为何我们需要支持而非惩罚充满好奇心的安全人才

最近有报道称，少年安全研究员 Bill Demirkapi 曝光了重大漏洞，这些漏洞存在于他所在学校使用的软件中，这着实勾起了我的一些回忆。我记得自己小时候也曾是个好奇的孩子，喜欢拆开软件的“引擎盖”一探究竟，看看它们是如何运作的——更重要的是——看看我是否能将其破解。几十年来，软件工程师们一直致力于不断改进和加固产品，而安全社区（尽管有时他们的做法有点调皮）在发现漏洞和潜在灾难方面发挥着重要作用，希望能在坏人得手之前就将其解决。

然而，这里的问题在于，他因自己的发现而受到了学校的轻微停课处分。而且这还是在他穷尽一切途径私下联系该公司（Follett Corporation）无果后，最终选择以相当公开的方式表明身份并展示其入侵系统能力之后才发生的。他多次尝试以合乎道德的方式向 Follett Corporation 发出警告，却始终没有得到回复，而该软件依然存在漏洞，海量的学生数据也因大部分未加密而轻易暴露。

他还对另一家公司 Blackboard 的软件进行了漏洞挖掘。虽然 Blackboard 的数据至少经过了加密，但潜在的攻击者本可以趁虚而入，窃取数百万条记录。他所在的学校同时在使用这款软件和 Follett 的产品。

“邪恶黑客”的叙事方式是有问题的。

Demirkapi 在今年的 DEF CON 大会上展示了他的研究成果，他那些恶作剧般的细节赢得了观众的掌声。这确实是理所应当的——虽然他起初被列入黑名单，并经历了许多障碍才让自己的发现得到认可，但据报道，Follett Corporation 对他的努力表示感谢，并采纳了他的建议，最终使他们的软件更加安全，避免了成为又一个数据泄露统计数字的危机。他在高中毕业后还将进入罗切斯特理工学院深造，很显然，他正走在成为一名炙手可热的安全专家的正确道路上。

作为一名安全从业者，我很难不质疑这种处理方式。虽然这件事最终圆满解决，但起初他被当作一个只会到处乱撞的烦人“脚本小子”。在谷歌上搜索该事件，文章中将他称为“黑客”（在安全外行眼中，这在很多方面将他定位为反派），而事实上，他（以及许多其他人）的方法正是保障我们数据安全的关键。

我们需要好奇、聪明且专注于安全的人去探究软件内部，而且我们需要这种行为更频繁地发生。仅今年七月，就有超过四十亿条记录在恶意数据泄露中被曝光。由于八月份时尚生活品牌 Poshmark 发生的数据泄露事件，这个数字可能还要再增加五千万。

我们正在犯同样的错误，更令人担忧的是，这些错误往往是一些令人扶额的简单漏洞，却总让我们栽跟头。

跨站脚本攻击和 SQL 注入依然存在。

据 WIRED 报道，Demirkapi 发现 Blackboard 的社区参与软件和 Follett 的学生信息系统都包含常见的安全漏洞，如跨站脚本 (XSS) 和 SQL 注入，自 20 世纪 90 年代以来，这两者一直是安全专家们的心头大患。我们忍受它们的存在已经 非常 久了，就像 Hypercolor T 恤和软盘一样，它们现在本应成为遥远的记忆。

但事实并非如此，很明显，没有足够的开发人员表现出足够的安全意识来阻止这些漏洞进入代码。扫描工具和人工代码审查的作用有限，而且还有比 XSS 和 SQL 注入复杂得多的安全问题，这些昂贵且耗时的措施本应更好地用于解决那些问题。

像 Bill Demirkapi 这样的人应该激励开发人员建立更高标准的代码；年仅 17 岁的他，通过本应在代码提交前就被发现并纠正的威胁向量，成功入侵了两个高流量系统。

游戏化：参与度的关键？

我 写过很多 关于为什么开发人员对安全仍然缺乏参与度的文章，简短的回答是，在组织和教育层面，为了培养具有安全意识的开发人员，所做的工作还远远不够。当公司花时间建立一种奖励和认可参与度的安全文化，包括实施能够用开发人员的语言进行沟通并激励他们不断尝试的培训时，这些恼人的漏洞遗留问题就会开始从我们使用的软件中消失。

Demirkapi 显然对安全有着课外兴趣，并花时间学习如何逆向工程恶意软件、发现缺陷，以及，嗯，破坏那些从外部看起来完好无损的东西。然而，在接受 VICE 采访时（以及通过他的 DEF CON 幻灯片），他对自己自学过程的描述很有意思……他将其游戏化了：

“以找出学校软件中的问题为目标，这是一种有趣的‘游戏化’方式，让我自学了大量的渗透测试知识。虽然我开始研究的初衷只是为了多学点东西，但最终我发现情况比我预想的要糟糕得多，”他说。

虽然并非每个开发人员都想成为安全专家，但每个开发人员都应该有机会获得安全意识，基础知识应成为组织内部的一种“编码许可证”，尤其是对于那些掌握大量敏感数据的开发人员而言。如果每个开发人员在编写代码之前就能修补最简单的安全漏洞，那么在面对那些试图制造破坏的人时，我们将处于一个安全得多的境地。

对游戏化培训感到好奇吗？请查看我们关于 XSS 和 SQL 注入 的“程序员征服安全”系列课程。