黑客高手联系方式

简介

这一提法在日常语境中常被理解为某位技术高手的私人联络方式,但在信息安全行业内部,它指向的是组织对外公布的漏洞接收入口。研究者发现产品缺陷后,需要一个能直达对方安全团队的途径,否则信息容易流向社交平台等不可靠渠道,延误修复。

渠道的存在直接关系到漏洞能否在公开之前被处理。国际标准把这类流程称为协调漏洞披露(Coordinated Vulnerability Disclosure,CVD),主张研究者先私下通报,由厂商确认、修复并协调公开时间^[1]。缺乏明确入口时,部分研究者会选择直接全文公开,这一做法被一些观点视为向组织施压的手段^[1]。

沿革

在统一规范出现之前,安全研究者只能依靠其他途径寻找系统管理员的联络方式。较早的通行做法是查询域名注册信息中的联系人,或以安全、滥用、站点管理等通用邮箱前缀尝试投递。相关研究显示,直接联系运营方的修复率高于经由第三方中转,而通用邮箱前缀的实际采用率偏低,尤其在访问量较小的网站上。2018 年前后的研究还尝试过填写网站表单、寄送纸质信函、发送社交媒体消息、拨打公开电话等补充渠道,结论是人工成本高、成功率有限。

这一局面在标准化之后改变。互联网工程任务组(Internet Engineering Task Force,IETF)于 2022 年 4 月发布 RFC 9116,规定网站可在约定位置放置一份纯文本文件,列出漏洞报告的联系方式与披露政策^[2]。该文件用人和机器都能读取的格式书写,便于自动化工具批量发现^[1]。在此之前的草案阶段,Expires 字段直到第 10 版才成为必填项,一些网站的实现在规范未定型的时期就已上线,导致合规程度参差。

企业侧的制度化渠道出现得更早。腾讯安全应急响应中心成立于 2012 年,是国内较早由企业自建的安全应急响应平台,负责漏洞收集与攻击应急处置^[3]。2020 年 4 月 17 日,该中心与漏洞赏金平台 HackerOne 建立合作,面向海外研究者开放项目^[4]。同年,OPPO 安全应急响应中心也宣布升级与同一平台的合作^[5]。

特点

这类渠道的首要特征是公开与可核验。以安全联系文件为例,它须经 HTTPS 提供,内容逐行书写字段,可附注释;Contact 字段接受网址、邮箱或电话号码三种形式,Expires 字段则声明信息有效期,过期即视为失效^[2]。文件还可包含加密公钥位置、致谢页面、首选语言与披露政策链接等可选字段^[2]。

第二个特征是授权边界清晰。漏洞赏金计划会划定测试范围与规则,研究者仅在范围内测试属于获得授权的行为,奖励按漏洞危害等级评定,并要求先私下提交、待修复后再公开细节^[6]。第三方平台在其中承担研究人员管理、流程管控与漏洞验证,形成按效果付费的弹性测试服务^[7]。

第三个特征涉及可信度判断。规范明确提示,若安全联系文件本身可疑或已被篡改,就不应采用其中的信息;研究者宜通过带外方式核验 OpenPGP 签名,并记录检索过程中的跳转,防止信息被指向由他人控制的位置^[8]。文件中的信息若陈旧失准,可能导致报告送不到组织手中或误投第三方,因此不设文件有时反而优于保留过期内容^[8]。

第四个特征是渠道形态随监管演进而细分。有提案在既有格式中新增产品安全联系与产品安全政策两个可选字段,用以区分网站基础设施问题与所售产品缺陷,理由是二者常由不同团队处理,且欧盟相关法规要求制造商公布产品联络地址与披露政策^[9]。组织若未公布任何安全联系方式,则建议转向本地计算机应急响应团队寻求协助。

参见

• 漏洞赏金计划 —— 企业按漏洞危害付费征集安全研究报告的机制,是安全联系渠道的一种组织形态。

• 协调漏洞披露 —— 规范研究者与厂商就漏洞通报和公开时点达成一致的流程。

• 安全应急响应中心 —— 企业自建的漏洞收集与事件处置平台,对外提供联络入口。

• HackerOne —— 国际漏洞赏金与众测平台,承接企业与研究者的对接。

• 互联网工程任务组 —— 制定安全联系文件格式标准的技术标准组织。