打車軟件存在高危漏洞,用戶信息危險(xiǎn);網(wǎng)易郵箱漏洞可能導(dǎo)致過(guò)億數(shù)據(jù)泄露;安卓手機(jī)報(bào)警!多款百度系A(chǔ)PP漏洞......烏云網(wǎng),這個(gè)平臺(tái)好像總是跟壞消息有關(guān),也常常出現(xiàn)在鈦媒體壞消息榜單上。但同樣是這個(gè)烏云網(wǎng),對(duì)網(wǎng)絡(luò)安全問(wèn)題最敏感。
總是扮演「救火」角色的烏云網(wǎng)怎么解釋ta的價(jià)值觀?2015鈦媒體T-EDGE峰會(huì)的第一位演講嘉賓——劍心,即黑客圈的知名人士、烏云創(chuàng)始人方小頓闡釋了“開(kāi)放世界的生存法則”,即個(gè)人、企業(yè)面臨著什么樣的安全局面?又該做些什么?方小頓的核心觀點(diǎn)包括:
一、中國(guó)互聯(lián)網(wǎng)遇到的兩個(gè)最大的挑戰(zhàn):
1,用戶基數(shù)大且對(duì)安全重視不夠;2,創(chuàng)新先考慮生存后考慮安全。
方小頓說(shuō),在中國(guó)之外的很多地區(qū),對(duì)互聯(lián)網(wǎng)的依賴遠(yuǎn)遠(yuǎn)沒(méi)有中國(guó)這么高,在互聯(lián)網(wǎng)應(yīng)用創(chuàng)新方面,中國(guó)是走在世界上最前面的,但這個(gè)過(guò)程是有風(fēng)險(xiǎn)的,好像我們“在把一堵墻打破”。那么,天天報(bào)告漏洞的烏云網(wǎng)本質(zhì)是什么?“烏云網(wǎng)是把真正對(duì)安全問(wèn)題非常敏感的人組織起來(lái)打造一個(gè)社區(qū),就像一個(gè)「免疫系統(tǒng)」一樣”。
二、“安全問(wèn)題有它的原罪”。
方小頓認(rèn)為,任何一個(gè)企業(yè)的安全都是整個(gè)互聯(lián)網(wǎng)的安全,整個(gè)互聯(lián)網(wǎng)的安全也是整個(gè)企業(yè)的信息安全;如果你的企業(yè)在這樣的一個(gè)世界里面沒(méi)有做好,可能影響的就是不只是你企業(yè),而且是整個(gè)的互聯(lián)網(wǎng)。
所以安全問(wèn)題有它的原罪:我們所有人、所有企業(yè),對(duì)待安全問(wèn)題和對(duì)待健康的態(tài)度很像,當(dāng)我生病了,我才會(huì)去看醫(yī)生,所有人都關(guān)注健康,但是沒(méi)有一個(gè)人說(shuō),今天晚上我就去鍛煉,就去運(yùn)動(dòng)。
就像身體的健康不是由一個(gè)細(xì)胞決定的,安全問(wèn)題需要所有人參與,從關(guān)心安全事件、了解安全問(wèn)題開(kāi)始做起,所有人都能參與進(jìn)來(lái),我們的世界才可能會(huì)更安全。
以下為劍心在2015鈦媒體T-EDGE峰會(huì)上的演講全文,經(jīng)鈦媒體編輯:
今天我的主題是講開(kāi)放世界的生存法則。
大家都在談?wù)撐磥?lái),讓我印象很深刻的圖片是這樣,教皇誕生現(xiàn)場(chǎng)的兩張照片,2005年時(shí)現(xiàn)場(chǎng)的人都在靜靜觀看,2013年時(shí)現(xiàn)場(chǎng)的人都舉著手機(jī)在錄影或拍照。對(duì)于2005年來(lái)說(shuō),2013年就是未來(lái)?,F(xiàn)在我們已經(jīng)跨越了2013年,我們看到的現(xiàn)在就是2013年的未來(lái)。
同樣,在2013年的時(shí)候,發(fā)布了一款游戲名字叫“看門狗”。這是很有意思的一款游戲,其他游戲可能用刀有劍,用傳統(tǒng)的內(nèi)容作為一個(gè)核心的元素,但是這個(gè)游戲里面最核心、最讓人不可思議的一點(diǎn),就是把他想到的未來(lái)——整個(gè)城市、整個(gè)世界,抽象出來(lái)的、完全可以用計(jì)算機(jī)控制的、萬(wàn)物互聯(lián)的世界。游戲主人公的技能就是黑客技能。游戲很簡(jiǎn)單,作為主人公,你可以隨意掃描任何一個(gè)人的身份信息、銀行卡里面還有多少錢、最近的健康狀況怎么樣、在社交網(wǎng)絡(luò)上有什么事情,這樣就可以了解他的弱點(diǎn),甚至可以控制這個(gè)人;甚至你可以控制一個(gè)城市的一個(gè)電力,讓整個(gè)城市斷電,在斷電的時(shí)候你可以做很多很多的事情,這就是這個(gè)游戲的一個(gè)比較獨(dú)特的地方。
在2013年,游戲里想的一種未來(lái)的世界就是這樣。但是對(duì)于我們來(lái)說(shuō),黑客技術(shù)控制真的那么遙遠(yuǎn)嗎?
在烏云網(wǎng)的漏洞報(bào)告平臺(tái)上有一個(gè)已經(jīng)在浙江杭州的漏洞,通過(guò)這個(gè)漏洞可以控制整個(gè)城市的路燈,這個(gè)漏洞已經(jīng)報(bào)告修復(fù)了。這說(shuō)明一個(gè)事情:一個(gè)游戲里面暢想未來(lái)的世界,其實(shí)離我們是很近的。
剛才的漏洞是我們嘗試的依靠「智慧城市」、通過(guò)萬(wàn)物互聯(lián)去更高效率提高城市運(yùn)作出現(xiàn)的。同時(shí),現(xiàn)在大家很提倡的智能汽車、云汽車的概念,通過(guò)一些漏洞是可以控制車的密碼的,也就是說(shuō)你可以遠(yuǎn)程的去操作這個(gè)車(鈦媒體延伸閱讀《小心,黑客帝國(guó)瞄向了你的汽車,你卻必須擁抱他們!》)。
所有的這些,我覺(jué)得說(shuō)明一點(diǎn):在整個(gè)互聯(lián)網(wǎng),在萬(wàn)物互聯(lián)的時(shí)候,我們的生活其實(shí)一切都是被改變的。而改變的時(shí)候,其實(shí)最核心的就是這幾個(gè)因素:用戶互聯(lián)網(wǎng)化、行業(yè)互聯(lián)網(wǎng)化、數(shù)據(jù)互聯(lián)網(wǎng)化。
用戶是互聯(lián)網(wǎng)化的。不管是作為一個(gè)企業(yè)還是作為一個(gè)在這個(gè)社會(huì)中生活的人,這是不可逆轉(zhuǎn)的事情。你的朋友,你的親人,甚至你所在的行業(yè),你所面向的最終的用戶,都是在不斷聯(lián)網(wǎng)的一個(gè)過(guò)程。當(dāng)你的用戶聯(lián)網(wǎng)之后,你自己作為一個(gè)行業(yè)來(lái)說(shuō)的話,他也是一個(gè)互聯(lián)網(wǎng)化的過(guò)程,這是不可逆轉(zhuǎn)的。而當(dāng)行業(yè)都進(jìn)行互聯(lián)網(wǎng)化之后,我們所有的數(shù)據(jù)、我們進(jìn)行很多的生活行為,其實(shí)都是一個(gè)聯(lián)網(wǎng)化的,就是一個(gè)數(shù)據(jù)化的過(guò)程。
而數(shù)據(jù)化發(fā)生的時(shí)候,我們觀察到一個(gè)有意思的現(xiàn)象:任何一個(gè)網(wǎng)站、任何一個(gè)企業(yè)出現(xiàn)安全問(wèn)題,最后都是互聯(lián)網(wǎng)的安全問(wèn)題。
我不知道大家有沒(méi)有印象,前段時(shí)間,很多人iCloud帳號(hào)被鎖,被人勒索,讓人給錢才能解封賬號(hào)。我們就調(diào)查為什么會(huì)出現(xiàn)這種問(wèn)題,和蘋果官方溝通之后發(fā)現(xiàn),這個(gè)問(wèn)題出現(xiàn)的原因并不是iCloud而是郵箱。
同樣的事情在以前也發(fā)生過(guò),對(duì)電商網(wǎng)站來(lái)說(shuō),影響最大安全性的并不是自己,而是另外一些社區(qū)網(wǎng)站(比如說(shuō)技術(shù)社區(qū))網(wǎng)站或是其他行業(yè)的一些數(shù)據(jù)發(fā)生泄露帶來(lái)的。
整個(gè)互聯(lián)網(wǎng)是連通的,使得我們用戶是共用的。像人的一個(gè)身體一樣,整個(gè)互聯(lián)網(wǎng)會(huì)變成一個(gè)人的身體,身體的任何一部分的消亡喪失都是整個(gè)身體會(huì)受到影響。我們認(rèn)為,任何一個(gè)企業(yè)的安全都是整個(gè)互聯(lián)網(wǎng)的安全,整個(gè)互聯(lián)網(wǎng)的安全也是整個(gè)企業(yè)的信息安全,如果你的企業(yè)在這樣的一個(gè)世界里面沒(méi)有做好,可能影響的就是不只是你企業(yè),而且是整個(gè)的互聯(lián)網(wǎng)。
去年有一個(gè)流行動(dòng)漫叫《進(jìn)擊的巨人》,講的是靠一堵高墻的保護(hù)維持了百年和平的世界,在那里生活的人眼里高墻是不可逾越的;然后所有的故事發(fā)生在一天,就是這個(gè)高墻被城墻外的一個(gè)巨人給打破了。我覺(jué)得這個(gè)情況跟我們現(xiàn)在所處的情況很類似:萬(wàn)眾創(chuàng)新。所有人的創(chuàng)新都在靠互聯(lián)網(wǎng)怎么改變這個(gè)行業(yè),讓整個(gè)行業(yè)運(yùn)作的更有效率,讓我們的生活體驗(yàn)更好。
但是我認(rèn)為,這是在打破一堵墻的過(guò)程。我也去很多中國(guó)之外的地區(qū)看了一下,他們對(duì)互聯(lián)網(wǎng)的依賴遠(yuǎn)遠(yuǎn)沒(méi)有我們中國(guó)這么高,真正在互聯(lián)網(wǎng)應(yīng)用創(chuàng)新的中國(guó)是走在世界上最前面的,在我看來(lái),這個(gè)過(guò)程是有風(fēng)險(xiǎn)的,像我們把一堵墻打破。
以前,像銀行這樣金融的網(wǎng)絡(luò),把錢存進(jìn)去要經(jīng)過(guò)很多很復(fù)雜的驗(yàn)證,錢存進(jìn)去,再怎么樣取出來(lái),整個(gè)過(guò)程是有非常嚴(yán)格的保護(hù)的。但是現(xiàn)在你可以在任何一個(gè)P2P網(wǎng)站上把錢存進(jìn)去,過(guò)不久網(wǎng)站消失了,這是打破墻的過(guò)程。對(duì)于傳統(tǒng)企業(yè)來(lái)說(shuō),他們以前把整個(gè)的網(wǎng)絡(luò)封閉起來(lái),但是現(xiàn)在所有的企業(yè)都在談互聯(lián)網(wǎng),怎么把我們數(shù)據(jù)開(kāi)放出去,么與行業(yè)共贏,整個(gè)過(guò)程就是拆掉一堵墻的過(guò)程。
我們中國(guó)整個(gè)的互聯(lián)網(wǎng),包括我們自己在互聯(lián)網(wǎng)上遇到兩個(gè)最大的挑戰(zhàn):用戶基數(shù)大且對(duì)安全重視不夠;創(chuàng)新先考慮生存后考慮安全。
中國(guó)有足夠大的用戶基數(shù),足夠放大任何行業(yè),讓這個(gè)行業(yè)爆發(fā)出巨大的利潤(rùn)。但放大不止是正面的,也可能是負(fù)面的。在現(xiàn)實(shí)中很多無(wú)法去完成的事情,借助互聯(lián)網(wǎng),他可以輕易做到。現(xiàn)實(shí)中一個(gè)人要騙一千個(gè)人,一萬(wàn)個(gè)人很難,在互聯(lián)網(wǎng)上是太容易的事情。用戶足夠多,就能滋生足夠大的黑色產(chǎn)業(yè)。
有些事情我們覺(jué)得很蠢。比如,很多人收到這樣的短信,“小張,你的房租到期了,請(qǐng)打到這個(gè)卡上”后面附了一個(gè)莫名其妙的銀行卡號(hào)。
但是在中國(guó)這樣的事情有足夠多的利潤(rùn)和足夠多的土壤成長(zhǎng),因?yàn)橛脩糇銐蚨唷?/strong>也有很多人收到釣魚(yú)郵件,說(shuō)你的郵箱密碼出現(xiàn)問(wèn)題,需要你改一下。這樣的事情我覺(jué)得在很多其他國(guó)家是不可思議的,和人沒(méi)有關(guān)系,是人家的用戶基數(shù)很少,沒(méi)有利益會(huì)吸引到這上面來(lái),這是第一個(gè)問(wèn)題。
第二個(gè)問(wèn)題,我們現(xiàn)在鼓勵(lì)創(chuàng)新,鼓勵(lì)大家去做很多很超前的事情。對(duì)于這些短時(shí)間爆發(fā)出來(lái)的應(yīng)用和企業(yè),所有人都會(huì)先考慮自己的生存,然后再考慮安全。這就像跟所有人都說(shuō),我先要賺錢,要讓自己的事業(yè)做得更好,我不會(huì)去鍛煉,我不會(huì)關(guān)注我的身體的狀況,是完全一樣的。
有這個(gè)想法是正常的,這個(gè)時(shí)候我們?cè)撛趺慈プ瞿??如果說(shuō)把互聯(lián)網(wǎng)想象成是一個(gè)人體,我們每個(gè)企業(yè)、每個(gè)人都是其中的細(xì)胞,都是里面組織的一部分,有沒(méi)有可能我們同樣借助互聯(lián)網(wǎng),我們打造一個(gè)互聯(lián)網(wǎng)的免疫系統(tǒng)。
烏云網(wǎng)把真正對(duì)安全問(wèn)題非常敏感的人組織起來(lái)打造一個(gè)社區(qū),就像一個(gè)免疫系統(tǒng)一樣。我們?cè)谌毡狙葜v時(shí),有人對(duì)我們的模式進(jìn)行了一個(gè)定義:
我們像細(xì)胞感知到外界的一些入侵一樣去發(fā)現(xiàn)安全問(wèn)題;把問(wèn)題報(bào)告給這些企業(yè),這些企業(yè)就可以進(jìn)行修復(fù);像我們身體的一個(gè)白細(xì)胞對(duì)一個(gè)東西免疫一樣,之后我們會(huì)把這個(gè)問(wèn)題向整個(gè)的互聯(lián)網(wǎng)進(jìn)行預(yù)警,實(shí)現(xiàn)一種免疫,當(dāng)再有新的一些問(wèn)題出現(xiàn)的時(shí)候,我們就可以避免了。
這是我們理想的狀態(tài),我們希望說(shuō)有一個(gè)免疫系統(tǒng)跟整個(gè)互聯(lián)網(wǎng)一起成長(zhǎng),跟整個(gè)互聯(lián)網(wǎng)是結(jié)合得很緊密的系統(tǒng),我們可以對(duì)所有的安全問(wèn)題,外來(lái)的、自己的,我們所有發(fā)生一切的問(wèn)題進(jìn)行一個(gè)免疫。
我們也陸續(xù)使用一些更有效率的方式,就是以產(chǎn)品方式去打造這個(gè)系統(tǒng)。我們把中國(guó)現(xiàn)在能做到的同時(shí)對(duì)安全感興趣的人,這些“白帽子”通過(guò)我們這樣一個(gè)平臺(tái)、一個(gè)產(chǎn)品,鏈接到所有的企業(yè)里去。我們希望通過(guò)自己的修復(fù)方式、自我免疫的方式來(lái)去做這個(gè)安全——這是跟其他很多人考慮的不一樣的。
但是做了很多很多之后,我們有一點(diǎn)兒悲觀。因?yàn)閷?duì)于任何一個(gè)免疫系統(tǒng)來(lái)說(shuō),需要所有的人能協(xié)助。我們也發(fā)現(xiàn)了,安全問(wèn)題有這樣的原罪:我們所有人、所有企業(yè),對(duì)待安全問(wèn)題和對(duì)待健康的態(tài)度很像,當(dāng)我生病了,我才會(huì)去看醫(yī)生,所有人都關(guān)注健康,但是沒(méi)有一個(gè)人說(shuō),今天晚上我就去鍛煉,就去運(yùn)動(dòng)。這是一個(gè)很可悲的事情,如何解決卻也是處在如此開(kāi)放的世界,這么一堵墻被拆掉的世界上,怎么生存最重要的一點(diǎn)。
大家手機(jī)的WIFI默認(rèn)是自動(dòng)鏈接的,我們?cè)谝粋€(gè)大會(huì)的外面放了一臺(tái)很小的路由器,一個(gè)小時(shí)之內(nèi)有大量設(shè)備自動(dòng)連上來(lái),不需要做任何動(dòng)作。這些設(shè)備連上來(lái)之后會(huì)做到什么呢?其中有一個(gè)企業(yè)的董事長(zhǎng)或是CEO進(jìn)入了自己的郵箱,我們就可以看到他所有的包括股東會(huì)決議在內(nèi)的很多敏感的信息。
怎么防止類似的事情,我覺(jué)得需要所有人從關(guān)心安全事件,了解安全問(wèn)題開(kāi)始做起,所有人都能參與進(jìn)來(lái),我們的世界才可能會(huì)更安全。我們身體的健康不是某一個(gè)細(xì)胞決定的,安全問(wèn)題也需要所有人參與進(jìn)來(lái),我覺(jué)得這才是唯一可以生存下去的法則。