烏云網(wǎng)多名高管被帶走 白帽社區(qū)邊界問(wèn)題引關(guān)注

yinglong

針對(duì)近日網(wǎng)上流傳“白帽社區(qū)平臺(tái)烏云網(wǎng)多名高管被捕”一事。財(cái)新記者從多個(gè)渠道確認(rèn)，烏云網(wǎng)近十多名團(tuán)隊(duì)成員被警方帶走，包括烏云網(wǎng)創(chuàng)始人方小頓。目前，各方尚不清楚烏云網(wǎng)因何出事。

　　“事情發(fā)生得很突然，烏云網(wǎng)的人自己也不知道出了什么事�！币晃唤咏鼮踉凭W(wǎng)的知情人士告訴財(cái)新記者，“大概一個(gè)禮拜前，是下午，烏云網(wǎng)近十多名團(tuán)隊(duì)成員被警方帶走。烏云網(wǎng)的人說(shuō)，當(dāng)時(shí)沒(méi)有什么手續(xù)，也沒(méi)有通知。”

　　上述知情人士向財(cái)新記者透露，烏云網(wǎng)創(chuàng)始人方小頓當(dāng)天被帶走。財(cái)新記者多次聯(lián)系方小頓，未獲回復(fù)。方小頓的微信朋友圈早已于7月18日停止更新。他在最后一條朋友圈里稱，“比天賦更重要的是變強(qiáng)起來(lái)的勇氣，希望回來(lái)能有更好的自己。”當(dāng)時(shí)的他還在朋友圈里推薦烏云的一款產(chǎn)品“唐朝安全巡航”，并配上大笑的表情。

　　7月8日-9日，方小頓曾在2016年烏云白帽大會(huì)上公開(kāi)露面。當(dāng)時(shí)，他與中科院軟件研究所研究員丁麗萍、公安部網(wǎng)絡(luò)安全專家童瀛等業(yè)內(nèi)知名人士一起探討系統(tǒng)漏洞披露模式的邊界問(wèn)題。與會(huì)人士介紹，當(dāng)天的方小頓看不出有何異樣，情緒也很穩(wěn)定。

　　另一位與烏云有合作往來(lái)的人士稱，當(dāng)時(shí)帶走的人里面沒(méi)有烏云市場(chǎng)負(fù)責(zé)人鄔迪。財(cái)新記者試圖聯(lián)系鄔迪，但他的電話已處于呼叫轉(zhuǎn)移狀態(tài)。

　　7月19日，烏云網(wǎng)已經(jīng)無(wú)法登陸。7月20日凌晨，烏云發(fā)布了一則升級(jí)公告，稱為了更好地向用戶提供服務(wù)，烏云及相關(guān)服務(wù)將進(jìn)行升級(jí)。在這則公告里，烏云還稱，“我們將在最短的時(shí)間內(nèi)，以最好的姿態(tài)回歸�！钡�直至7月28日，烏云仍處宕機(jī)狀態(tài)。

　　上述與烏云有合作往來(lái)的人士向財(cái)新記者透露，烏云網(wǎng)并非相關(guān)部門(mén)封掉了，而是烏云自己的人決定停掉，估計(jì)是規(guī)避風(fēng)險(xiǎn)�！�8月上旬，成都將召開(kāi)一個(gè)有關(guān)網(wǎng)絡(luò)安全的大會(huì)，本來(lái)是邀請(qǐng)了烏云的人做演講�，F(xiàn)在也取消了�！币晃唤咏鼮踉频娜耸糠Q。

　　一位多年活躍在烏云平臺(tái)上的白帽對(duì)財(cái)新記者表示，真實(shí)的情況到底是什么很難知道。關(guān)心烏云的人基本都在默默地等著，希望烏云趕緊恢復(fù)。

　　事出原因不明引猜測(cè)

　　烏云網(wǎng)出事消息傳出后，白帽們及互聯(lián)網(wǎng)圈內(nèi)人士紛紛猜測(cè)其出事原因。大體有三種說(shuō)法：一是杭州IT人士袁煒在烏云平臺(tái)提交了世紀(jì)佳緣網(wǎng)站系統(tǒng)漏洞，世紀(jì)佳緣按照慣例修復(fù)漏洞并致謝烏云網(wǎng)之后，突然以“網(wǎng)站數(shù)據(jù)被非法竊取”為由報(bào)警。之后北京朝陽(yáng)區(qū)人民檢察院于2016年4月批捕袁煒。檢方已決定對(duì)袁煒提起公訴，烏云可能受到牽連。二是烏云平臺(tái)上的白帽測(cè)試了相關(guān)政府部門(mén)的網(wǎng)絡(luò)系統(tǒng)，烏云受到牽連。三是7月全國(guó)多名艾滋病患者信息被泄漏，烏云因在平臺(tái)上公布過(guò)中疾控疫情網(wǎng)存在系統(tǒng)漏洞受調(diào)查。

　　中國(guó)互聯(lián)網(wǎng)協(xié)會(huì)信用評(píng)價(jià)中心法律顧問(wèn)趙占領(lǐng)分析，烏云網(wǎng)受世紀(jì)佳緣事件影響的可能性不太大。按照相關(guān)法律，技術(shù)人士利用漏洞機(jī)會(huì)實(shí)施犯罪行為，比如獲取數(shù)據(jù)、破壞系統(tǒng)等。這些行為本身不是在平臺(tái)上發(fā)生的，而是發(fā)生在平臺(tái)之外的行為。平臺(tái)做的只是將漏洞通過(guò)圖片、文字等形式公布出來(lái)，平臺(tái)的行為也可能是法律問(wèn)題，但不是犯罪問(wèn)題。

　　“平臺(tái)涉及的法律問(wèn)題可能包括白帽發(fā)布漏洞不實(shí)或不準(zhǔn)確，平臺(tái)因?qū)β┒葱畔⒇?fù)有審核責(zé)任，造成共同侵權(quán)。”趙占領(lǐng)認(rèn)為。

　　“白帽”社區(qū)邊界在哪里？

　　烏云網(wǎng)的定位是一個(gè)位于廠商和安全研究者之間“自由平等”的漏洞報(bào)告平臺(tái)，由原百度“80后”高級(jí)安全工程師方小頓聯(lián)合幾位同行創(chuàng)辦，2010年5月正式上線，核心的運(yùn)營(yíng)思路遵循開(kāi)放和分享的原則。

　　短短6年間，烏云被業(yè)內(nèi)譽(yù)為中國(guó)最大的白帽聚集地，2014年大概有近5000名白帽活躍在烏云網(wǎng)上。按照互聯(lián)網(wǎng)圈普遍定義，白帽是指擁有高超的互聯(lián)網(wǎng)技術(shù)，能夠發(fā)現(xiàn)網(wǎng)絡(luò)漏洞或風(fēng)險(xiǎn)點(diǎn)，但并不以此作惡的人。

　　“白帽發(fā)現(xiàn)漏洞，烏云審核通過(guò)，會(huì)提供給相關(guān)公司讓其認(rèn)領(lǐng)并修復(fù)。只有在相關(guān)公司不認(rèn)領(lǐng)的情況下，烏云才會(huì)在平臺(tái)上向公眾予以公開(kāi)�！鄙鲜龆嗄昊钴S在烏云平臺(tái)上的白帽向財(cái)新記者介紹，“報(bào)告漏洞都是免費(fèi)的，烏云并不向企業(yè)收費(fèi)，是非營(yíng)利性的機(jī)構(gòu)�！�

　　按照烏云的流程，一般10天向核心白帽子公開(kāi)其漏洞細(xì)節(jié)，20天向普通白帽子公開(kāi)，30天向?qū)嵙?xí)白帽子公開(kāi)。直到45天之后，企業(yè)仍未主動(dòng)認(rèn)領(lǐng)漏洞，則會(huì)向公眾公開(kāi)其細(xì)節(jié)。

　　一位熟悉烏云運(yùn)作模式的人士稱，從商業(yè)盈利的角度，烏云現(xiàn)在也會(huì)接受商業(yè)公司的委托進(jìn)行安全測(cè)試，譬如烏云的一些產(chǎn)品唐朝安全巡航、安全眾測(cè)等。但這與白帽主動(dòng)在烏云平臺(tái)報(bào)告漏洞是完全分開(kāi)的。

　　白帽在未經(jīng)公司允許的情況下是否能主動(dòng)去測(cè)試其系統(tǒng)安全？按照相關(guān)法律，測(cè)試系統(tǒng)漏洞的行為不違法，就像你去敲敲門(mén)發(fā)現(xiàn)別人的門(mén)沒(méi)鎖立刻告訴別人，是善意提醒。但是，如果發(fā)現(xiàn)別人門(mén)沒(méi)鎖，進(jìn)去別人家里則另當(dāng)別論。

　　趙占領(lǐng)認(rèn)為，涉及白帽的犯罪行為主要有三種：一是非法侵入計(jì)算機(jī)系統(tǒng)罪，但該犯罪行為指的是被入侵對(duì)象必須是國(guó)家事務(wù)或國(guó)防系統(tǒng)。一般情況下，如果不是政府網(wǎng)站的話，白帽一般不會(huì)涉及；二是非法獲取計(jì)算機(jī)信息數(shù)據(jù)罪，這個(gè)罪名成立需要有三個(gè)條件：必須要有入侵或者通過(guò)其他方法獲取數(shù)據(jù)，而且情節(jié)嚴(yán)重。“情節(jié)嚴(yán)重”包括金融機(jī)構(gòu)的金融身份認(rèn)證信息達(dá)到十組以上，其他的身份認(rèn)證信息達(dá)到500組以上，或者是非法控制計(jì)算機(jī)系統(tǒng)等具體條件；三是操縱、破壞計(jì)算機(jī)信息系統(tǒng)罪，包括控增加、刪除、修改、干擾計(jì)算機(jī)系統(tǒng)，或者是對(duì)數(shù)據(jù)有相應(yīng)的刪除行為，甚至倒賣(mài)數(shù)據(jù)等。

　　“這些年，烏云上報(bào)的漏洞已經(jīng)非常多了。如果是有黑客做了啥壞事，那應(yīng)該是相關(guān)部門(mén)去查那個(gè)黑客，烏云平臺(tái)輔助配合調(diào)查�！鄙鲜龆嗄昊钴S在烏云平臺(tái)上的白帽說(shuō)。