安全漏洞交易黑市曝光
文章地址：http://www.cnbeta.com/articles/61950.htm
作者：ugmbbc


Marester是一位法國24歲的小夥子,去年,他開始爲自己要創建的信息安全公司尋找種子基金.他最大的擅長就是技術和安全,自然的,他想到了利用自己的技術特長來爲自己積累初始資金.於是,他在網上開了一個論壇,他在論壇說明中稱:他掌握了關於Linux、HP-UX、微軟Windows和 Apache的零日漏洞.他寫道:“如果你對此感興趣,請通過Email給我發信.”之後,他在論壇中宣布,他掌握了有關SAP、火狐、微軟 Office2003和2007及IE浏覽器的零日漏洞.


　　零日漏洞已經不是一個新話題,它是指被發現後可以立即被惡意利用的安全漏洞,如果企業或個人對此漏洞缺少防範意識或缺乏相關技術手段,就可能遭受巨大損失.如果你的配置沒有大的問題,零日漏洞也許只會造成你的網站或網絡短暫的癱瘓;但大的零日漏洞卻可以使別有用心的人完全控制你的整個網絡.

這種有關安全漏洞的交易遠比我們大多數人所想象到的要“繁榮”得多.在安全漏洞交易市場裏,有信息安全機構和企業、有企業間諜、有網絡罪犯,甚至還有政府和情報部門的身影.當然,在大多數國家和地區,出賣安全漏洞和相關代碼被視爲非法,Marester的唯一不同之處在於,他只針對某個或某些機構的産品安全需要提供服務.

很多提供此項漏洞信息的人都不承認自己的服務有什麽違法問題.SteveRigano的觀點很有代表性,他是一位在HP法國公司工作的人,他宣稱,他能讓黑客操作處在世界任何角落的任何一台電腦上的任何一款軟件.業余時間,他很喜歡鑽研信息安全方面的技術,並發現了一些軟件漏洞.他說他有權出賣自己發現和擁有的東西,他的這些發現純屬業余所獲,與HP沒半點兒關係.此前,HP的一位發言人承認,他們已經在HP法國分支機構裏發現了從事漏洞買賣的行爲,他們正和FBI展開聯合調查.而SteveRigano對此事的反應是:他敢和任何企業或機構對簿公堂.

據海外媒體報道,HP正在調查的,是一個網絡昵稱爲t0t0的人,此人在2007年5月賣出有關SAP的零日漏洞,HP的網絡跟蹤到了這個交易.隨後,媒體記者跟蹤到此人可能是位於法國巴黎的一所大學的老師,此人曾經跟俄羅斯的黑客組織Phrack有聯係.

在安全漏洞的交易市場上,軟件漏洞的標價從幾千美元直到數十萬美元不等.最“吃香”的要屬對微軟軟件的遠程攻擊,這也是叫價最高的,其他大品牌的産品漏洞,如蘋果操作係統、思科路由器軟件、Oracle數據庫代碼、Email程序等,都有各自的標價.

有一家叫WabiSabiLabi的瑞士拍賣網站在去年開通了安全漏洞交易平台,並聲稱在漏洞賣出之前,WabiSabiLabi會保證交易信息的質量. 這樣的業務自然是在打擦邊球,事實也證明其業務遠沒有那麽遵紀守法,其戰略總監RobertoPreatoni因爲出賣巴西電信的安全漏洞信息,於去年 11月在意大利被捕.

近日海外媒體又曝光了兩家信息安全企業的所做所爲.這兩家企業是VeriSign旗下的iDefense和TippingPoint.iDefense花 8000美元在黑市找了6個人來發掘微軟ExchangeServer、Outlook等Mail客戶端的最新版本中的安全漏洞,並花了4000美元做入侵開發.之後,這家公司以非常高的價格把這些信息和代碼賣給了相關政府部門和機構,以此洗清自己在其中的幹係;iDefense還宣稱,他們已經第一時間將相關漏洞信息內容知會了微軟,以使其盡快爲公衆用戶提供補丁下載.

除了競爭對手、網絡黑客、信息安全機構的需求外,政府和情報部門是推動安全漏洞交易市場保持“繁榮”的最主要力量.SteveRigano向媒體批露,他的大部分客戶來自美國、俄羅斯等政府和情報部門.美國政府購買這些信息是爲下一步的網絡戰爭儲備彈藥,美國認爲,一些國家政府和企業把美國企業看作是一個巨大的科技創新和研發的實驗室,他們購買漏洞信息,潛入美國企業的數據庫,拷貝企業保密信息和其他技術創新信息;美國一位前情報部門人員稱,有些國家甚至專門成立機構研究網絡黑客和網絡竊密技術,而美國必須跟上這個步伐.