软件安全正处于“蛮荒西部”时代（这终将让我们付出惨痛代价）

最初发表于 CSO Online

作为一名（半退休的）白帽黑客、安全专家和全能型电脑极客，你可以说我非常关心技术。我关心它是如何被创造出来的，它的功能是什么，以及它将如何让我们的生活变得更好或更高效。我经常深入研究设备的“内部构造”，去审视那些代码中最好（以及最差）的范例。最近，我研究了我的空调系统如何通过安卓应用进行远程控制（当我发现WiFi网络上的任何人无需任何身份验证就能控制它时，我感到非常震惊）。

软件安全始终是我关注的焦点，我们日益数字化的生活方式以及随之而来的个人信息共享所带来的现实危险也是如此。毕竟，我们正处于一个基本不受监管、缺乏监督且被人们选择性忽视的领域。我们正身处“蛮荒西部”。

作为一个集体社会，我们并没有去审视我们每天使用的技术背后的“内部构造”。尽管像《黑客军团》（Mr. Robot）这样广受好评的热门电视剧有助于提高公众意识，但我们并没有安全意识……事实上，我们大多数人根本不知道我们购买和使用的无数应用程序、服务和日益互联的设备中，软件的安全性究竟如何。这甚至不是因为我们天生信任它们，而是因为我们根本就没有考虑过这个问题。

索尼PlayStation网络（PSN）、Ticketmaster、雅虎、Facebook、塔吉特：每一家被广泛使用的公司都曾是数据泄露的受害者。它们的 软件漏洞 被利用，数以亿计的客户记录被曝光。这些例子只是过去十年全球发生的数据泄露事件中的冰山一角。它们是糟糕的软件安全所带来的代价高昂的后果，让不法分子得以窃取我们宝贵的信息。

当大多数人想到数据泄露时，他们想到的是信息安全漏洞。人们认为这对受害公司来说是一场噩梦，对个人信息受影响的用户来说很不方便，但说真的，这有什么大不了的吗？如果安全问题继续被忽视，后果真的那么严重吗？到目前为止还没有发生什么 重大 事件——数据泄露对负责任的公司有严重影响，但这终究是他们的问题，对吧？他们失去了业务，失去了消费者的信任；归根结底，解决问题并承担损失是他们的职责。

软件安全应该是每个组织的首要任务。

为什么软件安全不是每个拥有开发团队的组织的首要关注点，原因很简单：目前还没有足够多的人因此丧生，而且人们对相关风险的认知也不足。

听起来很病态？也许吧。但这是事实。只有当出现 真正的生命代价 时，监管、构建标准和法律层面的关注（例如来自政府机构的关注）才会真正到位。

以桥梁为例。土木工程师（这是一个拥有数百年历史的行业）将安全视为建造桥梁的核心部分。他们的方法远不止于美观和基本功能。每一座建造的桥梁都必须遵守严格的安全法规，随着时间的推移，土木工程行业和整个社会都已习惯于要求高水平的安全标准。如今，任何不符合安全要求的桥梁都会被视为危险且不可用的。这正是软件工程领域仍需经历的演变过程。

再举一个更现代的例子，让我们看看玩具行业。20世纪50年代，由于战后婴儿潮， 玩具的生产和销售出现了巨大的增长。有趣的是，据报道，在此期间涉及玩具事故的急诊室就诊人数也随之增加。玩具箭导致了眼睛受伤，小玩具（以及大型玩具上可拆卸的部件）被误食，而 专为小女孩设计的玩具烤箱 的加热温度甚至超过了普通的家用烤箱。

那时的环境就像“蛮荒西部”，除了在最极端的情况下进行零星的禁售和产品召回外，几乎没有什么监管。玩具制造商基本上可以自由生产任何他们想要的玩具，而任何安全隐患通常都是在发生多起事故后才被发现。直到 理查德·尼克松1969年的《玩具安全法》 等法案颁布，危险玩具的测试和随后的禁售才在美国乃至全球成为标准。虽然事故仍会发生，但如今玩具制造业普遍采取“安全第一”的政策，我们的孩子所面临的潜在危险也大大降低了。

目前的软件安全领域正处于“蛮荒西部”阶段。除了与隐私相关的明显法律法规（尤其是最近的GDPR）以及客户数据保护和某些国家强制性的泄露报告立法外，主流商业界或社会对于软件内置的安全水平几乎没有采取任何实质性行动。即使是那些法律，更多也是关于公司责任，而非针对软件本身进行监管，也没有强制性的安全标准。

我们终会实现这一目标，但这可能需要先经历一场破坏性的过程。

据Gartner估计，到2020年，将有 84亿台联网设备投入使用；这一数字比2016年增长了31%。这包括消费电子产品，以及医疗设备和特定行业设备。这对黑客来说意味着大量的机会。

想象一下，如果运行心脏起搏器的软件不安全。黑客可以入侵并可能导致受害者心脏骤停（觉得这很荒谬？医生曾 禁用了迪克·切尼心脏起搏器上的WiFi功能，以防止通过黑客手段进行暗杀）。联网的微波炉或水壶 可能被远程引爆（以及我们家中使用的各种物联网设备），或者联网电动汽车的刹车可能被禁用。这听起来可能像是好莱坞动作电影中夸张的情节，但如果这些先进联网技术的软件被攻破，我们确实可能面临灾难——就像我们之前提到的 石油和天然气行业网络攻击的爆炸性后果 一样。

随着我们的生活对数字化的依赖程度越来越高，我们可以预见恶意黑客攻击带来的严重后果。这一切都始于激发开发人员对安全编码的热情，并认真在开发团队中培养强大的安全思维和文化。

您的软件革命由此开启。银行业正引领潮流，通过游戏化培训来应对劣质代码，这种极具创新性的方法彻底颠覆了传统（即：枯燥）的培训模式。事实上，澳大利亚排名前六的银行目前都在以这种方式提升开发人员的参与度，激发他们的安全意识。来看看我们的客户 IAG Group 如何通过 高阶竞赛实现这一目标。