在網(wǎng)絡(luò)犯罪的世界里,有“黑臉”(利用代碼從事非法活動(dòng)的網(wǎng)絡(luò)犯罪分子)、“白臉”(尋找并彌補(bǔ)技術(shù)漏洞的好人)和“灰臉”(介于好人和壞人中間)的說法;夷槼鲇谏埔,對(duì)技術(shù)漏洞進(jìn)行確認(rèn),并給出建議。他們并未出于惡意或者個(gè)人目的而進(jìn)行網(wǎng)絡(luò)黑客行為,相反,他們之所以違反網(wǎng)絡(luò)規(guī)范,是出于追求更高的共同利益——也就是提高網(wǎng)絡(luò)安全性。
黑臉獲得的“薪酬”非常高。根據(jù)瞻博網(wǎng)絡(luò)委托蘭德公司所做的《網(wǎng)絡(luò)犯罪工具及失竊數(shù)據(jù)市場(chǎng):黑客市場(chǎng)》,報(bào)告顯示,他們經(jīng)營的黑市甚至比非法毒品交易,獲得的利潤還要多。由于獲利頗豐,因此網(wǎng)絡(luò)黑市發(fā)展十分迅速。網(wǎng)絡(luò)犯罪的暴利高得令人發(fā)指。有鑒于此,網(wǎng)絡(luò)犯罪常被壞人利用。既然有這么多的誘惑存在,為何還有人沒有踏上網(wǎng)絡(luò)犯罪之路呢?
網(wǎng)絡(luò)犯罪也是有危害的,只是其危害性并不明顯而已。設(shè)想這樣一個(gè)真實(shí)的生活場(chǎng)景:一個(gè)黑臉用一條滑稽的信息,對(duì)一家大公司的網(wǎng)站進(jìn)行丑化。訪問者對(duì)于該公司的失誤一笑而過,而公司立刻對(duì)網(wǎng)站進(jìn)行清理,安全漏洞隨即被修補(bǔ)好,生活一切照常進(jìn)行?蓪(shí)際情況真的是這樣嗎?
事后,負(fù)責(zé)網(wǎng)站安全的一名員工在論壇上貼出關(guān)于此次黑客行為造成的后果的帖子。原來,黑客事件之后,公司針對(duì)網(wǎng)絡(luò)應(yīng)用的外包團(tuán)隊(duì)采取了法律措施。許多人因此而丟掉了工作。公司本身也遭受了財(cái)務(wù)損失。很明顯,這名黑客讓許多勤奮的專家深受其害,而這一切僅僅是為了找點(diǎn)樂子,并在黑客界贏得一點(diǎn)名聲。當(dāng)然,這種情況的確需要道德標(biāo)尺,不過幫助我們了解對(duì)與錯(cuò) 的道德標(biāo)尺,并不是在網(wǎng)絡(luò)世界中做正確事情的唯一原因。資金獎(jiǎng)勵(lì)也是一個(gè)重要的原因。盡管與大規(guī)模的非法企業(yè)違法行為所造成的損失有所不同,黑客市場(chǎng)確實(shí)聚集了許多資金,想要得到這部分資金,競(jìng)爭(zhēng)是十分激烈的,而且這一部分資金將帶來更多社會(huì)層面和情感層面上的回報(bào)。
漏洞賞金計(jì)劃
越來越多的供應(yīng)商已經(jīng)開始發(fā)布漏洞賞金計(jì)劃。此類獎(jiǎng)金會(huì)頒發(fā)給那些發(fā)現(xiàn)軟件產(chǎn)品漏洞并將其報(bào)告給相應(yīng)的供應(yīng)商而不是向公眾公開或者在黑市上出售的人。Mozilla基金會(huì)是第一批發(fā)布此類項(xiàng)目的基金會(huì)之一。谷歌、Facebook、PayPal和其他的公司隨后也推出了類似的項(xiàng)目。微軟于2013年6月份發(fā)布了其漏洞賞金項(xiàng)目。漏洞賞金成為軟件安全專家具有吸引力的合法收入來源。谷歌的獎(jiǎng)金目前是最高的,通常每個(gè)中等復(fù)雜程度的補(bǔ)丁可以得到3,000到5,000美元的獎(jiǎng)金,復(fù)雜補(bǔ)丁則可以獲得10,000美元的獎(jiǎng)金。非Chrome exploit最高可獲得20,000美元賞金,而 Chrome exploit最高則可以獲得 150,000美元賞金。巴西網(wǎng)絡(luò)安全專家Reginaldo Silva向Facebook提出警告,稱OpenID認(rèn)證系統(tǒng)密碼存在漏洞。Facebook因此而支付給他33,500美元的獎(jiǎng)金。政府采購者和安全公司對(duì)未被發(fā)現(xiàn)的重大漏洞的賞金出價(jià)相當(dāng)高。就軟件供應(yīng)商而言,他們發(fā)現(xiàn),設(shè)立漏洞賞金計(jì)劃,遠(yuǎn)比雇用全職人員做同樣的工作更具性價(jià)比。
零日計(jì)劃
對(duì)于活躍于黑客空間的天才們來說,零日市場(chǎng)內(nèi)的法律灰色區(qū)域是另外一個(gè)機(jī)會(huì)所在。過去,安全研究人員曾暗示過網(wǎng)絡(luò)漏洞市場(chǎng)存在的可能性,F(xiàn)在,這已經(jīng)變成了現(xiàn)實(shí)。政府、執(zhí)法部門和安全供應(yīng)商,已經(jīng)作為買家的身份出現(xiàn)在這一市場(chǎng)上。專家建議政府和安全供應(yīng)商應(yīng)當(dāng)(從黑客手中)購買零日漏洞,以防止其落入黑市商人的手中。更重要的是,與政府或者安全公司進(jìn)行交易,出現(xiàn)欺詐的幾率要小得多,這也可能成為黑客未來所從事的工作。據(jù)稱,英國網(wǎng)絡(luò)防御部隊(duì)正在嘗試雇傭網(wǎng)絡(luò)黑客,以彌補(bǔ)在擁有網(wǎng)絡(luò)防御機(jī)能的人員方面的不足。
零日市場(chǎng)出價(jià)要比漏洞賞金計(jì)劃高10到100倍;萜樟闳沼(jì)劃支付給研究人員1000多萬美元獎(jiǎng)金,以獎(jiǎng)勵(lì)他們提出的安全建議。為了縮小這一價(jià)格差距,谷歌之類的公司已經(jīng)提高了其漏洞賞金數(shù)額。
參與零日計(jì)劃的公司數(shù)目正在增加,大賞金計(jì)劃方興未艾。 更高的獎(jiǎng)金將吸引網(wǎng)絡(luò)交易和人才從黑市流入合法的貿(mào)易途徑。無論如何,最優(yōu)秀的黑客都更有可能從網(wǎng)絡(luò)黑市轉(zhuǎn)戰(zhàn)灰色市場(chǎng)領(lǐng)域,而網(wǎng)絡(luò)黑客們得到的最大獎(jiǎng)賞則是——他們不必在監(jiān)獄里度過余年!