漏洞一响,黄金万两

2013-05-14 16:49李斐然
意林 2013年19期
关键词:卡利扎克失业

李斐然

世界上有两种人可以靠找碴扬名立万——给新媳妇挑毛病的婆婆,给互联网公司找漏洞的黑客。比如说巴勒斯坦小伙子卡利尔,就靠给Facebook挑刺儿大赚了一笔。

这位胖乎乎的巴勒斯坦程序员前段时间失业了,每天闲着无事在Facebook上乱逛,结果就撞上了网站漏洞。他给技术人员写了几次信,都没人搭理。没办法,他只好跑到Facebook老总马克·扎克伯格的主页上,利用自己发现的漏洞“黑”了他的网页留言说:“亲爱的扎克伯格,抱歉黑掉了你的页面,可是我没别的办法,我只是想告诉你们,我发现了一个漏洞。”

别觉得卡利尔是在大惊小怪,这可是失业的他赚钱的好机会。在重视账户安全的互联网公司,找到漏洞可是很值钱的。很多公司都有漏洞奖励项目,漏洞一响,黄金万两。在过去3年的时间里,谷歌公司已经为漏洞花掉了200万美元。

Facebook向来也对漏洞奖励很大方。本月初公布的数据显示,他们于2011年启动的漏洞奖励项目已经向来自全世界的329人发放了100万美元,对于那些经常报告漏洞的黑客,他们甚至直接给对方办好了信用卡,方便隔三岔五为漏洞付费。

“就算我们对信息安全的投入再大,我们的团队都永远不可能拥有世界上全部最聪明的人才,也无法以所有方式去看待一个复杂多变且问题重重的系统。”Facebook在漏洞奖励公告中说,“漏洞奖励计划可以帮助我们找到来自全世界的人才,我们可以借由这些背景不同的人,以不同的角度看待问题。”

当然了,同样是程序出了毛病,漏洞也分高低贵贱。最值钱的漏洞之一就是“零日漏洞”。这种漏洞的特点是破坏力极大,发现后可以立即发动攻击,而这时候其他人还丝毫没有察觉到漏洞的存在,安全人员来不及发布补丁,所以这种攻击完全是“零”时差。据媒体报道,在私底下,苹果iOS系统的零日漏洞曾经叫价到每个50万美元。

一旦零日漏洞被利用,后果将不亚于一场战争。据《纽约时报》报道,美国官员承认,美国国家安全局曾经和以色列联手,利用Windows等系统的零日漏洞,发动名为“超级工厂病毒”的蠕虫项目攻击。这场攻击没有出动一兵一卒,却依靠起初不被注意的零日漏洞,让病毒长期潜伏在世界许多国家工厂里面,暗中控制工厂计算机的运作。

谁也不知道这场攻击始于何时,但在2010年被发现的时候,超级工厂病毒已经控制了伊朗铀浓缩设施中30%的计算机,成功地摧毁了伊朗五分之一的离心器,导致伊朗一度暂时关闭了核设施和核电厂。美国和以色列的官员后来对媒体表示,伊朗的核武器项目因此倒退了好几年。

只要功夫深,谁都有机会。像卡利尔,虽然没有找到零日漏洞,但是他所发现的Facebook漏洞还是让他迅速得到了重视。Facebook的工程师几分钟后就联系到了他,向他详细咨询了漏洞的情况,很快修复了这个问题。

可是,卡利尔却并没有得到Facebook一毛钱的奖励,网站的负责人解释说,卡利尔提出的漏洞很有意义,但“关键的问题在于你如何报告这个漏洞的存在——未经同意利用他人的真实账号做一个展示显然不行。我们无法接受利用漏洞对真实用户造成影响的行为”。

尽管Facebook不肯掏钱,但支持卡利尔的人们却在网上发起捐赠,给他筹集了11000美元做漏洞奖励。另外,拜这个漏洞所赐,卡利尔可能也快要摆脱失业状态了。不少公司看到卡利尔发现的漏洞后,邀请他来工作。

“作为一个巴勒斯坦人,我为能够找出Facebook的漏洞感到骄傲。”卡利尔说,“我和所有人一样,期待找到一份好工作,开始正常的生活。”

猜你喜欢
卡利扎克失业
冬天的画稿
失业预警
小刺猬的水果梦
无人机 会有时——飞行员的失业时代
扎克伯格写给初生女儿的信
浅谈扎克里(Zachery)绿松石的鉴定特征
不同类型失业青年的生存现状与发展趋势
哥伦比亚卡利八年来首只粉红色火烈鸟降生
幽默漫画
失业了