正规私人黑客联系方式

简介

这一说法指向的是获取合法安全测试服务的渠道，而非某个人或某个组织的名称。其对应的实际主体是从事渗透测试、漏洞挖掘与漏洞报告的安全研究人员，业内通常称其为白帽子，即能够识别计算机系统或网络系统中的安全漏洞、但不会恶意利用，而是将漏洞提交给企业或第三方平台的专家。^[2]

联系途径大体分为三类：企业自行建立的安全应急响应中心（Security Response Center，SRC）、第三方漏洞响应与安全众测平台，以及提供安全评估服务的网络安全服务机构。^[1][4]网络运营者也可依据《中华人民共和国网络安全法》的规定，自行或委托网络安全服务机构对其网络的安全性和可能存在的风险进行检测评估。^[5]

之所以强调授权，是因为《网络安全法》第二十七条明确禁止任何个人和组织从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动，未获授权的扫描或探测同样可能构成违法。^[5][3]

沿革

在漏洞奖励机制出现之前，外部研究人员向厂商报告漏洞通常只能得到口头致谢或实物纪念品。2012 年 5 月，腾讯上线安全应急响应中心及其在线漏洞提交平台，并同步推出漏洞奖励计划，向报告有效安全问题的白帽子发放金币、礼物与现金奖励。^[1][6]

此后国内多家互联网企业相继建立各自的应急响应中心。腾讯、阿里巴巴、百度、360、京东等公司均建立了 SRC 用于收集漏洞，并对提交漏洞的技术人员给予一定的物质奖励。^[1][4]

国际上同类的漏洞赏金机制也在同期发展。2016 年 3 月，美国开展“攻陷五角大楼”项目，授权第三方漏洞悬赏平台召集具备技术能力的白帽子参与测试，项目吸引约 1400 名研究人员，一个月内收到 100 多个真实有效的漏洞；同年 11 月又启动“攻陷陆军”计划。^[7]

除企业自建平台外，以补天平台、漏洞盒子等为代表的第三方白帽子平台也逐步发展。补天曾汇总 32000 多名白帽子提交的 20 多万条有效漏洞信息，注册厂商达到 4000 多家。^[2]第三方平台的运营方也在持续扩大资源规模，其白帽资源与漏洞库规模随时间增长。^[8]

特点

授权是这类联系方式的根本前提。正规的安全评估须在测试开始前完成正式授权流程，通常包括签署渗透测试授权书，并明确可测试的系统、网络与应用程序范围、测试时间以及禁止事项；测试方须在授权范围内操作，不得越界。^[9][3]

《关键信息基础设施安全保护条例》第三十一条规定，未经国家网信部门、国务院公安部门批准或者保护工作部门、运营者授权，任何个人和组织不得对关键信息基础设施实施漏洞探测、渗透性测试等可能影响或者危害关键信息基础设施安全的活动；对基础电信网络实施此类活动，应当事先向国务院电信主管部门报告。^[10]

提交渠道具有平台化、实名化的特征。第三方平台通常要求研究者先注册并通过实名认证，签署相应的用户协议与测试规范，才能报名参与众测任务或专属项目；平台对漏洞进行审核、评级与反馈，并据此发放奖励。^[11][12]

漏洞报告本身有规范化要求。以第三方响应平台的模板为例，提交内容一般需包含归属证明、首页截图、漏洞证明、危害等级等要素；部分企业平台还明确要求提供可复现的概念验证代码或验证视频，以便快速定位与修复。^[13][14]

回报方式以现金奖励与积分体系为主。企业的奖励通常按业务重要程度与漏洞危害等级综合评定，例如将危害分为严重、高危、中危、低危等级别，并设置与业务系数相乘的计奖方式；第三方平台则多采用现金、虚拟积分与荣誉榜单相结合的机制。^[4][2]

披露环节遵循协调披露原则。负责任的做法是先向厂商报告并协助修复，在修复或缓解措施落实后再协商公开；未经授权擅自公开他人系统的漏洞信息不被认可。^[15][7]

参见

• 白帽子 —— 这类联系方式所对应的安全研究人员群体。

• 渗透测试 —— 正规安全测试服务的主要技术手段。

• 安全应急响应中心 —— 企业收集漏洞、联系研究人员的常设机构。

• 漏洞赏金 —— 促使研究者通过正规渠道报告漏洞的激励机制。

• 中华人民共和国网络安全法 —— 界定授权与未授权测试边界的法律依据。