雷鋒網(wǎng)注：該文作者為于旸, 網(wǎng)名“tombkeeper”,人稱“TK教主”,騰訊安全玄武實(shí)驗(yàn)室負(fù)責(zé)人,國(guó)際知名的白帽黑客，該文已獲于旸授權(quán)轉(zhuǎn)載。

對(duì)安全問(wèn)題的一個(gè)常見(jiàn)誤解是認(rèn)為漏洞是某種像導(dǎo)彈一樣的東西，可以用油紙包起來(lái)放到山洞里。但導(dǎo)彈不會(huì)消失，而漏洞轉(zhuǎn)瞬即逝。漏洞是動(dòng)態(tài)的，不斷產(chǎn)生，不斷消失，所以其實(shí)更像電。電一旦發(fā)出來(lái)，難以長(zhǎng)期保存。所以搞電力建設(shè)，核心不是囤積多少電池，而是建多少電站。對(duì)于漏洞來(lái)說(shuō)，“電站”就是安全研究者。

在漏洞研究領(lǐng)域，人和人的差別有多大呢？大到一萬(wàn)個(gè)臭皮匠也頂不了一個(gè)諸葛亮。在任何行業(yè)，這種情況都是管理者最不喜歡的，但又是一個(gè)客觀事實(shí)。在目前以及可預(yù)見(jiàn)的未來(lái)，沒(méi)有什么軟件或硬件能代替優(yōu)秀的漏洞研究者。

目前業(yè)界公認(rèn)水平最高的漏洞研究團(tuán)隊(duì)是 Google 的 Project Zero。Project Zero 匯聚了全世界各類(lèi)漏洞研究方向上最好的一些人，每年都能產(chǎn)出數(shù)量和質(zhì)量驚人的成果。那為什么這些人都愿意去 Project Zero？

Project Zero 的待遇當(dāng)然是很好的。但同樣的待遇，很多公司都能給得出。最主要的原因是 Google 給了 Project Zero 最寬松的氛圍，特別是制度性地允許和鼓勵(lì)對(duì)研究結(jié)果進(jìn)行完全披露。

對(duì)研究者來(lái)說(shuō)，除了薪酬待遇，最重要的是自己的成果能為業(yè)界所知，能自由地進(jìn)行交流。這一點(diǎn)，決定了他們能夠從內(nèi)心中產(chǎn)生強(qiáng)大的自我驅(qū)動(dòng)力，能對(duì)研究的問(wèn)題晝思夜想，全身心投入。而不會(huì)像大多數(shù)人那樣抱著拿一份錢(qián)打一份工的想法。不會(huì)多工作幾分鐘就認(rèn)為公司占便宜了，自己吃虧了。

2006 年前后，國(guó)內(nèi)網(wǎng)絡(luò)安全研究人員的薪酬水平比較低。那幾年 McAfee、Fortinet 等外企從中國(guó)挖走了大批優(yōu)秀人才。以至于硅谷有些安全公司研究團(tuán)隊(duì)里一半以上都是華人。2012 年之后，國(guó)內(nèi)這個(gè)行業(yè)的薪酬情況逐漸好起來(lái)，去國(guó)外的人就少了，一些已經(jīng)去了國(guó)外的人也回來(lái)了。

目前國(guó)內(nèi)安全研究實(shí)力和美國(guó)相比尚有差距，但處于蓬勃發(fā)展的狀態(tài)。相對(duì)自由的環(huán)境，讓大批優(yōu)秀的年輕人愿意加入這個(gè)行業(yè)，展現(xiàn)才華，獲得屬于自己的成就。如果現(xiàn)在改變這種環(huán)境，讓每個(gè)人在發(fā)布研究成果時(shí)都思前想后戰(zhàn)戰(zhàn)兢兢，短期內(nèi)也許能獲得些許表面上的平安和穩(wěn)定。但長(zhǎng)期來(lái)看，一定會(huì)對(duì)安全人才培養(yǎng)造成非常負(fù)面的影響。

說(shuō)漏洞像電，漏洞其實(shí)又不像電。三峽的電，如果中國(guó)人不發(fā)，別的國(guó)家也發(fā)不了。但任何漏洞，如果你沒(méi)有足夠的人才來(lái)研究，是攔不住別人去研究的。

雷峰網(wǎng)版權(quán)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。