機(jī)密黑客技術(shù)，或者俗稱為“零日漏洞”，早已作為一種產(chǎn)品在黑市當(dāng)中交易流通。這類技術(shù)往往包含著企業(yè)當(dāng)中某些軟件的安全漏洞信息或者窺探敏感隱私信息的途徑。而對那些專門從中獲利的中間商而言，零日漏洞只是一種稀松平常的可交易商品，他們甚至?xí)檫@類黑客技術(shù)編寫一套完整的價(jià)格清單。

[[156644]]

就在本周三，零日漏洞中間商、初創(chuàng)企業(yè)Zerodium公司居然破天荒地公布了這樣一份不同類型數(shù)字化入侵技術(shù)與軟件目標(biāo)的價(jià)格清單。這份清單是該公司從某個(gè)黑客組織手中所買到，并隨后通過訂閱服務(wù)的方式將其轉(zhuǎn)售給客戶——其中還包括多個(gè)政府機(jī)構(gòu)。這份清單列出了面向數(shù)十種不同應(yīng)用程序及操作系統(tǒng)的具體黑客攻擊方法，每一項(xiàng)都提供極為詳細(xì)的實(shí)現(xiàn)方式。其詳盡程度在黑客技術(shù)交易黑市當(dāng)中都是極為罕見的。“零日漏洞業(yè)務(wù)的首要原則就是絕對不要公開討論價(jià)格，”Zerodium公司CEO Chaouki Bekrar在一條寫給《連線雜志》的消息當(dāng)中指出。“所以我想，我們應(yīng)該公布自己買到的這份價(jià)格清單。”

“零日漏洞業(yè)務(wù)的首要原則就是絕對不要公開討論價(jià)格。”

一次黑客攻擊活動(dòng)有可能以遠(yuǎn)程方式徹底侵入受害者的計(jì)算機(jī)設(shè)備并掌控其Safari或者IE瀏覽器，而完成這項(xiàng)任務(wù)的黑客能夠獲得5萬美元的收益。谷歌Chrome瀏覽器的攻擊難度更高一些，Zerodium公司給出的對應(yīng)價(jià)位為8萬美元。以遠(yuǎn)程方式突破Android或者Windows Phone設(shè)備的價(jià)格更高，買家需要為此支付10萬美元。而iOS攻擊則難度最大，高達(dá)50萬美元的開價(jià)也成為此次曝光的清單當(dāng)中最昂貴的選項(xiàng)。

下面來看由Zerodium公司提供的完整清單圖表：

Zerodium公司給出的不同零日漏洞黑客技術(shù)完整價(jià)格清單。

Zerodium公司明確警告稱，任由由Zerodium公司買下并轉(zhuǎn)售的零日漏洞必須接受其監(jiān)控;企業(yè)黑客不得將其轉(zhuǎn)售給其他買家或者將其提交給相關(guān)軟件供應(yīng)商——因?yàn)楹笳呖赡軙?huì)發(fā)布補(bǔ)丁以保護(hù)用戶并導(dǎo)致攻擊手段失效。該公司還規(guī)定，其只會(huì)付費(fèi)購買那些“原創(chuàng)的、獨(dú)家的且此前未被報(bào)告過的零日漏洞信息。”

換言之，Zerodium公司會(huì)嚴(yán)格保證始終向保密客戶提供新鮮出爐的黑客技術(shù)。該公司還表示能夠?yàn)榘?ldquo;政府機(jī)構(gòu)在內(nèi)的各類買家提供指定且有針對性的網(wǎng)絡(luò)安全服務(wù)，”并利用這些信息幫助企業(yè)客戶提前對潛在攻擊進(jìn)行防御。Zerodium公司創(chuàng)始人Bekrar指出，Zerodium的客戶們會(huì)以每年至少50萬美元的價(jià)格購買訂閱服務(wù)，旨在獲取對這些安全漏洞的訪問權(quán)限。雖然不會(huì)透露任何特定客戶的名稱，但Bekrar所效力的上一家初創(chuàng)企業(yè)法國Vupen公司曾公開表示，其曾經(jīng)為包括北約內(nèi)部以及“北約盟友”國家的多個(gè)政府機(jī)關(guān)提供零日漏洞信息。新聞?wù){(diào)查網(wǎng)站Muckrock于2013年曾通過信息自由申請了解到，Vuper公司的客戶甚至包括美國國安局。

公開零日漏洞價(jià)格清單對黑客技術(shù)市場上的交易活動(dòng)有何影響目前尚不明確。而且這實(shí)際上有可能鼓勵(lì)更多技術(shù)人員將自己發(fā)現(xiàn)的黑客入侵方案在地下交易平臺(tái)上銷售;獨(dú)立安全研究人員長期以來一直抱怨缺少充足的零日漏洞資源交易渠道，這使得他們很難拿到一個(gè)相對“公平”的價(jià)碼，前美國國安局黑客Charlie Miller在2007年發(fā)表的一篇論文當(dāng)中指出。Bekrar于今年7月建立的Zerodium公司則顯然成了這群獨(dú)立安全研究人員眼中的最佳擺攤地點(diǎn)。“有了Zerodium，安全研究人員終于能夠依靠自己的辛勤工作與發(fā)現(xiàn)換取回報(bào)了，”他寫道。

公開交易秘密入侵技術(shù)同時(shí)也使得Bekrar成為隱私保護(hù)社區(qū)與軟件開發(fā)商的炮轟目標(biāo)，他們認(rèn)為Zerodium這樣的組織使得依靠安全漏洞牟利變得更加輕松。谷歌公司的安全人員Justin Schuh甚至一度將他稱為“挑戰(zhàn)倫理道德的機(jī)會(huì)主義者”。美國公民自由聯(lián)盟首席技術(shù)人員Chris Soghoian也將Bekrar建立的Vupen稱為“現(xiàn)代背景下的死亡商人”，出售的則是“網(wǎng)絡(luò)戰(zhàn)爭中的子彈。”

即使只是單純?yōu)榱诉M(jìn)行營銷，這份價(jià)格清單也有可能透露出一些與特定軟件安全漏洞相關(guān)的有價(jià)值信息。

在Soghoian看來，Bekrar之所以決定公布這份零日漏洞價(jià)格清單，其目的絕不是為了增加零日信息交易市場的透明度，而完全屬于精明的營銷手段。“Chaouki的Vupen以及如今的Zerodium都在濫用如今的自由宣傳權(quán)利。他希望能夠通過這種免費(fèi)發(fā)布的方式吸引客戶，”Soghoian表示。而其它規(guī)模更大且成熟度更高的防御項(xiàng)目承包商則用不著采用這種方式來銷售零日信息，Soghoian補(bǔ)充稱。“Raytheon與ManTech這樣的企業(yè)壓根不會(huì)考慮在網(wǎng)絡(luò)上發(fā)布什么價(jià)格清單……美國國安局很清楚這些廠商開出的具體價(jià)碼。”

Bekrar并沒有對《連線雜志》所提出的他為何選擇公布這份價(jià)格清單做出回應(yīng)。不過即使只是單純?yōu)榱诉M(jìn)行營銷，這份價(jià)格清單也有可能透露出一些與特定軟件安全漏洞相關(guān)的有價(jià)值信息。(截至目前，我親眼見到的其它零日漏洞價(jià)目表就只有2012年某次黑客社區(qū)聚會(huì)上流出的一份非官方版本。)根據(jù)Zerodium公司的這份清單，面向Drupal與WordPress通用Web發(fā)布軟件的黑客技術(shù)要價(jià)約為5000美元。而更令人驚訝的是，一直受到匿名人士高度關(guān)注的TorBrowser的相關(guān)漏洞僅要價(jià)30000美元。

而就在這份清單曝光的幾天之后，Tor方面宣稱美國聯(lián)邦調(diào)查局已經(jīng)向卡內(nèi)基梅隆大學(xué)支付了100萬美元，要求想辦法攻克負(fù)責(zé)實(shí)現(xiàn)Tor匿名保護(hù)機(jī)制且基于服務(wù)器的“隱藏服務(wù)”功能。不過Bekrar在一封寫給《連線雜志》的郵件當(dāng)中強(qiáng)調(diào)稱，Zerodium所提到的Tor入侵技術(shù)僅作用于TorBrowser當(dāng)中源自火狐瀏覽器的安全漏洞，而非Tor網(wǎng)絡(luò)本身存在缺陷。Bekrar指出，這“可能會(huì)威脅到合法Tor用戶的安全與隱私。”

作為攻擊活動(dòng)中開價(jià)最高的目標(biāo)平臺(tái)，“身家”高達(dá)50萬美元的iPhone與iPad攻擊手段仍然不完整——具體來講，Zerodium實(shí)際上是為上個(gè)月公開的某項(xiàng)存在缺陷的黑客技術(shù)開出了一半酬金。關(guān)于這一點(diǎn)，Bekrar如今強(qiáng)調(diào)稱，作為“限時(shí)挑戰(zhàn)任務(wù)”，該公司公開承諾將為能夠在今年11月之前證明自身成功突破iOS設(shè)備并通過其Safari或者Chrome瀏覽器訪問惡意網(wǎng)頁的黑客支付100萬美元。

然而即使價(jià)碼縮水一半，iOS的入侵身份仍然達(dá)到了Zerodium這份價(jià)格表上第二高項(xiàng)目的五倍。蘋果公司的用戶可能會(huì)對這種狀況感到沮喪，畢竟向來以安全著稱的卓越移動(dòng)平臺(tái)仍然存在著被攻陷的可能——不過換個(gè)角度來講，至少入侵蘋果設(shè)備會(huì)帶來極為高昂的成本，這可以看成是件好事。