如果你認(rèn)為把數(shù)據(jù)托付給云是件很令人放心的事，那么三個以色列黑客會給你一個明確的忠告：云是不安全的，完完全全的不值得信賴。

云到底有多不安全?黑客Ben Hayak說：“這是如此的不安全以至于在親測它安全之前我甚至都不會向PayPal里面添加一張信用卡。好在我之前也沒有如此做過(添加信用卡……)，他們一直存在一個很大的安全漏洞，而這個漏洞也是于不久前才關(guān)閉的。”

Hayak可以去測試PayPal云的安全性要特別感謝該公司的“漏洞賞金”項目 — 通過支付酬金給黑客來發(fā)現(xiàn)自生的安全缺陷。

通過Paypal的首席信息安全官Michael Barrett的博客了解到：安全性已經(jīng)成為任何云商業(yè)公司的首要議程，但是僅僅依靠公司獨自完成是不可能的。

因此該公司展開與“white hat”(黑客世界的佼佼者)黑客的全面合作，欲以發(fā)現(xiàn)XXS、CSRF、SQL資料隱碼攻擊及Authentication Bypass上的安全漏洞。

Barrett在博客中寫到：“開始時，我還對給其它研究員提供漏洞的有償研究持保留意見，但是呈現(xiàn)的數(shù)據(jù)完全顯示出我的想法是錯誤的 — 我很樂意去接受此項意見。而且不得不承認(rèn)這是個吸引研究者注意網(wǎng)絡(luò)服務(wù)安全的有效手段，也必將發(fā)現(xiàn)更多安全性隱患。”

取而代之的讓黑客們針對你，Paypal成為最新與黑客達(dá)成合作的云計算公司一員。其它擁有類似項目的公司還有Facebook、Mozilla及Twitter，然而第一個正式與黑客達(dá)成合作的公司卻是Google — 從2010年底就啟動了漏洞賞金項目(官方稱為Vulunerability Reward Program)。

至今已有成百上千個黑客揭露了Goolge代碼中的上萬個安全漏洞，囊括了Google全范圍產(chǎn)品，從Gmail到Google Docs，再到Blogger。

以色列的白帽子過去一直積極于Google項目;Hayak和Shai Rod(黑客)曾被評為Google 2012年度頂級漏洞揭發(fā)者。而黑客Nir Goldshlager更是Google 0x0a目錄上創(chuàng)紀(jì)錄的4黑客之一，這個目錄基于漏洞發(fā)現(xiàn)的數(shù)量以及Google開出去的獎金。

他們3個共同效力于以色列的安全公司Avnet — 測試以色列企業(yè)網(wǎng)站建設(shè)的安全漏洞。而Google方面則是3個黑客的業(yè)余工作 — 但是卻讓他們賺了滿盆滿罐(每人基本上大幾萬美元)，每個漏洞的發(fā)現(xiàn)Google都會付出500-3000美元不等。盡管來自世界各地的上千人都在盯著這個項目，但是他們3個仍舊如魚得水 — Google是如此之大，有足夠多的漏洞去探尋。

Hayak說：“最近，Shai給我們演示了通過Google Calendar上的動作來取得Google服務(wù)器的控制權(quán)。我們同樣也可以通過Gmail來進入Goolge服務(wù)器，而且在我們潛入Google的Blogger.com后，我們還發(fā)現(xiàn)了讓我們?nèi)〉盟蟹?wù)日志權(quán)限的代碼。這些漏洞存在于服務(wù)器的設(shè)計，可以直接的利用獲得上面所說的權(quán)限。”

他們?nèi)硕急硎荆麄円恢睍洚?dāng)白帽黑客，而且永遠(yuǎn)都不會從事“黑暗方面”的事情 — 然而Google的項目同樣吸引了一些黑帽黑客。

Goldshlager透露：“我們了解到許多情況下黑客發(fā)現(xiàn)了漏洞之后都會通過黑市交易給一些犯罪團伙，接著轉(zhuǎn)身又賣給了Google。”

這也是Hayak把數(shù)據(jù)托付給Google的一個原因 — 在某種程度下，他甚至?xí)褂肎mail。他說：“有了這些通過發(fā)現(xiàn)漏洞獲得酬金的人，所有存在的問題都會被很迅速的發(fā)現(xiàn);從而即使某個漏洞掀起了波瀾，漏洞帶來的損失也會被控制在一定的程度上。”他還補充說，Google從2010年中國黑客全方位攻破它的安全網(wǎng)后就開始了這個項目。

Hayak說，從那(Google開啟漏洞賞金項目)以后Google的安全事件有著顯著的降低。但云仍然不是個安全的地方。Rod說，“我不信任它”，Avnet黑客團隊的第三個成員。“付費的服務(wù)一般會物有所值。但是假如你使用免費的服務(wù)，那么你必須面對一堆的攻擊。”

Rod談到，免費和付費賬戶安全性是一樣的 — 最起碼開始時是這樣的。但是公司總是莫名其妙的覺得他們對付費用戶數(shù)據(jù)的安全有著更大的責(zé)任。他說：“這甚至不僅體現(xiàn)在安全性上，還有隱私方面的問題。我認(rèn)為在閱讀過許多網(wǎng)絡(luò)服務(wù)的TOS(服務(wù)條款)后，肯定有許多人在接受前會反復(fù)的思考。公司留著入侵用戶賬戶的機會越多(比如掃描用戶的信息，以便給他們發(fā)送更有針對性的廣告)，安全漏洞出現(xiàn)的可能性就越大。”

Hayak還說，單純的就黑客而言：像Google這樣擁有漏洞賞金項目的公司比那些沒有的處境要好多了。他還說：“我不能告知你關(guān)于App Store與Amazon的安全性怎樣，是因為我沒有合法的測試途徑。但是事實上Google、Paypal及其他擁有漏洞賞金項目的公司愿意讓像我們這樣的人去測試它的系統(tǒng)，就說了他們對于安全性重視程度。”

Goolge漏洞賞金項目支出表