白帽黑客

文/王臣

白帽黑客

文/王臣

黑客其實也分為攻擊者和保衛者。那些捍衛網絡安全的技術人員被稱為“白帽黑客”。如果破壞者是伏地魔，那么“白帽黑客”就是甘道夫。中國的Keen團隊就是這樣一群人。

創業前的10年里，王琦經歷過無數個通宵達旦編寫程序的夜晚。有幾個早晨，他習慣性地翻看當日的新聞頭條，也會恍惚。比如，看到剛過而立之年的盛大網絡董事長陳天橋晉身“中國首富”或者中國神舟飛船發射成功的消息時，王琦就會自己嘀咕：“我這是干什么呢？既很難賺錢，又不是什么利國利民的科學貢獻，我天天跟網絡黑客們打什么交道呢？”

某種意義上說，王琦也是一名“黑客”，只不過不是搗亂者。“黑客也分攻擊和防護的團隊，我們想讓別人理解，我們是保護信息的‘警察’！”王琦敲了敲桌子，加重語氣。作為Keen團隊的創始人，包括王琦自己在內，所有技術成員只有七八個人，全部致力于“捕捉系統信息安全漏洞和惡意攻擊事件”。過去10年中，這個團隊成功解決超過兩千起國外信息安全應急響應事件，包括馬來西亞總理府、臺灣“行政院”、澳門銀行網絡惡意入侵事件的調查與處理。

同時，Keen是近年來報告微軟、蘋果、谷歌系統漏洞最多的團隊。2010年美國《福布斯》雜志報道，當年蘋果在一個月內更新了64個安全補丁，這些漏洞中有6個是蘋果內部研究人員發現的，而15個由Keen團隊首席科學家吳石發現。在全球最著名的黑客大賽之一Pwn2Own上，Keen連續兩年奪冠，30秒內分別攻破了iPhone iOS 7.0.3、MacOS X Mavericks 10.9.2 和Windows 8.1系統，轟動全球。

然而在中國，極少人聽說過Keen。這讓王琦偶爾有些失落，“今天看來，國內信息安全行業發展還需要更好的土壤，在這之前，我們只能默默無聞。”王琦說。在網絡安全概念剛開始萌芽的中國，Keen所面對的不只是默默無聞，同時還有來自黑市的誘惑。

“一個是伏地魔一個是甘道夫”

Keen團隊的工作室在上海徐家匯一座并不起眼的辦公樓中，只有40多平方米。七八個團隊核心成員是中國最早一批研究網絡安全的IT工程師，平均年齡34歲。他們絕大部分曾供職于微軟、摩根士丹利等世界頂尖企業，從事安全研究工作。

他們一般選擇在下午開會。因為很多人習慣了熬夜工作，每次碰面時，總會有人黑著眼圈出現在狹小的會議室。這群高智商的研究員，其實和大多數中國普通網民一樣，在二十世紀90年代中后期接觸到互聯網，逐漸知道了病毒和軟件漏洞的概念。

2007年左右，這群對網絡安全充滿興趣的人漸漸聚集在一起。那時，他們更像個興趣小組，一起研究信息安全，捕捉更多的漏洞，并試圖將其修補。

兩年后，微軟推出了新搜索引擎產品Bing（必應），準備打入中國市場。王琦和他的團隊開始考慮如何利用安全經驗幫助微軟的搜索業務更成功、互聯網用戶得到更多保護，于是利用工作之余研究如何讓Bing搜索引擎的結果更安全。當時，這些人還沒有固定辦公室，幾乎所有交流都通過郵件，這需要互相信任。“我們彼此相信共同分享的代碼是不會被拿去做攻擊網絡安全的事。”王琦解釋。

很快，他們檢測出千萬級別的惡意網頁，并將其屏蔽于Bing之外。微軟美國總部負責Bing的高管陸奇專門發信贊揚了這個中國研究團隊。

同時，他們也開始研究Office軟件。因用戶眾多，Office已經成為被惡意攻擊的重災區。2009年，微軟花重金用幾萬臺虛擬機搜尋到1900多個漏洞，認為已經萬無一失。而王琦、吳石和他的這群伙伴在一個月內用幾臺機器就又查到了50多個漏洞。

2008年—2010年之間，這個團隊成員連續3年獲得“全球計算機漏洞挖掘”白金獎，并入選Google安全名人堂。

當年，包括王琦在內，團隊中很多人供職于微軟安全響應中心，工作內容之一就是負責亞太地區所有高級別的攻擊問題。這是一群出類拔萃但又必須默默無聞的人。“因為攻擊方與被攻擊方都不會將這樣的事拿來宣傳。我們所得的獎項，也是全球安全圈的評比，并不會對外曝光。”王琦說。

彼時，在中國真正做網絡安全研究的團隊鳳毛麟角，因為“對攻擊技術的研究是網絡安全研究的基礎，而漏洞研究幾乎又是所有攻擊的前提，但這種基礎研究如果不結合產品，不可能轉換為經濟效益。”王琦說。

這成了一個悖論，迷戀安全研究的人，要么必須面對職業的天花板，要么只能突破道德甚至法律底線，在黑客產業鏈條上才能換取更高的收益。

2014年年初，瑞星發布的《2013年中國信息安全報告》中顯示，未來8年內，國內虛擬化行業將增長近四百億元的市場價值。

“而‘黑產’的規模與此相當甚至更多。”一個從事10年網絡研究的人員透露，“2005年開始，移動互聯網還未盛行，而網頁游戲產業已經在中國蓬勃發展。地下產業的小黑客常做的買賣就是游戲盜號，偷了武器之后再賣掉。或者利用上萬個僵尸網站攻擊其他網站或刷流量。當年一個擁有1萬臺PC的僵尸網站月租費就是6萬元。隨便一個‘黑產’上的攻擊團隊可能月入上千萬元。”

當然，王琦和他的團隊如此優秀，必然會有一些“誘惑”找上門來。“一個漏洞，加上寫好的攻擊代碼，少則幾十萬，多則幾百萬。”王琦說。

Keen團隊的成員都拒絕了。“一旦沾上就很難洗白，在圈子里就瞬間失去了公信力。”王琦說，“那是萬劫不復的深淵。”

在這方面，Keen團隊的成員有道德潔癖。他們寧愿將把漏洞直接發送給廠商，理由十分簡單，“直接發送給他們，能保證最快時間修補漏洞，廠商才是最重視漏洞問題的。”王琦說。

這個團隊很反感別人把他們與普通黑客相提并論，“就像一個是伏地魔，一個是甘道夫。”王琦說，“要承認，兩者都具有能力，但前者是作惡，后者是與人為善的。如果要稱呼我們為黑客，也請一定加上定語，‘白帽黑客’，相當于警察。”

干凈的生意

Keen的初創人員漸漸聚攏之后，由于一直堅守著不參與黑市交易的原則，所以一直很難找到合適的盈利模式。“現在還沒想到這塊市場將是怎樣的一個蛋糕。但我們這里，有人會揉面，有人會劈柴，有人會燒火。能夠做一個饅頭出來，我們先賣，先開一個鋪。”王琦鼓勵團隊成員一起創業，漸漸打動了他們。2011年，團隊正式注冊了公司，取名Keen——敏銳之意。之前那些志同道合的朋友陸續加入進來。

創業之初，很多所謂網絡安全信息產業內的人都無法理解和信任他們的工作。王琦試圖做網絡安全普及，但總是碰壁。大多普通用戶的回答是，“我的電腦沒什么重要資料，不用多安全，更不想花錢。”

每當王琦向別人推銷和解釋自己的技術時，百分之百都會被問到同一個問題，“我們用了你們的技術，怎么能確保你們只是保護系統，而不是從我們這偷東西？”他不知該如何回答。

創業最初兩年，公司一直“勒緊褲腰帶做事”，盡量降低成本，也聯系過一些國內的風投公司，但絕大多數不明白他們的技術，很多人對安全的理解，只停留在殺毒軟件的階段。Keen的合作方主要是微軟、谷歌這些國際上知名的系統廠商。

“因為我們太不知名了，國內市場幾乎沒人知道我們。”王琦說。他決定從更成熟的市場入手，在國際上先打響知名度。

2013年，Keen在Twitter上注冊，只發布了幾十條推文，都是最簡潔的公式或者一張圖，卻吸引了全球頂級黑客的關注。

之后的兩屆全球黑客大賽上，Keen蟬聯冠軍，漸漸引起國內媒體的關注。但是，他們仍不得不一次次對外解釋“白帽黑客”的概念以及“信息安全”的真正定義。