文/楊望

網絡安全需要更加開放

文/楊望

中外黑客高手云集無錫，安全專家許榕生教授指出

論壇希望通過推動國內的安全工作人員與國際同行的直接交流，組合技術和非技術人員的平臺，來討論如何通過技術、法律以及商業(yè)和社會的綜合手段，以減輕各種黑色產業(yè)的危害。

2009年11月6日到8日，首屆“石中劍黑客峰會”在美麗的太湖之濱無錫舉行。論壇由中科院高能所網絡安全實驗室和無錫國家傳感信息中心聯合主辦，以“信息共享和響應”為主題，展開“社會工程學、硬件黑客、信息戰(zhàn)、安全取證”四個方面的議題。

此次會議是由國際黑客協(xié)調委員會的創(chuàng)始人周銘發(fā)起，由無錫高科技園區(qū)支持舉辦，大會主席是中國科學院的安全專家許榕生教授。

論壇的國內嘉賓邀請了在大學、中科院及社會業(yè)界的網絡技術高手，包括云計算安全、計算機固件安全、數據恢復與數字取證、IPv6的專家，以及黑客俱樂部組織的資深人員出場。國外嘉賓包括RFID和通信協(xié)議技術專家、路由協(xié)議破解專家、網絡滲透與反滲透的專家、反恐怖情報分析專家、逆向工程與脆弱性研究專家，以及社會工程學專家和國際黑客小組協(xié)調人等，他們分別來自美國、英國、德國、以色列、比利時、印度和巴西等國。

論壇希望通過推動國內的安全工作人員與國際同行的直接交流，組合技術和非技術人員的平臺，來討論如何通過技術、法律以及商業(yè)和社會的綜合手段，以減輕各種黑色產業(yè)的危害。

許榕生教授說：“有人問我為什么要請這些國外的黑客來討論信息安全，這樣會對中國很麻煩，很危險，但我想如果我們不請他們來，中國會更麻煩，更危險。”

國際黑客協(xié)調委員會的創(chuàng)始人周銘則認為，安全不是閉門造車，需要將“友誼和共享”這樣的理念帶到國內的安全界，他希望通過這樣的形式對國內的黑客群體進行引導，宏揚真正的“黑客文化”。

中外高手各展千秋，三天的交流高潮迭起。講演的內容包括了信息戰(zhàn)、硬件安全、社會工程以及各類具體的網絡安全技術，競賽的內容也包括各種五花八門的游戲。

據悉，論壇將在未來建立起一個聯合協(xié)調小組，從而更好地利用各國信息技術資源，加強交流與合作，幫助、減緩和避免全球網絡的沖突，也希望通過領先的技術和社交的介入來減輕恐怖行為和所謂黑色產業(yè)鏈的危害。

社會工程:一把開鎖器的得失

社會工程是國內比較少有介紹或研究的黑客類技術，但其實社會工程也是黑客技術中最古老和最有深度的一門技術。

會上，來自SANS的Jayson Street和畢馬威的Chris Nickerson分別做了題為“社會工程學策略”和“紅隊測試工程學”的演講。在他們看來，安全并不只是密碼、防火墻、入侵檢測，安全來自方方面面。

在Chris Nickerson介紹的例子中，在他為一家公司進行安全評測時，他并沒有用任何網絡攻擊技術，而是花了5分鐘把一臺服務器從公司中偷了出來。

Chris Nickerson希望用這個例子說明，安全的威脅來自方方面面，稍有疏漏就會被人有機可乘，也許單位購買了很貴的安全設備，但有時候一把開鎖器(lockpick)就能讓所有的設備都沒用。

信息戰(zhàn):全球監(jiān)視的真實可能

信息戰(zhàn)是本次會議的另一個重要議題。來自Xero Bank的Steve Toplez和網絡安全分析師Mohammad Hluchan分別做了“全球監(jiān)視，現代信號情報學真實的可能”和“激進分子和恐怖分子網頁：網絡安全回顧”的報告。

Steve Toplez對西方國家的網絡監(jiān)視策略以及每個國家的諜報系統(tǒng)的監(jiān)視范圍做了介紹。作為一名黑客的Mohammad Hluchan，他同時是一位語言天才，精通8種語言，他的報告介紹了中東地區(qū)各個國家黑客的活動以及他們的水平，在他看來，大多數阿拉伯國家的黑客以宣傳自己的民族主張為主，同時他們的技術手段還比較原始，比整個世界的水平要落后5~10年。

硬件安全:生物指紋也會被破解

相對于門檻比較低的網絡安全，硬件安全一直是黑客中的小團體，但硬件安全帶來的威脅卻可能還要大于網絡安全。來自沈陽工程學院的周振柳博士介紹了固件安全，通俗地來說，就是如何在計算機中的BIOS里加入后門程序，由于它工作在操作系統(tǒng)啟動之前，這樣的后門程序可以躲避操作系統(tǒng)之上的偵查手段，而這樣的程序用在好的方面可以進行取證，用在壞的方面就可以竊取信息，破壞系統(tǒng)。隨著越來越多的設備擁有自己的固件，固件安全也將成為一個熱門的話題。

來自Aperture Labs 的Adam Laurie 做的報告“RFID IOts!”可能是本屆會議上最精彩的報告。在報告中，Adam介紹了目前的各種電子卡片（磁卡、IC卡等），以及生物指紋的破解技術，并現場進行了演示，把Jayson E. Street電子護照中的照片換成了本·拉登的照片，同時還演示如何對虹膜和指紋進行復制，只要對人眼和指紋進行掃描，現有的技術設備就可以復制出相同的特征對電子檢測設備進行欺騙。

作為硬件黑客，他對身份證的芯片修改似乎易如反掌，酒店房卡也被他當場破解，克隆出一張可以作為“萬能鑰匙”的房卡。

網絡安全:再堅固的堡壘也會被攻克

不論在哪個會議上，網絡安全都是最熱門的話題，而本屆峰會上網絡安全方面的話題也是非?；钴S。

網絡安全方面的重頭戲是來自德國的黑客FX所作的報告“路由器的利用”，介紹了如何攻擊最難攻擊的操作系統(tǒng)IOS。IOS擁有20多萬個版本，而且每個版本的漏洞在另一個版本中都無效，導致了IOS的攻擊很難進行，但FX發(fā)現，不同的IOS使用的系統(tǒng)引導程序的版本是有限的，并以此為突破口，實現了對IOS的成功攻擊。

此外，來自約翰霍普金斯大學的Joe McCray和來自印度的Aditya K Sood分別介紹了高級SQL注入技術和Web2.0下的網頁溢出技術；東南大學計算機學院楊望和北京大學周昌令就教育網內的僵尸網絡監(jiān)測和IPv6安全分別做了報告；來自安全公司的李兆星則介紹了A R M平臺下的蜜罐系統(tǒng)，這套系統(tǒng)目前已經在中國部署了14000多套，成為全世界最大的惡意樣本收集平臺。

除了以上主題，還有很多精彩的主題，如來自中科院的丁麗萍教授介紹了虛擬機系統(tǒng)下的安全，我國數據恢復技術學科的創(chuàng)始人戴士劍介紹了司法取證技術，中國黑客的代表人物萬濤做了關于中國黑客文化的報告“黑客文化， 泛化與犯罪治理趨勢分析與研究”。

黑客奪旗大賽

競賽和游戲是本次會議的另一個亮點。這次會議對大學生采取免費注冊的優(yōu)惠，希望能夠吸引到大學中的安全愛好者，通過參加游戲學習到各種技術，體會到黑客的挑戰(zhàn)精神。

競賽的重頭戲是黑客奪旗大賽（Capture The Flag, 簡稱CTF）。CTF是每年國際黑客大會DEFCON的標志性賽事，有全球上百支不同的黑客隊伍參加。比賽分兩個階段，第一個階段是不同黑客技術門類題目的初選，比賽隊伍通過答題獲得一定的分數，通過最后分數的排名決定決賽隊伍。決賽時比賽方會安排一些配置好的系統(tǒng)，讓不同的隊伍之間互相進行攻擊，通過攻擊對方的系統(tǒng)，放入自己的旗（程序或者文件等），并拿走對方的旗來決定勝負。

本次會議的CTF比賽設計者是DEFCON兩屆CTF冠軍隊伍的成員之一Jordan Wiens。在這樣的游戲中，不僅僅考驗一個隊伍黑客技術的全面性，更考驗他們的協(xié)同配合、隊伍管理的技能。

除此之外，會議還設置了很多趣味性的游戲，如XBOX下的拳擊、扔光碟、走迷宮、福爾摩斯等，這些游戲要求參加的人必須現場和不認識的人組隊，在游戲中體現出人際交互和社會工程學的應用。

（作者單位為東南大學計算機學院）