烏云網(wǎng)的創(chuàng)始人方小頓。京華時(shí)報(bào)記者蒲東峰攝
□人物故事
自學(xué)成才的黑客達(dá)人
2002年，15歲的湖北小伙子方小頓考上了哈爾濱理工大學(xué)化學(xué)專業(yè)。“小時(shí)候一直對計(jì)算機(jī)很感興趣，大學(xué)課余時(shí)間多，我就自己研究互聯(lián)網(wǎng)技術(shù)。”在方小頓眼中，技術(shù)其實(shí)沒什么，靠自學(xué)就能成專家。“當(dāng)時(shí)網(wǎng)上有很多互聯(lián)網(wǎng)技術(shù)教程和討論社區(qū)，只要肯學(xué)，每個人都能成為技術(shù)高手，安全技術(shù)絕不是學(xué)校里能教出來的。”
大學(xué)四年，方小頓幾乎全都在研究黑客技術(shù)。要知道，網(wǎng)絡(luò)安全從來都是攻防一體，黑客的段位都是通過實(shí)戰(zhàn)練出來的。所以，方小頓黑過學(xué)校的網(wǎng)站，自己做網(wǎng)絡(luò)技術(shù)類的社區(qū)網(wǎng)站，當(dāng)時(shí)研究網(wǎng)絡(luò)技術(shù)的小團(tuán)體之間經(jīng)常上演技術(shù)“火拼”，而方小頓都是主力。“那時(shí)候大家互相黑來黑去地比技術(shù)，2004年前后，整個互聯(lián)網(wǎng)還不像現(xiàn)在這樣深入每個人的生活，網(wǎng)絡(luò)安全還只是純技術(shù)性的存在。后來沒的黑了，我們就找一些常用的軟件漏洞，發(fā)現(xiàn)之后告訴開發(fā)人員就覺得很有成就感。”
起初因?yàn)楹猛娌抛龅氖拢瑓s為方小頓提供了第一份工作，也讓他誤打誤撞成為了真正意義上的網(wǎng)絡(luò)安全工程師。2006年，即將畢業(yè)的方小頓發(fā)現(xiàn)了一家軟件公司的產(chǎn)品漏洞，當(dāng)時(shí)這家公司服務(wù)幾十萬客戶，通過這些客戶可以輻射到上億用戶。
“發(fā)現(xiàn)漏洞后我就通過互聯(lián)網(wǎng)社區(qū)聯(lián)系到公司的人，他們聽了之后很好奇，邀請我到北京和他們老總聊聊。”方小頓說，“我們相談甚歡，畢業(yè)之后我就進(jìn)入這家公司，專門負(fù)責(zé)軟件的安全防護(hù)工作。”
百度挖角變身安全專家
從某種意義上說，方小頓也是“黑客”，但并不是攪局者。2008年，方小頓在網(wǎng)絡(luò)安全領(lǐng)域早已如魚得水，不斷有互聯(lián)網(wǎng)公司前來挖角，而最讓方小頓心動的，是百度。
互聯(lián)網(wǎng)公司的“碼農(nóng)”和“技術(shù)猿”們有一個習(xí)慣，就是“混社區(qū)”。這些大大小小的網(wǎng)上技術(shù)社區(qū)是中國互聯(lián)網(wǎng)高手和黑客的集散地，這種組織極其松散，大家都以網(wǎng)名相稱，但就是這樣的網(wǎng)絡(luò)論壇卻嚴(yán)格地論資排輩。
“在我們的安全社區(qū)里，只要你足夠優(yōu)秀，有很多人會推薦你，百度就是通過這個社區(qū)找到我的。”方小頓說，當(dāng)時(shí)考慮的是，雖然在軟件公司工作了兩年，但還沒有嘗試過面對一個大公司的大平臺。“因此我打算換個環(huán)境，看看自己在大平臺中能不能做好安全技術(shù)。”
從2008年進(jìn)入百度到2011年離開，方小頓在百度一步步做到了高級安全工程師，主要責(zé)任是抵御黑客入侵，而百度的安全團(tuán)隊(duì)也由最初的五六人發(fā)展成為30余人的“黑客防護(hù)墻”。
談到離開百度的原因，方小頓說，主要還是因?yàn)槔硐耄肜米约旱募夹g(shù)為更多的互聯(lián)網(wǎng)公司解決安全問題。“一名白帽子黑客除了要在技術(shù)方面感興趣之外，另一點(diǎn)就是必須擁有一個正能量的理想。”事實(shí)上，百度的主體業(yè)務(wù)是搜索引擎，因而在整個互聯(lián)網(wǎng)領(lǐng)域具有局限性，對于當(dāng)時(shí)的方小頓來說，百度留給他施展的空間已極為有限。“在百度永遠(yuǎn)只能做百度的事，整個互聯(lián)網(wǎng)除了百度還有很大的空間，于是我就想，能不能在更大的空間里做點(diǎn)事。”
掌門烏云一時(shí)名聲大噪
其實(shí)，早在2010年7月，方小頓就聯(lián)合新浪、360的兩個白帽子工程師，一起創(chuàng)立了烏云網(wǎng)，當(dāng)時(shí)創(chuàng)立的目的是為了解決百度以及和百度類似企業(yè)的問題。談到“烏云”名字的來歷，方小頓表示，當(dāng)時(shí)云技術(shù)發(fā)展勢頭強(qiáng)勁，很多企業(yè)都在談云的便捷、低成本，但其實(shí)以前出一個問題只影響一兩個用戶，使用云技術(shù)之后可能影響上千萬的人。“烏云就是想告訴大家，云技術(shù)是有風(fēng)險(xiǎn)的，烏云就是一個預(yù)警。”
鑒于自己做的是得罪人的事，烏云從成立的第一天起就定位為介于白帽子和企業(yè)之間的非營利組織。2011年，剛成立一年的烏云網(wǎng)連續(xù)披露京東、支付寶、網(wǎng)易等著名互聯(lián)網(wǎng)企業(yè)存在高危漏洞。此后，烏云更是指出支付寶2500萬用戶資料泄露、如家酒店開房信息泄露、騰訊7000萬QQ群用戶數(shù)據(jù)泄露等一系列安全問題，幾乎戰(zhàn)戰(zhàn)告捷，一時(shí)間烏云名聲大噪。
“我們是從一個小的技術(shù)圈子里發(fā)展起來的，所以最開始只關(guān)注大的互聯(lián)網(wǎng)公司，后來很多白帽子會提交政府部門、大型央企網(wǎng)站的漏洞報(bào)告，但作為第三方機(jī)構(gòu)，我們很難和這些機(jī)構(gòu)協(xié)調(diào)，讓他們提供改進(jìn)信息。”正在方小頓苦于如何解決這一問題的當(dāng)口，2011年底，工信部下屬“國家信息安全漏洞共享平臺”的負(fù)責(zé)人主動找上門來尋求合作，希望烏云能夠共享數(shù)據(jù)信息，由該平臺出面推動政府、央企改進(jìn)系統(tǒng)。
“目前烏云的贊助方有兩個：國家信息安全漏洞共享平臺和廣東省信息安全測評中心，他們會每年定期提供資金，基本能夠覆蓋我們的成本。”方小頓說，“而借助這兩大平臺，烏云就成為涵蓋互聯(lián)網(wǎng)公司、金融、大中型企業(yè)、政府機(jī)構(gòu)網(wǎng)站的全行業(yè)漏洞入口。”
自稱工程師不愿做商人
盡管拉來了贊助方，但2011年仍舊是烏云最困難的時(shí)期。2011年12月，烏云披露了國內(nèi)知名技術(shù)社區(qū)CSDN的600余萬用戶資料被泄露的消息。數(shù)據(jù)公開后，很多人利用這一數(shù)據(jù)攻擊其他企業(yè)，一時(shí)間烏云被廣泛質(zhì)疑。12月29日，烏云網(wǎng)宣布暫時(shí)關(guān)閉，稱今后將選擇性披露漏洞以降低影響。半個月之后，重新調(diào)整披露規(guī)則的烏云網(wǎng)恢復(fù)訪問。
方小頓說，烏云在創(chuàng)立之初要花很多時(shí)間和企業(yè)、監(jiān)管部門解釋烏云的作用僅僅相當(dāng)于安全預(yù)警，并不是黑客行為。截至目前，烏云共披露了近5萬個網(wǎng)絡(luò)安全漏洞，包括攜程、騰訊、淘寶等知名企業(yè)在內(nèi)的524家廠商在烏云注冊。而烏云的技術(shù)團(tuán)隊(duì)——白帽子也已達(dá)到5000名，這些白帽黑客有各大公司的網(wǎng)絡(luò)安全工程師，有IT從業(yè)人員，也有白領(lǐng)、律師甚至廚師。隨著知名度的提高，越來越多的人開始接納烏云。
不過，質(zhì)疑烏云的聲音也不少。黑客圈內(nèi)有這樣一種說法：黑客入侵網(wǎng)站盜取信息后，只要在烏云網(wǎng)向廠商提交漏洞，就可以洗白。在只有獲得審核的白帽子才能進(jìn)入的烏云網(wǎng)非公開論壇上，黑色產(chǎn)業(yè)、網(wǎng)賺、網(wǎng)絡(luò)戰(zhàn)爭等話題都有專門的討論板塊，烏云一度被指為“中國最大的黑客培訓(xùn)基地”。
面對質(zhì)疑，方小頓很淡然。“做網(wǎng)絡(luò)安全的有一個最大的問題就是我們不知道對手在干什么，設(shè)立這些討論區(qū)是為了研究黑帽子的技術(shù)手段，更好地阻擊黑客。”方小頓說，“真正的黑客是不想洗白的，最好不要讓任何人知道他做了什么，怎么還會主動通知企業(yè)。”
其實(shí)，從百度出來創(chuàng)辦烏云，方小頓的收入降低不少。雖然暫時(shí)不考慮賺錢多少，但方小頓和他的團(tuán)隊(duì)還是對未來做了些許商業(yè)構(gòu)想。“現(xiàn)在烏云在發(fā)現(xiàn)問題，提供免費(fèi)的預(yù)警信息。未來圍繞烏云平臺，我們還可以往前走一步，把白帽子和企業(yè)聯(lián)系起來，提供改代碼、修復(fù)漏洞等解決方案，這部分服務(wù)是收費(fèi)的。”
方小頓坦言，烏云本身絕不會變成一個營利性的安全技術(shù)中介，仍會延續(xù)在線的公益模式。“我覺得自己仍舊是一個技術(shù)員，不是商人。”
■名詞解釋·白帽黑客
白帽黑客指那些用自己的黑客技術(shù)來做“好事”的黑客們，這點(diǎn)和網(wǎng)絡(luò)安全工程師的性質(zhì)有點(diǎn)相同。通常，白帽黑客攻擊他們自己的系統(tǒng)，或被聘請來攻擊客戶的系統(tǒng)以便進(jìn)行安全審查。
□人物素描 現(xiàn)實(shí)邊緣的理想主義者
初見方小頓是在IT企業(yè)聚集的中關(guān)村，長發(fā)、T恤、人字拖，看起來更像是文藝小青年，而不是黑客技術(shù)男。在百度搜索方小頓，傳播最廣的不是烏云，不是白帽黑客，而是他和李彥宏一起上湖南衛(wèi)視《天天向上》節(jié)目時(shí)，給離開他的女朋友唱的那首有點(diǎn)走音的《一無所有》。
方小頓說，曾經(jīng)自己對技術(shù)太過狂熱，除了吃飯、睡覺都在網(wǎng)上鉆研技術(shù)?，F(xiàn)在執(zhí)掌烏云，事務(wù)性的工作多了，技術(shù)放下不少，唯有僅剩的一點(diǎn)理想從沒放下。方小頓的理想是，讓網(wǎng)絡(luò)安全問題更透明，企業(yè)能更重視安全，白帽子的工資能提高點(diǎn)兒。
不過，方小頓常說，現(xiàn)在的互聯(lián)網(wǎng)行業(yè)環(huán)境不夠好，想要實(shí)現(xiàn)這樣的理想其實(shí)挺難。要知道，白帽子和黑帽子的收入差距就是每月收入一萬和每天收入一萬的差距。“當(dāng)初做白帽黑客、去百度、做烏云自己都沒想到，現(xiàn)在烏云和其他平臺要怎么做也并沒有完全想好。路是一步步沉淀出來的，不是想出來的，烏云現(xiàn)在就只管做好自己的事。”此時(shí)的方小頓又變成了務(wù)實(shí)的理工男。
>>談困境
阻力主要來自BAT三巨頭
京華時(shí)報(bào)：烏云這種漏洞披露模式企業(yè)認(rèn)可嗎?
方小頓：應(yīng)該說大部分企業(yè)還是很認(rèn)可的。但也有企業(yè)希望大家不要在意安全，放心的用他們的軟件，放心的把錢放在他們的賬戶上，而我們做的事情是希望大家重視安全，因此這種不認(rèn)可是有的。
京華時(shí)報(bào)：這種不認(rèn)可多嗎?
方小頓：這種阻力主要來源于BAT(百度、阿里巴巴、騰訊)?，F(xiàn)在很多企業(yè)對發(fā)現(xiàn)漏洞的人會提供獎勵或獎金，他們的獎金一部分肯定是解決問題，但更多的目的是不希望公眾知道有安全問題。我們曝出來的問題他們都沒有獎勵過，只獎勵把問題交給他們、私底下解決的人。
京華時(shí)報(bào)：既然這樣，BAT的人有私下找你們嗎?
方小頓：最開始找過，我們沒有同意，因?yàn)槲覀兌ǖ囊?guī)則就是不管基于什么原因一定要對用戶公開。后來他們改變了策略，就是重金獎勵把漏洞問題報(bào)給他們的工程師，這個漏洞就對用戶封閉了。這里面很好玩。
京華時(shí)報(bào)：這樣是否會給烏云帶來一些沖擊?
方小頓：會有，但是整個行業(yè)現(xiàn)在越來越重視安全了，我們也在想怎么通過更好的方式和BAT對抗。因?yàn)橹挥泄娏私饴┒春桶踩珕栴}，整個行業(yè)的動力才會存在，企業(yè)才會愿意將資金更多地投入在安全領(lǐng)域，白帽子的生存狀態(tài)、公眾的信息安全都能得到更好保障。以前大家對安全不重視，企業(yè)不投入，白帽子的待遇不好，為了生活就會有更多人做黑色產(chǎn)業(yè)，我們希望改變這種循環(huán)，讓企業(yè)在面對安全問題的時(shí)候信息更透明。
>>談炒作
有三類人對我們最不滿意
京華時(shí)報(bào)：有人質(zhì)疑烏云的漏洞披露是為抓眼球的“標(biāo)題黨”，烏云是如何進(jìn)行內(nèi)部監(jiān)管的?
方小頓：我們是特別注意標(biāo)題的，現(xiàn)在我們有3個人專門負(fù)責(zé)白帽子們提交上來的漏洞報(bào)告的審核和客觀化處理。但是有一個矛盾是處理不了的，最近有一個案例，阿里巴巴認(rèn)為某一個漏洞危險(xiǎn)級別很低，但白帽子看了以后覺得不是這么回事，他就把這個問題拿去演示了一下，發(fā)現(xiàn)這個問題的危險(xiǎn)等級是高。對企業(yè)來說肯定是影響越小越好，但對于白帽子來說是越真實(shí)越好，這樣我們就容易被別人說成是“標(biāo)題黨”。但是45天之后，我們會把漏洞細(xì)節(jié)全部公開出來，到時(shí)候事實(shí)擺在這兒，客觀與否大家來評判。
京華時(shí)報(bào)：還有一種質(zhì)疑認(rèn)為，烏云很會炒作自己，您怎么看待這種聲音?
方小頓：這些聲音都來的很蹊蹺，企業(yè)一定會這么說。阿里、騰訊的公關(guān)很強(qiáng)大，這種聲音沒辦法阻止。做什么事都會有人不滿意，我們只能做好自己的事。我想說的是，有三類人對我們最不滿意：一是希望用戶不要重視安全的大企業(yè)；第二就是黑色產(chǎn)業(yè)，我們直接阻斷了很多黑色產(chǎn)業(yè)鏈；第三就是希望通過信息封閉來謀利的企業(yè)，例如一些安全公司以前會通過漏洞來恐嚇用戶，我們公開全部信息，對他們不利。
>>談獎勵
企業(yè)給白帽子獎勵有監(jiān)管
京華時(shí)報(bào)：白帽子告知企業(yè)系統(tǒng)漏洞后，很多企業(yè)會給獎勵對嗎?
方小頓：我們是非盈利組織，還是希望做個橋，現(xiàn)在很多企業(yè)對白帽子是非常友好的。最近摩登天空音樂節(jié)，我們曝出了他們的一個漏洞，主辦方愿意出30張門票獎勵白帽子。我們只會和對用戶知道安全問題持?jǐn)骋晳B(tài)度的人產(chǎn)生矛盾。
京華時(shí)報(bào)：這些人就是BAT?怎么平衡?
方小頓：網(wǎng)絡(luò)社區(qū)的方式和商業(yè)的方式還是不一樣，如果我們是盈利機(jī)構(gòu)那是沒辦法平衡的。所以烏云和BAT并不是對立的，我們現(xiàn)在也在嘗試和他們的高層溝通，但我想還需要很長的時(shí)間。
京華時(shí)報(bào)：企業(yè)給的獎勵是否有管理機(jī)制?
方小頓：通常我們會讓企業(yè)和白帽子直接聯(lián)系，給他們寄小禮品。工信部的贊助會定期給一些小獎品，定期可能會出一些書，這些我們都有監(jiān)管。
>>談安全
目前國內(nèi)網(wǎng)絡(luò)安全才及格
京華時(shí)報(bào)：您認(rèn)為國內(nèi)的網(wǎng)絡(luò)安全處在什么水平?
方小頓：坦白講，國內(nèi)的互聯(lián)網(wǎng)安全在2011年之前都很差，現(xiàn)在好很多，但跟美國比還有很大差距，只能打個及格分?，F(xiàn)在我國的互聯(lián)網(wǎng)安全還不夠公開透明。
京華時(shí)報(bào)：攜程漏洞事件之后，您認(rèn)為網(wǎng)絡(luò)安全和使用方便兩者之間是否矛盾?
方小頓：不存在本質(zhì)上的矛盾，可能在具體的方案上有矛盾，但這種矛盾是可以通過其他方案來彌補(bǔ)的。安全和方便之間應(yīng)該遵循什么樣的度呢？我認(rèn)為如果是涉及錢的，以及個人的核心信息，一定是安全為先。
