ZDNet Taiwan - 微軟、駭客相見歡(上) - 企業應用

註冊 | 登入 | RSS Feeds

ZDNet | Taiwan.CNET.com |

微軟、駭客相見歡(上)

4則回應

Ina Fried．唐慧文譯 2005/06/21 07:00:59

在西雅圖郊外微軟公司園區的主管簡報會議中心，數百名微軟工程師你一言我一語，熱鬧哄哄。但全員到齊沒幾分鐘，會議廳頓時陷入一片靜默，駭客已成功誘拐一台Windows筆記型電腦連上惡意的無線網路。

「大家都悶不吭聲，」微軟安全部門計畫經理Stephen Toulouse說：「聽不到任何人的呼吸聲。」

微軟3月舉辦為期兩天的「藍帽」(Blue Hat)會議，邀請局外人深入Windows帝國的核心參觀，並展示利用微軟作業系統漏洞的技巧，這場觀摩會是其中的一項活動。取名「藍帽」，是為反映微軟的企業顏色，有別於廣為周知的「黑帽」(Black Hat)安全會議。

「藍帽子」大會（Blue Hat）讓全球最具影響力的軟體巨擘-微軟得以和專門破解微軟產品漏洞的專家面對面，與會者如下：

Jim Allchin: Allchin是微軟集團的副總裁，負責微軟Windows部門。職責是監督Windows作業系統既有版本與未來版本的研發工作。

Matt Thomlinson: 微軟的安全工程部門負責人，指揮公司上下所有的程式設計師，確信他們掌握了當前以及可能出現的安全威脅。

Noel Anderson: 微軟「無線、行動、家庭網路」部門的經理與程式工程師，負責讓微軟作業系統能和無線網路互聯。

Dan Kaminsky: 最近的研究計畫包括找出哈西演算法（hashing algorithms）不足之處，尋找透過國際化網域名稱系統（IDNS）傳送大檔案的可能。目前Avaya公司是他的客戶。

HD Moore: 是Metasploit的催生者，這套工具能讓系統管理員測試系統是否安全，沒有被駭客入侵之虞。

這場會議非比尋常，可說是駭客社群與他們主要攻擊對象各派代表參加的高峰會，也由此凸顯安全問題對這家世界首屈一指的軟體公司變得有多重要。微軟董事長蓋茲今年稍早估計，目前微軟每年在安全相關問題上的投資達20億美元，比總研發預算的三分之一還多。安全性也成為微軟開發者會議的一大主題，例如在上周舉行的TechEd會議上，微軟主管就向11,000名與會者宣揚Windows改良的安全功能。

駭客：亦敵亦友

但舉辦「藍帽」會議另有其他重要的、但較不實際的理由。這場活動提供難得的機會，讓微軟人一窺電腦安全地下領域的堂奧。平常，網路工程師與駭客作科技攻防戰時，打得難解難分，但兩者之間的道德分界有時並非黑白分明。藉舉辦這場會議，兩方都能頭一次洞見對方陣營內部的運作方式、文化及其心理。

外來出席者之一的Dan Kaminsky說：「我不曉得，這會是雙方一場敵對的經驗，或者會演變成某種合作的模式。」和其他職業駭客團體成員一樣(許多人稱為「安全研究員」)，他發現，雙方到最後演變成合作的關係。

然而，在這種緊張的氣氛中，情緒沒多久就表露無遺。

負責協助微軟工程師加強程式碼安全性的Matt Thomlinson發覺，一些工程師變得面紅耳赤，顯然對駭客展示的破解手法惱羞成怒。儘管遭到駭客教訓的滋味不好受，但微軟工程師把軟體安全視為攸關個人榮辱的問題，令他感到欣慰。

其實Thomlinson也經常懇請工程師務必注重程式碼的安全性，但他的訓誡卻產生不了同樣的效果。「這似乎點醒他們這裏，」Thomlinson指著他的頭說：「當一群程式設計師眼睜睜著看著自己的程式碼遭到破解，情況就不一樣了。那種打擊痛徹心肺。」

親見自己的程式碼被糟蹋

接連兩天，微軟員工在得知各式各樣的駭客入侵手法的同時，就不斷地遭到這種切膚之痛。第一天，數十名主管，包括微軟最高階的主管在內，都在這個臨時新兵訓練營中遭到這種激怒。其中一位參與者是微軟Windows事業負責人Jim Allchin，以及Windows作業系統核心開發領隊Brian Valentine。第二天引來大約400名基層的Windows工程師，包括日常任務未必以安全功能為主的人員。

Allchin不只是高階軟體主管。在科技業，他的名號大致上已成為Windows作業系統的同義詞。他大力支持舉辦「藍帽」會議，希望他領導的Windows團隊不但能了解安全問題，還能親眼瞧瞧問題是怎麼發生的。

提到駭客編寫的工具，Allchin說：「我受過很多天的駭客工具訓練。就我個人而言，我真的很想潛得更深，從他們的觀點來真正了解問題。」

藉這場聚會汲取經驗相對安全。在電腦安全領域，「白帽」象徵行善的好人，「黑帽」代表作惡多端的惡棍。但出席「藍帽」會議的駭客幾乎無法代表藏身網路最陰暗處的那一群；若真要以色調區別，那麼他們充其量不過是灰色。

這可能正是微軟舉辦這場活動的重要原因--吸引這群有影響力的人士。這群安全研究員可選擇以謹慎的方式通報安全漏洞，也可大剌剌地昭告天下。微軟經常宣導發揮所謂「負責任揭露」的公德心。