Pwn2Own競賽讓駭客趨之若鶩的秘密?專訪ZDI計畫負責人和趨勢科技安全研究副總

趨勢科技旗下 ZDI每年舉辦的「Pwn2Own」有著如其名「破解就能帶走」的經典特色,今年甚至獲特斯拉贊助一台 Model 3。這個駭客競賽到底有什麼魅力,為何能吸引全球頂尖好手、讓破解目標的產品供應商出人力、獎金,甚至贊助高價獎品?
評論
▲左為趨勢科技安全研究副總 Mike Gibson,右為漏洞研究的總監暨 ZDI 負責人 Biran Gorenc
評論

「Pwn2Own」有著如其名「破解就帶走」的經典特色,獎品更是每每成為眾人矚目的亮點,今年甚至獲特斯拉贊助一台 Model 3。這個駭客競賽到底有什麼魅力,為何能吸引全球頂尖好手、讓破解目標的產品供應商出人力、獎金,甚至贊助高價獎品?

INSIDE 訪問到趨勢科技安全研究副總 Mike Gibson,以及漏洞研究的總監 Biran Gorenc,他同時也正領導旗下 ZDI 這個全球最大的非供應商導向漏洞計畫。ZDI 同時也是個聚集許多白帽駭客/野生資安研究員的虛擬社群,全球對破解漏洞有興趣的研究者可以在這裡切磋交流並貢獻其找到的漏洞,這些漏洞便會回報給供應商供其改善。除了母公司趨勢科技的資源,ZDI 也透過回報漏洞獲得營運的收入。

如何擄獲頂尖駭客的心?

相較大部分設定人為題目考驗技術的比賽,Pwn2Own 不僅每次的獎金、獎品都十分誘人又充滿噱頭,骨子裡更是少數「實戰」攻防的駭客競賽:對手不再是杵著不動讓你練手的木樁,而是有反應、會防守的各大知名公司資安研究員。

Brian 提到,Pwn2Own 已經舉辦 12 年,但至今參賽人數仍維持在 10-20 人的規模,背後原因是隨著資訊安全技術進步,產品愈來愈難破解。經年累月下來的攻防,以前只要一個漏洞就能攻破產品,現在則需要 2-3 個漏洞起跳。駭客的技術愈來愈高階,但問題也愈來愈複雜,所以永遠只有世界頂尖高手才有機會挑戰成功。

對於這些有熱情的白帽駭客來說,獎金固然豐盛卻不是唯一的誘因,畢竟拿著漏洞去勒贖金錢豈不賺更多?

這些成員相當熱愛「研究」這些漏洞,但找出漏洞與攻擊方法後,都一律直接回報給供應商促其修補,而非駭取這些漏洞為己用。在這整場比賽中,Brian 都稱社群成員為研究者。

可以匿名、想要快速接觸收到獎金,甚至投入 Pwn2Own 競賽可以接觸到稀有的攻擊目標,破解其他地方找不到的難題,都是讓這些研究員躍躍欲試的原因。Brian 還指出,ZDI 社群有點數、等級與成就獎金系統,能更進一步加強成員的成就感與認同感。談到社群營造,Pwn2Own 現場除了常見的紀念貼紙,還發給參賽者紀念硬幣,Bria 說,在外面碰到社群成員就可以「以幣認人」作為信物,更為社群凝聚增添了一份趣味巧思。

▲這次 Pwn2Own 現場發放的 ZDI 紀念硬幣

再來,隨著資安意識抬頭,愈來愈多的供應商,尤其是有經驗與規模者,會主動尋求社群的力量,以期在最短時間內揪出漏洞並防患於未然。另一方面,而 ZDI 社群累積的聲量與聲譽,不管在供應商方或白帽駭客(研究員)方,都深受信賴。根據 Mike,這次 Model 3 計畫就是特斯拉主動接觸,而團隊自己也是特斯拉粉絲,便欣然開展了這次合作。

見證白帽駭客美技的搖滾區

▲2019 年 Pwn2Own 獲破解大師大獎的氟乙酸鈉二人組成閃光燈焦點

Brian 透露,幾年比賽辦下來,也透過競賽與社群擄獲不少優秀人才,現在就在 ZDI 裡面一起工作。自己也是資安研究員的 Brian 對於能近距離看到高手較勁,更是坦承「學到很多」。

由於 Pwn2Own 攻擊目標是真實運作的產品,因此每年賽事中攻擊介面和領域的演變也體現著科技趨勢,Brian 認為這相當有趣。舉辦競賽這幾年來,見證瀏覽器、沙盒、虛擬機的改變,到 iPhone 越獄、自駕汽車、電信基帶攻擊,在侵入的過程中了解安全系統與資訊系統,可說是收穫豐碩。

核稿編輯:Chris

延伸閱讀:






AWS Dev Day 開發者大會來了!業界大神集結線上開講,開發你的技術潛能

2021 AWS Dev Day 開發者大會將於 10 月 8 日線上舉行。
評論
Photo Credit:AWS
評論

2021 AWS Dev Day 開發者大會將於 10 月 8 日線上舉行,聚焦全球現代開發者需求,針對不同領域的開發者設計對應的多元議程,許多知名的業界大神也將集結在此、線上開講,豐富的技術資源與知識寶藏等你挖掘▶立即手刀報名

各領域開發者的年度重頭大戲,AWS Dev Day 聚焦 6 大主題

本次開發者大會的主軸,旨在幫助開發者走過實戰應用,以及加強深度運用 AWS 各種服務,不只要提升個人技術能力,更可作為主導開發的基礎墊腳石。聚焦 6 大活動主題,包括:

  • 人工智慧與機器學習 (AI/ML)
  • 現代開發 (Modern Development)
  • 開發營運 (DevOps)
  • 數據分析 (Data & Analytics)
  • 架構設計 (Architecture)
  • 前端開發 (Front-end Development)

身在雲端技術帶動產業高速發展的時代,AWS Dev Day 當帶領參加者用技術突圍、提高決策驅動力,激發潛能之際,更要開拓雲端之旅的可能性,備戰即將到來的多元時代。

線上盛會無遠弗屆,全天技術專題收穫滿滿

Photo Credit:AWS

這一場 AWS Dev Day 是專屬於開發者的年度技術盛會。不只集結業界重量級講師親身分享,帶來第一手的實戰經驗與最新資訊,也會針對不同領域開發者設計對應多元議程,讓企業新創技術團隊一起共同學習。此外,也精選深度高階的技術內容,有意自我加值、技術進階的開發者更不可錯過。更棒的是,本場盛會採全天線上舉行,不受地域限制,還可與專業技術團隊即時線上交流,不只學技術,更是發展人脈好機會。

備戰未來,就是現在!AWS Dev Day 為開發者開拓雲端之旅

無論是前端、後端、DevOps 工程師,IT人員、解決方案架構師、開發者、資料科學家、數據分析師,工程師或系統管理員,只要想暸解 AWS 的熱門雲端技術、客戶案例、平台與服務,都能在豐富的 AWS Dev Day 議程中找到適合的內容。

▶即刻報名 2021 AWS Dev Day 開發者大會