新一輪席卷全球的勒索病毒會在何時卷土重來？動輒可以威脅整個互聯(lián)網(wǎng)安全的“大殺器”該如何應(yīng)對？人工智能（AI）的安全如何防護(hù)？眾多全球頂級黑客和安全專家，在第三屆中國互聯(lián)網(wǎng)安全領(lǐng)袖峰會(Cyber Security Summit，簡稱CSS2017)的一個小型圓桌論壇上，進(jìn)行了詳細(xì)解讀。 

 

2017年8月15日，主題為“安全新秩序，連接新機遇”的第三屆中國互聯(lián)網(wǎng)安全領(lǐng)袖峰會在北京國家會議中心召開。一個名為“網(wǎng)絡(luò)大殺器的安全之道”圓桌論壇引起了眾多安全圈和人工智能領(lǐng)域人士的關(guān)注。

 

 

圖為世界頭號傳奇黑客凱文•米特尼克

 

論壇嘉賓包括世界頭號傳奇黑客凱文•米特尼克、KEEN公司CEO、GeekPwn大賽發(fā)起和創(chuàng)辦人王琦、騰訊玄武實驗室負(fù)責(zé)人“TK教主”于旸、美國加州大學(xué)伯克利分校教授Dawn Song、卡巴斯基實驗室安全專家Vladimir Dashchenk、知道創(chuàng)宇CEO趙偉，論壇期間，中美兩大黑客凱文和王琦就勒索病毒等網(wǎng)絡(luò)“大殺器”的危害和如何應(yīng)對時下安全熱點問題展開精彩對話。

 

幫助人工智能安全成長才是未來網(wǎng)絡(luò)“大殺器”的安全之道

 

當(dāng)下的網(wǎng)絡(luò)攻擊呈現(xiàn)大規(guī)模，大危害的特點，被稱作“大殺器”。網(wǎng)絡(luò)時代“大殺器”橫行，不但全球億萬網(wǎng)民遭到襲擾，更威脅著政府、企業(yè)、社會各界的正常運轉(zhuǎn)。

 

如今物聯(lián)網(wǎng)時時刻刻在面臨著網(wǎng)絡(luò)“大殺器”的威脅，那么在新興的人工智能領(lǐng)域會不會出現(xiàn)這種“大殺器”級別的安全問題？來自美國加州大學(xué)伯克利分校教授Dawn Song在會上給出了肯定的答案。她認(rèn)為， AI確實會給賦予人們一些新的能力，但是隨著AI技術(shù)再往前發(fā)展，會涉及到很多未知領(lǐng)域，會有很多新的攻擊場景，有可能被用做“大殺器”。

 

同時，她指出，在AI技術(shù)不斷發(fā)展的過程中，應(yīng)該需要一些有經(jīng)驗的技術(shù)人員對此加以防范，幫助人工智能健康發(fā)展。同時，整個安全領(lǐng)域和社會各個部門，都需要高度重視。

 

“大殺器”頻頻出手中美兩大黑客對話安全

 

針對“大殺器”頻發(fā)的案例，中國知名黑客王琦在圓桌討論上和世界頭號傳奇黑客凱文·米特尼克對進(jìn)行了對話，尋找解決方案。“我認(rèn)為在WannaCry勒索病毒這個全球安全事件上，美國CIA應(yīng)該向GeekPwn的白帽黑客學(xué)習(xí)，把漏洞給企業(yè)用于修復(fù)安全威脅，而不是藏著企業(yè)的漏洞不曝光。在你看來，政府和企業(yè)之間應(yīng)該如何開放與合作？”王琦對凱文拋出了問題。

 

 

圖為圓桌論壇嘉賓對話

 

事實上，業(yè)界普遍認(rèn)為是，CIA手頭里私藏的漏洞攻擊工具泄漏后導(dǎo)致了WannaCry勒索病毒肆虐全球。凱文則回答道，不同國家都會有各種安全部門，以及各自不同的防衛(wèi)安全體系，難免會有些員工為了利益或者其他原因而泄密。凱文表示，所以在WannaCry這種大殺器面前，不僅政府相關(guān)部門需要了解相關(guān)的問題和漏洞出在那里，也最好有專業(yè)的安全機構(gòu)去處理類似的問題。

 

用黑客思維去預(yù)防“大殺器”威脅爆發(fā)

 

有意思的是，兩大頂級黑客的觀點不謀而合。眾多全球頂級黑客參與的極棒大賽，正在成為預(yù)防大殺器爆發(fā)的重要活動。

 

“我們做極棒，就是要站在黑客的角度來思考問題，剖析這些危害的來源，從根源做起消滅漏洞”王琦表示。GeekPwn（極棒）作為全球最大關(guān)注智能生活的黑客賽事平臺，2014年發(fā)起至今，已為行業(yè)貢獻(xiàn)了上百個漏洞，提前制止了潛在大殺器造成的巨大威脅。

 

2015年極棒上，來自清華大學(xué)網(wǎng)絡(luò)與信息安全實驗室的同學(xué)發(fā)現(xiàn)了 HTTPS設(shè)計中的漏洞，利用該漏洞可導(dǎo)致用戶機密信息被惡意泄漏或濫用，一舉打破了加密傳輸 HTTPS的安全神話。

 

2016年極棒賽場上，來自美國加州大學(xué)的博士生曹躍展示了驚人的“遠(yuǎn)程任意TCP劫持連接技術(shù)”，這或是世界上第一個做到完全不需要中間人或者執(zhí)行任何惡意代碼就可以遠(yuǎn)程劫持連接的工作。攻擊者在獲知世界任意一地方受害者的IP地址后，即可能遠(yuǎn)程劫持其通訊。該漏洞將會影響超過14億安卓設(shè)備和數(shù)以百萬計的 Linux系統(tǒng)。

 

 

（清華大學(xué)網(wǎng)絡(luò)與信息安全實驗室）

 

在GeekPwn（極棒）2017年5月的比賽現(xiàn)場，其中一位挑戰(zhàn)路由器的外國選手“crixer”，利用設(shè)備中的內(nèi)存破壞漏洞，遠(yuǎn)程獲取了網(wǎng)件路由器的root控制權(quán)限，同時進(jìn)行DNS劫持攻擊，和DOS（拒絕服務(wù)）攻擊。“crixer”表示，被劫持的路由器可以形成僵尸網(wǎng)絡(luò)，發(fā)起大規(guī)模的DDoS攻擊，其破壞力難以估計。而2016年導(dǎo)致美國東部網(wǎng)絡(luò)大面積癱瘓的元兇正是以攝像頭為首的物聯(lián)網(wǎng)設(shè)備。

 

類似的在極棒上面被發(fā)現(xiàn)的“大殺器”級別安全漏洞不勝枚舉，王琦表示，極棒黑客比賽中的白帽黑客選手，不是搞破壞的，“我們就是想讓‘大殺器’威脅止于極棒，提前發(fā)現(xiàn)并彌補更多漏洞。在極棒上面，每個選手成功的背后，我們就成功的避免了一次互聯(lián)網(wǎng)的癱瘓，避免了千萬人隱私的泄露，避免了一次可能難以計數(shù)的損失。”

 

GeekPwn正在與全球頂尖白帽黑客們一起尋找未來人工智能潛藏的風(fēng)險，幫助人工智能安全成長。據(jù)悉，2017年，GeekPwn（極棒）把人工智能安全挑戰(zhàn)賽列為全年重點項目，以500萬的獎金池，開啟了10月24日在上海、11月11日在硅谷的人工智能安全挑戰(zhàn)賽的招募，接受全球頂尖AI安全極客的報名。