余弦(钟晨鸣), 知道创宇技术副总裁、404团队Leader、知名黑客,一手打造出KCon大会、漏洞交易平台Seebug、网络空间搜索引擎ZoomEye,并著有畅销书《Web前端黑客技术揭秘》。他坚持“以黑客那种邪气看待世界。而你,务必保持自己的独立思维”。更多信息,请参见其个人公众号 “懒人在思考”、个人网站evilcos.me。

问:据了解,您大学并非计算机专业,但因为高中就开始对计算机感兴趣,后来转到了计算机安全领域?

我从高中开始学编程的,但缘于对自然科学的好奇和家人的影响,大学选择了生物专业。其实跟生物又不太相关,叫生物功能材料。这是个跨学科专业(生物学+材料学),研究的是人造骨骼、人造心脏等需要植入人体的东西,所以又跟医疗有些关系。

大学专业的跨学科性,以及自身对计算机的浓厚兴趣,让我有了再跨一下的想法。其实当时动机很单纯,就是觉得黑客很酷!再者,从小看着动画片长大,也想自己试试看能否做出来,于是学了Flash。再后来,我开始接触Flash安全,接触到黑客领域。

问:据说您还未毕业就加入了知道创宇?

当时我是黑客圈内的新人,是看着中国老一代黑客们的文章,学习着他们的思想,运用着他们的工具成长起来的,所以十分崇拜这些黑客圈儿里的前辈。当时知道创宇的创始人来学校找到我,跟我吃饭,有这般待遇可以跟牛人做一番很牛的事,我很痛快就答应了。

问:知道创宇藏龙卧虎,您觉得是什么吸引了这么多优秀的技术人才?

是黑客文化的传承吧。知道创宇是一家注重技术的公司,从创始人、CEO、CTO到大大小小团队的Leader,我们坚持黑客文化这条路很多年。这是一种从上而下的传承,知道创宇因此吸引了很多人,黑客文化也得以持续。

问:您在知道创宇主要负责哪方面工作?

对外呢,我是知道创宇的技术副总裁,负责安全研究相关的一些技术,包括带一些业务团队,比如404。其实,404最初只是个实验室,后来才一步步发展成业务团队,继而我要带领这个团队打造很多产品,要思考它的商业模式。另外,前面说到知道创宇是一家注重技术的公司,这是我们的一个优点,但往往也是缺点:在市场这块儿我们可能做得并不够好。所以,我们一方面要把产品做好,一方面也在思考怎样让更多的人知道我们的东西,知道有这样一个群体在对抗着网络空间里的地下黑客。我们希望能够把背后的东西做成产品,提供给需要的人。

问:您当初基于什么原因创建了KCon,相较于其他安全会议,它的特色和优势是?

创建KCon是2012年,那时国内的大会还比较少,而且除了少数聚焦于技术外,很多大会的商业性太强了。而我们团队比较爱玩,又非常注重黑客技术,于是我就想在业内办一场纯粹的,能够回归黑客自由分享精神的大会。因此,KCon一开始并不接受赞助。

KCon的玩法是这样的,除了保证干货和高质量,还要有好玩的元素,比如邀请摇滚乐队。我更希望能够挖掘很多有实力的新人,给他们展示的舞台,让他们有机会成为黑客圈的焦点。就好像2015年,最小的演讲者是一名12岁的初中生,他也能站上讲台,而且事实证明讲得挺不错。当然,我们也会邀请一定比例的老人,但不一定是那种有超级知名度的,他们可能在黑客圈潜伏了很久,但一旦站上演讲台,就会引起大家对黑客情结的共鸣。我们希望大家能够在其中找到一种平衡:一个是新股势力,一个是带有情结的老人。这样的感觉会让人怀念黑客的本质。

问:近年,国内很多黑客团体走进国际黑客大会,您觉得国内的黑客群体在国际上是个什么地位?

有段时间,中国的黑客其实在国外有被妖魔化。他们认为中国的黑客会侵犯个人资产,入侵商业、国家政治等领域。但这也从侧面说明,国内的黑客技术不断发展成长起来了。

近几年,国内外都出现了一批新兴的网络安全公司,我们也算比较新颖的。当大家都成熟起来之后,我们发现其实海外安全公司中也有很多华人,技术也很高超。再往后的这两年,越来越多的中国人、中国公司开始站上国际舞台,但我觉得并不存在国内的技术和国外技术分离的现象,中国黑客其实挺强的。

如今,我们也尝试把打造的产品,包括KCon、Seebug、ZoomEye推向国际舞台。比如将来的KCon大会上,我也会尝试邀请一些国外的嘉宾用全英文演讲,但是我骨子里面又不太想,我们泱泱大国本身的安全人才就很多。相信当KCon足够有影响力的时候,国际上的黑客会想要亲自来中国。

问:很多人说,ZoomEye与国外的Shodan很相似,您认为ZoomEye的特色有哪些?Shodan不断商业化,那ZoomEye的发展趋势呢?

ZoomEye也在考虑商业化,但会更加注重开放。其实,我们打造ZoomEye的时候,还不知道Shodan的存在,当然两者的切入点也不大一样。Shodan主要针对的是设备指纹,也就是与某些特定端口通信之后返回的banner信息的采集和索引。而ZoomEye更加偏重Web,侧重于对某些特定服务的探测,比如Web服务的细节分析。后来知道了Shodan的存在,也对比了其他一些类似项目,我们觉得可以把整个网络空间的所有端口信息都记录下来,而实际做的过程中我们才了解到它真正的复杂度。当然,我们非常尊重Shodan,重视黑客的开源、版权等相关问题,所以操作过程中也会实事求是地说明用到了哪些东西。

近期ZoomEye和科研院校合作,面向全球发起ZoomEye D计划(网络空间暗物质消除计划);开放ZoomEye API,让更多人可以更方便地使用ZoomEye的海量数据与能力。由于把网络空间比喻为海洋,我们这些在网络空间上攻防对抗的黑客就是“海盗”,因此还上线了“海盗榜”。ZoomEye已经探索出自己的发展路线,一条在免费开放与商业利益之间平衡的路线。

问:黑客精神是可以培养的吗?“黑客”在外人看来总是很神秘,您对“黑客”是否有自己的定义?

可以啊,我觉得就是所谓的先天和后天吧。先天的话,就是这个人本身的性格是否吻合黑客精神所需要的一些元素。当然,很多时候黑客精神又与世界观有关系,然而早期的世界观往往是不够的。你慢慢地会了解这个世界上有多么牛的一批人,多么牛的一些工程,然后可能会被感染,被触动。

我在知乎上的签名是“在知道创宇黑客不神秘”。我们本身是黑客,所以不会觉得黑客有多么神秘。后来换位思考发现,在整个网络空间内,黑客就像具备了超能力一样,可以打破常规做一些人们意想不到的事,当然有好有坏。但我认为真正的黑客是守正出奇,走正道儿,有出奇的玩法,且具备创造力的群体。这也是我们团队对于黑客的定义。当然,这个定义并不囊括所有的“黑客”,而只是我们所定义的黑客,也是我们希望成为的那种黑客。

问:很多人做黑客是兴趣使然,这也使黑客很容易越界。对于纯粹想做技术的黑客,怎样把控越界问题,也就是“正”和“邪”呢?

这就是我所说的“守正出奇”。我常说,要想成为一名真正的黑客,首先得敢于去触碰一些东西。如果太过拘束,人人头上都悬着一把剑,社会也就不用运转,安全也就不用玩了。任何做安全的人都一定会踩到一些雷,一定会有的。但做的过程中,我们一定要有底线。你要拿别人的资产去测试,比如服务器、网站,你不要为了炫耀换了人家的首页,什么“黑客路过此地”;也不要把人家的库托出来拿去卖了。那样的话,他们可能因此股票暴跌、丧失客户信任,或者遭受其他损失。为了研究做测试,了解本质就可以了,决不能破坏。

对于想要成为黑客的朋友,我的建议是要向“地下黑客”学习,大胆一点,坏一点。我们必须像他们一样去思考,很多技能都是相通的。

问:1月份由“电子六所”授牌,知道创宇成为工控系统信息安全技术国家工程实验室分部。这是否也意味着工控领域的安全态势日益严峻,将成为值得关注的热点问题?

国家之所以在知道创宇建立分部,也是想充分利用民间企业的力量,在工控安全领域将力量最大化。国家对于工控安全的重视,其实也是因为网络空间的玩法带来了一些比较神奇的效应,比如最早面向公众的一起工控事件“震网病毒”。当时,伊朗核设备的离心机被震网病毒篡改了相关参数,导致离心机转速过快,损坏了大批设施。这次安全事件的曝光说明,网络病毒可以通过网络破坏线下的东西。现在工控本身有一套网络——工控网,虽说与互联网是隔离的,但实际上它们之间会有交集,而且交集可能会越来越多。

德国还提出了“工业4.0”的说法。现在的智慧城市,多少都跟工控有关联,比如智能的楼宇、交通系统、水电支付等。如此大的一个市场摆在那儿,而黑客就是跟着市场走的。有一个很好玩的观点:我们看到的任何明面上的产业链,底下一定有对应的黑色或者灰色产业。

问:信息价值不断提升,物联网等科技迅速发展,给网络安全带来了哪些机遇和挑战?

国内的安全意识在提高,从我们业务量的提升可以明显感觉到。斯诺登事件后,国家逐步提高对网络安全的重视程度,并成立了中央国家安全委员会。后来网信办的成立,更说明网络安全已经获得国家级的高度重视。

民间公司也自然而然地被带动起来了。而且,互联网创业公司越来越多,包括做互联网金融的,做比特币的,它们经常遭受黑客的攻击,所以本身也能感受到安全问题。一个产业起来了,黑客也就多了,人们的安全意识自然也就提升了。这对我们这样的安全公司来说都是挑战,需要去研发、攻破。

2016年4月Qcon大会北京站,余弦还有精彩内容讲给大家!


更多精彩,加入图灵访谈微信!