金帽子提名|DEF CON来中国,百度安全如何将两枪打到一块

昵称不好记 观察 2018年12月5日发布
Favorite收藏

导语:他站在世界那头打了一枪,我们在世界这头打了一枪,这两枪得打到一块去。

2018年5月,大家期盼已久的全球顶尖极客大会DEF CON在北京成功举办。在这场盛会的背后,有着DEF CON CHINA组委会成员的不懈努力,也有DEF CON合作方百度安全的付出。

大会圆满举办的背后,有着诸多不为人知的小细节:一位嘉宾为大会准备了一个定制的路由器,希望能在中国准备合适的电池。DEF CON China组委会发动朋友,最终找到了电池的来源——这是摩托车上用的定制款电池,非常小众。当电池运到现场时,离DEF CON开幕不到24小时。

微信图片_20181204175049.jpg

据百度安全的一位小伙伴对小编说,百度安全事业部总经理马杰和DEF CON创始人Jeff Moss都是爱钻研的人。这是马杰代表百度安全能将DEF CON引入中国的原因之一。

那么,百度为什么要将DEF CON引入中国?DEF CON China组委会做了哪些努力?对此,嘶吼小编和马杰进了对话,他为大家展示了百度安全和DEF CON China背后不为人知的故事。

分享是百度安全的核心精神

AI时代,网络安全无小事。一旦出现了安全事故,不仅仅是一家厂商,整个生态都容易失去用户的信任。马杰告诉小编,对此百度提出了“七种武器”,让全行业享受更安全的AI所创造的巨大红利。分享是百度安全的核心精神之一,这也是极客精神的体现。

小编:请谈一谈百度安全的发展经历,这些年有哪些变化?

马杰:我来百度安全的时候是2015年初,百度安全此时发生了比较大的变化。此前,百度安全更多以为用户提供更好的安全产品为使命。此后,我们除了给用户提供产品,也花了非常大的精力去解决生态中的安全问题,解决百度各个业务中的安全问题,以及和业界的伙伴一起去创造生态。

对于百度来讲,它提供很多的安全产品给用户,当然好。但是对于百度来讲,什么才是更重要的事情?我觉得与其给用户提供一个好的安全产品,可能不如把百度自身的所处生态变得加安全,这个可能是一个更重要的事情。

小编:百度安全最擅长哪一个领域的研究?百度最近提出了七种武器这个概念,可以详细解释一下吗?

马杰:大家的对百度的认知是一家搜索公司,但在搜索领域里面最核心的事情就是大量的跟AI相关的东西。这些东西以前都藏在搜索引擎里。在这两年,百度把这些AI能力,更多的释放出来和大家一起分享,来用这些技术做智能家庭,做自动驾驶等等领域。在这些领域里面,我们注意到了大量的安全问题,所以这是百度安全为什么一直以来重点专注于AI安全的原因。

我们在深入了这个领域之后,意识到这个领域比较新,大家都刚刚起步。所以我们有必要把我们积累的产品和经验跟大家分享。我们觉得AI领域是一个生态,我们自己做好了解决不了整个生态的安全问题。我们提出了的七种武器,把自己做了较长时间的技术开放出来,共同做好AI安全这个生态里的问题。让用户相信我们,让用户觉得不管是未来家庭里的这些智能设备,还是未来的自动驾驶里面的各种车,都是都可信任、可依托的产品,这个是更长远的事情。

小编:除了AI的安全,百度还关注哪些的安全领域?

马杰:百度的关注领域是比较广的,像搜索引擎里面各种黑产的打击。

比方像之前有黑产在用户的网站里面,去植入一些黑客手法的工具,美名其约“营销工具”,实际上窃取了用户的隐私。实际这些嵌入的内容,都是在各个网站里面的,跟百度没有任何关系。但是百度毕竟去索引了这些网站,当发现网站里如果应用了这些“营销工具”的时候,我们就会对用户告风险。另外一方面,我们也去督促这些网站把去除不合法的工具。同时我们也联合公安去打击这些做,不合法的营销工具的团伙。另外我们也推动运营商、厂商去整改里面,被团伙所利用的这些漏洞。这只是一个小的例子,因为搜索它能触达到非常多的互联网上的信息,虽然有很多问题不是百度引起的,但是我们有责任去把这些东西识别出来,去帮用户做我们力所能及的过滤,并且去推动厂商、公安等等社会各个方面去解决掉这些问题,这是百度所担负的社会责任。

除此之外,我们在移动安全领域、云安全领域,也还有很多正在关注的内容。

小编:百度安全和其他的安全团队相比,有什么不同?百度安全的很多安全研究员都积极活跃在各种安全大会进行分享,这是百度安全的精神吗?百度安全的精神是什么?

马杰:分享一定是我们的核心精神之一。对于百度来说,安全不是它的要挣钱的核心业务。最重要的事情是怎么营造一个好的生态,为核心业务所服务。AI是一个非常新生的事物,大家都要主动去分享,把整个生态做好。

另外,我们的一些同学走出去,向大家分享我们在做整个AI安全中间的所思所想所得,这些都是一种开放的心态。所以我觉得开放合作一定是百度安全会长期去遵守、去做的事情,它也是百度的一种基本的心态。

DEF CON进入中国的背后有着百度不懈的努力

正因为百度安全拥有分享精神,为安全社区做出了不懈努力,哪怕首次见到DEFCON 创始人Jeff Moss,也有说不完的话题,并最终克服困难,走在一起。

“他站在世界那头打了一枪,我们在世界这头打了一枪,这两枪得打到一块去。但是所幸经过大家的努力,最后这么小概率的事件,我们还是让它发生了。”

小编:我们当时为什么想把DEF CON引入中国,而且还成功了?

马杰:我觉得能把这样一个,有着26年历史,每年有数万人参加的这么一个非常神奇的会,我们能把它引进进来是一个非常让人高兴的事情。这里面有很多偶然和必然的因素,我觉得这还是个非常有趣的过程。

在两三年之前,也是一个机缘巧合。未来安全的呆神(北京未来安全信息技术有限公司CEO王英键)创造了一次机会,让我们跟Jeff有了最开始的沟通,本来这个事更像是一个礼貌性的拜访,大家见面,喝杯咖啡。但大家聊的非常开心。本来一杯咖啡的时间,结果最后聊了一个多小时,这是个非常愉快的开始。在这之后我们还经历了两三年时间,怎么把它越过千山万水,又能原汁原味的搬到中国来,这里面有无数的需要落地的细节和需要克服的困难。但是好在最后咱们都解决了。

1518430746786471.jpg

DEF CON签约发布会

小编:中间遇到了什么样的困难和什么样有趣的事情,可以分享一下吗?

马杰:比方说大部分中国人谈事情的方式,都说先抓大放小,我们先说这件事,我们办不办,在哪办,什么样的框架。然后我们来一步一步的落实细节该怎么办,我们跟Jeff聊天的时候,发现他不跟我们聊办不办,他先问你想怎么办,从每个细节开始:翻译怎么解决,大家听不懂怎么办?那么多精彩的东西,能不能搬到中国来?

到了筹办会议的中期,我们已经好不容易聊完这些,说确定要办了。他开始跟我们讨论会议议题如何选择才能保证质量?这还算比较大的事,小到某一个设计不好看怎么办,他是非常在乎每个事情的细节和品质的人。他认为要从细节才能看整个大会有没有可能办下去。

小编:也就是说,我们从宏观出发,Jeff从细节出发,我们二者结合,让这个会议最后办得很圆满。

马杰:对,这当然是从好的一方面说。不好的一方面说,他站在世界那头,我们站在世界那头,大家努力的往中间走。这个就像说,他站在世界那头打了一枪,我们在世界这头打了一枪,这两枪得打到一块去。但是所幸经过大家的努力,最后这么小概率的事件,我们还是让它发生了。

小编:我们走在一起除了公司上的原因,有没有个人性格上的原因?我听一个小伙伴讲,您也比较喜欢钻研。

马杰:我认为是这样,喜欢钻研这一定是作为一个极客的最基本的一种自我认知,好奇心是带动人类发展的最根本的一个动力。极客就是非常崇尚这种精神的人,不管是Jeff还是我,还是我们这么多安全的从业者,都是这样导向的人。所以本质上,我和他是一类人。

另外非常重要一个方面,虽然我们之前大家不那么熟悉,但是我们都是安全社区中的成员。我们在认识Jeff之前,也多年在参加他举办的活动,我们也支持了清华和各个学校的同学去参加CTF比赛。所以在我们接触的时候,虽然我们刚刚认识,但有非常多的共同话题,有着共同的极客精神。虽然我们有那么多文化差异,但是我们凭借极客精神和对整个安全社区的热爱,最终走在了一起。

小编:Jeff Moss认为DEF CON的作用是挖掘人,探索人,这个已经成为了一句名言。您认同这句话吗,还是有不同的意见?

马杰:我认同这句话,还可以进一步的扩展,因为这个世界我们IT技术所涉及到的领域,在不断的变宽。他说的是安全的本质,就是人。但我觉得现在这个世界,在这个本质之上,叠加的东西变得越来越多。原来从最早大家在用的不管是从Z80还是0520开始,到现在在用的计算机,我们看似它的基本没有变。但是它对整个世界的影响,发生了非常巨大的变化。它从数量上和与生活结合的紧密程度都发生了巨大的变化。所以我觉得它既是去认识人,去探索人,也是进一步的去认识这个世界,去探索这个世界。同时反过来,又用我们手上的技术去改变世界,同时我们也在守护这个世界。

小编:DEF CON China的到来,给安全世界,或者给安全圈外的人,带来了什么样的收获,我们以后会尽到样的责任?

马杰:我觉得传统我们很容易就把DEF CON局限成说这可能是狭义上的极客盛会。但我认为其实DEF CON实际上是一个广义的极客盛会。在这里面大家探讨了非常非常多的内容,甚至可能无法走遍全场。整个大会期间有不同的现场演示、实践、动手项目,所以它是一个非常丰富和有趣的事情。对于圈内人来说,它是技术的交流,切磋,最新信息的分享。对于更广泛的极客来讲,这里是一种对安全的认知,其实也是对互相的,对整个计算机技术的一种探索。同时我觉得在再往大了说,其实大家都是共同认可这种极客精神,在这里有的时候也非常像一场盛大的party。

小编:在这个过程中,会不会受到什么样的阻碍?包括对DEF CON China,甚至是百度安全的不理解?安全是一个生态,当百度合作伙伴出现了问题,可能大众认为是百度出现了问题。百度安全一直在帮助合作伙伴,让他们的产品更安全,在百度帮助合作伙伴去找漏洞时,会不会收到合作伙伴的感谢,更可能是质疑?我们有什么样的新的体会。

马杰:我觉得这是一个特别棒的问题。因为对于这个圈子来说,我们一定要去看长线,一定要去承担自己该去承担的这些责任和义务,作为这个圈子中一员。百度把AI能力和很多我们合作伙伴去分享,他把这些能力集成在他的系统里面,集成在他做的每个智能设备里面。我们也去帮他找漏洞,是因为我觉得如果他出问题了,对用户来说是损失。我们很难跟用户去说,这个产品是合作伙伴的,他没有把安全做好。我们同样大家是做这个领域的,虽然我只是给你提供了一些AI技术能力,但我希望我多做一点,帮你把产品做得更安全,我们希望能让用户觉得哪怕是百度的合作产品,它也是安全的。

更进一步来说,我们也不要只看到百度,我们看到其实整个现在的AI,可能是未来发展的大的方向,这里面会有很多的公司共同的在一个生态里面。我们要让用户对这个生态有信心。我认为一旦一个产生出现了严重的安全问题,可能损害最小的是那个厂商,损害稍微大一点是百度,但损害最大的却是整个生态。

我觉得同样的心态,对于整个在DEF CON期间,我们也联合国内国外很多高手去向厂商发起邀约,邀请他们来把他们产品拿到这里来,让如此多的安全高手来帮他们分析问题,来挑刺,这个过程中间,有的厂商理解,也有的厂商不太理解。我们也经历到,比方我们有伙伴主动把产品送过来,悬赏高额奖金,请大家来发现这里面的问题,因为他能意识到,再高的奖金,在平时如果没有借助这个平台,可能都很难邀请到全球的高手为他去分析他产品的安全问题。

也有一些伙伴中途跑了,他一开始是觉得,这个事情是有价值。但是又很担心这种事情暴露出来安全问题,会影响他的品牌和口碑。实际上他是不太理解这个过程。我觉得没关系,我们要给他时间去了解这个事。

也有伙伴是有了这种顾虑之后,我们又跟他解释说服了,而事实最后的结果,他最后发现他既花了最小的悬赏,又有最好的高手帮他解决问题。最后他发现,不但解决了问题,而且没有形成任何的负面舆论。所以他非常高兴地最后去完成了这样一次安全的检查。

这三方面的例子都有,我们理解大家,并说服大家,给大家以时间来进一步的理解我们整个社区。

小编:DEF CON China马上就要从beta升级成1.0了。我们对它的期待是什么?未来有什么样的规划,会不会比如说跟百度安全一起,加入更多的本土元素,二者将会如何的进行结合?

马杰:我肯定是希望加入更多本土元素。我我认为首先要有敬畏之心。DEF CON作为一个已经有着20多年传承历史,有几万人参加的这么一个成功的会议,我们首先要把它的精髓先学到,先把最好的东西先原汁原味地搬过来。在这个基础之上加入咱们中国的创造能力,我觉得也是毋庸置疑的。比方说去年BCTF的比赛中,我们就大胆的引入了人机对抗。Jeff在最后的闭幕式上也说,他看到了非常有趣的东西。比如中国的比赛对过程有着更好的可视化展现,他也看到在人机对抗比赛中,各种有趣的人和机的这种有趣的结果。比方说机器就是拿一血最快的,虽然机器最后目前还打不过人类战队的这种水平,但是机器战队用极短的时间拿到一血,这种在实战中对抗和共同进步,是非常有意思的。

这个只是我们对这次会议一个小小的改动,在这之后,我们还可以一起来看还能加入哪些有趣的因素,中国的互联网产品从学习到原创,我们在安全上也是一样的,一定会有更多有趣的东西加入进来。

小编:那么,我们应该如何让整个世界更加的安全?

马杰:我觉得现在有两边的极端化的情况。一种极端是每天说安全,但是实际上不是安全。因为对于这些人和这些厂家来说,我们有责任和义务,把更多的安全问题暴露给他们看,让他们了解到,实际上还是有很多的问题的。并且问题事实上在变得越来越多。

但是另外一方面,我们也对那些十分恐惧的人要说,其实没有什么好恐惧的,因为它为什么会变多,我们要理解。那是因为我们就是在越来越多的使用这些技术。当世界上只有一辆车的时候,我们可以预测它的交通事故的次数,我想现在我们的交通事故,肯定比当时有第1辆车,甚至第100辆车的时候,交通事故的数量多了无数倍。但是我们这世界变得不安全了吗?单辆车的事故率,一定是远远的低于当初。

所以大家要一方面意识到,随着IT和生活的紧密结合,它一定会带来越来越多的问题,这是随着数量,随着结合度变深、变广。所以既不要害怕,因为它一定会变多。不要害怕是因为它虽然变多,变广了,但是单位的事故率,单位的损害,其实所有做安全的人,都在进行努力,让整个世界更加安全。

但是,安全事故的总数确实还在增加,做安全的人也不能放松。包括所有去做产品的人也不能放松,因为你放松了,可能那就真的出事了,因为它跟我们的生活也结合的越来越紧密了。所以我觉得这两方面都很重要。

小编:最后一个问题是,被金帽子颁奖典礼提名有什么样的感受?

马杰:我觉得被金帽子提名,我觉得整个Def Con China团队都会非常的荣幸。因为我们整个在这一个社区里面,我们能为这个社区作出小小的贡献,让明天变得比今天再好那么一点点。都是我们应该做的努力,感谢提名。

如若转载,请注明原文地址: http://www.4hou.com/info/observation/14936.html
点赞 0
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论