“黑帽子”与“白帽子” |
正如一个硬币有两面一样,“黑客”也有好坏之分。在黑客的世界中,往往用帽子的颜色来比喻黑客的好坏。白帽子,则是指那些精通安全技术,但是工作在反黑客领域的专家们;而黑帽子,则是指利用黑客技术造成破坏,甚至进行网络犯罪的群体。 同样是研究安全,白帽子和黑帽子在工作时的心态是完全不同的。 ![]() 对于黑帽子来说,只要能够找到系统的一个弱点,就可以达到入侵系统的目的;而对于白帽子来说,必须找到系统的所有弱点,不能有遗漏,才能保证系统不会出现问题。这种差异是由于工作环境与工作目标的不同所导致的。 白帽子一般为企业或安全公司服务,工作的出发点就是要解决所有的安全问题,因此所看所想必然要求更加的全面、宏观;黑帽子的主要目的是要入侵系统,找到对他们有价值的数据,因此黑帽子只需要以点突破,找到对他们最有用的一 点,以此渗透,因此思考问题的出发点必然是有选择性的、微观的。 👏🚠🥚❗🦕 从对待问题的角度来看,黑帽子为了完成一次入侵,需要利用各种不同漏洞的组合来达到目的,是在不断地组合问题;而白帽子在设计解决方案时,如果只看到各种问题组合后产生的效果,就会把事情变复杂,难以细致入微地解决根本问题,所以白帽子必然是在不断地分解问题,再对分解后的问题逐个予以解决。 这种定位的不对称,也导致了白帽子的安全工作比较难做。“破坏永远比建设容易”,但凡事都不是绝对的。要如何扭转这种局面呢? 一般来说,白帽子选择的方法,是克服某种攻击方法,而并非抵御单次的攻击。比如设计一个解决方案,在特定环境下能够抵御所有已知的和未知的 SQL Injection 问题。假设这个方案的实施周期是3个月,那么执行3个月后,所有的 SQL Injection 问题都得到了解决,也就意味着黑客再也无法利用 SQL Injection 这一可能存在的弱点 入侵网站了。如果做到了这一点,那么白帽子们就在 SQL Injection 的局部对抗中化被动为主动了。 但这一切都是理想状态,在现实世界中,存在着各种各样不可回避的问题。工程师们很喜欢一句话: “No Patch For Stupid!” 在安全领域也普遍认为:“最大的漏洞就是人!”。写得再好的程序,在有人参与的情况下,就可能会出现各种各样不可预知的情况,比如管理员的密码有可能泄露,程序员有可能关掉了安全的配置参数,等等。安全问题往往发生在一些意想不到的地方。 🦴🪐🍓🔞🦄 另一方面,防御技术在不断完善的同时,攻击技术也在不断地发展。这就像一场军备竞赛, 看谁跑在前面。白帽子们刚把某一种漏洞全部堵上,黑帽子们转眼又会玩出新花样。谁能在技术上领先,谁就能占据主动。互联网技术日新月异,在新技术领域的发展中,也存在着同样的 博弈过程。 可现状是,如果新技术不在一开始就考虑安全设计的话,防御技术就必然会落后于攻击技术,导致历史不断地重复。 #378:
帖子热度 8623 ℃
|
|
在遇到你之前,我对人世间是否有真正的圣人是怀疑的;而现在,我终于相信了!我曾经忘情于两汉的歌赋,我曾经惊讶于李杜的诗才,我曾经流连于宋元的词曲。但现在,我才知道我有多么浅薄!楼主,你的高尚情操太让人感动了。在现在这样一个物欲横流的金钱社会里,竟然还能见到楼主这样的性情中人,无疑是我这辈子最大的幸运。让我深深感受到了人性的伟大。楼主的帖子,就好比黑暗中刺裂夜空的闪电,又好比撕开乌云的阳光.
|
觉得冥冥中一直在等撸主写这个帖子。。。我以为。。。撸主的帖子写出来。。。就应该是一部传世之作。。。到现在我才发现。。。什么事情都是可以变的。。。惟独不变的是撸主的精彩原创。。。就好像我一直以为自己文笔不错。。。忽然看到撸主帖子。。。才发现我输了。。。因为在我读撸主的帖子的时候。。。我忘记烦恼和所有不开心的事情。。。整个人好象沐浴在4月杭州温暖的春风中。。。
|