世纪佳缘钓鱼白帽子：不守规矩让自己更危险

2016-06-28 11:21

文/maomaobear
日前，在第四届网络安全大会上，一封白帽子家属的公开信引发各方关注。按照公开信系统的信息，12月4日，一名乌云网的注册用户袁炜向乌云网提供了世纪佳缘的漏洞信息，并得到了世纪佳缘的认可。
但是，随后的事情是世纪佳缘认为自己4400多条数据被注入，932条信息被读取，随即向公安机关报案。并且以送礼物道谢为名，钓鱼获得了袁炜的真实身份和地址。随即公安进行了抓捕。
袁的父亲认为袁本身并非黑客窃取数据，而是在帮助世纪佳缘测试漏洞，被抓捕并不公平，要求各方帮助。
长期以来，关于黑客与白帽子的身份一直有争论，这次事件更是引发了网络安全界的广泛关注。那么互联网安全的边界应该如何界定呢？
一、明规则与潜规则
中国对计算机信息安全是有严格法律规定的。入侵计算机系统，获取数据，控制权限都是违法的。也就是说白帽子入侵任何计算机系统，无论做了破坏，还是没做破坏，无论是跑了数据，还是没跑，被入侵的公司或者机构都是可以报案的。
这次世纪佳缘认为自己的数据被注入，读取而报案是符合法律规定的，这是明规则。
按照明规则，白帽子必须是被被攻击公司聘请来对自己系统发起攻击，以检验系统的安全性，健壮性。我们经常看到苹果，微软，特斯拉等公司发起过活动，邀请技术人员对自己的产品发起攻击，给破解者若干奖励。
双方也可以通过协议形式，约定一次攻击的权利责任，对系统的安全与健壮性做测试，这是明规则，不涉及违法。
但是，在实际运行中，逐渐出现了另外一种白帽子。这种白帽子并没有经过厂家授权，而是先攻击后通知。
当厂商的服务器接入互联网，这些白帽子就发起攻击，寻找系统漏洞，找到漏洞后给厂商确认，而厂商一般不会去追究这些白帽子的责任，反而会给予金钱或者礼品的回报。
因为厂商知道，这些白帽子发现的漏洞如果不通知自己，就会被黑客广泛利用，造成数据泄漏，删除，服务中止等严重后果。
而且由于网络的匿名性，事后即使报案追查，在有意藏匿身份的黑客面前也是很无力的。因为网络世界是全球的，权力仅仅在一国。跨国的网络犯罪追查成本极高。
所以厂商虽然不太愿意自己的漏洞被发现攻击，但是对于提供漏洞信息的白帽子基本还是合作态度。而不会去报案，这是潜规则。
二、世纪佳缘的破例
理论上说，厂商邀请发起攻击，相当于安全测试的外包，厂家出钱，白帽子出力，发现漏洞，提升系统的安全性。
而白帽

余下全部

共有评论0条

<返回

<返回首页