TK教主：對漏洞的一些想法

雷鋒網(wǎng)注：該文作者為于旸, 網(wǎng)名“tombkeeper”,人稱“TK教主”,騰訊安全玄武實(shí)驗(yàn)室負(fù)責(zé)人,國際知名的白帽黑客，該文已獲于旸授權(quán)轉(zhuǎn)載。

對安全問題的一個常見誤解是認(rèn)為漏洞是某種像導(dǎo)彈一樣的東西，可以用油紙包起來放到山洞里。但導(dǎo)彈不會消失，而漏洞轉(zhuǎn)瞬即逝。漏洞是動態(tài)的，不斷產(chǎn)生，不斷消失，所以其實(shí)更像電。電一旦發(fā)出來，難以長期保存。所以搞電力建設(shè)，核心不是囤積多少電池，而是建多少電站。對于漏洞來說，“電站”就是安全研究者。

在漏洞研究領(lǐng)域，人和人的差別有多大呢？大到一萬個臭皮匠也頂不了一個諸葛亮。在任何行業(yè)，這種情況都是管理者最不喜歡的，但又是一個客觀事實(shí)。在目前以及可預(yù)見的未來，沒有什么軟件或硬件能代替優(yōu)秀的漏洞研究者。

目前業(yè)界公認(rèn)水平最高的漏洞研究團(tuán)隊(duì)是 Google 的 Project Zero。Project Zero 匯聚了全世界各類漏洞研究方向上最好的一些人，每年都能產(chǎn)出數(shù)量和質(zhì)量驚人的成果。那為什么這些人都愿意去 Project Zero？

Project Zero 的待遇當(dāng)然是很好的。但同樣的待遇，很多公司都能給得出。最主要的原因是 Google 給了 Project Zero 最寬松的氛圍，特別是制度性地允許和鼓勵對研究結(jié)果進(jìn)行完全披露。

對研究者來說，除了薪酬待遇，最重要的是自己的成果能為業(yè)界所知，能自由地進(jìn)行交流。這一點(diǎn)，決定了他們能夠從內(nèi)心中產(chǎn)生強(qiáng)大的自我驅(qū)動力，能對研究的問題晝思夜想，全身心投入。而不會像大多數(shù)人那樣抱著拿一份錢打一份工的想法。不會多工作幾分鐘就認(rèn)為公司占便宜了，自己吃虧了。

2006 年前后，國內(nèi)網(wǎng)絡(luò)安全研究人員的薪酬水平比較低。那幾年 McAfee、Fortinet 等外企從中國挖走了大批優(yōu)秀人才。以至于硅谷有些安全公司研究團(tuán)隊(duì)里一半以上都是華人。2012 年之后，國內(nèi)這個行業(yè)的薪酬情況逐漸好起來，去國外的人就少了，一些已經(jīng)去了國外的人也回來了。

目前國內(nèi)安全研究實(shí)力和美國相比尚有差距，但處于蓬勃發(fā)展的狀態(tài)。相對自由的環(huán)境，讓大批優(yōu)秀的年輕人愿意加入這個行業(yè)，展現(xiàn)才華，獲得屬于自己的成就。如果現(xiàn)在改變這種環(huán)境，讓每個人在發(fā)布研究成果時都思前想后戰(zhàn)戰(zhàn)兢兢，短期內(nèi)也許能獲得些許表面上的平安和穩(wěn)定。但長期來看，一定會對安全人才培養(yǎng)造成非常負(fù)面的影響。

說漏洞像電，漏洞其實(shí)又不像電。三峽的電，如果中國人不發(fā)，別的國家也發(fā)不了。但任何漏洞，如果你沒有足夠的人才來研究，是攔不住別人去研究的。