真正的黑客怎么找到

简介

「真正的黑客」在网络安全的语境中通常指白帽子，即能够识别计算机系统或网络系统安全漏洞，但不恶意利用，而是把漏洞提交给厂商或第三方漏洞平台，以便在他人利用之前完成修补的安全技术专家^[1]。这种区分不取决于技术水平，而取决于发现漏洞之后的行为走向。

与白帽子相对的是黑帽子与灰帽子：前者把漏洞用于牟利，后者在利用漏洞后告知厂商。国内安全从业者常用「看到门没关」的比喻说明三者的差别，即只提示关门的是白帽子，进门拿走东西再提醒的是灰帽子，进门偷窃的是黑帽子^[2]。寻找所谓「真正的黑客」，实质是寻找处于授权与合规一侧的技术人员。

从法律角度看，识别渠道之所以重要，是因为同一套技术在不同授权状态下性质不同。《中华人民共和国网络安全法》自2017年6月1日起施行，其第二十七条规定任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动^[3]。因此，接触渠道通常以是否获得目标方事先授权为界。

沿革

奖励报告漏洞的做法最早由大型互联网企业推动。谷歌、Facebook等公司较早开始为报告漏洞的白帽子提供资金奖励，美国国防部也举办过面向五角大楼网络的黑客比赛，吸引白帽子为自身系统寻找问题^[4]。

2012年，几名荷兰黑客与安全负责人在美国旧金山创立了漏洞众测平台HackerOne，把企业与安全研究人员连接起来，研究人员通过查找并报告软件漏洞获得报酬^[5][6]。该平台的早期线索可追溯到2011年一份列出100家目标公司的清单，参与者在这些公司的系统中发现了漏洞^[7]。

国内在2010年代中后期形成SRC模式，由企业授权白帽子进行漏洞挖掘，并按漏洞的危害程度与影响范围发放奖金^[4]。第三方漏洞响应平台同步发展，补天漏洞响应平台以公益SRC、专属SRC和众测等方式承接企业与研究人员的对接^[1]。

规范层面的建设随之推进。国内22家安全应急响应中心共同制定了《SRC行业安全测试规范》，对参与第三方众测时的授权链条提出明确要求，即须确认平台是否获得厂商授权、研究人员是否获得平台授权，两者缺一不可^[8]。

特点

企业自建的安全应急响应中心（Security Response Center，缩写SRC）是较直接的接触渠道。企业通过SRC公开授权研究人员对自家产品与系统进行测试，并公布漏洞等级与奖励标准；在这一框架下留下记录的人员，其身份与技术能力可被追溯和核实^[1]。

第三方漏洞响应与众测平台承担中介角色。以补天为例，平台对提交的漏洞进行审核后通知企业认领，公益SRC不向企业收费；众测业务则通过实名认证、双因子认证等手段约束测试过程，并从平台排名靠前的研究人员中挑选参与者^[1]。这类平台的特点是先确定授权边界，再安排测试。

技术社区是另一类聚集地，但主要是知识与讨论场所。看雪论坛长期聚焦软件逆向、二进制安全与漏洞分析，被视为国内较早的安全技术交流社区之一^[9]。先知社区由阿里巴巴推出，内容集中于Web渗透、代码审计与漏洞复现^[9]。在这些场所可以观察到研究者的公开成果，但平台本身并不构成对具体目标的测试授权。

综合来看，可靠渠道的共同特征是存在可核验的授权与结果记录，即以漏洞是否被受理、是否被修复作为判断依据，而非依据自我宣称的身份。研究人员的技术水平通常体现为公开的漏洞提交数量、平台排名或社区中的技术文章质量^[10]。

参见

• 白帽子 —— 本词条所指对象在行业内的正式称呼。

• HackerOne —— 2012年成立的漏洞众测平台，是这类渠道的早期代表。

• 网络安全法 —— 规定不得非法侵入他人网络，划定了此类行为的法律边界。

• 看雪论坛 —— 以逆向工程和软件安全为主题的技术社区。

• 渗透测试 —— 白帽子在授权范围内常用的技术方法。