安全议题“接力” 两代极客AsiaSecWest以“码”会友

6月6日，AsiaSecWest国际安全技术峰会—亚洲站在香港开幕。在这场国际顶尖极客聚集的交流峰会上，发生了“安全议题接力”这样有趣的一幕：最早发现 BadUSB 漏洞演讲者之一， 来自德国的Security Research Labs 首席科学家Karsten Nohl，与此次在USB安全问题上做出最新、最前沿研究的，来自美国的软件开发工程师Brandon Wilson同时出现在了AsiaSecWest。两人不仅针对USB安全问题的进化做了进一步探讨，Brandon Wilson还在以“USB 闪存盘固件逆向的最新进展”为主题的演讲中，针对Karsten Nohl的攻击方法做了进一步评估，并介绍了防范此类攻击方法所应用的最新工具、代码、文档等研究技术。

（Security Research Labs 首席科学家Karsten Nohl）

这种前后承接的安全研究方法，不仅体现了技术交流的价值，也彰显了极客精神。近年来，信息泄露、资金盗取等互联网安全问题频频露出，随着网络安全成为全球共同的议题，“安全极客”群体越来越被人们所熟悉。相比其他领域，网络安全极客群体所面对的是快速变化的技术格局，这让学术交流变得非常重要。对于以动态视角关注技术变化的安全极客来说，“发现问题”、“完善漏洞”、“交流技术”，都是极客精神的最佳诠释。类似AsiaSecWest这种交流平台的存在，无疑给了这些极客版“最强大脑”更多碰撞的机会，也让他们的研究发挥更大价值。

　　极客接力研究USB恶意入侵，最新研究细节曝光

由于USB具有多种输入输出设备特征，且其接口支持诸多功能，因此，相对于其他设备，对USB的入侵显然更为容易，所触达的设备范围也更大。这一入侵方式在前几年吸引了极客的关注，近期则成为全球网络安全的讨论热点。

6月6日，AsiaSecWest国际安全技术峰会—亚洲站在中国香港举行，世界各地信息安全领域“最强大脑”齐聚一堂，针对目前威胁网络安全的诸多热点议题发表前瞻看法、分享解决方案。其中，先后对USB安全做出突破性研究的两名安全极客——德国科学家Karsten Nohl与美国软件开发工程师、应用程序安全顾问Brandon Wilson均出席了峰会，他们分别在2014年及2018年发表了关于USB恶意入侵的研究成果，后者更是在前者的研究基础上，针对其攻击方进行了进一步评估，并介绍了防范此类攻击方法所应用的最新工具、代码、文档等研究技术。

本次峰会的演讲者之一Karsten Nohl是第一个发现USB漏洞的极客。早在2014年，他就曾在安全极客界盛会黑帽（BlackHat）上演示了一种名为“BadUSB”的攻击方法，这种攻击方法能让USB和几乎所有和USB相关的设备(包括具有USB端口的电脑)都陷入相当危险的状态。同年，他在CanSecWest的分会 PacSec 上又重申了这一问题，并认为USB外设为提供了多种入侵路径，并且设备一经感染，消除其中的恶意代码将会十分困难。

来自美国的软件开发工程师Brandon Wilson以“USB 闪存盘固件逆向的最新进展”为主题发表演讲，针对Karsten Nohl所提出的“BadUSB”攻击方法再度发布研究成果。在演讲中，Brandon Wilson介绍了USB 闪存盘现有的技术细节、固件逆向的发展现状及其安全影响，同时对日后安全性美好未来进行了合理想象。

（美国的软件开发工程Brandon Wilson） 

前后“两代”极客的研究“接力”，以承接性的研究加速了USB恶意入侵问题的解决，同时也促进了这一安全性问题的再度传播。可以说，前后极客的“问题对话”意识不仅是促进交流的有效方式，同时是推动整个互联网世界技术进步的驱动力。

　　从接力到共享 极客精神守护信息安全

类似这样“两代”极客对同一安全议题进行“接力式”研究的案例不在少数，而鼓励后来者在已有研究成果的基础上更上一阶，已成为众多极客公开自己研究成果的目的所在。如发表演讲的Brandon Wilson所言：“我们会公开新工具、代码和文档，让USB闪存盘固件逆向更进一步，也希望能够鼓励其他人以此为基础进行创造和改进，造福所有人。”

在一些行业人士看来，这种“接力式”研究，不仅有效彰显了极客精神，还体现了“开源共享”、“学术交流”的真正价值所在，“这可以让安全极客群体的研究形成良性知识积累和循环，进而产生更大价值，尤其是面对快速迭代的技术革命，这种研究方式，可以保证更快速、更高效发现漏洞、解决问题，防患于未然，保障网络信息安全。”

这也恰恰是行业交流平台存在的价值。CanSecWest的创始人、北美黑客社区著名人物Dragos Ruiu就曾表示，自己成立CanSecWest的目的之一，便是“希望大家能够意识到我们其实是面对同样的风险，在同一个网络里解决同样的安全问题，我们应该为国际信息安全合作提供一个开放的交流平台。”

在大会现场，来自清华大学网络科学与网络空间研究院的段海新教授进行题为“端到端通信中危险的中间盒子：祝福还是诅咒？”的主题演讲时，也进一步阐释了“极客精神”：“我们发现问题，可能已经是解决50%的问题了，通过一种负责任的相对规范的流程交给厂商，这本身就是解决问题的第一步。而通过后续的努力把问题解决掉，这也是对学术界、工业界的贡献。极客精神就是发现问题，让世界更完美。”

正是为了促进极客间的交流共享、提供更多技术交流机会，腾讯安全联合CanSecWest召开了此次AsiaSecWest峰会，共同打造一个世界顶级网络信息安全技术交流平台，搭建中西方安全技术交流桥梁，推动中国成为国际信息安全技术风向标，在为中国网络安全生态建设注入全球化视野的同时，积极倡导中国乃至全球的信息安全新生态，为互联网世界的良性发展提供驱动力量。

基于这种考虑，峰会现场，腾讯安全联合实验室玄武实验室负责人于旸和CanSecWest创始人、北美黑客社区著名人物Dragos Ruiu还提出了“极客1.0.1”的愿景，未来将联合CanSecWest等国际最具盛名的安全极客大会，并与众多国际顶尖技术平台或安全社区建立长期合作，从而为包括中国在内的全球信息安全技术人才构建一个展示前沿技术突破与应用的舞台。

作为中国互联网安全新生态的首倡者，始终坚持“开放、联合、共享”的理念，多维护航全球网络安全生态的构建与发展。近年来，为提供立体化安全防护，腾讯安全联合多名网络安全界权威专家组建中国顶级联合安全实验室，专注于网络安全技术研究及安全攻防体系建设，集合企业安全能力推出腾讯守护者计划、CSS中国互联网安全领袖峰会、TCTF腾讯信息安全争霸赛，支持并参与了GeekPwn国际安全极客大赛。