白帽黑客与黑帽黑客

　　有矛就会有盾。对于熟知网络安全技术的精英们来说，成为黑客并非是唯一出路。

　　与擅长攻击，以破坏见长的黑帽黑客(blackhathacker)不同，还有一些网络安全精英成为了以测试网络和系统的性能来判定它们能够承受入侵的强弱程度的白帽黑客(whitehathacker)，也就是网络安全专家。

　　通常，白帽黑客多为学术研究人员和专职安全顾问，他们攻击自己的系统，或被聘请来攻击客户的系统以便进行安全审查。

　　与黑帽黑客相比，白帽黑客也有自己的产业。而其中最为人熟知的，就是为系统找漏洞、打补丁。

　　每年，全球各大软件厂商如谷歌、微软等企业都会组织自己的黑客编程竞赛，以寻找自己服务器或操作系统中的漏洞。对于能攻破系统的黑客，更会提供额外奖金。但更多的时候，部分系统漏洞并未被厂商所发现，如果它们被黑帽黑客所掌握，难免会造成损失。

　　由于经历了多年“矛与盾”的交锋，李科告诉记者，以黑客的行事习惯，发现漏洞之后往往不会马上公布于众，而是如“幽灵”般游离于规则之外，通过自由进出，篡改数据，制作“彩蛋”(隐藏在软件中的功能或讯息，通常是无恶意的)等方式独享该漏洞，以满足自己的成就感。一般来讲，大概3到6个之后，厂商才会关注到该漏洞。然而即使发现漏洞，厂商要制作补丁也非一朝一夕之事。从制作补丁到用户安装补丁，这期间也要经历约3到6个月。也就是说，从黑客找到漏洞到厂商通过补丁解决漏洞，中间将会有半年到一年的真空期。这段时间内，系统没有任何防护手段，十分危险。

　　因此，就需要安全防护人员，也就是白帽黑客提前发现问题，缩短真空期，以便厂商在黑客入侵造成损失之前完成补丁。

　　赵占领对记者透露，如果黑客成功对大型网站的服务器进行攻击，获取其数据库内的用户信息，将会产生巨大的商业价值。不但可以洗劫账户内的虚拟财产，还可以通过泄密信息帮助竞争对手打击网站，后续还能够整理用户信息交易给有需要的买家。总体收入甚至有可能过千万。而在网络安全的应对方面，监管尚属薄弱。因而更需要网络安全行业的出现。

　　但当谈到黑客行业与网络安全行业的收入比较时，李科显得有些严肃，他说：“做网络安全行业，拿的是业内普遍标准的薪酬，而黑客则是在灰色地带利用技术获取暴利。相比网络安全行业，黑客的收入往往要高出很多，但至少网络安全专家可以行走在阳光下。”

　　让李科语气如此沉重的原因来自于黑客的影响力。虽然看似黑客产业暂时还只是通过灰色地带收获经济利益，但其潜在的影响力却不容忽视。“如果不能竖起坚强的‘安全盾牌’，恐怕黑客的‘长矛’早晚会伤及国家安全。”他认真地说。

　　李科的担忧不无道理。早在2010年，伊朗就曾爆发“震网”病毒(Stuxnet蠕虫病毒)。黑客通过病毒将伊朗核工业中离心机的转速调高了20%，而公共系统中的显示值却依然正常。就是这看似“无伤大雅”的把戏，让伊朗近两成的离心机报废，导致伊朗核工业倒退了近十年。而谁又能担保这种对国家安全的攻击以后不会成为黑客产业中新的链条呢?

　　“因此，针对同业涉及国家核心业务的PUTTY‘后门’事件，有关部门应该引起高度重视，将公共系统的风险上升到国家安全的高度来防范。”赵占领认为。

(责任编辑：)