建站
咨詢
售后
建站咨詢
新聞中心
【.com 快譯】尋找軟件的安全漏洞是項艱苦的工作，但對一些別有用心的人來說這意味著大筆的金錢。
10年積累的成都網(wǎng)站制作、成都網(wǎng)站建設(shè)、外貿(mào)營銷網(wǎng)站建設(shè)經(jīng)驗，可以快速應(yīng)對客戶對網(wǎng)站的新想法和需求。提供各種問題對應(yīng)的解決方案。讓選擇我們的客戶得到更好、更有力的網(wǎng)絡(luò)服務(wù)。我雖然不認識你，你也不認識我。但先做網(wǎng)站后付款的網(wǎng)站建設(shè)流程，更有平川免費網(wǎng)站建設(shè)讓你可以放心的選擇與我們合作。
Charlie Miller博士是業(yè)內(nèi)最著名的Mac電腦黑客之一。在今年的CanSecWest黑客大賽后，他的一項宣布引起了廣泛關(guān)注。
Charlie Miller博士宣稱，他以后將不再免費給軟件廠商或其他人提供他找到的漏洞了。不僅如此，Charlie和他的幾個朋友已經(jīng)開始發(fā)起一項名為“No More Free Bugs（不再免費提供bug）”的運動，甚至設(shè)計了自己的Logo。——編者按：這位仁兄還是挺逗的，他在比賽之后向大眾推薦Mac 稱其病毒感染率低
如果你還不了解Charlie Miller，我可以簡單介紹兩句，在今年的CanSecWest黑客大賽，Charlie只花了10秒鐘就攻克了Mac系統(tǒng)，而且據(jù)說他現(xiàn)在已經(jīng)找到了破解iPhone shell的方法。
我認識并且非常尊重Charlie Miller，而且我相信他的意愿是好的，他只是想靠他的一技之長來生活——在這一點上任何人都一樣，更何況長期以來，Charlie已經(jīng)給軟件軟件廠商和我們這些安全工作者們提供了無數(shù)寶貴的工作。
不過我還是受到一個惱人的問題所困擾，就是Charlie今后會不會把他發(fā)現(xiàn)的bug出售給那些具有惡意企圖的人？他尚未做出明確的聲明，我希望也相信他不會，但現(xiàn)在我還不能肯定。
我很喜歡Charlie和那些黑客界的真正精英們。我在過去的20年中見過他們許多人，他們?yōu)槿松屏?，我知道他們有很多更輕松的掙錢方法，但他們卻一直走在尋找安全漏洞這條相對艱難的路上。我知道有些天才黑客獨自發(fā)現(xiàn)了軟件漏洞，但當他們提供給軟件廠商時，他們的辛勤工作卻經(jīng)常換不來一點回報，因此他們覺得受到了羞辱。我也看到過很多最初是善意的黑客由于對軟件廠商長年累月的態(tài)度不滿，公開一個接一個的bug進行報復(fù)。當然我也見識過一些低劣的黑客，他們查找bug的目的就是想在軟件廠商和競爭對手之間挑起事端，然后為他們發(fā)現(xiàn)的漏洞賣個高價。
路邊的硬幣撿不撿？
如今出售安全漏洞算是一個賺錢的機會，而且比以往任何時候都賺錢，尤其是如果你把自己放到黑帽陣營里——這里要向.com的讀者解釋一下，就像西部牛仔英雄一樣，黑客實際上也有白帽和黑帽之分。普通大眾想像中黑客一般指黑帽（Black Hat）駭客；而白帽（White Hat）黑客則是合法的黑客，其現(xiàn)實生活中的身份就是安全專業(yè)人士，他們的工作是尋找、測試和修補威脅計算機的漏洞，讓狂野的互聯(lián)網(wǎng)更加安全。
對于黑帽黑客來說，只要不在乎買家是誰，他們可以輕松的為自己找到的主流軟件的安全漏洞并賣到5000美元或以上。黑市上的報價一般是保密的，但我確實看到過多達10萬美元的報價，要求得到Windows Server 2003的遠程緩沖區(qū)溢出漏洞。考慮到許多軟件犯罪集團經(jīng)常能夠在大規(guī)模的犯罪計劃里掙到數(shù)千萬美元甚至更多，花上幾萬美元來購買安全漏洞還是相當劃算的。
即使在白帽陣營里，許多合法的組織也付錢來購買軟件的錯誤和漏洞。首先，許多軟件廠商（包括我的全職雇主微軟）本身會為內(nèi)部和外部bug的搜索者們支付數(shù)百萬美元，雖然金額總是會在bug被發(fā)現(xiàn)之前縮水。CanSecWest和其他黑客競賽為新的零日攻擊漏洞懸賞，而其他一些組織如Zero Day Initiative，也會為新的安全漏洞的發(fā)現(xiàn)付錢。這些機構(gòu)最后會收回他們的成本，通過在其后向客戶銷售相關(guān)的安全產(chǎn)品。最后是一個幾乎公開的秘密，美國政府擁有人數(shù)眾多的尋找漏洞的團隊，這是出于軍事進攻和防衛(wèi)的目的考慮。另外甚至還有一些漏洞被公開拍賣。
黑與白的抉擇
但是在白帽與黑帽之間存在一個可悲的事實，對于一個同樣的漏洞，白帽黑客通過正常渠道得到的收入遠沒有在黑帽市場中能得到的多。這是因為白帽黑客的目的是完善產(chǎn)品和保護用戶，而黑帽黑客的目的就是賺錢。我在一個大軟件公司的朋友告訴過我他們公司為其內(nèi)部和外部漏洞的搜索者提供的費用，他說為每個發(fā)現(xiàn)的bug支付的錢常常不到25美元?？梢韵胂笕魏握９ぷ鞯暮诳?，都很難指望這點錢過上體面的生活。
但是他們確實這樣做了，我猜想他們有自己的小秘密。在這個世界上有很多賺錢的方式，我的電腦圖書里如果加點非法的內(nèi)容肯定能賣出更多，我也可以靠逃稅來補充一點收入。但當我每天早晨從鏡子中看到自己，我會說我對自己所做的很自豪。我做黑客的時候也掙過些錢，但我從來沒有未經(jīng)允許，也沒有對任何人帶有惡意。無論人性本身是否就帶有些惡意的東西，但在我的DNA里它們算是失蹤了。
許多以尋找軟件漏洞為業(yè)的公司已經(jīng)過上了體面的生活，雖然沒有那么光彩照人。也許他們不會給發(fā)現(xiàn)的bug賣到5000美元以上，但他們已經(jīng)建立起非常成功的正確運營方式。他們已經(jīng)成為白帽陣營的名片，成為行業(yè)明星。公司的主人創(chuàng)建并養(yǎng)育了公司，為員工建立起長期的職業(yè)生涯，而且能迎著人們尊敬的目光，時刻高昂著頭?！幷甙矗簩Π酌庇信d趣的朋友可以看看“如何當好白帽子安全工程師”這篇文章。
對每一個名聲不好的黑帽黑客，我都可以給出兩個好名聲的白帽黑客和他們公司的名字，他們是：@Stake、ZDI、iDefense、David Litchfield、Foundstone、Dave Aitel、Immunity，還有更多。
我贊同Charlie和其他“No More Free Bugs”的倡導(dǎo)者們應(yīng)該靠自己最拿手的技能來謀生。但我希望他們至少應(yīng)該先了解一下買家到底是怎么回事，然后再考慮是不是可以把漏洞出售給他。我們需要他們向我們保證，每一次他們都是站在我們這邊。
【.com譯稿，合作站點轉(zhuǎn)載請注明原文譯者和出處為.com】
原文：Should we pay hackers to find bugs? 作者：Roger Grimes
新聞標題：4月20日外電頭條：當雷鋒還是當供貨商？黑客的艱難抉擇
當前網(wǎng)址：http://www.5511xx.com/article/dhsheps.html
