国内两大白帽子平台突然关闭 乌云和漏洞盒子将往何处去

　　国内知名漏洞报告平台乌云近日出现无法访问，其后乌云发公告称，原因是官方正在进行升级。昨日，国内另一漏洞报告平台漏洞盒子宣布，暂停接受互联网漏洞与威胁情报。这意味着国内两大知名漏洞报告平台先后进入“暂停”状态，但具体原因尚不明确。

　　国内知名漏洞报告平台乌云近日出现无法访问，其后乌云发公告称，原因是官方正在进行升级。昨日，国内另一漏洞报告平台漏洞盒子宣布，暂停接受互联网漏洞与威胁情报。这意味着国内两大知名漏洞报告平台先后进入“暂停”状态，但具体原因尚不明确。

　　新浪科技第一时间致电联系了乌云社区负责人方小顿，但对方电话处于无人接听状态。

　　乌云是国内最知名的白帽子社区，所谓白帽子即正面黑客，这个群体会及时发现各互联网平台漏洞，并提交报告，在此之前会提醒对方修复。

　　乌云运营团队在官网声明中称，乌云及相关服务将进行升级，将在最短的时间内回归……不管是从前，现在，还是未来，我们都将坚持这么做下去。

　　乌云还在公告中强调：一直以来，乌云致力于让安全性作为用户选择产品的重要考量之一，促进企业更重视安全，让更多人重视安全关注安全，从而营造出更好的安全生态。

　　(漏洞盒子公告)漏洞盒子公告

　　值得一提的是，乌云的公告与漏洞盒子的公告有相似之处，漏洞盒子在其公告中表示：近期，漏洞盒子管理团队将对互联网漏洞与威胁情报项目中的流程制度、规范等进行梳理。在改进的过程中，暂停该项目相关漏洞与威胁情报接受，新的流程将于近期上线。相信能够帮助’白帽子’与企业之间建立真正信任的关系。

　　虽然未明确说明，但外界认为两大漏洞报告平台的“暂停”和对外公告，可能与“袁炜事件”有关。

　　袁炜是互联网漏洞报告平台“乌云”上的一名白帽子。去年12月份，他在乌云提交了其发现的婚恋交友网站世纪佳缘的系统漏洞。在世纪佳缘确认、修复了漏洞并按乌云平台惯例向漏洞提交者致谢后，事情突然发生转折。

　　世纪佳缘在一个多月后以“网站数据被非法窃取”为由报警，4月份，袁炜被司法机关逮捕。在不久前的第四届网络安全大会上，袁炜的父亲发出公开信为儿子鸣冤，让袁炜的遭遇成为网络安全圈的热门事件。

　　关于袁炜被抓，坊间传出世纪佳缘“钓鱼”的说法，有人质疑为何世纪佳缘在向乌云和漏洞提交者致谢后的一个多月又突然报警。对此，世纪佳缘方面给出了回应：“自乌云通知公司网站存在漏洞至今，世纪佳缘从未获得过漏洞提交人的联系方式并与之取得联系。在警方披露调查结果前，世纪佳缘并不了解网站攻击者与漏洞提交者有何种关联。世纪佳缘报警是出于对用户隐私和公民信息安全的考虑，并不针对任何个人或组织。”

　　按照袁炜父亲在公开信中的描述，袁炜于去年12月3日下午发现世纪佳缘网站漏洞；当天晚上，他为了验证漏洞，又通过发现的漏洞浏览了世纪佳缘的部分数据，确认漏洞存在；次日上午，袁炜向乌云提交该漏洞，同一天乌云通知世纪佳缘；12月7日，在完成漏洞修复后，世纪佳缘在乌云平台确认漏洞的页面向该漏洞提交者表示感谢。今年1月18日，世纪佳缘向北京市公安局朝阳分局报案称数据被窃取；3月8日，袁炜被刑事拘留；4月12日，北京朝阳检察院以涉嫌非法获取计算机信息系统数据犯罪，批捕袁炜。

　　但世纪佳缘并不承认“钓鱼”的说法，并对表示感谢后一个月突然报警的行为，世纪佳缘CEO吴琳光则在知乎上解释称：“在漏洞修复过程中，我们发现有900多条有效数据被攻击者获取，出于对用户数据和信息安全的担忧，我们选择了报警。”他同时表示，“在警方披露调查结果之前，我们并不知道提交漏洞的白帽子和攻击者是同一个人。”

　　需要说明的是，“袁炜事件”后，白帽子平台的规则和规范开始再度引起关注，而且此事极有可能成为国内白帽子们的转择点。

　　一方面是对涉及个人数据的关注，以及白帽子行为的规范。另一方面则是白帽子群体的处境，因为从法律上来说，目前白帽子的行为并不受法律保护，处于灰色地带。

　　在袁炜被抓后，世纪佳缘一度成为了白帽子“公敌”，短短几天时间，又有多个世纪佳缘的漏洞在乌云上被公布。被激怒的白帽子们在用自己的方式表达对世纪佳缘的不满。

　　知名白帽子“猪猪侠”上周在乌云提交了一个关于世纪佳缘的漏洞，在说明中，他特意写道“如果厂商不愿意接受来自互联网的贸然测试，可在修复本漏洞后点击忽略该漏洞，并在厂商回复处留下‘请不要测试本公司，本公司将采取法律手段约束你们的测试行为，后果自负。’之后走国际黑名单惯例，不会再有人关注贵公司信息系统的安全风险。”讽刺意味十足。

　　目前进展来看，“袁炜事件”的走向、判罚等将成为白帽子群体和漏洞报告平台“命运”的关键节点。

2016年07月21日  光明网