零日漏洞：強大卻脆弱的武器
零日漏洞就是廠商未修復且可被利用來當作網絡攻擊武器的安全缺陷，威力強大但卻脆弱。出于軍事、情報和司法目的，各國政府會尋找、購買和使用零日漏洞。這是個充滿矛盾的操作，因為會讓發現了相同漏洞的其他攻擊者也掌握有危害社會的能力。
在黑市上，零日漏洞屬于高價商品，但有漏洞獎勵項目鼓勵安全人員發現并向廠商報告這些安全漏洞。修復危機意味著零日漏洞重要性日趨下降，而所謂的老(0ld-days)漏洞變得幾乎與零日漏洞效果一樣。
為什么說零日漏洞很危險
零日漏洞得名于漏洞發現時補丁存在的天數：零天。一旦廠商發布了安全補丁，漏洞就不再屬于零日范圍，而加入到無窮無盡的可修復卻未修復的老漏洞行列。
在過去，比如說7年之前吧，一個零日漏洞就足以實現遠程入侵，令發現和擁有零日漏洞顯得極具威力。
而今天，Windows 10 或iOS這些消費級操作系統中的安全緩解措施，讓攻擊者不得不聯合使用數個甚至數十個小零日漏洞才能完全控制給定目標。也因此，黑市上iOS的遠程執行零日漏洞價格才會達到天文數字級別。
零日漏洞黑市
想要漂亮賺得150萬美元?那就找出給力的iPhone零日漏洞再賣給Zerodium漏洞獎勵項目吧!它網站上宣稱的可是會給出市場最高的漏洞獎金喲。像Zerodium這樣的漏洞代理商只會將漏洞賣給軍事間諜機構，但專制政府的秘密警察也會購買零日漏洞來攻擊記者和迫害持不同政見者。
與僅出售給少數政府的灰色市場不同，黑市則是完全不限制買家身份：犯罪團伙、販毒集團和像朝鮮/伊朗這樣被灰色市場排斥的買主也可以在黑市購得零日漏洞。
《瓦森納協定》一直以來都限制不了黑/灰色市場上的零日漏洞交易，至少到目前為止是這樣的。
《瓦森納協定》禁止向禁運國家出口鈾濃縮之類的軍民兩用技術。2013年一項對可被用于惡意目的的技術加以控制的提案遭到了反對，很多人認為該提案反而會讓形勢惡化。
如今，盡管規定就擺在那兒，但任何動機夠強烈的政府或犯罪集團都可以染指黑客工具，包括零日漏洞利用。
漏洞獎勵項目 vs. 協同漏洞披露
毫不顧忌自己發現的零日漏洞會成為政治迫害幫兇的黑帽子們，能夠從黑市或灰色市場上攫取大量金錢。有良心的安全研究員們則能以向廠商報告漏洞的方式獲取回報。任何規模的組織都應公布漏洞發現過程，公開承諾對安全問題進行無害的善意報告，并在內部對所報告的問題進行分類。這就是現今 ISO 29147 和 ISO 30111 中標準化過的最佳實踐。
為鼓勵零日漏洞報告，各類組織可以選擇推出漏洞獎勵項目，通過向道德安全研究員提供大額金錢回報來激勵漏洞研究與披露。這些報酬比不上黑市高價，只是用于獎勵做了正確事情的安全研究員的。
政府囤積零日漏洞遭質疑
NSA、CIA和FBI都在找尋、購買和使用零日漏洞，也由此引發了諸多批評。這些政府機構利用零日漏洞攻擊犯罪分子，而不是將漏洞報告給廠商以實施修復。這樣一來，找到或偷到同樣漏洞的罪犯和外國間諜，便能夠利用這些漏洞危害整個社會了。批評者就認為，如果政府的任務是保護人民，那他們應該大力防御而非攻擊。
在美國，漏洞平衡策略(VEP)就是美國政府當前用以評估零日漏洞披露的機制，而這一機制是不完善的。VEP試圖平衡攻擊與防御，決定哪些安全漏洞應報告給廠商而哪些要被政府留作攻擊用途。
影子經紀人泄露的一系列漏洞利用，包括流傳甚廣變種甚多的永恒之藍，引發了對政府扣住漏洞不公布的更多質疑。影子經紀人據傳言屬朝鮮或俄羅斯情報機構，盜取了NSA黑客工具并放到了網上供免費取用。犯罪分子拿到這些強大的NSA網絡武器后投入犯罪惡行，引發的混亂至今仍有余波。
修復是比漏洞更大的問題
零日漏洞性感迷人，但如今也不像以前那么性感了。補丁的發布并不意味著帶漏洞的設備就會被修復。很多情況下，IoT設備之類的東西本就是“帶病”出廠，而此后也再不接受修復。有時候則是物理上就無法修復設備。如果不能在生產中應用補丁，那廠商發布補丁也沒什么用處。
因此，對攻擊者而言，無論是政府網軍還是網絡罪犯，用老漏洞足矣。很多情況下手握零日漏洞利用的攻擊者還不愿意使用自己手中的零日漏洞，反而以老漏洞代之，因為若對技術高超的防御者使用了零日漏洞，反而容易暴露。這就讓零日漏洞利用變成了扛不住揍的脆弱武器，尤其是在當下網絡空間國家博弈的環境下。
【本文是51CTO專欄作者“”李少鵬“”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
