為何五角大廈廣邀駭客抓漏洞,讓對手變幫手才是資安上策

「當談到資安時,我們需要的不僅只是運氣」,人稱漏洞懸賞女王的Katie Moussouris,在資安界是赫赫有名的人物,在微軟擔任首席安全策略長時,在她推動之下,微軟才有了第一個漏洞懸賞計畫(Bug Bounty Program),但是Katie Moussouris的駭客功力,不是只能在0與1組成的數位世界中奏效。

這位熟悉電腦漏洞的駭客已經另起爐灶,從尋找程式碼間疑似出現漏洞的蛛絲馬跡,將目光移擺到政府、企業上,同樣俐落而不失優雅地發動攻擊,就如同過往她在電腦前,飛快地敲打程式指令般精準。

但是這一次,她的攻擊對象不再是系統,而是政府、企業資安規章上的盲點,「這並非什麼光鮮亮麗的工作,一天得花12小時,跟一群人爭論著法規中句號、逗號位置的差異。」

Katie Moussouris笑著說,許多立法者、規則制定者對於駭客都存在非法、作惡多端等負面刻板印象。這時Katie Moussouris便會回應:「我大可搶銀行、竊取信用卡資料,領取更豐厚的收入,但是瞧瞧我,也只開一臺普通的汽車,駭客並非都很邪惡。」

而Katie Moussouris的野望,便是要扭轉政府、企業現有的資安制度,「讓我這樣的駭客,可以更自在地在現有制度下工作。」

大企業的漏洞回報機制也未必完善

而過去任職賽門鐵克、微軟的經驗,也讓Katie Moussouris了解到,即便規模如此大的企業,想要建立內部漏洞回報機制也會碰上重重關卡。她舉例,當時賽門鐵克雖為全球最大的資安公司,「作為駭客的我,卻無法揭露任何系統漏洞」,令她不解的是,其動機並非想要尋求金錢等回報,純粹只是希望能提升軟體的安全性。也因此她開啟了賽門鐵克漏洞研究計畫,「讓回報內部漏洞變得更容易。」

但是同樣的內部阻力,到了微軟仍然一樣存在,這也讓她感到相當沮喪,因為不管如何設計精良的軟體、系統,只要駭客花費足夠精力、時間都能成功攻破,「即使我們不停發現相同的漏洞,情況仍然不會變好。」

而企業也永遠為資安議題所掙扎,除了要確保軟體可以在一定預算內正確運作,在部署新軟體、服務時,也要確保服務的安全性,「但我們並沒有足夠無止盡的工程師,可以進行測試、修補漏洞。」她表示。

不過事情開始有了轉機,當時微軟高層詢問她:「如果微軟也要推動漏洞懸賞計畫,我們該怎麼做?」獲得高層支持的Katie Moussouris,總共花費了3年,才終於讓微軟推出了第一個漏洞懸賞計畫。