零日漏洞市场不为人知的故事
码的人,都开始对我有了戒备。我被谢绝参加黑客论坛,甚至还有人一度在暗网上出钱雇人入侵我的邮件或手机。但我无意中了解的信息,是我继续征程的动力。 世界的基础设施竞争已转到线上,数据也不例外。而访问这些系统和数据最可靠的方法就是零日漏洞。零日漏洞已经成为美国间谍活动和作战计划的关键组件。斯诺登事件已经明确,美国是该领域最大的玩家,但我知道并不只有美国一家,高压政权正在赶上,为了满足需求,便很快的催生出这样一个市场。漏洞到处都是,许多是我们自己制造出来的,而那些强大的力量(包括我们的政府)一直在为这种环境提供保证,因此许多人不想让这些故事公之于众。 在零日市场的早期,花了数年的时间才找到一个愿意讲话的人。许多人从来不予回应,有些人干脆直接挂断电话。还有人对我说,不只是他不能和我讲这个市场,他还警告了所有他认识的人不能和我讲这个市场上的事。他还告诉我,如果我继续下去,我会把自己置于“危险”之中。 “你会到处碰壁的,妮可”--彼时国防部长Leon Panetta “祝你好运”--前国家安全局局长Michael Hayden 做这一行,把嘴管严是必须的。每一笔交易都需要谨慎,大多数都是保密协议。谁的保密性做的好,政府就越愿意和他交易,他就会越赚钱。反之则反之。一个居住在曼谷的南非人,叫格鲁格,在推特上有超过1万个粉丝。2012年,公开的与一个记者谈论漏洞交易,还出现在《福布斯》杂志上。结果被列入“不受欢迎的人”,政府不再与他交易。没有人愿意步他的后尘,所以我只能搜寻公开的的资料,并以此深入下去,直到我找到了一个零日中间人,才得以了解“不为人知”的零日市场的故事。 ▶ 先驱者 每个市场都是由一次打赌开始的。我所知道的零日市场,开始于一次10美元的赌局,这笔钱是约翰·沃特斯为收购网络安全公司iDefense所愿意付出的价格。那是在2002年的夏天,沃特斯是一名对网络安全一无所知的德克萨斯人。他认为,对于一家月烧钱百万美元而且还不知道啥时能挽回损失的公司而言,10美元已经是一个相当不错的出价了。当时正处于互联网泡沫破灭的时期,iDefense已经数周没有发出工资,纳斯达克指数则达到了历史最低点,5万亿美元的纸上财富在股市蒸发,在接下来的两年中,一半的互联网公司消失,即使是iDefense的员工也认为公司没有机会了。 iDefense是一家威胁情报公司,主要的客户是大银行和一些政府机构。通常情况下,威胁情报意味着软件中的漏洞,攻击者利用这些漏洞入侵受害者的网络并最终盗走他们的数据。但问题是iDefense提供的情报并非独有,许多原始的信息免费收集于像BugTraq这类的黑客论坛。而且就在沃特斯走进iDefense总部的那一天,iDefense很可能会失去BugTraq的访问机会。因为就在当天,网安巨头赛门铁克以7500万美元的价格收购了BugTraq的运营方SecurityFocus。如果赛门铁克关闭外界对BugTrag的访问,iDefense就完蛋了。 大卫·恩德勒,曾在国家安全局任职,桑尼尔·詹姆斯则刚从大学毕业了两年。这两位iDefense实验室的年轻黑客给沃特斯提供了一个“孤注一掷”的方案。他们认为,当今世界存在一个尚未开发的市场,找漏洞。多年来,对于漏洞发现者而言,是没有800电话可打的。不管是发现了何种产品或系统的漏洞或代码错误,对方是不会给予回应的,更多的情况下是律师找过来,要求他们停止对当事企业产品的“刺探”。即使当企业修复了产品问题,这些补丁也往往包含着令人惊诧的错误。
代码每天都会产生漏洞,黑帽子利用这些漏洞来攫取利益,进行间谍活动,造成数字灾难。白帽子则失去了向厂商提交漏洞的动机。厂商则更倾向于用解决人 (编辑:惠州站长网) 【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容! |