白帽子的道德底線在哪兒？

2015-08-31 11:33:05 大云網(wǎng)　點(diǎn)擊量：評(píng)論 (0)

前一陣子，克里斯·羅伯茨聲稱黑進(jìn)波音737機(jī)上娛樂(lè)系統(tǒng)并被FBI問(wèn)詢的事情引發(fā)了一波洶涌澎湃的論戰(zhàn)。公共輿論最開(kāi)始站在羅伯茨一邊，但后來(lái)因?yàn)镕BI提交法庭的書面陳述僅事情發(fā)生了戲劇性轉(zhuǎn)變。陳述表明，羅伯茨承

這份陳述引起了有關(guān)白帽子道德問(wèn)題的深切關(guān)注。根據(jù)口供，羅伯茨有能力控制飛機(jī)偏離預(yù)定航線，其后果是相當(dāng)可怕的。沒(méi)人認(rèn)為羅伯茨有一丁點(diǎn)兒危害自身或其他乘客的意圖，但如果口供是真實(shí)的，危害機(jī)上人員的可能性就是現(xiàn)實(shí)存在的。

有人認(rèn)為，所有一切都?xì)w結(jié)到意圖問(wèn)題。如果白帽子黑客不打算造成任何傷害，且除了測(cè)試目標(biāo)系統(tǒng)的安全性之外沒(méi)有任何惡意企圖（可能就是想負(fù)責(zé)任地披露發(fā)現(xiàn)的漏洞），很多安全專業(yè)人士都認(rèn)為這類黑客活動(dòng)是道德的。畢竟，沒(méi)造成傷害，沒(méi)有數(shù)據(jù)被盜，還可能披露了漏洞。

但什么時(shí)候白帽子黑客就越界了呢？道德底線該劃到哪兒呢？

似乎，白帽子這個(gè)詞在不同人眼里有著不同含義。一方面，有那么一群網(wǎng)絡(luò)安全產(chǎn)業(yè)中的專業(yè)人士，整個(gè)職業(yè)生涯都建立在做一個(gè)嚴(yán)格意義上的白帽子上。這些安全專業(yè)人士必須堅(jiān)守原則，從不在應(yīng)邀和獲批之外進(jìn)行掃描、探測(cè)或檢查。他們遵從嚴(yán)格的規(guī)定，悉心呵護(hù)自身名譽(yù)和未來(lái)收入保障。

然而，當(dāng)目光從職業(yè)白帽子身上移開(kāi)后，定義便發(fā)生了偏移。很多自認(rèn)為是白帽子的人大概都有過(guò)查查看自己的網(wǎng)銀有沒(méi)有開(kāi)放的智能平臺(tái)管理界面端口的舉動(dòng)，只要他們的動(dòng)機(jī)是為了通知銀行。對(duì)他們而言，這一行為就像檢查自家銀行晚上有沒(méi)有關(guān)好門一樣理所應(yīng)當(dāng)。再怎么說(shuō)，他們的動(dòng)機(jī)都是相當(dāng)純粹的。

然而，我們最主要的爭(zhēng)議，就在這一點(diǎn)上。純粹的意圖并不意味著行為就是道德的。無(wú)論意圖多么高尚，白帽子黑客仍然能夠并且相當(dāng)容易地，造成“無(wú)意”的傷害。

拿數(shù)據(jù)采集與監(jiān)控系統(tǒng)（SCADA）和關(guān)鍵基礎(chǔ)設(shè)施的安全評(píng)估舉個(gè)例子。比如白帽子黑客拿這些實(shí)時(shí)運(yùn)行的工控系統(tǒng)做滲透測(cè)試時(shí)，我們需要正確評(píng)估，這些做測(cè)試的安全專業(yè)人士是否能夠保證系統(tǒng)安全和100%可運(yùn)行。但如果評(píng)估是由像那架飛機(jī)上的羅伯茨一樣漠視安全的個(gè)人操作的，測(cè)試過(guò)程就有可能演變?yōu)閷?duì)公眾的嚴(yán)重威脅，后果可能會(huì)不堪設(shè)想。

現(xiàn)如今許多科技公司包括國(guó)內(nèi)，都有為提交漏洞的白帽子提供獎(jiǎng)勵(lì)的計(jì)劃。谷歌最近新的安卓漏洞獎(jiǎng)勵(lì)計(jì)劃，獎(jiǎng)金已高達(dá)4萬(wàn)美元。

這些公司已做好開(kāi)放滲透測(cè)試的準(zhǔn)備，想必也有了應(yīng)對(duì)可能的安全事件和系統(tǒng)部分異常的計(jì)劃，并且有能力承擔(dān)風(fēng)險(xiǎn)。但對(duì)一些擁有重要信息系統(tǒng)或敏感數(shù)據(jù)的企業(yè)或機(jī)構(gòu)來(lái)說(shuō)，很難做到這一點(diǎn)。白帽子黑客需要承認(rèn)并尊重這種事實(shí)，不僅僅因?yàn)樗阶詼y(cè)試通常是不道德的，違反法律的，還因?yàn)檫@種行為有可能造成重大經(jīng)濟(jì)損失，甚至將他人的人身安全置于危險(xiǎn)之中。

責(zé)任編輯：大云網(wǎng)

免責(zé)聲明：本文僅代表作者個(gè)人觀點(diǎn)，與本站無(wú)關(guān)。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實(shí)，對(duì)本文以及其中全部或者部分內(nèi)容、文字的真實(shí)性、完整性、及時(shí)性本站不作任何保證或承諾，請(qǐng)讀者僅作參考，并請(qǐng)自行核實(shí)相關(guān)內(nèi)容。

我要收藏

個(gè)贊