鬼仔's Blog

鬼仔注：该文作者在最后贴的“一段中國玩資安技術的人在 2007 年底貼出來的文”是指tombkeeper发的这篇“为什么近几年公开的技术交流越来越少”，但是作者给转成繁体的了，我在文章最后单独贴出tombkeeper的简体原文（不直接把最后改成简体是不能随意修改作者的文章）。

来源：阿碼外傳

其實阿碼一年要去很多會議，但是大部分是參展，不單純是參加。可是我發現參展時我就比較不能專心聽演講，因為總是有 VIP 客戶會來 booth，那我就必須要在攤位「站台」。自己當講師的時候就更慘了，通常我都最後一分鐘還在做投影片。Black Hat / DEFCON 我們明年才會擺攤位，所以我今年就比較輕鬆些，可以享受專心聽演講的樂趣！不過這些會議跑多了，有經驗的講師一年中講的都大同小異，沒有經驗的講師，講的我又聽不太下去，有時也會覺得浪費時間。

Jeff Moss （aka Dark Tangent）是 Black Hat / DEFCON 駭客年會的創辦人與主席，每年的會上，他都會接受媒體的採訪。他今年的採訪，主要談到了地下經濟的成熟，對於駭客年會的影響。以下是訪問的影片：

在影片中 Jeff 談到，其實這幾年他的會議收到的投稿，品質有逐年下滑的趨勢。去年他覺得可能是現在資安會議多了，大家很多地方可以投，但是後來研究其他會議的內容發現，也並沒有，那究竟原因是為什麼呢？

今年他找到答案了：地下犯罪

「其實我這一兩年都發現，我的會議收到的投稿，品質有下滑的趨勢。一開始我想，可能資安不會一直那麼紅吧，大家有其他事情做，或者，現在會議多了，大家不一定都選擇把東西投到我的會議來。可是我詳細研究其他會議的陣仗，發現他們也沒有收到好的研究！」

「於是我找了一些朋友談，發現這一兩年，因為地下犯罪經濟的起飛，造成研究員在公布弱點時，開始有了策略性的選擇。」

「以前大家發現弱點，都會來投稿，這會使他們出名，在朋友前面很屌。但是現在這些弱點價值不斐，所以很多人變成藉此獲利，而非投稿出名。」

「他們變成會這樣思考：好，我找到了一個 0day，公開可以讓我出名…可是我已經很有名了，賣錢大概可以賣五萬美金。那我真的要去 Black Hat 公開嗎？公開什麼錢也拿不到，大不了讓我找到一份顧問的工作。」

「所以不只我們，整個資安社群都正受到影響。」

「老一輩有經驗的不來投稿，後輩就沒有對象可以學習。我想這現象已經發生了好幾年了
但是就是今年特別明顯，所以今年，我終於知道投稿內容品質下滑的原因了。」

「因為今年這樣的市場達到了一個高峰，不論是商業上的市場，或地下犯罪市場都已經成熟。很重要的是，弱點的市價，大家也有了共識。例如如果 0day 可以讓你得以 ssh 到目標機器，市價大概是 10萬美金，如果是遠端能控制 Cisco 的弱點，市價約 15萬美金。小的弱點也有幾千塊。所以，市場已經成長成熟了。」

以前在我的文章中，演講中，我都有提到過這個問題。我從很小就接觸電腦，國小就會寫 x86 組語了，網路從 300 bps 的數據機開始玩。那時資訊不流通，但是至少有 BBS，很多技術很靠朋友間互相的分享流通。但是那時我們都很年輕，懂得技術之後，就像小孩拿了一把利刀，很多朋友因此迷失了，被 FBI 抓了，被 CIA 驅逐出境了，離開學校專門幫企業偷盜對手的機密，或為情治單位使用，以為有了強大的靠山，結果無法無天有了不可收拾的後果。

所以像是大專資安技能競賽金盾獎開辦時，我就寫過文章談到，一方面，不懂得攻擊，不可能懂防守，之前大家一直說，學校教的資安課程太理論，資安不是只有密碼學。結果終於有了大專資安技能競賽金盾獎出來，學校也開始開這方面的課程了。

技術的環境有了，可是相對應人格的培養呢？為何軍人與警察的道德要求要比一般高？因為他們受過訓練，他們擁有武功，一把劍有兩面刃，所以軍校或警察學校在培養這些能力時，都會特別加強人格的養成訓練。

想一想多少電影的故事背景，壞人都是曾經幫國家出生入死的軍人、特殊部隊、情治人員、警察，後來因為對國家腐敗失望，而有了價值觀的反轉？

資安技術目前很有用，年輕人有了好的技術，不但可以有好的前途，對國家一些特殊單位，也會很有幫助。可是在讓年輕人幫忙的同時，有誰注意到了人格的培養？

今年在 DEFCON，我還沒看到 Jeff Moss 上面這段影片，但是發生一件事，也喚起我很多回憶。我跟一群講師坐在一間休息室聊天，他們急著秀我一些東西，但是大家的 3G 卡訊號都很弱。

講師 A：「有誰犧牲一下，筆電拿來上這裡的 wifi 吧！我的不行，我這台就是我平常在用的，今年聽說有網卡的 0day，一連上可能就中 rootkit 了…」

講師 B：「哈哈！我來上啦！以前我會相信，這裡網路有這樣的 0day 正在掃瞄。但是現在，不用擔心啦！這種網卡的 0day，你知道現在值多少錢嗎？我不相信有人會甘願拿來 DEFCON 用，用了就被別人發現了。現在不像以前啦！現在這些東西很有價的…沒人還這麼笨啦！」

我：「原來世界的趨勢都一樣啊！」

當然，以前這些事也很多，但是沒像現在這麼公開，這麼普及。因為環境比較單純，所以大家研究多是純為興趣，不會夾雜其他的目的。

以下是一段中國玩資安技術的人在 2007 年底貼出來的文，恰好呼應了 Jeff Moss 所說的（我把文轉成繁體了，原文在這裡）：

作者 Wayne 為阿碼科技 CEO

ps：tombkeeper的“为什么近几年公开的技术交流越来越少”原文：
这个问题很复杂，说是说不清楚的，只能扯一扯。先扯个大概吧。

首先，得明确一点：任何人都没有义务公开自己的研究，任何人都没有权利要求别人公开自己的研究——尤其是那些自己没公开过什么的人。不过似乎不少人都有自己的一套理论，能够找出充分的理由来为此义愤填膺，就像七八岁的小男孩得不到想要的游戏机一般义愤填膺。

从我这些年的经验来看，在英语世界里，北欧技术交流气氛最好。其次是中欧，再次西欧，美国排最后。为什么呢，因为像瑞士、瑞典、芬兰这样的披着资本主义狼 皮的社会主义国家里，在超市干三年收银员就可以买栋房子，人们永远不担心没钱看病，不担心失业。所以，人家搞技术的动力基本上都是马斯洛四层以上，咱们这 样还得兼顾三层以下的，跟人家没法比。

但是咱们毕竟也是社会主义国家，虽然是初级阶段，但大家好歹都还不至于挣扎在一二层，所以贴点文章，聊点问题，也很合逻辑。但是这几年情况有有些变化。

首先，一个根源问题是整个信息安全技术的基础部分已经差不多都码完了。各种理论和技术都很成熟，该有的文档也都有了。再要搞点什么东西，基本上都是建立在 一堆参考资源之上的实际应用。而越接近实用的东西，越不会有人愿意往外放。这个道理很容易理解：你随便到哪个书店都能买到讲E=MC²、原子裂变，甚至如 何浓缩铀等等这些高深理论的书，但是绝对买不到哪怕制造原子弹外壳的具体配方。

如果整个大环境还保持在2003年之前的状态，可爱的Hacker们倒也不会太在乎实用不实用。但是世道毕竟变了。一部分人开始挣黑钱，他们当然就不会再 跟别人分享发家致富的秘方。而另外一些没去挣黑钱的，也不会愿意把自己的东西白白送给别人拿去发家致富，宁可搞出来自娱自乐，然后烂在地里。于是，最近几 年虽然国内搞这玩意的人多了，水平高的人也多了，但是真正高水平的公开交流却少了。

客观原因摆在这里，所以抱怨毫无意义，绝对不会改变什么。

不过我前面也已经说过了，其实这一块儿的基础文档已经很齐备了，无论你想学什么，都可以找到资料。除非你并不真的想学，只是给自己学不会找个理由而已。