六个月前，谷歌发布了一个价值20万美元的漏洞奖励公告，大意是：谁可以只使用受害者的电话号码和电子邮件地址远程入侵对方的Android设备？20万美元的奖金。少侠拿去吧。请慢点走！几乎没有人战斗。（几乎两个词可以删除）听起来像是个好消息，这表明谷歌的移动操作系统是高度安全的？但这似乎不是原因。无论它多么安全和系统化，总会有人愿意挑战它。事实上，当名为“zeroprize”的漏洞奖励计划启动时，真正的原因已经被指出：对于一个可以远程修复设备权限而不依赖用户交互的漏洞，20万美元是一个可怕的小数目！一位用户在奖赏公告的底部留下了一条信息：“如果有人真的能这样做，并将漏洞卖给其他公司或机构，他们会赚很多钱！”市场并不具有欺骗性。几个月后，谷歌自己被迫承认了这一点。因此，上周（当地时间3月30日），他们发布了一篇博文，称：考虑到竞争规则的难度，奖金的金额实在有点太低了。然而，除了奖金太少之外，还可能与漏洞攻击的高度复杂性和过于严格的规则有关。雷锋表示，攻击者可能需要一系列漏洞才能远程获取设备的根权限或完全控制设备。要实现远程攻击，攻击者必须至少在移动应用程序中找到远程代码执行漏洞。要完全控制设备，它需要一个权限提升漏洞，才能从应用程序的沙箱中逃脱。在这种情况下，谷歌还要求参赛者在没有用户交互帮助的情况下完成攻击。换句话说，攻击者无法诱导用户点击任何恶意链接、访问恶意网站、接受并打开任何文件等。只需知道对方的手机号码和电子邮件，并直接处理对方的设备。这些严格的规定明确限制了研究人员的攻击方法。”“由于手机不能从链接下载，只能从手机的内置短信或固件、电话应用程序和蜂窝网络等底层软件下载。这就像绑手绑脚。关键是要少给钱。就连安全公司Zimperium的创始人兼董事长祖卡夫拉哈姆也不能抱怨不要下载应用程序。（雷锋注：zimperium是传奇黑客凯文·米尼克（Kevin Mitnick）去年加入的安全公司）：可以实现无需交互的远程操作非常罕见。它需要打开一个相当大的大脑洞，并结合高超的技能来实现它。这个价格已经远远超过20万美元。巧合的是，一位名叫zerodium的“安全漏洞军火商”“该公司还提出以20万美元的价格购买Android系统的漏洞，但他们没有限制攻击者使用链接、网络钓鱼和其他需要用户交互的方法。一般来说，zerodium会将这些漏洞出售给执法机构和情报机构等客户。对于技术人员来说，既然价格是20万美元，为什么选择更困难的方法呢？”我们不能以同样的价格成交任务呢？更不用说在地下黑市，这些漏洞可能会以更高的价格出售。如何平衡技术漏洞的价值？虽然由于难度，谷歌这次的漏洞奖励设置得太高，导致了项目的一些小失败。然而，就技术脆弱性奖励而言，谷歌确实在全球公司和机构中排名第一。此前，他们还制定了许多非常成功的安全奖励计划。对于技术漏洞的价值也存在一些争议。早些时候，雷锋发表了一篇题为《北京二环有什么漏洞能买得起套房？》的文章文章当时，一位国内网络安全专家直言不讳地告诉雷锋的编辑，技术漏洞的价值被严重低估，只能通过公关活动来弥补。一些国际巨头的价格比黑市低很多倍，这就像一个笑话。这让雷锋编辑不仅对2015年VUpEN pwn2own团队的著名黑客破解大赛提出了抱怨。2015年，pwn2own黑客竞赛即将招募，但之前的大赢家、第一个公开破解Chrome浏览器的顶级黑客团队vupen宣布放弃。他们的团队创始人公开抱怨社交媒体：你在开玩笑吗？TM削减了奖金，大大增加了难度，我将在2016年再看一看。“从“脆弱性武器经销商”zerodium发布的脆弱性获取数量来看，商业获取的价格确实高于之前各种竞赛提供的奖金。[zerodium提供的漏洞获取价格]一方面，技术漏洞的价值无法用金钱衡量。漏洞挖掘者可能只是为了技术荣耀或极客精神而挑战技术高峰；但另一方面，脆弱性的价值不能用金钱来衡量，也不能成为低估脆弱性价值的理由。毕竟，一些破解方法需要技术人员花费一生的时间来学习，有时他们需要一些运气和巨大的努力来找到它们。像pwn2own这样的顶级黑客活动也将每年调整奖金和破解规则，以适应实际情况。如果我们撇开黑客竞争和奖励的其他含义不谈，仅就奖金而言，制造商就是真正的大赢家。通过支付不太高的奖金，他们可以获得如此多的高科技漏洞和利用方法。然而，对于技术人员来说，挖掘漏洞、向制造商屈服、参与黑客竞赛可能涉及金钱、荣誉、正义、风险、道德等方面。如何关注技术本身的漏洞，不仅是如何关注技术本身的漏洞，也是如何失去研究者原有的意义。然而，根据雷锋的编辑，漏洞奖励并不是一种简单的市场行为。它更英勇、更高尚、更科技。

« 湖南电信宽带免费升级200m多终端看4K不卡顿 | 互联网金融正走在正确的轨道上：财务管理、理财办公室、极光金融、愉快贷款和爱心资金更有保障 »