“教主”TK ：在網(wǎng)絡(luò)安全領(lǐng)域講段子的人

“在社交媒體上，總有兩種人尋求我的幫助，一種是大學(xué)生，考砸了，希望我入侵教務(wù)處電腦，幫他修改成績(jī)；另一種則是戀愛中的青年男女，希望我能入侵對(duì)方微信賬戶，調(diào)取聊天記錄。拜托，我在騰訊工作，讓我?guī)湍惚I取微信賬戶？”

說罷，于旸停頓了一下，迎接臺(tái)下的笑聲。

2020年11月15日，一場(chǎng)科學(xué)脫口秀X-Talk讓于旸這樣鮮少在公眾前露面的網(wǎng)絡(luò)安全科學(xué)家從幕后走到臺(tái)前，通過年輕人喜歡的脫口秀形式進(jìn)行科普。

在他看來，社會(huì)需要一個(gè)生動(dòng)的科學(xué)普及平臺(tái)，讓更多人了解到最前沿的科學(xué)動(dòng)態(tài)。

半路出家的網(wǎng)絡(luò)安全大神

在網(wǎng)絡(luò)安全領(lǐng)域，提到“于旸”這個(gè)名字也許大家不知道，但是提到“TK教主”，幾乎人盡皆知，TK是于旸網(wǎng)名“tombkeeper”的縮寫，他是國內(nèi)頂尖白帽黑客之一，上能給奧運(yùn)會(huì)信息網(wǎng)絡(luò)安全指揮部當(dāng)技術(shù)專家，下能接地氣在社交媒體當(dāng)一名網(wǎng)紅科普博主，由于他學(xué)醫(yī)的教育背景，網(wǎng)友又附贈(zèng)了他一個(gè)稱號(hào)——“婦科圣手”。

于旸從事信息安全研究工作十余年，主要研究方向聚焦在針對(duì)各類型漏洞的挖掘、利用、檢測(cè)、防御，以及涉及硬件、無線等方面的復(fù)合安全風(fēng)險(xiǎn)。他曾發(fā)現(xiàn)并報(bào)告了思科、微軟等公司產(chǎn)品的多個(gè)安全漏洞，是微軟安全挑戰(zhàn)懸賞10萬美元大獎(jiǎng)的全球三個(gè)獲得者之一。這樣一位大神級(jí)的科學(xué)家，竟然是半路出家。

于旸的童年大部分時(shí)間都花在了探索世界上，他會(huì)把家里的收音機(jī)、掛鐘甚至是電視拆掉，但和一般熊孩子不同的是，他可以原樣裝回去，不會(huì)因手中多了一把螺絲而換來一頓胖揍。采集植物標(biāo)本、在廚房里做化學(xué)實(shí)驗(yàn)、研究手榴彈拉線的原理……構(gòu)成了于旸的“繽紛童年”。“當(dāng)接觸一個(gè)事物的時(shí)候，自然就想去探索它背后的邏輯，這成了一種習(xí)慣。”

1997年，在父母建議下，于旸考取了安徽醫(yī)科大學(xué)臨床醫(yī)學(xué)專業(yè)。直到這個(gè)時(shí)候，他還沒有接觸過計(jì)算機(jī)。

大學(xué)二年級(jí)的時(shí)候，學(xué)校開設(shè)了計(jì)算機(jī)課程，那個(gè)年代，電腦沒有大規(guī)模普及，課堂中的知識(shí)也非常粗淺，甚至都還是從開關(guān)機(jī)、打字等計(jì)算機(jī)基礎(chǔ)開始教學(xué)，于旸至今還記得自己當(dāng)時(shí)的計(jì)算機(jī)老師。“他不會(huì)重裝系統(tǒng)，如果計(jì)算機(jī)出了故障，他會(huì)掏出一個(gè)筆記本，上面密密麻麻記錄著重裝系統(tǒng)的步驟，但如果沒有那個(gè)筆記本，他就完全無法應(yīng)對(duì)故障了。”

于旸發(fā)現(xiàn)，計(jì)算機(jī)很適合自學(xué)，對(duì)物質(zhì)條件要求比較低，只要一臺(tái)電腦就可以研究很多東西。

“我如果要研究一片樹葉，不可能用樹葉研究樹葉，至少需要一臺(tái)顯微鏡，但我用計(jì)算機(jī)就可以研究計(jì)算機(jī)。”

而真正促成于旸走上職業(yè)道路的是“尼姆達(dá)蠕蟲”事件。那是2001年，一個(gè)名為“紅色代碼”的網(wǎng)絡(luò)蠕蟲引起了全世界的恐慌，稍加改造的蠕蟲便可以讓大量服務(wù)器癱瘓，嚴(yán)重威脅網(wǎng)絡(luò)安全。

為了研究“紅色代碼”，于旸在自己的電腦上架設(shè)了蜜罐（一種網(wǎng)絡(luò)安全技術(shù)），結(jié)果意外捕捉到了比“紅色代碼”影響力還大的尼姆達(dá)蠕蟲，并撰寫了一份報(bào)告，雖然現(xiàn)在看來那份報(bào)告非常稚嫩青澀，但卻是國內(nèi)第一份對(duì)蠕蟲這種新型安全威脅做出多角度分析的報(bào)告。有一家安全公司因?yàn)橛跁D提交的報(bào)告，贈(zèng)送了他一套殺毒軟件，這讓于旸感到自豪，并收獲了信心。

最終，在讀了5年醫(yī)科大學(xué)后，于旸決定放棄醫(yī)學(xué)專業(yè)，轉(zhuǎn)向信息安全行業(yè)。

人生很小，世界很大

畢業(yè)后，于旸加入了綠盟科技研究院，正式開始了他信息安全的工作，工作內(nèi)容涉及技術(shù)研究、產(chǎn)品開發(fā)、工程服務(wù)和安全教育等多個(gè)方面。

2013年，在世界頂級(jí)安全技術(shù)峰會(huì)上，于旸大膽指出，微軟Windows7中使用的一套看似無懈可擊的安全防御機(jī)制，其實(shí)有個(gè)簡(jiǎn)單的辦法一點(diǎn)就破。

于旸的研究對(duì)微軟的觸動(dòng)無疑是巨大的。這讓微軟最終意識(shí)到，單靠自身就一勞永逸解決系統(tǒng)漏洞防護(hù)問題并不可能。幾個(gè)月后，微軟設(shè)立了高達(dá)10萬美元的安全挑戰(zhàn)懸賞獎(jiǎng)金。

此前，業(yè)內(nèi)并不相信微軟真的會(huì)給獎(jiǎng)金，畢竟他們已經(jīng)堅(jiān)持了十幾年不為漏洞付錢的原則。直到有一位英國科學(xué)家獲得了該獎(jiǎng)，于旸才相信，可能是自己提出的技術(shù)促成了這個(gè)獎(jiǎng)項(xiàng)。

又過了幾個(gè)月，于旸將研究的另一些漏洞利用技術(shù)做了實(shí)現(xiàn)，發(fā)給微軟。他成為全世界第二個(gè)拿到微軟安全挑戰(zhàn)懸賞獎(jiǎng)金的科學(xué)家。

2016年8月，微軟公布全球黑客貢獻(xiàn)百人榜，于旸排名第二。

“當(dāng)拿到微軟的10萬美金時(shí)，我覺得可能這個(gè)研究是我職業(yè)生涯中做出的最重要的一個(gè)研究，但后來很快發(fā)現(xiàn)并不是。”

于旸于2014年發(fā)起騰訊玄武實(shí)驗(yàn)室項(xiàng)目，他發(fā)現(xiàn)，隨著研究的深入和科技的發(fā)展，有更多有意思的挑戰(zhàn)在等著自己。

在X-Talk的現(xiàn)場(chǎng)，于旸為觀眾介紹了玄武實(shí)驗(yàn)室的一個(gè)研究，僅僅通過一張便簽紙，便可以一秒解鎖屏下指紋手機(jī)。

這個(gè)研究的時(shí)間是在2017年年底，那時(shí)屏下指紋技術(shù)剛剛推向市場(chǎng)。

于旸和同事發(fā)現(xiàn)，用戶用指紋解鎖手機(jī)屏幕的同時(shí)，會(huì)在屏幕上留下一些痕跡，如果利用光學(xué)原理讓指紋識(shí)別系統(tǒng)認(rèn)為有一個(gè)真的手指按在手機(jī)上，就能繞過指紋識(shí)別系統(tǒng)。

發(fā)現(xiàn)漏洞后，玄武實(shí)驗(yàn)室通知了所有廠商，在技術(shù)剛投入市場(chǎng)的時(shí)候發(fā)現(xiàn)并且解決了它。“不管哪個(gè)牌子的手機(jī)，只要用到屏下指紋技術(shù)，就有我們實(shí)驗(yàn)室的成果在里面。”

在于旸看來，在萬物互聯(lián)的今天，以及未來，受到安全問題威脅的可能不再只是賬號(hào)、數(shù)據(jù)、隱私，可能會(huì)超越這些。

“如同汽車安全帶的發(fā)明，要落后于汽車的發(fā)明一樣，信息安全的研究曾經(jīng)也是滯后于信息技術(shù)的研究的，但吸收幾十年的經(jīng)驗(yàn)教訓(xùn)后，業(yè)界認(rèn)識(shí)到，安全不能像曾經(jīng)那樣跟在后面走，而是要前置，以便盡早避免后續(xù)可能發(fā)生的問題。我們需要趕在壞人利用漏洞前去發(fā)現(xiàn)它。”

除了科研，于旸在社交媒體上也異常活躍，微博、知乎都有他的段子，他也被稱為網(wǎng)絡(luò)安全領(lǐng)域最會(huì)講段子的人。而在于旸看來，使用社交媒體，是自己觀察生活、與世界連接的方式。

“人生很小，但這個(gè)世界是很大的。互聯(lián)網(wǎng)提供了一種途徑，能夠讓我們這些很渺小的人，跟整個(gè)世界發(fā)生連接。我們生于這樣的時(shí)代，一定不能放過這樣的機(jī)會(huì)。”

在X-Talk的活動(dòng)中，于旸輕松愉悅的演講風(fēng)格，迅速縮小了技術(shù)所帶來的陌生感和距離感，在他看來，15分鐘的演講能讓大家對(duì)信息安全有基本認(rèn)知，自己的目的就達(dá)到了。

畢竟一個(gè)科技向善、向美、向未來的社會(huì)，是由每一個(gè)懷著好奇心、關(guān)注科學(xué)的平凡人組成的，而我們的共同想象，就是未來的方向。

（千百度摘自“中國新聞周刊”微信公眾號(hào)）