烏云網(wǎng)停擺

在互聯(lián)網(wǎng)世界，烏云網(wǎng)一直扮演著“守護(hù)者”角色。但烏云網(wǎng)模式自誕生起，就一直行走在灰色地帶，因而備受爭(zhēng)議。烏云網(wǎng)此次危機(jī)，正是這一灰色地帶的風(fēng)險(xiǎn)爆發(fā)所致。

南方周末記者 李在磊

發(fā)自北京

“我出去躲兩天?！?/p>

方小頓顯然沒有意識(shí)到事態(tài)的嚴(yán)重性，前不久，他在朋友圈發(fā)“跑路”信息時(shí)，還配上了一組做鬼臉的微信表情。以IT男為主的好友群體紛紛點(diǎn)贊，并配合字里行間的輕松姿態(tài)，附上留言：“方小遁”。

他終究沒能“逃遁“成功。2016年7月20日，著名漏洞報(bào)告平臺(tái)烏云網(wǎng)（Woo Yun）貼出“服務(wù)升級(jí)”公告，網(wǎng)站一時(shí)無(wú)法訪問。與此同時(shí)，南方周末記者從多處信源獲悉，包括方小頓在內(nèi)的“多名高管被抓”，烏云網(wǎng)被迫停擺。方小頓網(wǎng)絡(luò)ID叫“劍心”，是烏云網(wǎng)的創(chuàng)始人之一，也是赫赫有名的“白帽子”黑客。

在黑客江湖，一部分群體通過(guò)攻擊系統(tǒng)漏洞獲取數(shù)據(jù)，再把信息兜售至黑市牟利，被稱為“黑帽子”黑客；另一部分是“正面角色”，號(hào)稱只是將檢測(cè)出的bug提交至報(bào)告平臺(tái)進(jìn)行公布，提醒、倒逼企業(yè)注重用戶的數(shù)據(jù)安全，被稱為“白帽子”黑客。

一般而言，白帽子先將自己發(fā)現(xiàn)的漏洞提交至漏洞報(bào)告平臺(tái)，審核通過(guò)后會(huì)粗略發(fā)布漏洞情況，并等待涉事單位認(rèn)領(lǐng)。如若幾十天后仍沒有機(jī)構(gòu)聯(lián)絡(luò)平臺(tái)，將進(jìn)一步公布漏洞細(xì)節(jié)內(nèi)容。一直以來(lái)，烏云網(wǎng)以這種方式公布信息，敦促企業(yè)加強(qiáng)安全意識(shí)。

“往往不是黑帽子或者白帽子，而是斑馬，白天黑，晚上又洗白?！备兜旅鲗?duì)南方周末記者說(shuō)，漏洞提交前，黑帽子與白帽子的身份界定模糊，提交后公布環(huán)節(jié)的流程不規(guī)范，造成烏云網(wǎng)模式自誕生起，就在法律與道義上備受爭(zhēng)議。付德明在一家世界500強(qiáng)公司做企業(yè)網(wǎng)絡(luò)安全防衛(wèi)工作。

此番烏云網(wǎng)被查事件在業(yè)界造成震蕩，再次引發(fā)了一場(chǎng)網(wǎng)絡(luò)倫理的討論。

“這次是攤上 更大的事兒了”

“這次是踩上雷了，幫不了他們（烏云網(wǎng)）了?！币晃慌c烏云網(wǎng)有業(yè)務(wù)往來(lái)的IT人士劉萍告訴南方周末記者。

劉萍介紹，實(shí)際上烏云網(wǎng)已經(jīng)被查處，多名高管也“被抓”。

7月19日，另一家互聯(lián)網(wǎng)測(cè)試平臺(tái)漏洞盒子宣布，暫停接受互聯(lián)網(wǎng)漏洞與威脅情報(bào)。而且，“白帽子”黑客報(bào)告漏洞的頁(yè)面已經(jīng)無(wú)法查看。漏洞盒子也發(fā)布了公告，稱“要對(duì)流程制度、規(guī)范等進(jìn)行梳理”。

烏云網(wǎng)成立于2010年5月份。在一期視頻演講節(jié)目中，方小頓回憶，自己在百度做網(wǎng)絡(luò)安全方面的工作時(shí)發(fā)現(xiàn)，國(guó)內(nèi)除了BAT等幾個(gè)巨頭之外，很少有公司有強(qiáng)烈的網(wǎng)絡(luò)安全意識(shí)，并且愿意耗費(fèi)時(shí)間、精力保護(hù)用戶的數(shù)據(jù)信息。所以，有了成立一家平臺(tái)，敦促企業(yè)注重安全的念頭。

以網(wǎng)絡(luò)ID“劍心”為身份，在互聯(lián)網(wǎng)黑客江湖小有名氣的方小頓，聯(lián)合幾位同道者，成立了烏云網(wǎng)。其宗旨是成為“自由平等”的漏洞報(bào)告平臺(tái)，為計(jì)算機(jī)廠商和安全研究者提供技術(shù)上的各種參考以及漏洞bug的修復(fù)。

據(jù)《電腦報(bào)》報(bào)道，烏云網(wǎng)的成名戰(zhàn)發(fā)生在2011年年底。當(dāng)年11月，烏云網(wǎng)根據(jù)白帽子提供的各種材料，連續(xù)披露京東商城、支付寶、網(wǎng)易等互聯(lián)網(wǎng)巨頭存在高危漏洞，12月29日更是指出支付寶1500萬(wàn)至2500萬(wàn)用戶資料泄露，以及一家政務(wù)網(wǎng)444萬(wàn)用戶信息泄露。

此后，烏云網(wǎng)又相繼披露出酒店開房信息泄露、支付寶漏洞、搜狗瀏覽器泄露用戶數(shù)據(jù)、騰訊7000萬(wàn)QQ群用戶數(shù)據(jù)泄露等一系列重大的漏洞事件。

中科院軟件研究院博導(dǎo)丁麗萍曾參加過(guò)烏云網(wǎng)組織的圓桌會(huì)議。她對(duì)南方周末記者說(shuō)，一直以來(lái)，烏云網(wǎng)爭(zhēng)議的焦點(diǎn)是，有沒有權(quán)利檢測(cè)別人的漏洞，以及有沒有權(quán)利公開漏洞——即便有著高尚的出發(fā)點(diǎn)。

直到2015年12月，在烏云網(wǎng)上提交漏洞的“白帽子”第一次“出事”。2015年12月，杭州的IT人士袁煒，在烏云提交了他發(fā)現(xiàn)的世紀(jì)佳緣網(wǎng)站系統(tǒng)漏洞。

在世紀(jì)佳緣確認(rèn)、修復(fù)了漏洞，并按烏云平臺(tái)慣例向漏洞提交者致謝后，事態(tài)竟急轉(zhuǎn)直下，世紀(jì)佳緣不久后以“網(wǎng)站數(shù)據(jù)被非法竊取”為由報(bào)警。2016年4月份，袁煒被司法機(jī)關(guān)逮捕。

袁煒妻子戴女士告訴南方周末記者，袁煒是嚴(yán)格按照烏云網(wǎng)的發(fā)布流程提交的漏洞，但是世紀(jì)佳緣在追究責(zé)任時(shí)，“繞過(guò)了烏云，以及袁煒白帽子身份”。她說(shuō)，袁煒的案子目前仍未出結(jié)果。

有人將此次烏云網(wǎng)停擺與世紀(jì)佳緣漏洞相聯(lián)系，認(rèn)為是上次事件的發(fā)酵。但是付德明予以否認(rèn)。

“探地雷”與“撬保險(xiǎn)箱”

根據(jù)此前發(fā)布的《烏云網(wǎng)漏洞審核機(jī)制改進(jìn)公告》，白帽子黑客發(fā)現(xiàn)某處漏洞后，向?yàn)踉凭W(wǎng)提交漏洞，烏云網(wǎng)審核確認(rèn)后，會(huì)把漏洞的概況在烏云平臺(tái)上公布。

其中，普通漏洞披露流程為5天廠商確認(rèn)期，10天向核心白帽子公開其漏洞細(xì)節(jié)，20天向普通白帽子公開，30天向?qū)嵙?xí)白帽子公開。直到45天之后，企業(yè)仍未主動(dòng)認(rèn)領(lǐng)漏洞，則會(huì)向公眾公開其細(xì)節(jié)。

付德明認(rèn)為，這其中的每一個(gè)環(huán)節(jié)的正當(dāng)性，都值得深入探討。

他舉例說(shuō)，有相應(yīng)技術(shù)的黑客們，“黑”進(jìn)一家企業(yè)的系統(tǒng)并發(fā)現(xiàn)漏洞，相當(dāng)于一個(gè)江洋大盜撬開了銀行的保險(xiǎn)柜。按照白帽子、黑帽子約定俗成的分野，黑帽子黑客會(huì)直接將保險(xiǎn)柜中的財(cái)寶席卷一空；但是白帽子黑客的做法，是并不偷拿保險(xiǎn)柜中的“一針一線”，而是好心好意告訴銀行，保險(xiǎn)柜的鎖不夠安全，應(yīng)該及時(shí)加固，更有甚者，會(huì)告訴銀行加固的方法。

付德明說(shuō)，理論上看，即便銀行大門敞開，外人也沒有權(quán)利貿(mào)然闖入。

退一步講，如果銀行的保險(xiǎn)柜失竊，丟沒丟東西，只要清點(diǎn)一下數(shù)目即可。但是數(shù)字化的系統(tǒng)對(duì)于“闖入者”性質(zhì)認(rèn)定就極為復(fù)雜，因?yàn)閿?shù)據(jù)有著極其容易復(fù)制的特性，偷看數(shù)據(jù)、復(fù)制數(shù)據(jù)都可以非常隱蔽地進(jìn)行?！皵?shù)據(jù)沒有丟失，但不代表沒有被偷看、復(fù)制?！彼f(shuō)。

“白帽子黑客說(shuō)，我只是發(fā)現(xiàn)了漏洞，沒有偷看，更沒有復(fù)制，這在技術(shù)上比較難以界定?！倍←惼技嫒沃袊?guó)電子學(xué)會(huì)計(jì)算機(jī)取證專家委員會(huì)主任，她說(shuō)，電子取證在技術(shù)上極為困難，因?yàn)轭愃朴诮仄吝@樣的行為，很難去追查。

于是，黑客們將一家企業(yè)的漏洞提交給烏云網(wǎng)平臺(tái)之前，可操作的空間便已經(jīng)很大。“說(shuō)不定已經(jīng)把數(shù)據(jù)賣了個(gè)遍，轉(zhuǎn)了幾手之后，再提交的?！备兜旅髡J(rèn)為，在提交漏洞第一個(gè)環(huán)節(jié)發(fā)生之前，很難將白帽子與黑帽子的性質(zhì)區(qū)分開來(lái)。

專注于網(wǎng)絡(luò)安全領(lǐng)域的盤古網(wǎng)絡(luò)技術(shù)有限公司創(chuàng)始人韓爭(zhēng)光告訴南方周末記者，他本人并不喜歡“撬保險(xiǎn)柜”的比喻，因?yàn)檫@帶著一種偏見，認(rèn)定黑客們一定會(huì)做壞事。但是實(shí)際上，確實(shí)有很多具有“俠客”精神的白帽子，只是單純?yōu)榱税l(fā)掘漏洞，再提醒廠商修補(bǔ)漏洞，并不泄露信息。

“一些白帽子提醒企業(yè)后，只能得到很微小的獎(jiǎng)勵(lì)，這與他們的勞動(dòng)很不成正比?！表n爭(zhēng)光說(shuō)。

相較于“撬保險(xiǎn)柜”，他更喜歡用“排地雷”的比喻。韓爭(zhēng)光認(rèn)為，囿于開展業(yè)務(wù)的需求，系統(tǒng)內(nèi)存儲(chǔ)著大量的用戶信息，這屬于公眾利益的一部分，企業(yè)有義務(wù)、有責(zé)任，對(duì)這些信息的安全負(fù)責(zé)。

但是事實(shí)上，絕大部分企業(yè)安全意識(shí)淡薄，并不怎么把用戶的信息安全放在心上。白帽子檢測(cè)系統(tǒng)漏洞的行為，相當(dāng)于排除地雷，倒逼企業(yè)不斷修復(fù)、加固系統(tǒng)，起到了維護(hù)公眾利益的作用。

世紀(jì)佳緣選擇報(bào)警之后，在業(yè)界引起較大反響。很多人認(rèn)為，堵住烏云網(wǎng)平臺(tái)這一正常途徑后，只會(huì)逼迫白帽子轉(zhuǎn)黑，最后損害的還是用戶利益。

但是，排除白帽子提交漏洞之前的動(dòng)機(jī)不論，付德明認(rèn)為，烏云模式當(dāng)中，審核、發(fā)布漏洞的流程也值得商榷。

他分析說(shuō)，白帽子提交了漏洞之后，平臺(tái)要對(duì)這一漏洞的真實(shí)性進(jìn)行審核，而審核的環(huán)節(jié)，其實(shí)是對(duì)系統(tǒng)的該處漏洞，又“攻擊”了一次。

審核通過(guò)后，平臺(tái)會(huì)將一部分漏洞通知企業(yè)，提醒其加強(qiáng)防范。但是也有大部分漏洞提醒直接發(fā)在平臺(tái)上，等待企業(yè)認(rèn)領(lǐng)。

“所謂的認(rèn)領(lǐng)，不是主動(dòng)找企業(yè)，而是等著企業(yè)主動(dòng)找上門?！备兜旅髡f(shuō)，在這一環(huán)節(jié)，一些安全意識(shí)較強(qiáng)的互聯(lián)網(wǎng)巨頭，會(huì)有專門的安全職位負(fù)責(zé)在不同平臺(tái)巡視，所以能夠及時(shí)發(fā)現(xiàn)公布出來(lái)的安全隱患，早做溝通，予以解決。

但是絕大部分企業(yè)并不知道白帽子在平臺(tái)上作出了提醒，“甚至不知道烏云網(wǎng)的存在?！彼约幢闶呛髞?lái)傾向于認(rèn)為白帽子是在做好事，也沒有趕過(guò)去認(rèn)領(lǐng)，因?yàn)檫@一環(huán)節(jié)只留給企業(yè)5天時(shí)間。

過(guò)了5天的認(rèn)領(lǐng)期限，平臺(tái)會(huì)分批次向不同等級(jí)白帽子公布漏洞的大概情況?！斑@個(gè)時(shí)候，還不會(huì)公布細(xì)節(jié)，只是一些大概情況。”付德明說(shuō)，到了這一步驟，情況變得糟糕起來(lái)，因?yàn)榘酌弊訑?shù)量很多，即便不公布細(xì)節(jié)內(nèi)容，也會(huì)有數(shù)量龐大的黑客開始在公布的系統(tǒng)提醒上挖掘，“像蒼蠅一樣，總會(huì)找出漏洞在哪”。

所以，從企業(yè)利益的角度出發(fā)，發(fā)現(xiàn)漏洞越及時(shí)，挽回?fù)p失的余地越大。

如若在這一環(huán)節(jié)當(dāng)中，仍未見企業(yè)現(xiàn)身，45天后，烏云網(wǎng)會(huì)在平臺(tái)上公布漏洞的細(xì)節(jié)內(nèi)容。“告訴你哪里門沒鎖，這實(shí)際上等于公布數(shù)據(jù)信息了?！备兜旅髡J(rèn)為，平臺(tái)沒有權(quán)利公布數(shù)據(jù)內(nèi)包含的用戶信息。

對(duì)此，韓爭(zhēng)光分析，烏云網(wǎng)的提交、審核、發(fā)布流程，借鑒了國(guó)外的經(jīng)驗(yàn)。之所以最后會(huì)有公開發(fā)布漏洞細(xì)節(jié)的環(huán)節(jié)，是為了敦促企業(yè)加強(qiáng)安全防范?！捌髽I(yè)應(yīng)該加強(qiáng)安全意識(shí)，保護(hù)好用戶的信息”。

誰(shuí)來(lái)保障用戶信息？

《南方周末》曾經(jīng)報(bào)道，2015年4月，一位ID名為“路人甲”的網(wǎng)友在蘇寧的實(shí)體店里購(gòu)買了幾件電器后不久就多次接到400開頭的詐騙電話。他隨后對(duì)蘇寧系統(tǒng)進(jìn)行測(cè)試，挖出了蘇寧信息泄露的漏洞。

蘇寧易購(gòu)方面表示，已向南京玄武區(qū)公安局報(bào)案，并會(huì)全力配合警方調(diào)查，但是不會(huì)對(duì)受害者進(jìn)行賠償。

韓爭(zhēng)光認(rèn)為，白帽子之所以有存在的價(jià)值，是因?yàn)槠髽I(yè)信息泄露后付出的代價(jià)很低，才需要白帽子們敦促企業(yè)，加強(qiáng)整個(gè)網(wǎng)絡(luò)世界的安全級(jí)別。

在這個(gè)問題上，付德明部分同意韓爭(zhēng)光的看法。他認(rèn)為，正常的邏輯應(yīng)該是，用戶把珠寶存在銀行保險(xiǎn)柜里被偷了，用戶不會(huì)自己去抓小偷，只需要銀行賠償損失即可。

如果網(wǎng)絡(luò)世界也遵循這一條規(guī)則，企業(yè)將會(huì)對(duì)因?yàn)楸９苡脩粜畔⒉粐?yán)密導(dǎo)致信息泄露付出慘痛代價(jià)，自然而然會(huì)加強(qiáng)安全防御，白帽子便也就沒有存在的必要。

“銀行不會(huì)找小偷測(cè)試防盜門牢固不牢固，這個(gè)不用你提醒?！备兜旅髡f(shuō)。

知名IT與知識(shí)產(chǎn)權(quán)律師趙占領(lǐng)，曾代理過(guò)蘇寧易購(gòu)信息泄露案子。他對(duì)南方周末記者介紹，理論上企業(yè)要為泄露用戶數(shù)據(jù)承擔(dān)責(zé)任，但是數(shù)據(jù)信息在技術(shù)上難以界定，“企業(yè)會(huì)說(shuō)，這些數(shù)據(jù)不是在他們這里泄露的，或者說(shuō)，即便是他們泄露的，但是詐騙案不是利用這些數(shù)據(jù)進(jìn)行的。”

趙占領(lǐng)介紹，全國(guó)范圍內(nèi)，用戶狀告企業(yè)泄露個(gè)人信息的案件并不多，勝訴的更少。原因在于，用戶自身缺乏權(quán)利意識(shí)，再加上訴訟成本很高，且企業(yè)賠償?shù)陌咐⒉欢唷！鞍l(fā)生過(guò)很多起酒店開房信息泄露的事件，但是起訴的不多?！?/p>

丁麗萍介紹，新修訂的刑法286條，明確了企業(yè)保護(hù)用戶個(gè)人信息的責(zé)任主體。如果能夠認(rèn)真執(zhí)行，企業(yè)漠視網(wǎng)絡(luò)安全的情景應(yīng)該會(huì)慢慢改變。

（應(yīng)受訪者要求，付德明、劉萍為化名）