江苏龙网

  1. 首页 > 人文 > >

黑客：那个黑掉GPS的世界顶级女黑客，她去支付宝了( 二 )


很“轴”的黑客黄琳喜欢分享 ， 生活中与两个孩子相处的趣事 ， 工作中一有灵光乍现的点子 ， 或者想不通的地方 ， 她都会记录在博客、微博里 。
去年她在一次开车途中 ， 电台突然窜进推销性保健品的内容 ， “这是碰上黑广播了！\" 。 之后她就下决心跟团队一起 ， 动手做了一个系统 ， 侧面打击黑广播 。 后来 ， 黄琳还专门写了篇文章梳理黑广播的危害 ， 分享无线技术打击黑广播的新角度 ， 发布在自己的微博上 。
黄琳曾在自己的文章里提到一名安全研究员小灰灰 ， 他蹲在公司的自动售货机前半个月 ， 为了研究一个不花钱就能买饮料的安全漏洞；小灰灰也曾蹲在ofo前好多天 ， 引来无数朝阳大妈的侧目 ， 为了发现能够不花钱就骑车的漏洞；他甚至在黑客大赛上抢过黄健翔的话筒 ， 对着现场的观众普及安全知识 。
同类的气质是相近的 ， 黄琳的身上也有黑客“轴\"的一面 。 2016年初 ， 她和当时的团队发现了运营商 4G 通信协议的漏洞 ， 这个漏洞可能被坏人利用 。 当她公布这个漏洞后 ， 不乏有人质疑她小题大做 。 运营商觉得通信协议里有的是漏洞 ， 多这一条没什么 。 通信圈认为 ， 满大街的背包客伪基站 ， 手机数据被什么盗不是盗 。 设备商、终端商很难为了小威胁而投入金钱对设备进行升级 。
但在黄琳心里 ， 这是一件关系隐私的大事 ， 寸土都不能让 。 她和团队为此奔走努力 ， 把这个问题带到了顶级安全会议BlackHat和DEF CON上展示 。 2017年尾 ， 这个漏洞终于被官方标准组织 3GPP 修复 。 此时距离发现漏洞将近2年 。
实现“普惠安全”的梦想“安全是件奢侈的事\" ， 黄琳不无遗憾的说 ， 比如像蓝牙音箱之类的小设备 ， 最便宜的才几十块钱 ， 加上安全的功能成本可能增至几百块钱 。 市面上的小公司还没有余力去做安全 ， 他们首先要解决的是公司要存活下来的问题 。
所以当黄琳加入支付宝后 ， 他们小组提出某个设备有漏洞时 ， 她并没有对设备升级抱有希望 。 虽然这个漏洞还没有被黑灰产发现和利用 ， 但想要补救的话 ， 需要设备商、终端商更换零件 ， 成本高达上百万元 。
提出漏洞后 ， 黄琳的安全团队跟业务团队反复讨论 。 没多久 ， 黄琳接到电话 ， 同事兴奋地向她传递消息 ， 业务团队在会上拍板了！同意花几百万把这些设备全部升级 。
这个答案给黄琳带来极大震撼 ， 成了她最近最有感触的一件事 。
此前 ， 黄琳曾在法国电信研究院工作9年 ， 2014年加入前公司 ， 一待就是6年 ， 期间进行大量的无线安全研究 。 15年的研究沉淀积累的天赋 ， 开始拖着黄琳 ， 往全新的赛道飞奔 。 这一次 ， 她选择走到一线 ， 来到黑灰产活跃的地带 ， 跟攻击者们真刀实枪的对抗 。
业务团队的支持 ， 无疑给了她底气 。 她发现 ， 支付宝是一个愿意深层次为客户安全考虑的公司 ， 即使风险尚未出现 ， 也愿意付出极高的成本 ， 提高安全性 。 这也让黄琳感觉到 ， 自己一直在寻求的“普惠安全\"的梦想乐土 ， 终于显露出清晰的轮廓 。
黄琳现在所在的支付宝天宸安全实验室 ， 聚焦在移动及IoT安全领域 ， 致力于研究并落地下一代金融级安全防御基础设施 。 说白了 ， 就是要解决当前的移动安全和正在到来的5G时代、IoT时代的安全防御技术难题 。
更具体一些 ， 黄琳所领导的IoX组 ， 就是关注各种设备底层的基础安全问题 。 支付宝有各种各样的支付设备 ， 商场超市便利店里随处可见的收银机、扫码机 ， 还有逐渐增加的刷脸支付设备 。 这些设备的安全 ， 不管是底层的传感器、摄像头、系统内核问题 ， 还是链路上的安全问题 ， 都是她所在的小组关注的方向 。
入职以来 ， 黄琳见识到了几次与黑灰产的正面交锋 。 负责发现风险的团队 ， 报告黑灰产活动 ， 不同专业小组的人迅速集合 ， 尽快采取行动 。 有人向攻击者发起反击切断链路；有人负责防御；直到监测到异常流量明显降低 ， 攻击者离开 。


推荐阅读


上一篇：任正非@老版QQ为什么经常被盗号，但现在微信没有却没有

下一篇：华为▲华为再次面临挑战，iPhone11一夜跌破“小米价”，销量再次暴涨