)其他工種持平。
分水嶺出現(xiàn)在2013年,“斯諾登事件”爆發(fā),此后的2014年2月,中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組成立,網(wǎng)絡(luò)安全獲得前所未有的關(guān)注。
2014年,被黑客界尊稱為“TK教主”的于旸(網(wǎng)名tombkeeper)離開綠盟科技加盟騰訊,年薪千萬,被稱為中國黑客界的標(biāo)志性事件。
2001年9月18日,Nimda蠕蟲被發(fā)現(xiàn),于旸在自己電腦上架設(shè)了一個(gè)“蜜罐”,在Nimda蠕蟲爆發(fā)當(dāng)天就捕獲了它,并寫了一份分析報(bào)告。那是國內(nèi)第一份對蠕蟲這種新型安全威脅做出多角度分析的報(bào)告。此后,于旸開始研究軟件、硬件以及無線等各種安全風(fēng)險(xiǎn),曾發(fā)現(xiàn)并報(bào)告了Cisco、Microsoft等公司產(chǎn)品的多個(gè)安全漏洞。
2015年初,吳石團(tuán)隊(duì)也正式加盟騰訊,成立了專注于云計(jì)算與移動(dòng)終端安全研究的科恩實(shí)驗(yàn)室,其核心成員多來自原Keen Team團(tuán)隊(duì)。
“薪水,忽然一下子就高了。”奇虎360核心安全負(fù)責(zé)人鄭文彬說。2006年底,鄭文彬接受360邀請來北京時(shí),只有19歲,網(wǎng)絡(luò)安全市場剛剛起步。
乍見鄭文彬,你可能會誤以為他是搞藝術(shù)的,但在黑客界,他有一個(gè)響亮的代號:MJ0011。他領(lǐng)導(dǎo)的伏爾甘團(tuán)隊(duì)(360Vulcan Team),連續(xù)兩年在Pwn2Own攻破了IE和Chrome瀏覽器。
涼鞋、T恤、短褲、黑框眼鏡、略微卷曲的頭發(fā)和胖乎乎的身材,很難想象他就是中國最有名的網(wǎng)絡(luò)安全工程師之一。
“叫我們安全工程師也好,叫‘防火墻’也行,稱呼無所謂,做什么比叫什么更重要。”鄭文彬的家離單位半個(gè)多小時(shí),每天10點(diǎn)上班,晚上無確定下班時(shí)間。工作就是每天與網(wǎng)絡(luò)上的病毒、木馬、漏洞等進(jìn)行攻防對抗。核心團(tuán)隊(duì)里細(xì)分了多個(gè)小團(tuán)隊(duì),有人負(fù)責(zé)安全產(chǎn)品的研發(fā),有人分析和處理病毒、木馬,還有人負(fù)責(zé)高端漏洞修補(bǔ)。鄭文彬是把控整個(gè)方向的那個(gè)。
2015年,伏爾甘團(tuán)隊(duì)拿到Pwn2Own(Pwn2Own被稱為“黑客世界杯”)的冠軍時(shí),公司的幾位老板以下命令的方式,要求鄭文彬把決賽中所使用的那部電腦“貢獻(xiàn)”出來,擺放在360公司的歷史榮譽(yù)展覽室里。
鄭文彬非常認(rèn)真地跟團(tuán)隊(duì)成員商量過這件事,但沒什么人回應(yīng)。“他們都內(nèi)向,太低調(diào)了。”鄭文彬說,每次組織團(tuán)隊(duì)成員出去演講,也是一樣沒人回應(yīng),甚至團(tuán)建去KTV唱歌也沒人參與。
360樓下不遠(yuǎn)處,是烏云平臺開的一個(gè)黑客酒吧,門口豎著一個(gè)牌子,上面寫著:內(nèi)有黑客,后果自負(fù)。但鄭文彬只去過一次,還是烏云平臺的人邀請過去的。
“我已經(jīng)是我們這里最外向的了。”鄭文彬自我調(diào)侃道。
但即便如此,還是有很多同事直接、間接地認(rèn)識了他們。其他部門的同事們見面就會問:“聽說你們年薪幾百萬,還拿著大把股票?”對此,鄭文彬只能笑笑。
像鄭文彬這樣的人,360還有幾十個(gè)。除了會向安全產(chǎn)品部門輸出一些核心技術(shù),更多的是純粹的研究,而多數(shù)研究成果還都很難立即商業(yè)化。
“所以,(養(yǎng)黑客)這個(gè)事只有在大公司里才有,而且會越來越貴。”鄭文彬說,從2014年開始,漏洞安全人才年薪動(dòng)輒幾百萬元,甚至上千萬元。
紅與黑
公司和駭客打了一架,后者不斷發(fā)來信息堵塞系統(tǒng),并試圖盜取用戶信息,戰(zhàn)爭一直持續(xù)了一個(gè)星期,最后公司贏了。但是李苗卻不愿多說,因?yàn)?ldquo;只會招來更多的攻擊”。
李苗所在的是一家互聯(lián)網(wǎng)金融公司。黑客的目的很簡單,想要盜取公司的用戶信息。
“這樣的故事太多了。”安塞副總裁杜東亮向《財(cái)經(jīng)天下》周刊說道:“你給我任何一個(gè)電話號碼,我們就可以查到他五大銀行的所有存款信息。”
不過,你并不用擔(dān)心安塞盜取信息或者資產(chǎn),因?yàn)榘踩侵袊恍┙鹑跈C(jī)構(gòu)的安全合作方,他們的行為也需要接受相關(guān)部門的監(jiān)督。
“他們(駭客)有些像強(qiáng)盜,有些像小偷。小偷可能會偷走你的錢,但強(qiáng)盜可能就是平白無故地打你一頓。”杜東亮說。2013年12月5日,中國央行發(fā)布《關(guān)于防范比特幣風(fēng)險(xiǎn)的通知》,表明不支持比特幣后,隨即遭受到大量來自國外的黑客攻擊,安塞作為央行的合作方,與這些入侵者較量了很長一段時(shí)間。
在這些入侵者的背后,是一條完整的黑色產(chǎn)業(yè)鏈,被簡稱為黑產(chǎn)。
陳樹華所在的安全部,被稱為阿里“神盾局”,這也是阿里最低調(diào)、最神秘的部門。“我們每天都要和黑產(chǎn)打交道,由于強(qiáng)大的利益驅(qū)動(dòng),黑產(chǎn)的反應(yīng)速度非???,對新技術(shù)手段的敏銳度非常高。”陳樹華說:“因此,在與黑產(chǎn)的斗爭中,傳統(tǒng)安全更多的處于防守位置,但借助大數(shù)據(jù)和縱深防御體系,阿里就有能力做前置化的預(yù)防工作了。”陳樹華是阿里聚安全、錢盾產(chǎn)品創(chuàng)始人,也是國內(nèi)最早的一批移動(dòng)安全專家之一。加入阿里之前,在騰訊負(fù)責(zé)安全工作。
傳統(tǒng)的安全廠商主要是解決內(nèi)網(wǎng)問題,但現(xiàn)在的安全問題,已經(jīng)沒有邊界了。每一個(gè)互聯(lián)網(wǎng)項(xiàng)目里都涉及到大量的資金和信息。“今天,你找出任何一個(gè)漏洞,帶來的價(jià)值都將超過我們想象。”陳樹華說。
2015阿里安全年報(bào)顯示,在移動(dòng)端,iOS系統(tǒng)的漏洞,2015年比2014年增長1.28倍。安卓系統(tǒng)更恐怖,當(dāng)前應(yīng)用市場中97%的應(yīng)用都有漏洞,平均每一個(gè)應(yīng)用上的漏洞達(dá)到87個(gè),其中不少都是高危漏洞。
陳樹華一直做移動(dòng)互聯(lián)網(wǎng)安全。他說,在這之前,手機(jī)感染病毒的幾率非常的低,但隨著整個(gè)互聯(lián)網(wǎng)業(yè)務(wù)的高速發(fā)展,18%的手機(jī)感染過病毒,95%的移動(dòng)熱門應(yīng)用是仿冒。
據(jù)不完全統(tǒng)計(jì),目前中國網(wǎng)絡(luò)黑色產(chǎn)業(yè)鏈的“從業(yè)者”已經(jīng)超過了40萬人,依托其進(jìn)行網(wǎng)絡(luò)詐騙產(chǎn)業(yè)的從業(yè)人數(shù)至少有160萬人,“年產(chǎn)值”超過1100億元。
2015年年初,騰訊曾針對網(wǎng)絡(luò)黑色產(chǎn)業(yè)鏈進(jìn)行了一次全面調(diào)研,并發(fā)布了首份《網(wǎng)絡(luò)黑色產(chǎn)業(yè)鏈年度報(bào)告》。報(bào)告顯示,在移動(dòng)支付安全領(lǐng)域,目前已逐漸形成一條分工明確、作案手法專業(yè)的黑色產(chǎn)業(yè)鏈。從業(yè)者主要是分布在二三線城市、年齡介于15至25歲之間的無業(yè)年輕人。騰訊移動(dòng)安全實(shí)驗(yàn)室數(shù)據(jù)顯示,2015年上半年,手機(jī)支付木馬病毒新增29762個(gè),感染用戶總數(shù)達(dá)到1145.5萬,最高峰出現(xiàn)在6月,平均每天有6.8萬名用戶中毒。
黑色產(chǎn)業(yè)鏈的發(fā)展,也給各個(gè)公司的安全團(tuán)隊(duì)招人帶來了困難。
“我的團(tuán)隊(duì)完全是社會招聘,現(xiàn)在發(fā)現(xiàn)一個(gè)好苗子實(shí)在太難了。”鄭文彬說。很多黑客都被黑色產(chǎn)業(yè)卷走,剩下的這些人,有著一個(gè)比較統(tǒng)一的性格標(biāo)簽:道德潔癖。因此,吳石、鄭文彬們愿意出現(xiàn)在各種黑客大賽上,甚至公開演講,希望能夠引導(dǎo)年輕人,走正確的路。
米特尼克是歷史上第一個(gè)因網(wǎng)絡(luò)犯罪而入獄的黑客,也是第一個(gè)被FBI通緝的電腦黑客。他在15歲的時(shí)候就入侵了北美空中防務(wù)指揮系統(tǒng),翻遍了美國指向前蘇聯(lián)及其盟國的所有核彈頭的數(shù)據(jù)資料,后來又先后入侵了太平洋電腦公司、聯(lián)邦調(diào)查局等系統(tǒng)。2002年出獄后,他出版了暢銷書《欺騙的藝術(shù)》,成了全球廣受歡迎的計(jì)算機(jī)安全專家之一。
在接受媒體采訪時(shí),米特尼克曾說道,駭客是條錯(cuò)誤的道路,如果能回到過去,他絕不會重蹈覆轍。
孤狼的尷尬
并不是所有的黑客都進(jìn)了大公司。而那些單獨(dú)作戰(zhàn)的孤狼,有時(shí)也會面臨尷尬的境地。
在一次安全大會上,一位父親闖了進(jìn)來,拿著一沓打印的資料,希望在參會的這些人里,有人能夠幫到他的兒子——不久前,他的兒子破解了某婚戀網(wǎng)站的漏洞,并把這個(gè)漏洞發(fā)布到了烏云平臺上,但是,他的兒子還是被這家婚戀網(wǎng)站起訴,并被批捕了。
《財(cái)經(jīng)天下》周刊記者向該網(wǎng)站核實(shí)是否起訴了一名黑客,但沒有得到答復(fù)。
更有名的案例是京東案。2011年12月30日,賈偉在陜西咸陽一家制藥廠被警方帶走,他的老父親顫顫巍巍地在拘留證上簽了字,然后整整一個(gè)月沒睡著過。
2011年底,中國互聯(lián)網(wǎng)爆發(fā)了一次大規(guī)模用戶信息泄漏事件。當(dāng)時(shí)天涯社區(qū)、技術(shù)開發(fā)網(wǎng)站CSDN、游戲門戶多玩網(wǎng)、婚戀網(wǎng)站珍愛網(wǎng)等多家網(wǎng)站用戶資料被泄露,被業(yè)內(nèi)人士稱之為“脫褲門”。京東商城也沒有幸免。
京東漏洞的發(fā)現(xiàn)者正是賈偉。賈偉有一個(gè)常用ID:我心飛翔。在京東商城內(nèi)部技術(shù)人員遲遲無法修復(fù)漏洞的情況下,賈偉表示只要聘請自己為高級技術(shù)顧問,并支付約240萬元?jiǎng)趧?wù)費(fèi),就將為京東商城修復(fù)該漏洞。結(jié)果,京東商城以網(wǎng)絡(luò)被入侵并被“敲詐勒索”為由,向北京朝陽區(qū)公安局報(bào)警。一個(gè)多月后,賈偉被保釋。
“這就像我家有個(gè)后門,開著,但我沒有允許你進(jìn)來看啊。你不但進(jìn)來了,還把我家房間的擺設(shè)都看了一遍。我當(dāng)然不高興了。”孫義在一家大型國產(chǎn)手機(jī)廠商做安全運(yùn)維——負(fù)責(zé)與黑客接觸,發(fā)現(xiàn)漏洞并作出響應(yīng)。
孫義在那次安全大會上也看到了為黑客兒子求助的父親,但卻沒有表現(xiàn)出同情。“就是烏云,也只是一個(gè)平臺。你把信息發(fā)在上面,但是出了事,他們一樣不管。”
每個(gè)月,孫義都能收幾十起安全漏洞的報(bào)告。“我們會給他(發(fā)現(xiàn)漏洞的黑客)一些精神獎(jiǎng)勵(lì),給他證書,甚至幫他申請國際漏洞編號。這些他都可以寫在他的簡歷里,找工作好使啊。”至于金錢上的報(bào)酬,沒有。
“我們鼓勵(lì)‘白帽子’一起建設(shè)安全生態(tài),會給漏洞發(fā)現(xiàn)者提供精神和物質(zhì)上的雙重獎(jiǎng)勵(lì)。”阿里巴巴安全總監(jiān)陳樹華說。
而京東也在賈偉事件之后,設(shè)立了應(yīng)急響應(yīng)中心。京東商城信息安全部經(jīng)理李學(xué)慶說,作為一個(gè)安全應(yīng)急響應(yīng)中心,和騰訊的TSRC、百度的BSRC、阿里巴巴的ASRC一樣,京東的JSRC有一個(gè)主要任務(wù)——堵住一切有可能產(chǎn)生破壞的漏洞。
不過,與國外的廠商相比,國內(nèi)廠商給予的獎(jiǎng)勵(lì)仍然缺少競爭力。根據(jù)京東的數(shù)據(jù),提交任何可以攻擊京東的漏洞,大概能夠獲得1000元的京東購物卡獎(jiǎng)勵(lì)。在6.18之前,京東搞了一個(gè)雙倍積分的活動(dòng),“白帽子”提交高危漏洞,最高可以得到折合價(jià)值12000元的獎(jiǎng)勵(lì)。