谷歌的黑客梦之队

谷歌广纳黑客奇才,组建了黑客“梦之队”Project Zero,然而它的使命却不只是提高谷歌产品的安全性,它还会帮助其他公司寻找最易被黑客利用的零日漏洞

134f541d3f145051f711915654ac8b75

 

2007年,17岁的乔治·霍茨成为世界上第一个破解iPhone的AT&T锁的人,当时,各家公司都没有理会他,只是忙着修补他披露出来的漏洞。之后,他又对Playstation 3进行了逆向工程开发,索尼起诉了霍茨,最终他答应永远不再攻击索尼的产品。

今年早些时候,当霍茨再次破解了谷歌Chrome的操作系统防护时,谷歌却给了他150,000美元,让他帮助修补他所发现的漏洞。2个月后,谷歌的安全工程师克里斯·埃文斯通过电子邮件向他发出了邀请,询问他是否愿意加入谷歌旗下的一支全职黑客精英部队,这个团队专门查找互联网上所有流行软件的安全漏洞。

现在,谷歌正式对外公布了这支名为Project Zero的团队,他们唯一的使命就是跟踪、修补软件中的潜在漏洞。安全行业将这些发现后即刻被恶意利用的漏洞称为“零日漏洞”,犯罪分子、国家资助的黑客和情报机构都会利用这些漏洞。Project Zero的黑客不仅会寻找谷歌产品中的漏洞,他们还可以自由地攻击其他软件,以迫使其他的公司更好地保护谷歌用户。

fee93de6abc42f584126ba43dbdd0674

 

Project Zero已经在谷歌内部招募了一些成员,组建黑客“梦之队”:齐兰德·本·霍克斯因在2013年发现了Adobe Flash、微软Office应用等的多个漏洞而名声大噪;英国研究员塔维斯·奥曼迪是业内著名的高产“漏洞猎人”之一;上文提到的美国黑客神童乔治·霍茨也将成为该团队的实习生。

为什么谷歌要支付高昂的薪水去修补其他公司代码中的漏洞呢?埃文斯说Project Zero“基本上是利他的”。谷歌为团队成员提供了极大的自由,让他们可以几乎不受限制地钻研安全难题,也许这也是谷歌招聘的筹码,让最顶尖的人才愿意加入谷歌,之后他们可能会转而进行其他的项目。谷歌表示,一个更安全的互联网环境会使得用户愿意点击更多的广告。“如果我们能从整体上提高用户对互联网的信心,那么这对谷歌也是有利的。”埃文斯说。

和其他许多公司一样,多年来谷歌也一直在悬赏寻找漏洞,但是只寻找谷歌软件中的漏洞是不够的,谷歌的许多程序,如谷歌的Chrome浏览器往往会依赖第三方代码,如Adobe的Flash,以及Windows、Mac、Linux操作系统中的一些基础元素。bc53503b8c354d072cc650995b3a740a

据前谷歌安全研究员摩根·马奎斯-鲍伊尔所说,Project Zero概念的诞生可以追溯到2010年的某天深夜,他和埃文斯在苏黎世一家酒吧里的谈话。大约凌晨4点的时候,话题转到了谷歌之外的软件安全问题对谷歌用户的威胁。“对于利用第三方代码编写安全产品的人来说,这是一个非常无奈的问题。”马奎斯-鲍伊尔说,“攻击者会从最弱的地方下手。骑摩托车戴头盔的确有助于安全,但如果你穿着和服骑摩托车的话,头盔是无法保护你的。”

因此谷歌的野心是用谷歌的头脑完善其他公司的产品。当Project Zero的黑客发现一个漏洞后,他们就会对有责任修复这个漏洞的公司发出提示,并给它60到90天的时间发布补丁,之后就会在Project Zero的博客上公布这个漏洞。谷歌表示,对于那些正遭到黑客频繁攻击的漏洞,谷歌会加快行动的速度,向软件开发者施压,要求其在7天内修复漏洞或找到变通的方案。

8492a6a046a14af4fafd4429e3a51a6b

 

在软件数量如此庞大的今天,谷歌的Project Zero是否能根除漏洞还是一个悬而未决的问题。不过,团队成员本·霍克斯表示,该团队不必找到所有的零日漏洞,只要在这些漏洞出现在新的代码中之前,修补这些漏洞即可。并且Project Zero会战略性地选择目标,以最大化“漏洞碰撞”的效果,也就是说谷歌团队发现的某个漏洞,恰巧也是间谍正在秘密利用的漏洞。

现代的黑客往往会将一系列可以攻击的漏洞结合起来,攻破计算机的防线,如果能修复这些漏洞中的一个,那么整个攻击就会失败。也就是说Project Zero只要发现并修补操作系统中的一小部分漏洞,就能阻断黑客的攻击。

“在这个问题上,我们会取得很大的进展。”埃文斯说,“现在是一个很好的时机,相信我们可以阻止零日攻击。”

 

收藏 评论

相关文章

可能感兴趣的话题



直接登录
跳到底部
返回顶部