資深信息安全工作者江海客解讀學(xué)子困惑

江海客，真名肖新光，安天實(shí)驗(yàn)室首席技術(shù)架構(gòu)設(shè)計(jì)師，知名信息安全專家。《計(jì)算機(jī)教育》雜志本期特援引哈爾濱工業(yè)大學(xué)（以下簡(jiǎn)稱哈工大）計(jì)算機(jī)學(xué)院信息安全專業(yè)2004級(jí)學(xué)生與江海客老師的對(duì)話，相信其內(nèi)容不僅能讓信息安全專業(yè)的學(xué)生獲益，也能讓其他專業(yè)的同學(xué)有所裨益。

對(duì)話一

肖老師：

近期我們班級(jí)準(zhǔn)備舉辦一個(gè)黑客工具展示的活動(dòng)，我們想請(qǐng)您為我們作一些技術(shù)上的指導(dǎo)和策劃。

先說(shuō)說(shuō)我們的班級(jí)吧。當(dāng)初我們班的同學(xué)報(bào)這個(gè)專業(yè)，很大程度上是沖著“信息安全”這個(gè)名字來(lái)的，我們對(duì)信息安全都有著濃厚的興趣，我們也期望能在這個(gè)行業(yè)中有所作為。于是剛上大學(xué)的時(shí)候，我們勤奮學(xué)習(xí)，第一學(xué)期我們班級(jí)的成績(jī)是全院最好的，但是在第二個(gè)學(xué)期，我們的成績(jī)卻出現(xiàn)了嚴(yán)重的倒退。我們?cè)谙耄遣皇俏覀冊(cè)谄綍r(shí)太少真正地接觸本專業(yè)的知識(shí)了，對(duì)自己的專業(yè)不再那么感興趣了，更沒(méi)有了那種“我們是搞安全”的優(yōu)越感。以前要是在別的同學(xué)面前提到我們是學(xué)信息安全的，我們好像都很自豪，但是一年來(lái)的學(xué)習(xí)，我們卻沒(méi)學(xué)到多少這方面的知識(shí)，我們感覺(jué)好像被信息安全騙了，我們不再勤奮學(xué)習(xí)，更多的同學(xué)將大量的時(shí)間花在游戲、電影、電視劇上，學(xué)習(xí)全被耽擱了。

這學(xué)期，我們選了一些新的班委，我們都很有激情，都非常希望我們的班級(jí)能像大一第一學(xué)期那樣輝煌，因此我們想到了這個(gè)活動(dòng)。希望從這個(gè)活動(dòng)中，大家能更多地了解一些信息安全知識(shí)，讓大家對(duì)自己的專業(yè)能更加感興趣。

曾聽(tīng)說(shuō)您提到“工具收集狂”和“源代碼抄襲狂”的問(wèn)題。在這個(gè)問(wèn)題上，我絕對(duì)支持您的觀點(diǎn)。作為一個(gè)計(jì)算機(jī)專業(yè)的學(xué)生，我們絕對(duì)不允許自己僅限于能用別人的工具，能看得懂別人的代碼，我們應(yīng)該拿出自己的東西，所以我們絕對(duì)要扎實(shí)自己的知識(shí)。

現(xiàn)在我想為我們的這次活動(dòng)做一些“狡辯”。我有一個(gè)高中同學(xué)，他不是學(xué)計(jì)算機(jī)的，但是他對(duì)計(jì)算機(jī)有很大的興趣，特別是對(duì)“黑客”之類的東西有著很濃厚的興趣。剛開(kāi)始的時(shí)候，他是自己學(xué)習(xí)使用一些小軟件，他也很有能耐，從51、唐悅等人那里弄了一些工具來(lái)，然后自己鉆研，又自學(xué)了DOS、Unix等，他看起來(lái)好像對(duì)黑客這類東西很精通。有時(shí)候我和他討論一些問(wèn)題，對(duì)于他提出的一些名詞，我聞所未聞。我感到很自卑，學(xué)計(jì)算機(jī)的居然被一個(gè)外行考倒了。

我們希望通過(guò)這次活動(dòng)，先對(duì)一些工具有一個(gè)大概的了解，之后再逐步地深入了解更多信息安全的知識(shí)。懇請(qǐng)您能給我們一些幫助，例如某些工具的使用，使用某些工具后會(huì)造成什么樣的后果等。同時(shí)也希望您對(duì)我們的活動(dòng)提出建議和意見(jiàn)。不勝感激！

陳天鈺

牐

信息安全專業(yè)的各位同學(xué)：

很抱歉這么晚才回信，無(wú)奈連日來(lái)的工作實(shí)在過(guò)于緊張，今晚返回北京，因此在路上給你們寫了回信。

你們的狀況其實(shí)很典型，專業(yè)的優(yōu)越感如果不加以良好引導(dǎo)，則會(huì)轉(zhuǎn)化為失落和下滑。大學(xué)生成長(zhǎng)心理是微妙的，而其中比較可怕的是專業(yè)夢(mèng)想的幻滅，這將是巨大的挑戰(zhàn)和挫折。

在今年招聘時(shí)，我和武漢大學(xué)信息安全專業(yè)的同學(xué)們交流的過(guò)程中，我就感受到這一點(diǎn)，一個(gè)同學(xué)說(shuō)，直到大三，他才知道這個(gè)專業(yè)不是培養(yǎng)技術(shù)間諜的……

想想我自己，當(dāng)年帶著對(duì)航天事業(yè)的神圣使命感來(lái)到了哈工大的自控專業(yè)，如果不是因?yàn)槟呈峦话l(fā)，毀滅了這種幻想，我不會(huì)改弦易轍選擇做程序員的道路。我深知這種幻滅對(duì)人的影響。

但同時(shí)，我也希望向你們指出的是，無(wú)論一個(gè)人高中時(shí)代是否出色，其對(duì)專業(yè)的選擇和理解，都是幼稚而淺薄的。凡是在自己所選擇的方向上有所發(fā)展的人，都無(wú)法不經(jīng)歷彷徨與茫然、反思與自新的鳳凰涅磐，浴火重生。而這個(gè)過(guò)程其實(shí)不是僅僅依靠校方的專業(yè)引導(dǎo)就能實(shí)現(xiàn)的，要靠大家自己。

在此我要強(qiáng)調(diào)一下，我并不反對(duì)你們積極地投身于很具體的安全實(shí)踐。我很不喜歡那種只會(huì)紙上談兵的安全工作者，云曉春老師曾憂心忡忡地慨嘆：“全國(guó)每年以入侵檢測(cè)課題畢業(yè)的學(xué)生這么多，卻沒(méi)有幾個(gè)能完成一個(gè)規(guī)范的入侵現(xiàn)場(chǎng)勘查和事后取證。”我深以為然。

對(duì)于你們的活動(dòng)，我也是很支持的。信息安全專業(yè)的學(xué)生，如果連一些常見(jiàn)的安全工具都沒(méi)有接觸過(guò)，當(dāng)然是不可想象的。當(dāng)然我的確有一些擔(dān)心，但這種擔(dān)心不在活動(dòng)本身，而在于任何事情都有其潛在的結(jié)果。

我希望這個(gè)活動(dòng)達(dá)到的目的是，增加同學(xué)們對(duì)信息安全的感性認(rèn)識(shí)和理解，增強(qiáng)對(duì)安全本質(zhì)與體系的思考，增強(qiáng)實(shí)際分析問(wèn)題、解決問(wèn)題的能力，在成長(zhǎng)為一個(gè)全面的信息安全工作者的路上，打開(kāi)興趣的大門。但另外一些引導(dǎo)也是需要在活動(dòng)中貫徹的，那就是信息安全的全景視圖和信息安全工作者的從業(yè)道德。

我過(guò)去批評(píng)過(guò)幾類人，入侵迷、工具收集狂和bugtraq的fans。而這種人所以能大量涌現(xiàn)，的確是相關(guān)的活動(dòng)能帶給實(shí)施者難以名狀的快感。

從那些每日比拼著肉雞數(shù)量、比拼著所進(jìn)入的站點(diǎn)、比拼著所擁有的獨(dú)門暗器、比拼著自己所了解漏洞的多少的所謂小紅客們身上，不知道你們是否能讀出我的憂慮。這些東西無(wú)不帶給人極大的快感。這也是一個(gè)江湖，甚至這個(gè)江湖還支撐著一個(gè)地下產(chǎn)業(yè)。但這里是否是一個(gè)信息安全工作者的正途？這難道不是一種狹隘而偏執(zhí)的安全觀么？

我不禁想起周光召院士的一句話，“只有紐約貧民區(qū)的黑人殺手才比金項(xiàng)鏈的粗細(xì)。”在我小時(shí)候，身邊有些同學(xué)津津樂(lè)道于他們打打殺殺的英勇，但他們并沒(méi)有成長(zhǎng)為大俠，當(dāng)然，也沒(méi)有成長(zhǎng)為黑社會(huì)老大。

信息安全技術(shù)是體系化和層次化的，我從不否認(rèn)實(shí)際環(huán)境下滲透攻擊和測(cè)試也是一種藝術(shù)，猶如人的雙手，重要、靈活，但決不是信息安全體系的全部。

如我在一篇文章中所說(shuō)，錢學(xué)森比得上五個(gè)師，不是說(shuō)錢老能手刃五個(gè)師的美國(guó)大兵，而是說(shuō)技術(shù)的價(jià)值。而確有一些人在說(shuō)什么讓博士和高中生各配一臺(tái)服務(wù)器互相黑一下，看看誰(shuí)更牛，這就有如讓錢老和美國(guó)大兵一對(duì)一掐一下，實(shí)在幼稚可笑。

而一些青年則確實(shí)樂(lè)此不疲，在這些重復(fù)的事情被以高度的熱情和不懈的努力進(jìn)行時(shí)，信息安全技術(shù)體系進(jìn)展飛速，安全產(chǎn)品步入整合時(shí)代，漏洞發(fā)掘走向?qū)Ψ椒ㄕ摰奶接懀琈D5算法被破解，而一些新的算法正在被構(gòu)造。這也是一個(gè)江湖，一個(gè)真正龐大、深邃，值得我們凝視深思并為之奉獻(xiàn)一生的體系。

信息安全需要去避免浮華和虛榮，避免那種相互交流中變得虛泛和夸夸其談，避免那種可能因一城一地的得失，一兩個(gè)新名詞，一兩個(gè)新漏洞的不知曉帶來(lái)的沮喪。安全是一個(gè)龐大的體系。2000年，我能就每一個(gè)領(lǐng)域和朋友們探討，但如今大家在一起的時(shí)候，已變成如果不確實(shí)從事同一方向，基本無(wú)法深入到細(xì)節(jié)交流的情形。這種分化本身就是一種進(jìn)步。

在和高校信息安全專業(yè)老師們的交流中，我表達(dá)了這樣一個(gè)觀點(diǎn)，即信息安全專業(yè)的學(xué)生和對(duì)普通計(jì)算機(jī)專業(yè)學(xué)生的要求應(yīng)該是同質(zhì)基礎(chǔ)，更高要求。如果說(shuō)一個(gè)計(jì)算機(jī)專業(yè)的本科生能編寫合理、穩(wěn)定的程序是一個(gè)基本的要求，那么信息安全專業(yè)的本科生的要求就是編寫合理、穩(wěn)定、安全的程序，而不是現(xiàn)在我們所看到的一些認(rèn)為自己是“搞安全的”畢業(yè)生，居然寫不出合格的程序。

一個(gè)信息安全工作者的成長(zhǎng)需要經(jīng)受深刻的寂寞的考驗(yàn)，需要經(jīng)受誘惑的洗禮。

預(yù)祝你們的活動(dòng)取得成功。

江海客

對(duì)話二

肖前輩：

我是一個(gè)文學(xué)趣味頗濃的女生，對(duì)于一些理性的東西，我常常感性化處理，這也造成了我對(duì)于這樣理性的一種學(xué)科的一種抵觸，談不上有多不喜歡，但也無(wú)甚好感。所以我常常只是順從地學(xué)，而非自發(fā)地學(xué)。對(duì)于這點(diǎn)，我很遺憾，偶爾對(duì)于編程的興趣，也僅是一種日漸生情。

來(lái)學(xué)信息安全，當(dāng)時(shí)的想法就是，既然我不能去學(xué)我最喜歡的清華的信息系統(tǒng)與信息管理，那么學(xué)其他的都不再重要了。于是我就來(lái)到了這里，暈暈沉沉地過(guò)完了我的大一。在其他人眼中，或許我已經(jīng)夠出色了。但是我自己明白，我根本不知道自己該干什么，也根本沒(méi)有真正意義上地去了解我要學(xué)的內(nèi)容，而把大多數(shù)時(shí)間用在英語(yǔ)上。我去看原版的C語(yǔ)言教材、Internet 技術(shù)教材，并不是為了學(xué)習(xí)計(jì)算機(jī)，而是對(duì)其中深入淺出的英語(yǔ)內(nèi)涵更感興趣。我好像迷失了。

前輩，有的時(shí)候，我很向往武俠小說(shuō)的那種獨(dú)自拼闖受傷，一個(gè)人坎坷地走過(guò)終成大器的境界，但是現(xiàn)在我似乎想坎坷都不知道到哪里坎坷。很憋悶的一種感覺(jué)。

作為計(jì)算機(jī)學(xué)院報(bào)紙“精彩e生”的編輯，我很想征求您的意見(jiàn)，您認(rèn)為像我們這種院報(bào)，應(yīng)該把科技資訊這個(gè)版面定位成什么樣子？對(duì)于這點(diǎn)，我百思不得其解，一個(gè)版面容量只有五六千字，登不了十分詳細(xì)的操作解疑類的文章，大家又不看專業(yè)性特別強(qiáng)的，這個(gè)度我實(shí)在拿捏不好，您能給我一點(diǎn)建議嗎？

Apirl

Apirl同學(xué)：

你好！

從你的信里，我看到三個(gè)部分：第一，是你道出對(duì)現(xiàn)狀的迷惑和思考；第二，是你對(duì)未來(lái)有些彷徨，以期望我給與一些道路的看法；第三，是你期望我對(duì)你們?cè)簣?bào)的一個(gè)版面提出參考。那我就逐一談?wù)勎业挠^點(diǎn)吧。

首先，我要小小地打擊你一下，就是你對(duì)“清華的信息系統(tǒng)與信息管理”真的是一種理性的喜愛(ài)么？

我的意思是，專業(yè)失落感，不只發(fā)生在那些因?yàn)榉N種原因沒(méi)有成功選擇自己感興趣的學(xué)校專業(yè)的人身上，而是一種普遍的需要經(jīng)歷的階段，因此這也不應(yīng)成為一種不熱愛(ài)乃至不作為的借口。

雖然我承認(rèn)，20世紀(jì)80年代的人要比我們更成熟，有更寬闊的知識(shí)面，但我相信在專業(yè)選擇過(guò)程中，我們的彷徨和疑惑一樣要浮現(xiàn)在你們身上。很多微小的東西都可能默然決定我們的好感或者厭倦。

高一的時(shí)候，我曾經(jīng)想報(bào)考化學(xué)專業(yè)，因?yàn)槲业幕瘜W(xué)老師對(duì)我那樣好，把她所有大學(xué)時(shí)代的書，都拿來(lái)給我看,包括在不教我之后，也不顧我們班任課老師有些不滿的目光，解答我關(guān)于一些有機(jī)化學(xué)的知識(shí)。高二、高三我堅(jiān)決地要讀國(guó)防相關(guān)院校，為此我母親還哭了幾次，但我還是報(bào)考了哈工大的自控。

高考結(jié)束，哈工大來(lái)招生的老師看我的計(jì)算機(jī)學(xué)習(xí)是從小學(xué)開(kāi)始的，就問(wèn)我是否愿意去三系，說(shuō)搞導(dǎo)彈也需要計(jì)算機(jī)。我拒絕了，我心里還有一個(gè)小算盤，因?yàn)槲彝Ｒ灿幸粋€(gè)同學(xué)，保送工大三系，他在歷次吉林省信息學(xué)競(jìng)賽中都獲得了前十名的成績(jī)。我當(dāng)時(shí)覺(jué)得，就算我去了三系可能也無(wú)法超過(guò)他，還是去四系做個(gè)計(jì)算機(jī)比較突出的學(xué)生吧。現(xiàn)在想來(lái)，那時(shí)多么幼稚可笑。

大三那年，和我同屆的一個(gè)吉林大學(xué)生化專業(yè)的同學(xué)因?yàn)闊釔?ài)兵器，找到老師要換專業(yè)。聽(tīng)到此事我一直在想，如果他知道搞導(dǎo)彈的人50%一生都沒(méi)見(jiàn)過(guò)實(shí)彈，每天只是和數(shù)模打交道他是否還這樣想。

其實(shí)，每一個(gè)專業(yè)都是一個(gè)獨(dú)立的帝國(guó)與王朝。我記得當(dāng)年來(lái)高中招生的是一個(gè)九系的女老師，關(guān)于焊接專業(yè)的描述，她涓滴若水，娓娓道來(lái)。我能深切地感受到她對(duì)專業(yè)的熱愛(ài)與癡迷。后來(lái)我曾經(jīng)問(wèn)她這是她當(dāng)年的第一專業(yè)選擇么？她說(shuō)不是，是專業(yè)調(diào)劑的結(jié)果。今天想起來(lái)，當(dāng)一個(gè)女孩子被調(diào)劑到焊接這樣的專業(yè)時(shí)，該有何等的沮喪？但她未能選之所愛(ài)之后，則能愛(ài)之所選，且仰之彌高，鉆之彌堅(jiān)。我想，這對(duì)于在陰差陽(yáng)錯(cuò)之后感到失落的人們來(lái)說(shuō)，是一個(gè)通解。

你說(shuō)對(duì)于編程你已經(jīng)“日漸生情”，這是一個(gè)很好的開(kāi)始，希望你能堅(jiān)持走下去。在安天研發(fā)部的墻壁上，有這樣一段話，“在我們生存的世界之外，有一個(gè)信息世界獨(dú)立存在著，我們對(duì)他凝視深思，熱忱地獻(xiàn)出我們的智慧與汗水，這是最高的幸福，是天堂。”這個(gè)世界何其瑰麗奇?zhèn)ィ鵀榱吮Ｕ线@個(gè)世界秩序的信息安全事業(yè)何等崇高莊嚴(yán)，值得我們?yōu)橹瞰I(xiàn)一生。

你信中所言，你文學(xué)趣味頗濃，你不應(yīng)為自己選擇了一個(gè)純理工專業(yè)而苦惱。在我看來(lái)，對(duì)于從事理工技術(shù)的人來(lái)說(shuō)，這是何其大幸。翻開(kāi)計(jì)算機(jī)鼻祖?zhèn)兞粝碌牡浼硇灾泻螄L沒(méi)有激情感性的光芒。控制論的作者維納熱忱地贊美他的父親，說(shuō)他具有“德國(guó)的思想、猶太的智慧和美國(guó)的精神”，也熱忱地夸獎(jiǎng)她的母親，說(shuō)她“把一個(gè)桀驁不馴的落魄才子(指他的父親)，改造為一個(gè)可以為社會(huì)所接受的人”。于是，一個(gè)精通二十國(guó)外語(yǔ)的斯拉夫語(yǔ)教授和一個(gè)名門的大家閨秀，把他們書卷氣濃郁的兒子，培養(yǎng)成19歲的數(shù)學(xué)博士，培養(yǎng)成30歲的美國(guó)數(shù)學(xué)學(xué)會(huì)會(huì)長(zhǎng)，培養(yǎng)成控制論的創(chuàng)始人，計(jì)算機(jī)技術(shù)的三大鼻祖之一。

不知道你們看侯捷老師的書與大陸一些干癟抽象的計(jì)算機(jī)教材相比又有什么感受，是否有余香之感？相比之下，一些新生代程序員，是喜歡撈干的，他們不原意看《勿在沙灘筑高樓》這種感悟，而有著一種狂妄的唯技術(shù)崇拜，這，何其單薄。

從你描述的現(xiàn)狀來(lái)看，我倒是看到了一些具有普遍性的東西。你的現(xiàn)狀讓我聯(lián)想到了認(rèn)識(shí)的多位師姐師妹。我發(fā)現(xiàn)一些典型的共性，那就是，對(duì)專業(yè)沒(méi)有達(dá)到癡迷，但同時(shí)又有著良好的學(xué)習(xí)成績(jī)。我想，這得益于女孩子良好的學(xué)習(xí)習(xí)慣、刻苦精神和上進(jìn)心。而比起那些在校平平，后來(lái)在方向上作出成績(jī)的男孩子來(lái)說(shuō)，他們更多的依靠于膽識(shí)、沖擊力和動(dòng)手力。

做這樣的對(duì)比，是因?yàn)槲蚁Ｍ阋庾R(shí)到，扎實(shí)的理論功底真的是一種令人羨慕的東西。2001年在我做基于成分分析的未知病毒判定這個(gè)方向的時(shí)候，我才感到我的數(shù)學(xué)功底多么差。而你實(shí)在有著比我們這批人更好的起點(diǎn)。雖然良好的學(xué)習(xí)成績(jī)不能完全等同于理論功底，但畢竟相隔已經(jīng)不遠(yuǎn)。就像我在2003年給哈工大病毒組的公開(kāi)信中所論述的，科學(xué)成果來(lái)自“科學(xué)理論體系+科學(xué)實(shí)證精神+科學(xué)理想”的結(jié)合一樣。

如果你能把七分對(duì)基礎(chǔ)知識(shí)的學(xué)習(xí)深化為理論體系的基礎(chǔ)，如果你能把一分書卷之氣演變?yōu)橐环N科學(xué)理想，如果你能通過(guò)類似這樣的技術(shù)活動(dòng)獲得兩分科學(xué)實(shí)證精神，那么就會(huì)有一條十分穩(wěn)健的“大師之路”。

下面說(shuō)說(shuō)你們的雜志，我覺(jué)得對(duì)于綜合性雜志里面的專業(yè)內(nèi)容，與其在專業(yè)、普及之間勉強(qiáng)定位，不如更宏觀一點(diǎn)。

從一定程度上說(shuō)，我期望學(xué)生刊物或者就是技術(shù)的，或者就是人文的，純粹一些更好。雖然天下殊途同歸，雖然技術(shù)未必不散發(fā)著文化的魅力，而文化也未必不洋溢著技術(shù)的風(fēng)采，但讓文化雜志更開(kāi)放、更張揚(yáng)、更POP一些，也許會(huì)有更好的收獲。對(duì)于“科技資訊”這樣的版面，我覺(jué)得應(yīng)該是產(chǎn)業(yè)面的，是你們自己對(duì)于產(chǎn)業(yè)的系統(tǒng)描述、看法和理解。其最終著眼點(diǎn)是在于從一些情況出發(fā)，學(xué)會(huì)系統(tǒng)地采集資料，作出判斷，形成觀點(diǎn)，予以論證。

扎實(shí)的技術(shù)功力、豐富的實(shí)踐經(jīng)驗(yàn)，如果能輔以產(chǎn)業(yè)化的視野，往往能綻放更多的光華。有時(shí)梳理一些大公司的發(fā)展道路，你會(huì)驚嘆其技術(shù)體系上的一脈相承中，仿佛有著后知十年的預(yù)判。

母校有務(wù)實(shí)嚴(yán)謹(jǐn)?shù)募夹g(shù)風(fēng)格，但深度令人滿意，廣度則顯得不足。記得我在校時(shí)，一個(gè)師兄假期到清華園小住，回來(lái)慨嘆清華同學(xué)廣泛討論著尼氏的《數(shù)字化生存》，而我們的同學(xué)多數(shù)對(duì)此一無(wú)所知。

目前，安天的內(nèi)部雜志《盾牌》的主編也是哈工大畢業(yè)生，若非安天有制度，內(nèi)部雜志不允許外流出公司，不然倒也可以給你參考一二。

我手里有我在大學(xué)時(shí)主編的一期《計(jì)算機(jī)學(xué)友》，僅作為一點(diǎn)對(duì)比和參考吧！下載地址：

http://www.antiy.com/temp/cfriends.rar

你們的創(chuàng)造力、活力和現(xiàn)有的條件都不是我那個(gè)時(shí)候所能比擬的，如果被嘲笑為老朽，那不是我們這批人的悲哀，而是我們的幸福。

江海客