双面黄琳:世界顶级女黑客,两个孩子的迟钝妈妈
簡(jiǎn)介:?哪一面才是真實(shí)的她?
馬上就要到兒童節(jié)了,我的同事黃琳有點(diǎn)“愁”——她這幾天在阿里西溪園區(qū)的文創(chuàng)店逛了很久,卻沒有找到送給兒子的禮物。“在那里沒發(fā)現(xiàn)適合小學(xué)生的東西。”看著眼前這個(gè)戴著黑框眼鏡,穿著休閑短袖的女子,聽著她輕輕地吐槽,我完全無法想象她有著另外一重“神秘”的身份。
黑客黃琳開啟了新的征程,她決定加入支付寶,沖上最前線,只因 “這里有大量直面黑灰產(chǎn)的機(jī)會(huì)”。她像個(gè)磨刀十年的將士,操練出一身本領(lǐng),就等著鬼魅入侵,上陣廝殺。
“新人”黃琳其實(shí)成名許久,無論她有多不愿意重復(fù)提及以往的榮光,那個(gè)2015年的夏天始終繞不開。
在拉斯維加斯,世界頂級(jí)黑客大會(huì)DEF CON上,黃琳展示GPS欺騙攻擊研究,利用硬件設(shè)備和SDR(軟件定義無線電)模擬GPS信號(hào)發(fā)射,欺騙一架禁飛區(qū)的無人機(jī)起飛,并將明明在北京的地址,錯(cuò)誤顯示在西藏納木錯(cuò)湖。
在這個(gè)被技術(shù)和更高的技術(shù)嚴(yán)密壘筑的勇者圣殿里,黃琳一戰(zhàn)成名天下知。《福布斯》率先報(bào)道,稱贊她為“第一位在DEF CON演講的女黑客”。國(guó)內(nèi)的媒體給她戴上“讓地球脈搏心率失常的”桂冠。在民間黑客心里,她有一個(gè)更通俗的稱呼——那個(gè)黑掉GPS的人。
支付寶資深安全專家黃琳
黃琳不太喜歡《福布斯》雜志上登的照片,大紅唇配上犀利的眼神,把她照得太兇了。相反,那張手舉無人機(jī),戴黑框眼鏡,不化妝、穿休閑衫牛仔褲,腳踩一雙白色帆布鞋的照片,才是真實(shí)的她。
沒有黑客氣質(zhì)的黑客
“我的媽媽是個(gè)hacker”,有一次黃琳的兒子在英語(yǔ)課上,回答老師的提問,父母從事的職業(yè)是什么?
黃琳聽說后,趕緊跟兒子商量,“咱們以后就說媽媽是engineer,千萬(wàn)別說hacker,太可怕了,別把老師給嚇到了”。
絕大多數(shù)時(shí)候,黃琳都沒有攻擊性,跟人們傳統(tǒng)印象中,不按套路出牌的江湖黑客形象相去甚遠(yuǎn)。甚至連生孩子遇到態(tài)度惡劣的醫(yī)生,她也不太哼哼,反而擔(dān)心醫(yī)生會(huì)不會(huì)受累。
就連黑掉GPS的瞬間,她想到的是,這么容易就攻進(jìn)去了,“很悲哀的那種感覺”。而身邊的男同事,早已激動(dòng)得恨不能擊掌相慶。
別的黑客碰到一個(gè)門鎖就想開,遇到一個(gè)WiFi就想黑進(jìn)去,黃琳還會(huì)站在對(duì)方的立場(chǎng)想:人家為什么留這個(gè)漏洞?可能是為了兼顧功能的無奈之舉。比起攻擊,她更佩服把系統(tǒng)建設(shè)起來的人,因?yàn)榘l(fā)現(xiàn)一個(gè)漏洞很容易,建立一套安全的系統(tǒng)卻很難。
她特別希望了解攻擊的思路,然后根據(jù)這個(gè)思路想辦法怎么去防御,在看不見硝煙的網(wǎng)絡(luò)安全戰(zhàn)場(chǎng),她更像持盾抵御的戰(zhàn)士。
盡管被吐槽沒有黑客氣質(zhì),但黃琳身上女性獨(dú)有的浪漫氣質(zhì),賦予了她天馬行空的想象力,她曾想把GPS的演講做成柴靜的《蒼穹之下》,被男同事們否決了。
上面這幅圖,就是黃琳最近給一篇關(guān)于4G/5G中間人攻擊的技術(shù)文章畫的原理圖。為了解釋黑客惡意攻擊,冒充手機(jī)的身份,把數(shù)據(jù)包發(fā)往某個(gè)服務(wù)器的場(chǎng)景,手繪漫畫用簡(jiǎn)單的線條筆繪出攻擊過程。寫完以后,她還幾次找不同的人問:“能看明白嗎?”
曾經(jīng)有個(gè)年輕的女同事整理黃琳的研究成果,怎么也搞不懂原理。黃琳告訴她,“這個(gè)GPS系統(tǒng)傻乎乎只知道聽衛(wèi)星說什么,所以你的欺騙設(shè)備在旁邊使勁喊,它就信了”。女同事一下就理解了,甚至覺得這個(gè)衛(wèi)星很蠢萌,比那些“直男”老師們講的一套套原理好理解多了。
很“軸”的黑客
黃琳喜歡分享,生活中與兩個(gè)孩子相處的趣事,工作中一有靈光乍現(xiàn)的點(diǎn)子,或者想不通的地方,她都會(huì)記錄在博客、微博里。
去年她在一次開車途中,電臺(tái)突然竄進(jìn)推銷性保健品的內(nèi)容,“這是碰上黑廣播了!”。之后她就下決心跟團(tuán)隊(duì)一起,動(dòng)手做了一個(gè)系統(tǒng),側(cè)面打擊黑廣播。后來,黃琳還專門寫了篇文章梳理黑廣播的危害,分享無線技術(shù)打擊黑廣播的新角度,發(fā)布在自己的微博上。
黃琳曾在自己的文章里提到一名安全研究員小灰灰,他蹲在公司的自動(dòng)售貨機(jī)前半個(gè)月,為了研究一個(gè)不花錢就能買飲料的安全漏洞;小灰灰也曾蹲在ofo前好多天,引來無數(shù)朝陽(yáng)大媽的側(cè)目,為了發(fā)現(xiàn)能夠不花錢就騎車的漏洞;他甚至在黑客大賽上搶過黃健翔的話筒,對(duì)著現(xiàn)場(chǎng)的觀眾普及安全知識(shí)。
同類的氣質(zhì)是相近的,黃琳的身上也有黑客“軸”的一面。2016年初,她和當(dāng)時(shí)的團(tuán)隊(duì)發(fā)現(xiàn)了運(yùn)營(yíng)商 4G 通信協(xié)議的漏洞,這個(gè)漏洞可能被壞人利用。當(dāng)她公布這個(gè)漏洞后,不乏有人質(zhì)疑她小題大做。運(yùn)營(yíng)商覺得通信協(xié)議里有的是漏洞,多這一條沒什么。通信圈認(rèn)為,滿大街的背包客偽基站,手機(jī)數(shù)據(jù)被什么盜不是盜。設(shè)備商、終端商很難為了小威脅而投入金錢對(duì)設(shè)備進(jìn)行升級(jí)。
但在黃琳心里,這是一件關(guān)系隱私的大事,寸土都不能讓。她和團(tuán)隊(duì)為此奔走努力,把這個(gè)問題帶到了頂級(jí)安全會(huì)議BlackHat和DEF CON上展示。2017年尾,這個(gè)漏洞終于被官方標(biāo)準(zhǔn)組織 3GPP 修復(fù)。此時(shí)距離發(fā)現(xiàn)漏洞將近2年。
實(shí)現(xiàn)“普惠安全”的夢(mèng)想
“安全是件奢侈的事”,黃琳不無遺憾的說,比如像藍(lán)牙音箱之類的小設(shè)備,最便宜的才幾十塊錢,加上安全的功能成本可能增至幾百塊錢。市面上的小公司還沒有余力去做安全,他們首先要解決的是公司要存活下來的問題。
所以當(dāng)黃琳加入支付寶后,他們小組提出某個(gè)設(shè)備有漏洞時(shí),她并沒有對(duì)設(shè)備升級(jí)抱有希望。雖然這個(gè)漏洞還沒有被黑灰產(chǎn)發(fā)現(xiàn)和利用,但想要補(bǔ)救的話,需要設(shè)備商、終端商更換零件,成本高達(dá)上百萬(wàn)元。
提出漏洞后,黃琳的安全團(tuán)隊(duì)跟業(yè)務(wù)團(tuán)隊(duì)反復(fù)討論。沒多久,黃琳接到電話,同事興奮地向她傳遞消息,業(yè)務(wù)團(tuán)隊(duì)在會(huì)上拍板了!同意花幾百萬(wàn)把這些設(shè)備全部升級(jí)。
這個(gè)答案給黃琳帶來極大震撼,成了她最近最有感觸的一件事。
此前,黃琳曾在法國(guó)電信研究院工作9年,2014年加入前公司,一待就是6年,期間進(jìn)行大量的無線安全研究。15年的研究沉淀積累的天賦,開始拖著黃琳,往全新的賽道飛奔。這一次,她選擇走到一線,來到黑灰產(chǎn)活躍的地帶,跟攻擊者們真刀實(shí)槍的對(duì)抗。
業(yè)務(wù)團(tuán)隊(duì)的支持,無疑給了她底氣。她發(fā)現(xiàn),支付寶是一個(gè)愿意深層次為客戶安全考慮的公司,即使風(fēng)險(xiǎn)尚未出現(xiàn),也愿意付出極高的成本,提高安全性。這也讓黃琳感覺到,自己一直在尋求的“普惠安全”的夢(mèng)想樂土,終于顯露出清晰的輪廓。
黃琳現(xiàn)在所在的支付寶天宸安全實(shí)驗(yàn)室,聚焦在移動(dòng)及IoT安全領(lǐng)域,致力于研究并落地下一代金融級(jí)安全防御基礎(chǔ)設(shè)施。說白了,就是要解決當(dāng)前的移動(dòng)安全和正在到來的5G時(shí)代、IoT時(shí)代的安全防御技術(shù)難題。
更具體一些,黃琳所領(lǐng)導(dǎo)的IoX組,就是關(guān)注各種設(shè)備底層的基礎(chǔ)安全問題。支付寶有各種各樣的支付設(shè)備,商場(chǎng)超市便利店里隨處可見的收銀機(jī)、掃碼機(jī),還有逐漸增加的刷臉支付設(shè)備。這些設(shè)備的安全,不管是底層的傳感器、攝像頭、系統(tǒng)內(nèi)核問題,還是鏈路上的安全問題,都是她所在的小組關(guān)注的方向。
入職以來,黃琳見識(shí)到了幾次與黑灰產(chǎn)的正面交鋒。負(fù)責(zé)發(fā)現(xiàn)風(fēng)險(xiǎn)的團(tuán)隊(duì),報(bào)告黑灰產(chǎn)活動(dòng),不同專業(yè)小組的人迅速集合,盡快采取行動(dòng)。有人向攻擊者發(fā)起反擊切斷鏈路;有人負(fù)責(zé)防御;直到監(jiān)測(cè)到異常流量明顯降低,攻擊者離開。
有的人在危險(xiǎn)爆發(fā)后想對(duì)策,有的人則能提前洞察危機(jī)。處理正在發(fā)生的威脅,和處理可能發(fā)生的風(fēng)險(xiǎn),是黃琳?qǐng)F(tuán)隊(duì)的兩類任務(wù)。
如果不從事網(wǎng)絡(luò)安全工作,黃琳最想成為的人是醫(yī)生。合成作戰(zhàn)把她拉進(jìn)無影燈下的向往世界:就像新冠疫情下,一堆醫(yī)生圍著情況緊急的病人,ECMO要不要更換導(dǎo)管,大家當(dāng)下必須做一個(gè)決定,并且盡快完成手術(shù)。
職場(chǎng)大牛的韌與柔
比起很多事業(yè)有成的人重新出發(fā)后的不適,黃琳過度的平順,她從來沒把自己擺到特別高的位置。即使是在國(guó)內(nèi)外引起關(guān)注的GPS欺騙攻擊,她做完也“并沒覺得牛”。補(bǔ)習(xí)《密碼學(xué)》時(shí),還自嘲“可能還不如一個(gè)剛剛畢業(yè)的人”。為了寫好一個(gè)代碼,身為女博士的她,可以跑去向北航的普通學(xué)生請(qǐng)教。
加入支付寶這段時(shí)間,她一直在看、在學(xué)不同的東西,琢磨起一款名為“蜻蜓”的新型刷臉支付設(shè)備,可信計(jì)算部分怎么實(shí)現(xiàn)的?人臉識(shí)別的算法又是怎么做的?
工作上刨根問底的黃琳,一回歸生活變得有些“鈍”感。
作為兩個(gè)孩子的母親,她感慨自己和孩子們的共情不夠。有時(shí)候孩子生氣了,她還沒意識(shí)到。最近二寶頻繁問她,“媽媽為什么我一到晚上就老生氣?” 黃琳也說不出所以然來,“跟哥哥吵架了?”“想吃的東西家里沒有?”,女兒不滿意她的答案,氣鼓鼓跑到房里把門一關(guān),等氣消了又會(huì)出來。
黃琳也不想深究,她很喜歡的一本兒童繪本《氣球小熊》。里面的主人公小熊,在不同情緒下會(huì)把自己漲得鼓鼓的,就像待爆的氣球,給小熊喝點(diǎn)水,喂點(diǎn)好吃的,它就能恢復(fù)原狀。
“給孩子一個(gè)爆掉的機(jī)會(huì)” 黃琳覺得把孩子當(dāng)小熊哄也不錯(cuò),當(dāng)孩子不開心的時(shí)候,讓孩子嘰里呱啦亂作會(huì)兒,把氣爆出來。之后再摸摸頭安慰,小朋友心里就舒服了。
她說這些話的時(shí)候,一根筋“軸軸的”女黑客不見了,中庸平和的黃琳又回到眼前。
總結(jié)
以上是生活随笔為你收集整理的双面黄琳:世界顶级女黑客,两个孩子的迟钝妈妈的全部?jī)?nèi)容,希望文章能夠幫你解決所遇到的問題。
- 上一篇: 一篇搞定,分布式系统中唯一主键生成
- 下一篇: 儿童节礼包!10 后都开始学编程了,你需