0
今年是馬勁松加入騰訊的第 12 個(gè)年頭，他親眼見證了這只開掛的企鵝從 QQ 一路拓展至微信、手游、影視、音樂、廣告、支付等領(lǐng)域，他也從當(dāng)年的小馬變?yōu)橥驴谥械睦像R。
回頭來(lái)看，在飛速擴(kuò)張的過(guò)程中，用戶對(duì)這些應(yīng)用的黏性之大，使用頻率之高，可能超過(guò)了大多數(shù)人的想象，這其中包括馬勁松，包括股東，甚至馬化騰自己也未必料到能有今天的騰訊。
沒被料到的，還有黑產(chǎn)的發(fā)展速度。
隨著各類應(yīng)用上聚集的用戶越來(lái)越多，它們也成為黑產(chǎn)眼中的一塊塊肥肉。比如，你或身邊的人被盜過(guò)號(hào)、你的郵箱曾收到過(guò)垃圾郵件、收到過(guò)詐騙信息……
作為騰訊安全反病毒實(shí)驗(yàn)室的掌門人，馬勁松和團(tuán)隊(duì)最開始要做的，就是當(dāng)一個(gè)稱職的衛(wèi)士，在這只企鵝不斷開疆拓土的過(guò)程中，抵擋各類明槍暗箭，護(hù)送它安全前行。
▲馬勁松
他在騰訊揮灑青春的這 12 年中，有三個(gè)節(jié)點(diǎn)被反復(fù)提起。
＊2011年，在3Q大戰(zhàn)之際，騰訊痛下決心搞自己的殺毒引擎，自此，騰訊開始大規(guī)模在 PC 安全布局。此前曾在搜索引擎部門的馬勁松臨危受命，并因“ TAV ”一戰(zhàn)成名，目前騰訊電腦管家內(nèi)的殺毒引擎，依然出自老馬之手。
＊2014年，移動(dòng)應(yīng)用爆發(fā)，老馬和團(tuán)隊(duì)扛起了“手機(jī)病毒查殺”的重任，此后誕生的“哈勃分析系統(tǒng)”，讓APP詐騙、短信轉(zhuǎn)發(fā)木馬、游戲盜號(hào)、網(wǎng)銀盜號(hào)木馬及隱私泄露等行為得到有效遏制境。
＊2016年，老馬和團(tuán)隊(duì)開始琢磨搞物聯(lián)網(wǎng)安全，做了什么，這里先賣個(gè)關(guān)子。
對(duì)于馬勁松的前兩次轉(zhuǎn)身，雷鋒網(wǎng)此前曾做過(guò)介紹，不再贅述。（登頂“AVC”背后的反病毒攻堅(jiān)戰(zhàn) ；騰訊反病毒實(shí)驗(yàn)室馬勁松：和“AV”有關(guān)的日子）
今天要講的，是他出征的新戰(zhàn)場(chǎng)---物聯(lián)網(wǎng)安全。
沒有人能夠逆潮流而行，就像 2014 年已在 PC 殺毒引擎上游刃有余的老馬，還是得硬著頭皮搞移動(dòng)安全一樣，現(xiàn)在他需要再次轉(zhuǎn)身，進(jìn)入物聯(lián)網(wǎng)安全這個(gè)相對(duì)陌生的領(lǐng)域。
雷鋒網(wǎng)發(fā)現(xiàn)，根據(jù) Gartner、Pew 等機(jī)構(gòu)的數(shù)據(jù)，2017年全球 IoT 設(shè)備的數(shù)量已達(dá)到284億，這相當(dāng)于全球每人至少擁有 6 件 IoT 設(shè)備，而到2020年，這個(gè)數(shù)量將再翻一番，達(dá)到500多億。但在數(shù)量爆發(fā)的背后，因 IoT 設(shè)備自身與傳統(tǒng)PC、手機(jī)設(shè)備在硬件和軟件上的差異，非常容易引發(fā)了新的安全問(wèn)題。
在去年的 BlackHat Asia（亞洲黑帽大會(huì)）上，有關(guān)物聯(lián)網(wǎng)安全的議題還寥若晨星，而今年你再看，有很多同行已經(jīng)在研究了，你可以明顯的感覺到， IoT安全正在爆發(fā)的前夜。
在今年的 BlackHat Asia 上，老馬團(tuán)隊(duì)中的楊經(jīng)宇、耿琛上臺(tái)介紹了一個(gè)有關(guān) IoT 安全最新研究成果，這是一種基于IoT設(shè)備的全新通用型攻擊方式，不僅能夠繞開設(shè)備的安全防御手段，還能形成“蠕蟲”式攻擊，造成更大的安全威脅。
換句話說(shuō)，這種攻擊手段一旦被黑客掌握，目前IoT設(shè)備本身的安全防護(hù)很難起作用，而且“傳染性”很強(qiáng)，一臺(tái)中招就可以撂倒一大片。更加恐怖的是，這樣的攻擊可以在IoT設(shè)備正常工作的狀態(tài)下進(jìn)行遠(yuǎn)程控制，普通用戶完全沒有感知。
也就是說(shuō)，黑客能偷偷進(jìn)入你的家，還可以變身隱形人，肆無(wú)忌憚的在你的眼皮下做案。
怎么做到的？
首先，黑客要通過(guò)遠(yuǎn)程攻擊，獲得寫入bootloader 的權(quán)限。
bootloader從字面上來(lái)看，是啟動(dòng)加載的意思，我們?cè)陂_電腦或者重啟手機(jī)的時(shí)候，都會(huì)等待一段時(shí)間后才能開機(jī)，然后才能使用操作系統(tǒng)，而 bootloader 就是啟動(dòng)期間要做的事情。以手機(jī)為例，它會(huì)根據(jù)基帶初始化硬件，引導(dǎo)系統(tǒng)內(nèi)核，直至系統(tǒng)啟動(dòng)。如果獲得不了這個(gè)權(quán)限，你的手機(jī)或者電腦只能相當(dāng)于磚頭。
獲得使用bootloader 的權(quán)限，相當(dāng)于黑客已經(jīng)敲開了你家的門。
馬勁松解釋，由于目前市面上很多IoT設(shè)備在 BootLorder 的防護(hù)機(jī)制不夠，使得黑客能夠進(jìn)入系統(tǒng)，利用漏洞拿到權(quán)限。
第二，在修改完 IoT 設(shè)備的 BootLoader 后，下次啟動(dòng)時(shí)，黑客便能夠在內(nèi)存中修改 Linux kernel 和文件系統(tǒng)，開始做案。
拿到權(quán)限后，黑客通過(guò)改寫B(tài)ootLorder代碼，就能把惡意代碼嵌入到其中。
比如，偷偷打開你家智能電視的攝像頭，向全世界直播蓬頭垢面的你摳著腳看著綜藝節(jié)目笑的花枝亂顫。
馬勁松透露，目前，該漏洞已經(jīng)上報(bào)CNNVD，并已經(jīng)逐步知會(huì)相關(guān)廠商，該漏洞屬于 IoT 設(shè)備架構(gòu)設(shè)計(jì)上的缺陷，即具備root權(quán)限的程序，能夠改寫B(tài)ootLoader。
這是一種新的通用型漏洞，一旦攻擊成功，難以被清除，即使進(jìn)行系統(tǒng)升級(jí)或者通過(guò)長(zhǎng)按reset按鈕進(jìn)行恢復(fù)出廠設(shè)置都無(wú)法清除病毒。
也就是說(shuō)，一旦被黑客利用，各大廠商能做的，就是立即召回全部有漏洞的產(chǎn)品。
在采訪中，雷鋒網(wǎng)編輯曾多次追問(wèn)，到底有哪些廠商中招？可以覆蓋市面上的多少設(shè)備？老馬始終沒給我明確的答案，但通過(guò)“新”“通用”這些關(guān)鍵字，我推測(cè)這個(gè)漏洞很嚴(yán)重，如果真的把這些廠商和設(shè)備的名字公布出去，應(yīng)該是一個(gè)讓各路公關(guān)“心驚肉跳”的名單。
進(jìn)入一個(gè)新的領(lǐng)域進(jìn)行研究，你有沒有出不了成果，特別沮喪的時(shí)候？
對(duì)于這個(gè)問(wèn)題，老馬并沒有給我倒苦水，他反而認(rèn)為，進(jìn)入到一個(gè)新領(lǐng)域，肯定有大量基礎(chǔ)知識(shí)和基本能力要去儲(chǔ)備和訓(xùn)練，這毋庸置疑，該請(qǐng)教專家請(qǐng)教專家，該招人招人，都得一步步來(lái)。
真正讓他感到恐怖的事情，是一個(gè)搞安全的人對(duì)技術(shù)的熱情沒有了。
逆向、編程、資料搜集，搞安全要搞出名堂，一定要對(duì)這幾樣?xùn)|西充滿熱情。
在老馬看來(lái)，搞安全萬(wàn)變不離其宗，一是要把別人寫的程序通過(guò)工具來(lái)讀出二進(jìn)制代碼，即所謂的逆向能力；二是能快速把自己的思想、想法、算法落實(shí)，讓代碼跑起來(lái)，即編程能力；三是遇到新的問(wèn)題能迅速搜集和整理資料，盡快識(shí)別對(duì)手的套路。雖然在新的領(lǐng)域總是有變的東西，但對(duì)這三塊的要求不會(huì)變，只會(huì)越來(lái)越強(qiáng)。
之所以要強(qiáng)調(diào)上面的三點(diǎn)，與馬勁松和團(tuán)隊(duì)的研究目標(biāo)有很大關(guān)系。與那些炫酷的破解秀不同，他們更注重底層的技術(shù)研究，看中的是所研究的東西能否落地為工程化的應(yīng)用。
你研究病毒后，能不能做成殺毒引擎，把這些能力輸入給電腦管家、手機(jī)管家？你搞流量檢測(cè)，能不能把它封裝成了APT高級(jí)威脅檢測(cè)，落地到產(chǎn)品上進(jìn)行應(yīng)用？
回到老馬在 2016 年“轉(zhuǎn)身”對(duì)移動(dòng)安全的研究，雖然手機(jī)病毒和 PC 病毒原理相差不大，但它們的文件格式、黑白名單比例構(gòu)成、有害行為的特征都不一樣，老馬和團(tuán)隊(duì)要做的，就是一點(diǎn)點(diǎn)的摳這些細(xì)節(jié)，讓它們更加順利的對(duì)接到移動(dòng)產(chǎn)品中。
技術(shù)當(dāng)然是前提，但如何讓技術(shù)轉(zhuǎn)變?yōu)楫a(chǎn)品，發(fā)揮最大的效能來(lái)抗擊黑產(chǎn)，這是老馬的一直強(qiáng)調(diào)的事情。
為何要下功夫做物聯(lián)網(wǎng)安全
其實(shí)，近來(lái)國(guó)內(nèi)各大廠已經(jīng)頻頻在物聯(lián)網(wǎng)安全領(lǐng)域發(fā)力。360 在去年 11 月就宣布成立 IoT 安全研究院，高調(diào)招人；百度聯(lián)手華為和一眾安全廠商成立 OASES 智能終端安全生態(tài)聯(lián)盟，開始為安全廠商與設(shè)備廠商牽線搭橋；阿里前不久也宣布全面進(jìn)軍 IoT，其發(fā)起的 ICA 聯(lián)盟提出了 IoT 行業(yè)中芯片安全分級(jí)的標(biāo)準(zhǔn)及方法；小米在去年末的一組數(shù)據(jù)顯示，目前已有 8500 萬(wàn)個(gè)米家設(shè)備連入物聯(lián)網(wǎng)，安全成為重中之重……
作為騰訊，目前它有哪些應(yīng)用會(huì)應(yīng)用在 IoT 設(shè)備上？
對(duì)于這個(gè)問(wèn)題，老馬神秘一笑，說(shuō)了 5 個(gè)字：“請(qǐng)拭目以待”。
回想騰訊安全的發(fā)展歷史，原來(lái)它只是保護(hù)自身的用戶和業(yè)務(wù)，但這顯然遠(yuǎn)遠(yuǎn)不夠。老馬解釋，以這次針對(duì) IoT 設(shè)備的攻破為例，從發(fā)現(xiàn)漏洞到利用漏洞，還有一個(gè)漫長(zhǎng)的過(guò)程，前者只是萬(wàn)里長(zhǎng)征的第一步，要實(shí)現(xiàn)具體的攻擊，還需要結(jié)合弱密碼等其他漏洞才能攻擊成功。
換句話講，安全廠商、硬件廠商和用戶自身都存在破綻，對(duì)用戶來(lái)講，安全有時(shí)會(huì)面臨“木桶效應(yīng)”，只要其中一個(gè)短板出現(xiàn)問(wèn)題，就會(huì)暴露的攻擊之下。
安全確實(shí)無(wú)法獨(dú)善其身，特別是像騰訊這樣一個(gè)擁有眾多應(yīng)用和用戶的公司。以老馬和團(tuán)隊(duì)之前曾經(jīng)做的哈勃引擎為例，哈勃起先最重要的任務(wù)是分析病毒樣本，但后來(lái)，他發(fā)現(xiàn)通過(guò)分析這些病毒樣本，還可以提取到質(zhì)量很高的威脅情報(bào)。這意味著，一款產(chǎn)品所具備的安全能力有時(shí)是可以賦能到整個(gè)安全生態(tài)當(dāng)中的，使其發(fā)揮更多的作用。
回到文章開頭的那張圖片，那些動(dòng)輒上億用戶的應(yīng)用，未來(lái)也許將會(huì)以一種全新的方式登陸 IoT 設(shè)備，就像它們當(dāng)年悄悄出現(xiàn)在你手機(jī)中一樣。
相關(guān)文章：騰訊反病毒實(shí)驗(yàn)室馬勁松：和“AV”有關(guān)的日子；
BAT3 在 IoT 安全上湊齊了，我們問(wèn)了問(wèn)李康和楊卿 360 要怎么搞
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
