乌云

定义

乌云是一个介于企业与安全研究者之间的安全问题反馈与发布平台,用户可以在线提交自己发现的网站漏洞,企业用户则可通过平台获知并跟进涉及自身的漏洞报告^[1]。按其自身表述,平台除承担漏洞反馈与跟进外,还面向互联网安全研究者提供公益性质的学习、交流与研究空间^[1]。

平台的核心参与方有两类:一类是提交漏洞的安全研究人员,业内通称白帽子,另一类是接收并处理漏洞的企业或机构,称为厂商。乌云在其中承担初步审核信息完整性、联络厂商、按流程推动确认与修复的角色,漏洞是否成立最终由厂商确认^[2]。其名称取自当时盛行的“云”概念,意在表达云时代安全问题可能牵涉大量用户的预警意味^[3]。

原理

乌云的运行依托一套按时间推进的漏洞处理流程。白帽子提交漏洞后,平台先做初步审核,检查信息是否完整;通过后漏洞进入厂商确认环节,厂商有一定期限判断漏洞是否存在;厂商确认后信息进入修复期,逾期未修复或未回应的漏洞则按既定层级逐步公开^[2]。平台的官方说明还提到,涉及重大安全隐患的漏洞会被严格保密,在影响消除前不予公布,同时相关漏洞会报送国家信息安全漏洞共享平台^[4]。

2012年1月平台重新开放后,披露环节改为分级放行:确认后的漏洞先向核心白帽子开放,再向一般白帽子与厂商开放,最后才面向公众,每一级间隔约15天^[5]。与流程相配套的是白帽子分级与Rank积分体系,积分依据厂商对信息价值的评估、漏洞本身的技术学习价值以及白帽子之间的评价综合计算,积分与等级决定用户可查看的漏洞细节范围与参与平台项目的优先程度^[4]。这一设计把漏洞信息当作按信誉分配访问权限的资源,用时间差换取厂商修复的窗口。

从技术角度看,平台处理的漏洞多为Web与移动应用层面的问题,包括越权访问、任意密码修改、跨站脚本(XSS)、接口调试功能未关闭导致敏感数据留存等类型,这些漏洞的直接后果通常是用户账号或个人信息外泄^[6][7]。因此在披露前,平台通常要求提交者以截图或录像方式提供危害证明,以便判断漏洞的真实性与影响范围^[4]。

发展历程

乌云于2010年5月上线,创始人为方小顿与孟德,方小顿此前曾在百度担任安全工程师^[8][9]。平台上线时以“自由平等”的漏洞报告平台为定位,早期主要在安全技术圈内传播^[1]。

2011年底,平台接连披露多家互联网企业存在高危漏洞,知名度迅速上升。同年12月30日,平台发布公告宣布暂时关站并进行系统升级,称近期频繁披露的安全事件说明平台在沟通渠道与反馈响应机制上存在严重问题,并公开征集关于厂商与白帽子责任划分、漏洞公开机制的建议^[10]。2012年1月18日,平台恢复访问,同时公布分级披露、用户分级等调整措施^[5]。

2012年至2014年,平台的披露范围扩展到酒店、电商、社交、票务等多类业务,并由此获得更多媒体与行业关注,被视为当时国内规模较大的漏洞报告平台之一^[11]。据2014年的公开报道,平台当时约有5000名注册白帽子,并有数百家厂商入驻,累计披露漏洞数量达数万个级别^[2][3]。

2016年7月20日凌晨,平台网站突然无法访问,页面仅显示“乌云及相关服务将进行升级”的公告^[12]。乌云方面对媒体表示暂停服务的原因即为业务升级,同时否认了外界的其他猜测^[13]。截至2020年8月,该网站仍显示升级公告,处于无法访问状态^[8]。

应用

乌云主要服务于两类需求。对安全研究者而言,平台提供了提交漏洞、交换技术细节和积累行业信誉的场所,漏洞报告与复现思路构成可检索的学习材料,Rank与等级也与行业内的专业认可相关联^[4]。对企业而言,平台相当于一条来自外部的安全问题反馈通道,使厂商在漏洞被公开或大规模利用之前获知自身系统的问题^[2]。

在实际运作中,平台还承担漏洞预警与通用风险提示的功能。创始人在行业会议的分享中提到,平台会把通用性问题的信息及时通知其他厂商与安全厂商,并对开源框架、建站系统等广泛使用的组件漏洞发布预警,使同一类问题的影响面在扩散前被压缩^[7]。此外,平台与主管机构下属的漏洞共享渠道存在数据共享合作,使政府、央企等机构的站点问题也能进入处理流程^[3]。

局限

漏洞披露存在固有的时间差风险。平台在厂商确认后须按周期公开信息,若厂商在窗口期内未完成修复,漏洞细节仍会进入白帽子的可见范围,可能被继续用于渗透测试乃至造成实际破坏;对缺乏专职安全人员、难以被联系上的中小企业,这一问题尤为明显^[14]。平台自身也曾承认,当时的披露机制尚不完整,披露的漏洞有可能被恶意方利用^[10]。

白帽子获取漏洞的过程与法律边界的衔接是另一重限制。发现漏洞往往需要对企业系统进行渗透与测试,这一行为在国内法律中长期缺乏明确界定,企业、平台与提交者之间缺少统一规范,容易在漏洞验证的必要范围、数据获取程度等问题上产生分歧,平台对此并无裁决能力^[14][13]。

此外,平台的运转依赖厂商配合与持续的资金支持。创始人在受访时提到,平台曾获国家信息安全漏洞共享平台与广东省信息安全测评中心的定期资助以覆盖成本,厂商的确认与修复意愿直接影响流程能否闭环^[3]。当平台本身停止服务时,已提交但未处理的漏洞、历史漏洞档案和社区讨论也随之失去集中入口^[12]。

参见

• 白帽子 —— 在授权或自愿前提下发现并报告系统漏洞的安全研究人员,是乌云内容的主要来源。

• 漏洞披露 —— 关于安全漏洞何时、以何种方式向厂商和公众公开的规则与争议,构成乌云流程设计的基础。

• 跨站脚本 —— 乌云收录的常见Web漏洞类型之一,可通过页面注入脚本影响用户会话。

• 渗透测试 —— 模拟攻击以检验系统安全性的技术手段,也是白帽子发现漏洞的主要方法。

• 国家信息安全漏洞共享平台 —— 国内的漏洞信息共享渠道,与乌云存在数据报送与资助关系。