微軟、駭客 相見歡(上)
在西雅圖郊外微軟公司園區的主管簡報會議中心，數百名微軟工程師你一言我一語，熱鬧哄哄。但全員到齊沒幾分鐘，會議廳頓時陷入一片靜默，駭客已成功誘拐一台Windows筆記型電腦連上惡意的無線網路。
「大家都悶不吭聲，」微軟安全部門計畫經理Stephen Toulouse說：「聽不到任何人的呼吸聲。」
微軟3月舉辦為期兩天的「藍帽」(Blue Hat)會議，邀請局外人深入Windows帝國的核心參觀，並展示利用微軟作業系統漏洞的技巧，這場觀摩會是其中的一項活動。取名「藍帽」，是為反映微軟的企業顏色，有別於廣為周知的「黑帽」(Black Hat)安全會議。
 「藍帽子」大會（Blue Hat）讓全球最具影響力的軟體巨擘-微軟得以和專門破解微軟產品漏洞的專家面對面，與會者如下：
HD Moore: 是Metasploit的催生者，這套工具能讓系統管理員測試系統是否安全，沒有被駭客入侵之虞。 |
Jim Allchin: Allchin是微軟集團的副總裁，負責微軟Windows部門。職責是監督Windows作業系統既有版本與未來版本的研發工作。
Matt Thomlinson: 微軟的安全工程部門負責人，指揮公司上下所有的程式設計師，確信他們掌握了當前以及可能出現的安全威脅。
Noel Anderson: 微軟「無線、行動、家庭網路」部門的經理與程式工程師，負責讓微軟作業系統能和無線網路互聯。
Dan Kaminsky: 最近的研究計畫包括找出哈西演算法（hashing algorithms）不足之處，尋找透過國際化網域名稱系統（IDNS）傳送大檔案的可能。目前Avaya公司是他的客戶。
駭客：亦敵亦友
但舉辦「藍帽」會議另有其他重要的、但較不實際的理由。這場活動提供難得的機會，讓微軟人一窺電腦安全地下領域的堂奧。平常，網路工程師與駭客作科技攻防戰時，打得難解難分，但兩者之間的道德分界有時並非黑白分明。藉舉辦這場會議，兩方都能頭一次洞見對方陣營內部的運作方式、文化及其心理。
外來出席者之一的Dan Kaminsky說：「我不曉得，這會是雙方一場敵對的經驗，或者會演變成某種合作的模式。」和其他職業駭客團體成員一樣(許多人稱為「安全研究員」)，他發現，雙方到最後演變成合作的關係。
然而，在這種緊張的氣氛中，情緒沒多久就表露無遺。
負責協助微軟工程師加強程式碼安全性的Matt Thomlinson發覺，一些工程師變得面紅耳赤，顯然對駭客展示的破解手法惱羞成怒。儘管遭到駭客教訓的滋味不好受，但微軟工程師把軟體安全視為攸關個人榮辱的問題，令他感到欣慰。
其實Thomlinson也經常懇請工程師務必注重程式碼的安全性，但他的訓誡卻產生不了同樣的效果。「這似乎點醒他們這裏，」Thomlinson指著他的頭說：「當一群程式設計師眼睜睜著看著自己的程式碼遭到破解，情況就不一樣了。那種打擊痛徹心肺。」
親見自己的程式碼被糟蹋
接連兩天，微軟員工在得知各式各樣的駭客入侵手法的同時，就不斷地遭到這種切膚之痛。第一天，數十名主管，包括微軟最高階的主管在內，都在這個臨時新兵訓練營中遭到這種激怒。其中一位參與者是微軟Windows事業負責人Jim Allchin，以及Windows作業系統核心開發領隊Brian Valentine。第二天引來大約400名基層的Windows工程師，包括日常任務未必以安全功能為主的人員。
Allchin不只是高階軟體主管。在科技業，他的名號大致上已成為Windows作業系統的同義詞。他大力支持舉辦「藍帽」會議，希望他領導的Windows團隊不但能了解安全問題，還能親眼瞧瞧問題是怎麼發生的。
提到駭客編寫的工具，Allchin說：「我受過很多天的駭客工具訓練。就我個人而言，我真的很想潛得更深，從他們的觀點來真正了解問題。」
藉這場聚會汲取經驗相對安全。在電腦安全領域，「白帽」象徵行善的好人，「黑帽」代表作惡多端的惡棍。但出席「藍帽」會議的駭客幾乎無法代表藏身網路最陰暗處的那一群；若真要以色調區別，那麼他們充其量不過是灰色。
這可能正是微軟舉辦這場活動的重要原因--吸引這群有影響力的人士。這群安全研究員可選擇以謹慎的方式通報安全漏洞，也可大剌剌地昭告天下。微軟經常宣導發揮所謂「負責任揭露」的公德心。
|
|
|
|
| 
- Taiwan.CNET.com |
- ZDNet |
- Crave 科技瘋 |
- 關於CBS Interactive Taiwan |
- 刊登廣告 |
- 電子報訂閱 |
- RSS Feeds |
- 與編輯部聯絡•投稿 |
2.匿名 於 2007/12/07 11:13 回應
早該有人教訓這些閉門造車,老是生產這些不安全產品的M$人員,還敢賣那麼貴.駭客以另一個角度講,他們算是替弱勢團體伸張公理正義的一群人.
一個靠偷來的作業系統的公司(這段歷史可看一部電影[微軟英雄]),居然老生產一些不安全的瑕疵品,其托拉斯行徑,令人不得不買其產品,賣得那麼貴,還有立場去打擊盗版,所靠的是其帝國主義的金權勢力,樹立自己才是合法正義的一方.
1.colour 於 2005/09/26 12:35 回應
M$搞不清楚自己的顏色嗎？"取名「藍帽」，是為反映微軟的企業顏色，有別於廣為周知的「黑帽」(Black Hat)安全會議。"
藍色..是 IBM、INTEL..等公司用的顏色吧∼
M$ 除了網站藍色多些之外，產品包裝都讓我聯想到黑色（早期產品）...
或是五顏六色（近期產品）...