烏云網(wǎng)的創(chuàng)始人方小頓。京華時(shí)報(bào)記者蒲東峰攝
□人物故事
自學(xué)成才的黑客達(dá)人
2002年，15歲的湖北小伙子方小頓考上了哈爾濱理工大學(xué)化學(xué)專業(yè)。“小時(shí)候一直對(duì)計(jì)算機(jī)很感興趣，大學(xué)課余時(shí)間多，我就自己研究互聯(lián)網(wǎng)技術(shù)。”在方小頓眼中，技術(shù)其實(shí)沒(méi)什么，靠自學(xué)就能成專家。“當(dāng)時(shí)網(wǎng)上有很多互聯(lián)網(wǎng)技術(shù)教程和討論社區(qū)，只要肯學(xué)，每個(gè)人都能成為技術(shù)高手，安全技術(shù)絕不是學(xué)校里能教出來(lái)的。”
大學(xué)四年，方小頓幾乎全都在研究黑客技術(shù)。要知道，網(wǎng)絡(luò)安全從來(lái)都是攻防一體，黑客的段位都是通過(guò)實(shí)戰(zhàn)練出來(lái)的。所以，方小頓黑過(guò)學(xué)校的網(wǎng)站，自己做網(wǎng)絡(luò)技術(shù)類的社區(qū)網(wǎng)站，當(dāng)時(shí)研究網(wǎng)絡(luò)技術(shù)的小團(tuán)體之間經(jīng)常上演技術(shù)“火拼”，而方小頓都是主力。“那時(shí)候大家互相黑來(lái)黑去地比技術(shù)，2004年前后，整個(gè)互聯(lián)網(wǎng)還不像現(xiàn)在這樣深入每個(gè)人的生活，網(wǎng)絡(luò)安全還只是純技術(shù)性的存在。后來(lái)沒(méi)的黑了，我們就找一些常用的軟件漏洞，發(fā)現(xiàn)之后告訴開(kāi)發(fā)人員就覺(jué)得很有成就感。”
起初因?yàn)楹猛娌抛龅氖?，卻為方小頓提供了第一份工作，也讓他誤打誤撞成為了真正意義上的網(wǎng)絡(luò)安全工程師。2006年，即將畢業(yè)的方小頓發(fā)現(xiàn)了一家軟件公司的產(chǎn)品漏洞，當(dāng)時(shí)這家公司服務(wù)幾十萬(wàn)客戶，通過(guò)這些客戶可以輻射到上億用戶。
“發(fā)現(xiàn)漏洞后我就通過(guò)互聯(lián)網(wǎng)社區(qū)聯(lián)系到公司的人，他們聽(tīng)了之后很好奇，邀請(qǐng)我到北京和他們老總聊聊。”方小頓說(shuō)，“我們相談甚歡，畢業(yè)之后我就進(jìn)入這家公司，專門負(fù)責(zé)軟件的安全防護(hù)工作。”
百度挖角變身安全專家
從某種意義上說(shuō)，方小頓也是“黑客”，但并不是攪局者。2008年，方小頓在網(wǎng)絡(luò)安全領(lǐng)域早已如魚得水，不斷有互聯(lián)網(wǎng)公司前來(lái)挖角，而最讓方小頓心動(dòng)的，是百度。
互聯(lián)網(wǎng)公司的“碼農(nóng)”和“技術(shù)猿”們有一個(gè)習(xí)慣，就是“混社區(qū)”。這些大大小小的網(wǎng)上技術(shù)社區(qū)是中國(guó)互聯(lián)網(wǎng)高手和黑客的集散地，這種組織極其松散，大家都以網(wǎng)名相稱，但就是這樣的網(wǎng)絡(luò)論壇卻嚴(yán)格地論資排輩。
“在我們的安全社區(qū)里，只要你足夠優(yōu)秀，有很多人會(huì)推薦你，百度就是通過(guò)這個(gè)社區(qū)找到我的。”方小頓說(shuō)，當(dāng)時(shí)考慮的是，雖然在軟件公司工作了兩年，但還沒(méi)有嘗試過(guò)面對(duì)一個(gè)大公司的大平臺(tái)。“因此我打算換個(gè)環(huán)境，看看自己在大平臺(tái)中能不能做好安全技術(shù)。”
從2008年進(jìn)入百度到2011年離開(kāi)，方小頓在百度一步步做到了高級(jí)安全工程師，主要責(zé)任是抵御黑客入侵，而百度的安全團(tuán)隊(duì)也由最初的五六人發(fā)展成為30余人的“黑客防護(hù)墻”。
談到離開(kāi)百度的原因，方小頓說(shuō)，主要還是因?yàn)槔硐耄肜米约旱募夹g(shù)為更多的互聯(lián)網(wǎng)公司解決安全問(wèn)題。“一名白帽子黑客除了要在技術(shù)方面感興趣之外，另一點(diǎn)就是必須擁有一個(gè)正能量的理想。”事實(shí)上，百度的主體業(yè)務(wù)是搜索引擎，因而在整個(gè)互聯(lián)網(wǎng)領(lǐng)域具有局限性，對(duì)于當(dāng)時(shí)的方小頓來(lái)說(shuō)，百度留給他施展的空間已極為有限。“在百度永遠(yuǎn)只能做百度的事，整個(gè)互聯(lián)網(wǎng)除了百度還有很大的空間，于是我就想，能不能在更大的空間里做點(diǎn)事。”
掌門烏云一時(shí)名聲大噪
其實(shí)，早在2010年7月，方小頓就聯(lián)合新浪、360的兩個(gè)白帽子工程師，一起創(chuàng)立了烏云網(wǎng)，當(dāng)時(shí)創(chuàng)立的目的是為了解決百度以及和百度類似企業(yè)的問(wèn)題。談到“烏云”名字的來(lái)歷，方小頓表示，當(dāng)時(shí)云技術(shù)發(fā)展勢(shì)頭強(qiáng)勁，很多企業(yè)都在談云的便捷、低成本，但其實(shí)以前出一個(gè)問(wèn)題只影響一兩個(gè)用戶，使用云技術(shù)之后可能影響上千萬(wàn)的人。“烏云就是想告訴大家，云技術(shù)是有風(fēng)險(xiǎn)的，烏云就是一個(gè)預(yù)警。”
鑒于自己做的是得罪人的事，烏云從成立的第一天起就定位為介于白帽子和企業(yè)之間的非營(yíng)利組織。2011年，剛成立一年的烏云網(wǎng)連續(xù)披露京東、支付寶、網(wǎng)易等著名互聯(lián)網(wǎng)企業(yè)存在高危漏洞。此后，烏云更是指出支付寶2500萬(wàn)用戶資料泄露、如家酒店開(kāi)房信息泄露、騰訊7000萬(wàn)QQ群用戶數(shù)據(jù)泄露等一系列安全問(wèn)題，幾乎戰(zhàn)戰(zhàn)告捷，一時(shí)間烏云名聲大噪。
“我們是從一個(gè)小的技術(shù)圈子里發(fā)展起來(lái)的，所以最開(kāi)始只關(guān)注大的互聯(lián)網(wǎng)公司，后來(lái)很多白帽子會(huì)提交政府部門、大型央企網(wǎng)站的漏洞報(bào)告，但作為第三方機(jī)構(gòu)，我們很難和這些機(jī)構(gòu)協(xié)調(diào)，讓他們提供改進(jìn)信息。”正在方小頓苦于如何解決這一問(wèn)題的當(dāng)口，2011年底，工信部下屬“國(guó)家信息安全漏洞共享平臺(tái)”的負(fù)責(zé)人主動(dòng)找上門來(lái)尋求合作，希望烏云能夠共享數(shù)據(jù)信息，由該平臺(tái)出面推動(dòng)政府、央企改進(jìn)系統(tǒng)。
“目前烏云的贊助方有兩個(gè)：國(guó)家信息安全漏洞共享平臺(tái)和廣東省信息安全測(cè)評(píng)中心，他們會(huì)每年定期提供資金，基本能夠覆蓋我們的成本。”方小頓說(shuō)，“而借助這兩大平臺(tái)，烏云就成為涵蓋互聯(lián)網(wǎng)公司、金融、大中型企業(yè)、政府機(jī)構(gòu)網(wǎng)站的全行業(yè)漏洞入口。”
自稱工程師不愿做商人
盡管拉來(lái)了贊助方，但2011年仍舊是烏云最困難的時(shí)期。2011年12月，烏云披露了國(guó)內(nèi)知名技術(shù)社區(qū)CSDN的600余萬(wàn)用戶資料被泄露的消息。數(shù)據(jù)公開(kāi)后，很多人利用這一數(shù)據(jù)攻擊其他企業(yè)，一時(shí)間烏云被廣泛質(zhì)疑。12月29日，烏云網(wǎng)宣布暫時(shí)關(guān)閉，稱今后將選擇性披露漏洞以降低影響。半個(gè)月之后，重新調(diào)整披露規(guī)則的烏云網(wǎng)恢復(fù)訪問(wèn)。
方小頓說(shuō)，烏云在創(chuàng)立之初要花很多時(shí)間和企業(yè)、監(jiān)管部門解釋烏云的作用僅僅相當(dāng)于安全預(yù)警，并不是黑客行為。截至目前，烏云共披露了近5萬(wàn)個(gè)網(wǎng)絡(luò)安全漏洞，包括攜程、騰訊、淘寶等知名企業(yè)在內(nèi)的524家廠商在烏云注冊(cè)。而烏云的技術(shù)團(tuán)隊(duì)——白帽子也已達(dá)到5000名，這些白帽黑客有各大公司的網(wǎng)絡(luò)安全工程師，有IT從業(yè)人員，也有白領(lǐng)、律師甚至廚師。隨著知名度的提高，越來(lái)越多的人開(kāi)始接納烏云。
不過(guò)，質(zhì)疑烏云的聲音也不少。黑客圈內(nèi)有這樣一種說(shuō)法：黑客入侵網(wǎng)站盜取信息后，只要在烏云網(wǎng)向廠商提交漏洞，就可以洗白。在只有獲得審核的白帽子才能進(jìn)入的烏云網(wǎng)非公開(kāi)論壇上，黑色產(chǎn)業(yè)、網(wǎng)賺、網(wǎng)絡(luò)戰(zhàn)爭(zhēng)等話題都有專門的討論板塊，烏云一度被指為“中國(guó)最大的黑客培訓(xùn)基地”。
面對(duì)質(zhì)疑，方小頓很淡然。“做網(wǎng)絡(luò)安全的有一個(gè)最大的問(wèn)題就是我們不知道對(duì)手在干什么，設(shè)立這些討論區(qū)是為了研究黑帽子的技術(shù)手段，更好地阻擊黑客。”方小頓說(shuō)，“真正的黑客是不想洗白的，最好不要讓任何人知道他做了什么，怎么還會(huì)主動(dòng)通知企業(yè)。”
其實(shí)，從百度出來(lái)創(chuàng)辦烏云，方小頓的收入降低不少。雖然暫時(shí)不考慮賺錢多少，但方小頓和他的團(tuán)隊(duì)還是對(duì)未來(lái)做了些許商業(yè)構(gòu)想。“現(xiàn)在烏云在發(fā)現(xiàn)問(wèn)題，提供免費(fèi)的預(yù)警信息。未來(lái)圍繞烏云平臺(tái)，我們還可以往前走一步，把白帽子和企業(yè)聯(lián)系起來(lái)，提供改代碼、修復(fù)漏洞等解決方案，這部分服務(wù)是收費(fèi)的。”
方小頓坦言，烏云本身絕不會(huì)變成一個(gè)營(yíng)利性的安全技術(shù)中介，仍會(huì)延續(xù)在線的公益模式。“我覺(jué)得自己仍舊是一個(gè)技術(shù)員，不是商人。”
■名詞解釋·白帽黑客
白帽黑客指那些用自己的黑客技術(shù)來(lái)做“好事”的黑客們，這點(diǎn)和網(wǎng)絡(luò)安全工程師的性質(zhì)有點(diǎn)相同。通常，白帽黑客攻擊他們自己的系統(tǒng)，或被聘請(qǐng)來(lái)攻擊客戶的系統(tǒng)以便進(jìn)行安全審查。
□人物素描 現(xiàn)實(shí)邊緣的理想主義者
初見(jiàn)方小頓是在IT企業(yè)聚集的中關(guān)村，長(zhǎng)發(fā)、T恤、人字拖，看起來(lái)更像是文藝小青年，而不是黑客技術(shù)男。在百度搜索方小頓，傳播最廣的不是烏云，不是白帽黑客，而是他和李彥宏一起上湖南衛(wèi)視《天天向上》節(jié)目時(shí)，給離開(kāi)他的女朋友唱的那首有點(diǎn)走音的《一無(wú)所有》。
方小頓說(shuō)，曾經(jīng)自己對(duì)技術(shù)太過(guò)狂熱，除了吃飯、睡覺(jué)都在網(wǎng)上鉆研技術(shù)。現(xiàn)在執(zhí)掌烏云，事務(wù)性的工作多了，技術(shù)放下不少，唯有僅剩的一點(diǎn)理想從沒(méi)放下。方小頓的理想是，讓網(wǎng)絡(luò)安全問(wèn)題更透明，企業(yè)能更重視安全，白帽子的工資能提高點(diǎn)兒。
不過(guò)，方小頓常說(shuō)，現(xiàn)在的互聯(lián)網(wǎng)行業(yè)環(huán)境不夠好，想要實(shí)現(xiàn)這樣的理想其實(shí)挺難。要知道，白帽子和黑帽子的收入差距就是每月收入一萬(wàn)和每天收入一萬(wàn)的差距。“當(dāng)初做白帽黑客、去百度、做烏云自己都沒(méi)想到，現(xiàn)在烏云和其他平臺(tái)要怎么做也并沒(méi)有完全想好。路是一步步沉淀出來(lái)的，不是想出來(lái)的，烏云現(xiàn)在就只管做好自己的事。”此時(shí)的方小頓又變成了務(wù)實(shí)的理工男。
>>談困境
阻力主要來(lái)自BAT三巨頭
京華時(shí)報(bào)：烏云這種漏洞披露模式企業(yè)認(rèn)可嗎?
方小頓：應(yīng)該說(shuō)大部分企業(yè)還是很認(rèn)可的。但也有企業(yè)希望大家不要在意安全，放心的用他們的軟件，放心的把錢放在他們的賬戶上，而我們做的事情是希望大家重視安全，因此這種不認(rèn)可是有的。
京華時(shí)報(bào)：這種不認(rèn)可多嗎?
方小頓：這種阻力主要來(lái)源于BAT(百度、阿里巴巴、騰訊)?，F(xiàn)在很多企業(yè)對(duì)發(fā)現(xiàn)漏洞的人會(huì)提供獎(jiǎng)勵(lì)或獎(jiǎng)金，他們的獎(jiǎng)金一部分肯定是解決問(wèn)題，但更多的目的是不希望公眾知道有安全問(wèn)題。我們曝出來(lái)的問(wèn)題他們都沒(méi)有獎(jiǎng)勵(lì)過(guò)，只獎(jiǎng)勵(lì)把問(wèn)題交給他們、私底下解決的人。
京華時(shí)報(bào)：既然這樣，BAT的人有私下找你們嗎?
方小頓：最開(kāi)始找過(guò)，我們沒(méi)有同意，因?yàn)槲覀兌ǖ囊?guī)則就是不管基于什么原因一定要對(duì)用戶公開(kāi)。后來(lái)他們改變了策略，就是重金獎(jiǎng)勵(lì)把漏洞問(wèn)題報(bào)給他們的工程師，這個(gè)漏洞就對(duì)用戶封閉了。這里面很好玩。
京華時(shí)報(bào)：這樣是否會(huì)給烏云帶來(lái)一些沖擊?
方小頓：會(huì)有，但是整個(gè)行業(yè)現(xiàn)在越來(lái)越重視安全了，我們也在想怎么通過(guò)更好的方式和BAT對(duì)抗。因?yàn)橹挥泄娏私饴┒春桶踩珕?wèn)題，整個(gè)行業(yè)的動(dòng)力才會(huì)存在，企業(yè)才會(huì)愿意將資金更多地投入在安全領(lǐng)域，白帽子的生存狀態(tài)、公眾的信息安全都能得到更好保障。以前大家對(duì)安全不重視，企業(yè)不投入，白帽子的待遇不好，為了生活就會(huì)有更多人做黑色產(chǎn)業(yè)，我們希望改變這種循環(huán)，讓企業(yè)在面對(duì)安全問(wèn)題的時(shí)候信息更透明。
>>談炒作
有三類人對(duì)我們最不滿意
京華時(shí)報(bào)：有人質(zhì)疑烏云的漏洞披露是為抓眼球的“標(biāo)題黨”，烏云是如何進(jìn)行內(nèi)部監(jiān)管的?
方小頓：我們是特別注意標(biāo)題的，現(xiàn)在我們有3個(gè)人專門負(fù)責(zé)白帽子們提交上來(lái)的漏洞報(bào)告的審核和客觀化處理。但是有一個(gè)矛盾是處理不了的，最近有一個(gè)案例，阿里巴巴認(rèn)為某一個(gè)漏洞危險(xiǎn)級(jí)別很低，但白帽子看了以后覺(jué)得不是這么回事，他就把這個(gè)問(wèn)題拿去演示了一下，發(fā)現(xiàn)這個(gè)問(wèn)題的危險(xiǎn)等級(jí)是高。對(duì)企業(yè)來(lái)說(shuō)肯定是影響越小越好，但對(duì)于白帽子來(lái)說(shuō)是越真實(shí)越好，這樣我們就容易被別人說(shuō)成是“標(biāo)題黨”。但是45天之后，我們會(huì)把漏洞細(xì)節(jié)全部公開(kāi)出來(lái)，到時(shí)候事實(shí)擺在這兒，客觀與否大家來(lái)評(píng)判。
京華時(shí)報(bào)：還有一種質(zhì)疑認(rèn)為，烏云很會(huì)炒作自己，您怎么看待這種聲音?
方小頓：這些聲音都來(lái)的很蹊蹺，企業(yè)一定會(huì)這么說(shuō)。阿里、騰訊的公關(guān)很強(qiáng)大，這種聲音沒(méi)辦法阻止。做什么事都會(huì)有人不滿意，我們只能做好自己的事。我想說(shuō)的是，有三類人對(duì)我們最不滿意：一是希望用戶不要重視安全的大企業(yè)；第二就是黑色產(chǎn)業(yè)，我們直接阻斷了很多黑色產(chǎn)業(yè)鏈；第三就是希望通過(guò)信息封閉來(lái)謀利的企業(yè)，例如一些安全公司以前會(huì)通過(guò)漏洞來(lái)恐嚇用戶，我們公開(kāi)全部信息，對(duì)他們不利。
>>談獎(jiǎng)勵(lì)
企業(yè)給白帽子獎(jiǎng)勵(lì)有監(jiān)管
京華時(shí)報(bào)：白帽子告知企業(yè)系統(tǒng)漏洞后，很多企業(yè)會(huì)給獎(jiǎng)勵(lì)對(duì)嗎?
方小頓：我們是非盈利組織，還是希望做個(gè)橋，現(xiàn)在很多企業(yè)對(duì)白帽子是非常友好的。最近摩登天空音樂(lè)節(jié)，我們曝出了他們的一個(gè)漏洞，主辦方愿意出30張門票獎(jiǎng)勵(lì)白帽子。我們只會(huì)和對(duì)用戶知道安全問(wèn)題持?jǐn)骋晳B(tài)度的人產(chǎn)生矛盾。
京華時(shí)報(bào)：這些人就是BAT?怎么平衡?
方小頓：網(wǎng)絡(luò)社區(qū)的方式和商業(yè)的方式還是不一樣，如果我們是盈利機(jī)構(gòu)那是沒(méi)辦法平衡的。所以烏云和BAT并不是對(duì)立的，我們現(xiàn)在也在嘗試和他們的高層溝通，但我想還需要很長(zhǎng)的時(shí)間。
京華時(shí)報(bào)：企業(yè)給的獎(jiǎng)勵(lì)是否有管理機(jī)制?
方小頓：通常我們會(huì)讓企業(yè)和白帽子直接聯(lián)系，給他們寄小禮品。工信部的贊助會(huì)定期給一些小獎(jiǎng)品，定期可能會(huì)出一些書，這些我們都有監(jiān)管。
>>談安全
目前國(guó)內(nèi)網(wǎng)絡(luò)安全才及格
京華時(shí)報(bào)：您認(rèn)為國(guó)內(nèi)的網(wǎng)絡(luò)安全處在什么水平?
方小頓：坦白講，國(guó)內(nèi)的互聯(lián)網(wǎng)安全在2011年之前都很差，現(xiàn)在好很多，但跟美國(guó)比還有很大差距，只能打個(gè)及格分?，F(xiàn)在我國(guó)的互聯(lián)網(wǎng)安全還不夠公開(kāi)透明。
京華時(shí)報(bào)：攜程漏洞事件之后，您認(rèn)為網(wǎng)絡(luò)安全和使用方便兩者之間是否矛盾?
方小頓：不存在本質(zhì)上的矛盾，可能在具體的方案上有矛盾，但這種矛盾是可以通過(guò)其他方案來(lái)彌補(bǔ)的。安全和方便之間應(yīng)該遵循什么樣的度呢？我認(rèn)為如果是涉及錢的，以及個(gè)人的核心信息，一定是安全為先。
