揭秘Project Zero：谷歌内部的超级黑客团队、网络世界的“孤胆英雄”
不拘一格选人才
当George Hotz（神奇小子GeoHot：破解已经玩腻了，我要让汽车工业变得更智能http://mp.weixin.qq.com/s/XDANelnfLrKds1jzlAafiw）于2007年8月成功解锁了iPhone手机，使得当时的iPhone可以不再局限于AT&T网络，同时也可以支持其他GSM网络的时候，包括AT&T和苹果在内的几乎所有企业都在有意无意的忽视Hotz的存在，而只是专注于修复他所发现的设备、系统漏洞。
之后，Hotz在博客中表示自己花费了整整5周的时间，巧妙地运用了一些简单的硬件改动和较为复杂的软件方法得到了PS3系统全部内存的读写权限和处理器的高级控制权限。换句话说，他已经完全破解了PS3系统。对此，索尼公司的做法则是对其提出正式起诉，并最终在Hotz承诺不再破解任何一款索尼产品的前提下达成了和解。
然而，今年早些时候，在Hotz成功找到谷歌Chrome操作系统中漏洞的时候，谷歌非但没有对其提起诉讼，反而给予了他15万美元的奖励。两个月后，Hotz还收到了一封来自谷歌安全工程师Chris Evans的Offer邮件——邀请他加入谷歌旗下的互联网安全精英团队——“Project Zero”，该团队的主要职责就是找到存在于互联网各个角落之中的安全漏洞。
超级黑客团队
不久前，谷歌已经正式对外介绍了自己互联网安全项目“Project Zero”的主要情况。据悉，该团队主要由谷歌内部顶尖安全工程师组成，而他们的唯一使命就是发现、跟踪和修补这些全球性的软件安全漏洞。同时，“Project Zero”所处理的安全漏洞通常都属于“零日漏洞”级别，网络黑客或者政府有组织的黑客团队可以利用这些漏洞展开网络监听等活动。
谷歌表示，“Project Zero”团队并不仅限于在谷歌自有的产品中寻找系统安全漏洞，他们还可以在任何软件产品上寻找漏洞。在发现了漏洞后，该团队会对其进行曝光，并通过这种方式来鼓励相关公司与谷歌联手合作应对黑客行为。
Project Zero负责人、曾负责过谷歌Chrome安全团队的Chris Evans说道，“人们理应在无需担忧安全漏洞或者隐私泄露的情况下享用互联网，而我们团队则会关注于找出那些高价值的安全漏洞，并将其彻底消除。”
据悉，“Project Zero”目前已经从谷歌内部抽调了一些精英人员，并组建起了自己的黑客“梦之队”。比如，曾在2013年发现存在于Adobe Flash及微软Office中大量漏洞的新西兰人Ben Hawkes、英国知名“零日漏洞查杀专家”Tavis Ormandy、曾经发现了苹果iOS、OSX和Safari浏览器多个漏洞的神秘瑞士黑客Brit Ian Beer以及上文提到的成功破解谷歌Chrome操作系统的George Hotz都是这一团队的成员。
【“Project Zero”成员——Ben Hawkes】
根据Evans透露，目前该团队的招聘工作仍在继续，并计划召集到10名以上的全职互联网安全研究人员。他们大多数都可以不在谷歌总部办公室办公，并使用专业的漏洞查找工具对目标软件进行扫描，从而发现有可能包含有漏洞的系统、软件设计。
创建的初心
了解了“Project Zero”的工作性质后，你一定好奇，这样一个团队的创建初衷究竟是为了什么呢？对此，Evans解释道，“Project Zero”基本上是利他的。谷歌为团队成员提供极大的自由，让他们可以几乎不受限制地研究安全难题，也许这也是谷歌招聘的筹码，让最顶尖的人才愿意加入谷歌，之后他们可能会转而进行其他项目。
谷歌表示，他们希望通过这一项目把互联网变得更加安全，并可以通过提供更加自由的工作条件来吸引许多顶级安全人才加入公司。因为谷歌始终坚信，一个更加安全、愉悦的互联网使用环境会促使更多用户放心的点击广告，并从而使谷歌受益。
他说到，“只要我们能够增强用户对于互联网的信心，那么谷歌也将通过非直接的方式获益。”
与此同时，“Project Zero”也和谷歌近年来的发展策略相当吻合。在“斯诺登事件”曝光后，谷歌已经加强了自己的反侦查策略，因为斯诺登曾披露称美国国家安全局在暗中监视谷歌用户信息，之后谷歌便对相关链接进行了加密。近期，谷歌还通过在Chrome浏览器中内置插件的方式为用户的电子邮件进行了加密，并且公布了一份有关哪些电邮服务商同意或者不同意使用这一加密做法的名单。
美国公民自由联盟首席技术专家Chris Soghoian表示，谷歌大力建设自己的“Project Zero”团队是情理之中的举措，因为谷歌安全团队对于政府监控行为一直非常不满，他们自然希望能够对此有所回应。
而且，同其他许多企业一样，谷歌多年来也一直在奖励那些发现代码漏洞的白帽黑客。但是，其在查找自身软件漏洞方面的工作似乎一直都存在缺陷，因为诸如Chrome浏览器这些产品经常需要依赖于Adoble Flash这些第三方代码运行。今年3月，Evans甚至还编写了一份在过去四年时间内由黑客所发现的18个Flash漏洞的表单。
一路走来——“Project Zero”的缘起
虽然，Google公司是于2014年才正式组建的Project Zero，但是该团队的起源却可以追溯到2009年。提到信息安全问题，很多公司通常要到面临紧急情况的时候才能意识到其严重性。而对于当时的Google而言，其遭遇的紧急事件正是“极光行动”（Operation Aurora）。
2009年，一个与中国政府有关的网络间谍组织入侵了Google和其他一些科技巨头的服务器，窃取了他们的知识产权，并试图监视其用户。此举激怒了Google的高管，使得Google最终退出了中国——这个世界上最大的市场。
该事件让Google的联合创始人Sergey Brin感到十分不安。计算机取证公司和调查人员认定，Google遭受的攻击并不是自己的软件错误，而是由微软IE6中的一个未修复漏洞造成的。此事令Brin不禁自问，为什么Google的安全性要依赖于其他公司的产品？
在接下来的几个月里，Google开始不断对外施压，要求竞争对手解决他们软件代码中的漏洞。Google与其同行之间的这场没有硝烟的战斗很快就成为传奇故事。漏洞猎手Tavis Ormandy正是凭借自身出神入化的漏洞修复手段，成为其中的核心人物，闻名于同行之间。
在“极光行动”出现后不久，Ormandy就披露了他几个月前在微软Windows操作系统中发现的一个漏洞，攻击者可以利用该漏洞入侵个人电脑并使其瘫痪。在等待微软回复的七个月后，他决定靠自己来解决问题。
2010年1月，Ormandy在一封“全面披露”的邮件中发布了该漏洞的详细情况和可能遭受的攻击。他的想法是：如果微软不及时解决这个问题，用户至少也应该对该问题有所了解，好让他们能够有自行探索应对方法的依据。几个月后，他对所发现的Oracle的Java软件漏洞，以及另一个更严重的Windows漏洞采取了相同的办法——对于后者，Ormandy仅在向微软汇报了五天后就采取了行动。
有人谴责Ormandy的这一行为，称其对用户安全造成了危害。两位Verizon的信息安全专家在一篇博客文章中称，采取这种“全面披露”方式的研究人员都是“自恋的漏洞皮条客”。
对此评价，Ormandy并未理会。2013年，他再次选择在Windows发布修复之前将漏洞公开。他认为，如果没有一个研究人员用这种公开披露的方式对其进行施压，他们根本就没有紧迫感，不可能会及时对这些问题进行修复，如此一来，所有人都将处于危险之中。
2014，Google悄悄地创建了“Project Zero”（该名字暗指“零日漏洞”，这一术语是信息安全专家用来描述完全没有时间解决的未知安全漏洞）。公司制定了一套协议，并让Chrome前任安全总监Chris Evans担任负责人。之后，Evans开始招募Google员工和其他人加入团队。
【Chris Evans——负责为Project Zero招募人才】
他招募了当时在瑞士的英裔安全研究员Ian Beer，他对挖掘苹果代码错误有着强烈的兴趣；Ormandy也是一名英国人，他因与微软的公开冲突而闻名；Ben Hawkes，一名因发现Adobe Flash和微软Office漏洞而闻名的新西兰人。另外，Evans还招募了George Hotz做实习生，他应该是团队中最年轻的一位，不过他的本领可不小：他曾在一个黑客竞赛中成功入侵了Chrome浏览器，赢得了15万美元奖金。
2014年4月，“Project Zero”完成了成立以来的首次“亮相”：苹果在一份简报中赞扬了一名Google研究人员，因为他发现了一个会让黑客控制Safari浏览器的漏洞。苹果公司在文中向“Google Project Zero团队的Ian Beer”表示了感谢。
在Twitter的信息安全社区中，人们开始讨论这是怎样一个神秘组织。2014年4月24日，纽约网络安全顾问Trail of Bits CEO兼联合创始人Dan Guido在推文中问道：“Project Zero是什么？”美国民权同盟的CTO Chris Soghoian也提到：“Apple安全更新日志中竟对一位神秘的Google Project Zero员工表达了感谢。”
【Dan和Chris 的推文内容】
很快地，Project Zero收到了更多的赞誉。5月份，苹果感谢Beer发现了其OS X系统中的几个漏洞。一个月后，微软对一个可能击溃其恶意软件保护程序的漏洞打了补丁，并在报告中感谢了Project Zero的Tavis Ormandy。
当时，在所有关注安全问题的人群中，该团队是绕不开的话题。Evans最终决定在公司博客中公开宣布了该团队的存在。他表示：“我们应该能够自由地使用网络，而不用担心犯罪分子或国家支持的间谍组织利用软件漏洞感染设备，窃取机密数据或是监控通讯。”他还援引了最近一些针对企业和人权活动人士的间谍活动，认为“这些行为必须停止”。
Evans在一年后离开了该团队并加入了特斯拉，现在是HackerOne的顾问。Project Zero目前的领导是Hawkes。
即使到今天，Evans在描述该团队的起源时仍然十分谨慎，他说：“Project Zero是在经历多年的深度讨论，和对攻击演变的观察基础上最终确立的。我们希望创造出专注于顶级信息安全进攻研究的工作，吸引世界上最优秀的人才进入该研究贡献力量。”
最高效的网络漏洞终结者团队
这个挑战比看上去还要困难。金钱吸引着世界上很多最好的黑客开展秘密工作，而政府和其他团队也愿意通过经纪人为他们的调查结果支付高昂的报酬。Evans认为，如果这种研究工作无法公布，那人们将长久生活在危机四伏的网络世界中。
在Zero Project正式成立的三年中，这个精英黑客小组已经成为地球上最高效的网络漏洞终结者之一。也许普通的消费者并不知晓这些人的名字——James Forshaw、Natalie Silvanovich、Gal Beniamini。但正是这群人在对我们的智能设备和数字生活中可能出现的漏洞进行严防死守，我想全世界都欠他们的一句“感谢”！
该团队还负责对其他公司的产品进行改进，包括找到并帮助修复操作系统、杀毒软件、密码管理器、开源代码库和其他软件中的1000多个安全漏洞。迄今为止，Project Zero已经发布了70多篇有关其工作的博文，其中一些文章堪称目前网上最好的公共安全调研资源。
该团队的工作间接惠及了Google的主要业务：在线广告。保护互联网用户免受威胁，就意味着保护公司为用户提供广告服务的能力。Project Zero所做的工作向供应商施加了很大压力，也迫使他们修复那些可能导致Google产品崩溃的漏洞。
网络安全企业家、著名苹果黑客以及前Square移动安全部负责人Dino Dai Zovi表示：“这么说可能不太恰当，但Project Zero就像一只牧羊犬一样。牧羊犬不是狼，它更为仁慈，但同样能够将羊群赶回羊圈中。”
4月，Project Zero的三名成员前往迈阿密参加了Infiltrate安全会议，这次会议的焦点主要集中在黑客攻击领域。
Hawkes、Ormandy和德国安全研究员Thomas Dullien（Zero团队的成员， “Halvar Flake”的绰号更为人所知）以及其他与会者一起聚集在Fontainebleau酒店的草坪上，在棕榈树下一边畅饮着鸡尾酒，一边畅谈彼此最热衷的科幻小说，以及如何保护黑客历史。
期间，Ormandy擦拭了一下Morgan Marquis-Boire（前Google员工、著名的恶意软件研究员，目前在eBay创始人Pierre Omidyar创建的另一家媒体公司First Look Media中担任安全部负责人）落在桌上的一副范思哲墨镜，然后戴上了它。由于当时阳光已经没有那么刺眼了，此举让Ormandy看上去有点滑稽。
看到这一幕后，Dave Aitel（此次会议的组织者，一名前NSA黑客，目前运营着一家攻击性黑客商店Immunity）突然拿起手机拍了一张照片。Ormandy此时正把双手摆出了一个重金属音乐迷式的“号角”造型。“这就是Tavis Ormandy：上线的时候是一个精明、爱与人较劲的批评家；离线之后却是一个亲切友好的极客，还喜欢捉弄别人。”
说到Ormandy在敦促厂商修复他们代码过程中可能遇到的不愉快时，Aitel说道：“人们当然不会给你好脸色看。不过你要知道，你不是非得面临这些的。”接着，Aitel又玩笑似的，试图说服Ormandy加入黑客研究员的“黑暗面”——即发现漏洞后高价出售，而不是报告给受影响的公司。
【各类设备的漏洞奖金金额】
听了Aitel的提议后，Ormandy只是耸耸肩，笑了笑，然后把杯子放回到桌子上。他也许是个麻烦精，但他的目标是纯粹的。
尽管外界看起来Project Zero名声极盛，但由于它崇高的理想与复杂的现实世界相互抵触，所以该团队不得不采取更为灵活的方式处理工作。他们最初严格恪守90天的披露截止期限，但是有几次Project Zero在被发现漏洞的公司定好发布补丁的日子之前就进行了披露，比如Microsoft和它著名的“周二补丁”，引发了众多公司的强烈反对。那之后，这个团队把披露期限延长了14天。
Katie Moussouris（曾参与制定微软信息披露政策，目前运营着自己的漏洞赏金咨询公司Luta Security）表示，Project Zero拥有业内最明确的披露政策，这是一件好事。许多公司没有如何报告漏洞的指导规范，也缺乏指导研究者如何及何时公布漏洞的明文政策。
【Luta Security公司CEO Katie Moussouris】
虽然，Project Zero团队会对那些反应缓慢的公司不留情面地进行批评，但是对迅速采取行动来修复漏洞的公司也会不吝赞扬。今年早些时候，Ormandy在推特上说，他和同事Natalie Silvanovich在Windows系统中发现了迄今最为严重的远程代码执行漏洞，这意味着攻击者可以远程控制所有基于Windows的系统。之后，他们两人与微软合作共同修补了该漏洞，Ormandy在随后的推文中表示：“这次Microsoft安全团队的反应速度非常及时，值得称赞！”显然，只要你想改善自己，永远都不会太迟。
【Ormandy赞扬Microsoft安全团队高效的推文】
科技公司可能会对Project Zero这种处理问题的大胆做法感到畏惧，但他们应该感到安慰，因为有这样的黑客愿意公然抵制通过不合法的网络活动而牟利的行为。在黑客逐渐专业化的这几年里，市场正因Project Zero公布的这些漏洞而得到迅速发展。政府、情报机构、犯罪分子都想通过高价来获取这些漏洞。好在越来越多的软件公司愿意发起了漏洞奖励计划来解决自身的安全问题，为研究人员的时间、精力和专长技能买单，但赏金金额可能永远都比不上暗市能给出的价格。
知名安全专家兼IBM高管Bruce Schneier表示：“无论Google为发现漏洞的人提供多少奖励，一些政府都能够支付比之更高的报酬。”
当时在Fontainebleau开会的时候，Dullien也表示，对如今黑客技术如此大的需求量感到惊讶。曾经这只是在黑暗地下室的爱好，现在却变成了政府大厅里是一个职业。他说：“在90年代，它还只是一种亚文化，就像嘻哈、霹雳舞、滑板或涂鸦一样，但是现在却被军方发现了它的用武之地。”
“孤胆英雄”的作战实录
今年2月份的一个周五下午，在加州山景城的Google总部，留着褐色平头的安全研究大牛Tavis Ormandy正在他的办公桌前进行着一些常规的代码测试工作，希望能够通过随机数据使软件中的缺陷暴露出来。整个过程进行的十分顺利，直到他在数据集中发现了一些问题。这太奇怪了，他自忖着。他发现的这个问题并非典型的破损数据，而且相应的数据配置也和预期输出的相差甚远——数据集中存在大量的内存散落。于是，他进一步对该数据集进行了深挖。
在收集足够的信息后，Ormandy将这件事分享给了其他研究同事。这个名为“Project Zero”的Google团队很快意识到了问题的实质：一家位于旧金山的Cloudflare公司正在发生大规模的数据泄漏。大多数情况下，Cloudflare的内容分发网络可以处理全球十分之一的互联网流量，且鲜少出现故障。但Ormandy发现，该公司的服务器其实在网络中泄露了大量用户的私人数据，且这种信息泄漏情况已经持续了好几个月时间。
Ormandy并不认识Cloudflare公司的人员，也不想贸然在三天小长假的前一晚给Cloudflare的技术支持团队电话告警。最后，他想到了一个好办法——将这个消息发布在自己的Twitter上，至少自己大量的粉丝群能够看到、转发这条消息。
Ormandy在美国时间下午5:11发布了这样一条推文：“请Cloudflare安全部门的工作人员尽快联系我，十万火急！”
Ormandy没有@Cloudflare公司的官方Twitter——他也不需要。因为他在信息安全专业人士聚集的热门社区中拥有很高的名望，所以，在他按下“发送”键的15分钟内，所有需要知道（当然还包括很多不需要知道）此事的人都能看见他的这条推文。
在当地时间凌晨1:26，Cloudflare公司首席技术官John Graham-Cumming的手机将他从睡梦中吵醒。他揉了揉眼睛，拿起了手机，看到屏幕上显示有一个未接电话，致电者是少数几个能够在午夜给他打电话的人之一。他马上发短信问发生了什么情况。
他的同事立即回应称：“公司出了非常严重的安全问题。”
他惊坐起来并回复道：“我马上上线查看。”
这位CTO从床上弹起，冲到楼下，拿出了专门应对这种情况的突发事件装备袋——里面装有充电器、耳机、备用电池等。他启动了笔记本电脑，并迅速和远在加州Cloudflare总部的同事一起加入到Google Hangout（视频聊天应用）中。
安全团队简单向Graham-Cumming介绍了事态发展情况：Google的Project Zero团队在他们的基础设施中发现了一个漏洞—— 属于高危级别的漏洞。
Cloudflare的服务器能够保障超过600万个用户网站的正常运营，这些客户包括FBI、Nasdaq（纳斯达克）以及Reddit等知名网站等。而现在，该服务器存在高危漏洞，也就意味着，任何人都能够访问Cloudflare支持的站点，并在某些情况下获取该网络上另一站点用户（例如Uber、1Password、OKCupid和Fitbit等）的用户名密码、缓存以及私人消息等详细信息
【Ormandy和Graham-Cumming】
对于稍微懂点行的人来说，这些隐私信息可以说是唾手可得。更糟糕的是，搜索引擎和其他网络爬虫工具已经将这些泄漏的数据缓存了长达数月的时间。所以，简单地修复漏洞并不能彻底解决该问题。
Graham-Cumming说道，“这次事件就像石油泄漏，想要堵住泄漏石油的洞口很容易，但难的是还有大片被污染的海床需要清理。”
很快，兼职担任美国网络黑客戏剧《机器人先生》的Cloudflare安全顾问的Marc Rogers领导了分流工作。不到一个小时，他们就推出了一个用以修复全球范围内漏洞的升级程序包。几个小时后，这群技术人员又成功恢复了导致该漏洞的功能。
就在Ormandy发布那条推文近七个小时后，Cloudflare的工程师们设法要求几家主要的搜索引擎公司——Google、Microsoft和Yahoo清除了他们网页中的缓存数据。
这个漫长的周末才刚刚开始，Cloudflare工程师们还需要在剩下的时间里，对数据泄露量、涉及信息以及危害程度进行评估。
据Cloudflare CEO兼联合创始人Matthew Prince表示，Google Project Zero发现的漏洞一开始让他的公司几乎损失了一个月的营收。但是，挫折只是暂时的，Cloudflare在此次事件中坚持公开透明的做法也帮助公司吸引了新的业务。
Prince很遗憾没有在Google和Cloudflare共同发布初步调查结果之前，向客户告知这次“云出血（Cloudbleed）”的详细信息。他希望客户能够从公司方面，而不是新闻报道中获知这样的消息。即使如此，他回想起来，还是觉得Project Zero团队对于在何时披露漏洞是对的。据他所知，漏洞公布后没发现任何与此次信息泄漏相关的重大损失。他们最初担心的用户密码、信用卡号或健康记录等信息也均未遭到滥用。
Prince表示，Cloudflare已经制定了新的控制措施，以防止此类事件再次发生。同时，公司开始审查所有代码，并聘请外部测试人员进行二次审查。它还开发了一个更复杂的系统来识别常见的软件崩溃，这就意味着，公司能够及时发现安全漏洞。
Prince在谈到这次数据泄露及善后事宜时说道：“就因为这14天，我的白头发比以前更多了，甚至寿命都可能要减少一岁。但是幸好是Tavis和他的团队发现了这个漏洞，而不是那些疯狂的黑客。”
当然，Prince永远也无法排除某些人或组织有泄密数据副本的可能性。这也是Project Zero想要强调的观点：Project Zero团队的每一个成员每时每刻都在与那些在暗地里搞小动作的“研究人员”作斗争。无论你能不能觉察到他们，这些恶魔就在暗地里盯着自己的猎物，不知道何时就会发起进攻。
存在的意义
哪怕你不是Google Project Zero的成员，你也应该知道网络安全危机正在全球范围内愈演愈烈。几乎所有公司都变身成了科技公司，这也让黑客活动变得越来越普遍——窃取银行账户，监视内部人员，干预选举等事件接连上演。新闻头条也越发令人发指：超过10亿的雅虎帐户泄漏；黑客从SWIFT金融网络窃取了数百万美元；2016年美国总统大选之前，民主党全国委员会私人电子邮件遭到曝光……
据美国身份盗窃资源中心（Identity Theft Resource Center）统计，美国公司和政府机构在2016年遭遇的信息泄漏事件比2015年多了40％，这还只是保守估计。与此同时，研究组织Ponemon所开展的一项研究显示，目前数据泄露所消耗的平均成本高达360万美元。
无论是程序员导致的错误，还是某国黑客的攻击行为，数据泄露已经成为一种新常态。因此，企业高管们也逐渐意识到，在问题变得更加严重、复杂之前，将代码问题扼杀在摇篮里才是较为合算的做法。
但事情并这没有那么简单。很多公司要么不重视信息安全问题，要么将其视为产品开发和正常交货的阻碍。据CA Technologies今年初收购的应用软件安全公司Veracode称，在参与调研的500位IT经理中，有83％承认曾在测试漏洞和解决安全问题之前就发布了代码。
此外，信息安全行业也面临着严重的人才短缺现象。据思科公司预计，全球有100万个空缺的信息安全岗位。赛门铁克也预计称，到2019年，这一数字将增加到150万个。还有一些人预计，到2021年，这一数字将增至350万。
即使公司拥有充足的资金、主动性和声望来寻求恰当的安全专业人士，也无法完全避免其后台产生有缺陷的代码。即使是最好的质量监控程序和敏捷开发的方式，也无法准确地捕捉到每一个错误。
包括Microsoft和Apple在内的很多公司，都有自己的内部安全研究团队来对自家的软件进行安全核查，但却少有团队能够关注其他公司的软件是否存在安全问题。这也正是Google与众不同的原因。对于Ormandy和Project Zero的其他十几个顶尖电脑高手来说，他们的管辖权是没有制约的——毕竟任何与互联网有关的东西对大家来说都是公平的。监管网络空间不仅对人类有好处，对商业活动大有裨益的。