道德黑客联盟

概况

「道德黑客」是互联网领域的一个术语，也称白帽黑客，指经授权模拟网络攻击以检测系统漏洞的网络安全从业者，其目标是通过合法的渗透测试提升网络防护能力^[1]。以这一群体为主体形成的社群与协作网络，常被称作道德黑客联盟或白帽黑客联盟。

此类社群在中国大陆主要以漏洞报告平台和黑帽技术交流论坛为载体。乌云网即被《香港自由新闻》称为「中国最大的道德黑客社区」，被《国际财经时报》英国版称为「中国最大的白帽黑客社区之一」^[2]。

起因

进入21世纪后，企业与商业机构对网络的依赖持续加深，针对系统弱点的检测需求随之增加，大大小小的顾问公司争相进入这一市场^[1]。2006年，一所专门剖析黑客攻击手段的黑客学院在芝加哥成立，为学员颁发「道德黑客」与「安全专家」两类证书，该证书后来获得国际电子商务组织 EC-Council 承认^[1]。

与此同时，部分大型软件企业开始对道德黑客采取宽容态度。微软曾公开承诺不控告发现并披露漏洞的道德黑客，并在西雅图的安全会议上推动保护「道德黑客」负责任地披露漏洞的做法，希望业界形成相应风气^[1]。

过程

在中国大陆，较早成型的白帽社群包括 2010 年 5 月 6 日由方小顿和孟德联合创办的乌云网，该网站定位于企业与安全研究者之间的安全漏洞报告平台^[2]。此后，各类专注特定技术方向的白帽团体陆续出现。

中国白客联盟于 2012 年 5 月 7 日由信息安全爱好者 Jumbo 创立，以「绿色、免费、共享」为特色，研究 CMS 漏洞、授权白盒与黑盒渗透测试、网站与服务器安全维护以及恶意软件与木马扫描清除等方向，并以白盟论坛作为成员交流载体。

中国社会工程学联盟成立于 2013 年初，由无心（bywuxin）、Ti0c1（T大）等人发起，是中国首个专注社会工程学与信息安全技术研究的白帽团体，成立初期主要针对国内数据泄露事件，分析社会工程学在密码撞库等场景中的安全风险^[3]。该联盟于 2014 年 5 月 31 日进入关站维护期，2015 年 1 月 1 日重建团队^[3]。

在运作原则上，此类社群普遍要求发现漏洞后先通知系统或网站所有者，在其完成修复前不对外公开。乌云网即以这一原则著称，其做法是在漏洞被修复之前绝不披露，并为所有者留出修复时间^[4]。

影响

道德黑客社群的活动推动了中国互联网行业对漏洞报告与安全防护的重视。乌云网在 2011 年年底根据白帽子提供的材料，接连披露多家互联网企业存在高危漏洞，此后又相继披露酒店信息泄露、浏览器用户数据泄露等事件^[2]。这些披露促使企业加快漏洞修复与安全建设。

社群实践也引发了对白帽行为边界的讨论。2015 年 12 月的袁炜事件震动了中国信息安全界，各界随之就白帽子在未获授权情形下检测系统的行为边界展开激烈讨论，一些网络安全业内人士和法律人士认为该事件可能成为中国互联网安全史上的标志性分水岭^[2]。

从行业规范看，道德黑客从业者通常需遵循获得企业授权、保护用户隐私、遵守法律规范等准则，并多通过 CEH 等国际认证体系取得从业资格^[1]。中国相关组织也同步强调遵守法律边界，通过技术协作强化信息安全^[1]。