一年一度的Pwn2own黑客大賽已經(jīng)落下帷幕。這次大賽有哪些亮點(diǎn)？瀏覽器和手機(jī)安全問(wèn)題是否迫在眉睫？這次我們有幸邀請(qǐng)到圈子里兩位知名的網(wǎng)絡(luò)安全研究人員，一起聊一聊2011年的Pwn2own。

如不能收聽，請(qǐng)點(diǎn)擊鏈接：http://netsecurity.51cto.com/secu/radio/duihuaIT1_Pwn2own2011.mp3

本期新浪播客：http://video.sina.com.cn/v/b/48426246-2016492641.html

附采訪實(shí)錄：

關(guān)于智能手機(jī)安全的問(wèn)題，今天我們有幸采訪到資深無(wú)線安全研究人員，《無(wú)線網(wǎng)絡(luò)安全攻防實(shí)戰(zhàn)》系列書籍的作者 楊哲。

　　問(wèn)：Pwn2own2011年的黑客大賽已經(jīng)落下帷幕了。我們發(fā)現(xiàn)目前有一些人認(rèn)為，越是開放的手機(jī)系統(tǒng)越不安全。這次參與比賽的四款手機(jī)系統(tǒng)，有開源的，也有封閉的。是不是越封閉的系統(tǒng)，比如是windows mobile，攻破的難度就越大呢？

　　答：不是這樣的，我們舉個(gè)例子，在過(guò)去的10多年來(lái)，Windows由于其便捷的窗口化操作和用戶不可見的后臺(tái)處理機(jī)制，贏得了大量的用戶。但與此同時(shí)，也吸引了大量的黑客及組織對(duì)其研究，那最終的結(jié)果我們都知道，就是微軟的漏洞數(shù)量和發(fā)布頻率要比其它操作系統(tǒng)高很多，而直到現(xiàn)在Windows并沒(méi)有像Linux一樣開源。同樣地，在智能手機(jī)領(lǐng)域，Windows Mobile占據(jù)的江山可以說(shuō)還沒(méi)有達(dá)到和Windows XP這樣一個(gè)級(jí)別，所以可以看到在06年以前無(wú)論是手機(jī)病毒還是攻擊的對(duì)象都主要是Nokia的Symbian，為什么呢，因?yàn)镹okia占據(jù)了80%的手機(jī)市場(chǎng)。但在最近幾年，隨著使用Windows Mobile系統(tǒng)的智能手機(jī)在市場(chǎng)占有率的提高，也爆出了多個(gè)威力比較大的漏洞，比如09年比較出名的HTC智能手機(jī)爆出的藍(lán)牙協(xié)議棧漏洞，這個(gè)漏洞是由于HTC在開發(fā)基于Windows Mobile的藍(lán)牙驅(qū)動(dòng)時(shí)的疏漏所致，但經(jīng)過(guò)測(cè)試，發(fā)現(xiàn)它影響到了09年7月前出廠的幾乎所有基于Windows Mobile6/6.5的HTC手機(jī)。

　　總的來(lái)說(shuō)，就是說(shuō)，并不是封閉的系統(tǒng)，其攻破的難度就越大。按照這個(gè)理論，那是不是說(shuō)只要選擇閉關(guān)鎖國(guó)，這樣就可以無(wú)敵了？呵呵

　　問(wèn)：此次比較遺憾的是，Windows Mobile和Android平臺(tái)的攻擊者沒(méi)有來(lái)到大賽的現(xiàn)場(chǎng)。之前看到一些報(bào)道，Android平臺(tái)的安全問(wèn)題會(huì)是2011年比較讓人擔(dān)憂的，你覺(jué)得是這樣嗎？為什么Android的安全問(wèn)題開始浮出水面？

　　答：我們都知道，絕對(duì)的安全是不存在的，所以Android的問(wèn)題肯定是有的，比如去年底國(guó)外一些黑客組織就陸續(xù)發(fā)布了針對(duì)Android2.0/2.1的多個(gè)0Day攻擊漏洞，可以導(dǎo)致用戶的智能手機(jī)遠(yuǎn)程執(zhí)行惡意代碼、資源耗盡導(dǎo)致死機(jī)等。其實(shí)無(wú)論任何操作系統(tǒng)，安全問(wèn)題都是存在的，只是其流行程度和關(guān)注程度還遠(yuǎn)沒(méi)有達(dá)到臨界點(diǎn)罷了。這個(gè)臨界點(diǎn)就是由手機(jī)的用戶數(shù)量、流行程度所決定的。這個(gè)道理就如同我們剛才提到的Windows一樣。

　　問(wèn)：您覺(jué)得此次pwn2own黑客大賽的亮點(diǎn)是什么？這樣的比賽，它的意義在哪里？

　　答：亮點(diǎn)就是手機(jī)廠商與安全人員甚至是黑客的正面對(duì)決，這表明了廠商愿意從根本上提高自身安全，愿意對(duì)潛在的安全問(wèn)題負(fù)責(zé)，愿意為用戶負(fù)責(zé)的態(tài)度。相信很多朋友都愿意看到這種讓廠商直面自身安全隱患，將其所謂的自信直接放在爐上烤的感覺(jué)，這比廠商發(fā)布100個(gè)公告和聲明要有意義的多。這個(gè)比賽讓我想起了數(shù)年前某個(gè)防火墻廠商的一個(gè)懸賞活動(dòng)，在單位時(shí)間內(nèi)只要攻破其防火墻設(shè)備訪問(wèn)到后方的某一個(gè)指定文件，即可獲得5萬(wàn)元的獎(jiǎng)勵(lì)。這個(gè)Pwn2Own與其性質(zhì)完全一致，但在這么多主流移動(dòng)設(shè)備供應(yīng)商的支持下，特別是重賞之下必有勇夫嘛，一些安全研究人員也愿意將自己的技術(shù)展現(xiàn)出來(lái)，來(lái)向很多廠商疏漏的角度展開攻擊，這對(duì)廠商的提高也是巨大的，所以說(shuō)，Pwn2Own黑客大賽的深遠(yuǎn)意義要高出了很多。

　　問(wèn)：在智能手機(jī)安全領(lǐng)域，我們之前也采訪過(guò)一些手機(jī)安全廠商，目前他們還沒(méi)有看到大規(guī)模的手機(jī)木馬、病毒的爆發(fā)，當(dāng)前的手機(jī)安全軟件也大多定位在在隱私保護(hù)和軟件管理上，您估計(jì)手機(jī)安全問(wèn)題到什么階段可能會(huì)大規(guī)模爆發(fā)？

　　答：恩，其實(shí)主要是因?yàn)閲?guó)內(nèi)確實(shí)沒(méi)有面臨過(guò)大規(guī)模手機(jī)病毒爆發(fā)的事件，所以目前國(guó)內(nèi)的手機(jī)安全防護(hù)類軟件主要偏向于隱私保護(hù)上，但在國(guó)外，早在04年起，自從針對(duì)Nokia的Cabir等手機(jī)蠕蟲病毒的泛濫，使得很多國(guó)際上比較有名的產(chǎn)品對(duì)手機(jī)木馬病毒方面的關(guān)注度還是很高的，

　　比如Mcafee、賽門鐵克、Kapersky、F-Secure等等。

　　問(wèn)：有人認(rèn)為手機(jī)安全問(wèn)題會(huì)隨著手機(jī)支付的發(fā)展而凸現(xiàn)出來(lái)，您是怎么看待智能手機(jī)平臺(tái)的黑色產(chǎn)業(yè)鏈和潛在的利潤(rùn)體系的？

　 答：顯然地，由于國(guó)情的不同，對(duì)于中國(guó)來(lái)說(shuō)，非法軟件在手機(jī)后臺(tái)吸費(fèi)將會(huì)是這幾年來(lái)主要的問(wèn)題，不過(guò)手機(jī)自身的安全問(wèn)題也將受到越來(lái)越多的關(guān)注，比如現(xiàn)在很多人開始陸續(xù)享受到的手機(jī)支付等，也將隨著普及而出現(xiàn)新的安全問(wèn)題。而作為黑色產(chǎn)業(yè)鏈這個(gè)問(wèn)題已經(jīng)不是一兩家安全公司、團(tuán)體或者單純的手機(jī)安防軟件能夠解決的問(wèn)題，它需要多個(gè)相關(guān)部門的聯(lián)合才能夠最大程度地堵住這個(gè)黑洞。

　　++++++

　　關(guān)于瀏覽器安全的問(wèn)題，我們來(lái)咨詢一位在國(guó)內(nèi)知名安全公司工作的技術(shù)大拿。對(duì)客戶端軟件安全和Web安全有著很豐富的經(jīng)驗(yàn)。不過(guò)他現(xiàn)在不太方便透露自己的姓名。所以呢，我們這邊就不做介紹了。

　　問(wèn)：關(guān)于Pwn2own2011黑客大賽有幾個(gè)問(wèn)題想跟您溝通一下，pwn2own黑客大賽已經(jīng)結(jié)束了,在瀏覽器的部分， Chrome和Firefox瀏覽器都沒(méi)有被攻破，而值得一提的是Chrome瀏覽器連續(xù)3屆黑客大賽上都順利過(guò)關(guān)，您覺(jué)得Chrome的安全性真的是一個(gè)神話嗎？

　　答：Chrome的安全系數(shù)是比較高的，但是它并不是絕對(duì)的安全。為什么chrome的其安全性很高呢？主要有兩個(gè)方面的原因，一個(gè)是谷歌提供了一個(gè)有償?shù)陌踩雀栌?jì)劃，也就是如果有安全人員發(fā)現(xiàn)了chrome的安全漏洞，就會(huì)有一個(gè)有償?shù)难a(bǔ)助，是1000美元到3000美元不等，所以很多安全研究人員發(fā)現(xiàn)了chrome的安全漏洞就會(huì)上報(bào)給谷歌;然后另外一個(gè)方面就是，chrome的有一個(gè)安全的沙盒，也就是如果chrome有這么一個(gè)安全漏洞，但是(黑客利用這個(gè)漏洞)并不能直接攻擊chrome，也就是說(shuō)瀏覽器雖然存在安全漏洞，但是不能被直接攻擊。也就是chrome沒(méi)有被攻破的最主要原因。

　　問(wèn)：也就是說(shuō)攻擊者要繞過(guò)這個(gè)沙盒才能對(duì)chrome進(jìn)行攻擊？

　　答：對(duì)。

　　問(wèn)：那您剛才說(shuō)的有償計(jì)劃，其他瀏覽器廠商沒(méi)有這種機(jī)制嗎？

　　答：Firefox也有這種有償補(bǔ)助，所以這兩個(gè)瀏覽器的安全系數(shù)高一些，火狐在參加這個(gè)大賽之前就已經(jīng)修復(fù)了十多個(gè)安全漏洞。

　　問(wèn)：所以說(shuō)它(Firefox)在這次比賽有點(diǎn)僥幸的因素在里邊是吧？

　　答：對(duì)

　　問(wèn)：第二個(gè)問(wèn)題，作為一名安全研究人員來(lái)說(shuō)，您平常最常用的瀏覽器是什么？

　　答：火狐。

　　問(wèn)：為什么？

　　答：因?yàn)榛鸷且粋€(gè)老牌的插件瀏覽器，它有很多的插件，可以方便日常的一些工作。

　　問(wèn)：那這是從使用功能方面來(lái)說(shuō)的，那其他方面呢？

　　答：其他方面的話，它最主要的特點(diǎn)就是開源，你可以了解到這個(gè)瀏覽器最近有沒(méi)有什么安全漏洞，或者可以在開源社區(qū)里討論它的安全漏洞或者防護(hù)措施之類的，都可以在第一時(shí)間知曉。

　　問(wèn)：那我問(wèn)最后一個(gè)問(wèn)題，和技術(shù)有點(diǎn)相關(guān)的，就是您能介紹一下常規(guī)的瀏覽器漏洞挖掘技術(shù)都有哪些嗎？

　　答：常規(guī)的瀏覽器漏洞挖掘技術(shù)的話應(yīng)該是兩塊，一塊是閉源的，閉源的話主要靠逆向，像(攻擊)IE瀏覽器主要靠逆向，逆向的話是可以直接從源代碼分析瀏覽器的一些漏洞。另外一種是fuzzing也就是模糊測(cè)試這種方法，來(lái)發(fā)現(xiàn)黑盒這種方式測(cè)試瀏覽器的漏洞。

對(duì)話IT主持人：

鮮橙、嘉文

如需下載收藏可訪問(wèn)(需51CTO帳戶)：

http://down.51cto.com/data/177319

《IT聽聽看》新浪微博：http://t.sina.com.cn/2016492641

【編輯推薦】

1. 大話IT：Pwn2Own2011大賽落幕 瀏覽器手機(jī)淪陷各半(音頻)
2. IT聽聽看之蘋果備戰(zhàn)2011Pwn2own黑客大賽