周鴻祎表示，之前大家都在關注區塊鏈帶來的商業機會，但是很少有人關注區塊鏈安全問題。最近EOS準備上線，在區塊鏈行業里非常具有代表性，360這次發現EOS漏洞，提交給對方，希望督促他們修補系統，所以披露漏洞，這也是360作為一家安全公司的職責所在。
而在今日(5月30日)早些時候，EOS創始人BM針對漏洞一事做出回應稱：“漏洞早已被EOS修復，且早于360發布報告的時間。”
對于這一說法，周鴻祎反復強調：
“我們安全廠商對外公開披露的漏洞，一定是先和對方溝通，提交給對方去修復，在得到他們修復的確認之后，然后我們再公開。因為如果EOS沒有修復，我們公布出來了，肯定會有一大波黑客立馬上去搞他們，所以我們發布報告的時間當然會是晚于修復時間的。”
周鴻祎還表示，BM的回應有點讓人混亂，看起來以為是，我們報告前，他們已經修復了，其實是我們遵循了負責任的行業標準流程：報告->修復->公開。
“非常明確地說，我們先私下聯系了BM，通知了他們EOS漏洞，希望他們先修復，這都是有聊天記錄截屏的。等到EOS修復了，我們再對外發布這個漏洞公告。今天我們也還在和對方繼續保持溝通，對方對我們表示感謝，也表示會給我們發放漏洞獎金，會對外發致謝……”周鴻祎稱。
與此同時，周鴻祎還否認了做空EOS的說法，稱360的做法符合安全行業標準的漏洞通報機制。
此前，周鴻祎很少提及區塊鏈，但在這次的對話中，他表示，過去這段時間，360在區塊鏈上做了很用心的研究，未來會仍將聚焦安全問題，并基于區塊鏈安全生態推出三個系統，主要包括數字貨幣錢包安全審計系統、區塊鏈安全態勢感知系統和區塊鏈節點安全解決方案。
以下為對話主要內容(由全天候科技整理)：
曝出EOS漏洞并非蓄謀已久
問：360以PC安全衛士起家，其后一直從事互聯網安全應用，我也知道近幾年也逐漸布局于企業級安全領域，為什么你的安全觸角一下子進入區塊鏈領域?今年春節之后，3點鐘微信群火爆區塊鏈期間，你也從未輕易表達過對區塊鏈的看法，可是昨天，通過爆料EOS嚴重安全漏洞之際，360閃電出擊，在一天之內連續公布了與幣安、歐鏈、EOS LaoMao、Dbank等項目的合作，這是為什么?看起來你是蓄謀已久啊，后面還有大招?
周鴻祎：沒有大家想象的什么蓄謀已久，也沒有什么大招，我們的大招就是踏踏實實幫助區塊鏈行業排除風險。
我至今也不覺得自己懂區塊鏈，我個人也沒有買虛擬貨幣，看著大家在這些群里熱烈的討論，每個人都憂國憂民，每個人都像經濟學家、哲學家、思想家一樣的發出各種見解，我真的覺得自己像個白癡一樣聽不太懂。但是我們比較懂的就是安全，所以我們希望和大家一起交流，讓區塊鏈行業更安全。
盡管很多區塊鏈、數字貨幣的設計都標榜非常安全，但任何軟件系統，只要非常復雜，這種復雜度，都會帶來bug和漏洞，bug和漏洞被人利用，就會帶來風險，就會有安全問題，區塊鏈技術也一樣。
我們最近發現了很多區塊鏈系統、交易所系統、錢包系統存在問題。之前大家都在關注區塊鏈帶來的商業機會，但是很少有人關注區塊鏈安全問題。最近EOS準備上線，在區塊鏈行業里非常具有代表性，我們這次發現EOS漏洞，提交給對方，希望督促他們修補系統，所以我們披露漏洞，是我們安全公司的職責所在。
我們的心態還是比較開放的，我們也希望大家都能夠關注安全問題，所以當大家主動來找我們，希望在區塊鏈安全方面有些深入溝通交流，我們也非常愿意為區塊鏈行業提供更安全的解決方案。
我們沒有立場，是中立，我們提出任何一個系統的漏洞，都是為了幫助這個系統改善安全性，保證它的安全，不是為了打擊它。區塊鏈這個行業里，大家其實是在一條船上，作為新生事物，某一家不安全會讓大家對整個行業產生質疑、失去信心，對行業是不利的。所以我們反對大家利用安全問題做文章，把安全問題變成競爭的工具。后面我們肯定還是會繼續深入研究區塊鏈安全問題，也會繼續保持開放心態，歡迎大家來交流合作。
回應“制造恐慌”：確認EOS修復后 360才公開漏洞
問：今天凌晨，EOS創始人BM在電報群中回應360披露的EOS安全漏洞問題，稱360報告中提到的漏洞早已被EOS修復，且早于360發布報告的時間。對于漏洞本身，BM稱大部分漏洞是來源于第三方代碼庫而非EOS核心代碼;且該漏洞并不能改寫可執行內存，且不能獲得Root權限，除非部署節點時就已經是以Root用戶身份來運行。BM的回應，暗指360制造恐慌，并聲明對于任何挑起市場恐慌的行為將取消其獎勵資格。對此，你怎么看?
周鴻祎：對于已經修復這個事情，我還是需要和大家普及一個知識，就是我們安全廠商對外公開披露的漏洞，一定是先和對方溝通，提交給對方去修復，在得到他們修復的確認之后，然后我們再公開。 因為如果EOS沒有修復，我們公布出來了，肯定會有一大波黑客立馬上去搞他們，所以我們發布報告的時間當然會是晚于修復時間的。
這個不僅僅是對EOS，對微軟谷歌蘋果都是一樣的，對于安全漏洞，通常的步奏就是，首先是挖掘漏洞，挖出來之后就會研究，會怎么被黑客們利用，把這些研究透了，再向相關的廠商匯報，比如這次EOS的，就是把怎么利用的視頻還有涉及的詳細代碼報告給了對方，再然后就是對方修復，等對方確認修復之后，我們才會對外公布。
他提到的這個root權限，root權限是指計算機系統里面的最高權限。是否獲得root權限，不影響攻擊者控制EOS節點，沒有root權限也是一樣的。如果用戶使用root權限運行EOS，那么攻擊者就可以獲取root權限。
BM的回應有點讓人混亂，看起來以為是，我們報告前，他們已經修復了，其實是我們遵循了負責任的行業標準流程，報告->修復->公開。
非常明確地說，我們先私下聯系了BM，通知了他們EOS漏洞，希望他們先修復，這都是有聊天記錄截屏的。等到EOS修復了，我們再對外發布這個漏洞公告。
今天我們也還在和對方繼續保持溝通，對方對我們表示感謝，也表示會給我們發放漏洞獎金，會對外發致謝……
這也是安全圈的行業通行做法，對方不修復，我們不會公告。這事我們一直在BM單獨溝通，他在Telegram上的留言的截圖是昨天晚上的，比較斷章取義。實際上那個留言之后，他很快回復說，漏洞是真實存在有效的。但是就被截了一點兒。
至于制造恐慌，如果說我們要制造恐慌，直接在主網上線時放出這個，恐慌效果一定比現在要好的多。
我再強調一遍，我們提交的漏洞，EOS官方是確認真實有效的，而且，今天早上在和BM溝通時，他們依然是非常認同我們的成果和技術實力的。
在這整個過程中，360都是非常負責任地嚴格遵循安全行業的安全漏洞披露原則的。我們做為國內最大的一家安全廠商，在全球也是排名前三的安全廠商，我們希望和全球同行和科技公司一起，解決網絡安全問題，降低網絡安全問題給用戶帶去的損害。幫助大家發現漏洞、修補漏洞，讓大家提供安全放心的產品給用戶，是我們共同的責任。區塊鏈作為新興的技術方向，我們參與進來，無論是這次披露EOS漏洞，還是之前和其他區塊鏈機構的溝通，都是希望和大家一起共同構建安全放心的區塊鏈產品和服務。
問：今年的區塊鏈最大的話題就是EOS，現在很多人都擔心EOS會延期發布公網版本。以360安全技術團隊評估，EOS Dawn 4.0的公網版本是否有可能推遲發布?
周鴻祎：我認為應該延遲上線，我們的安全團隊還在發現一些EOS的漏洞，我們也會第一時間及時的提交給他們，我們建議修復之后再上線。
沒有惡意做空EOS
問：因為在國內有很多EOS超級節點的參與者，他們中有很多人是EOS的狂熱支持者，昨天360曝光安全漏洞，引發了各種猜測和起哄，360有沒有聯合某些組織做空EOS?
周鴻祎：大家從我們披露漏洞的時間其實應該就能知道我們肯定不是在做空。假如我真想惡意做空的話，完全可以捂著，等EOS主網上線，直接爆出來。
我們現在的做法是什么?是安全行業標準的漏洞通報機制，先和EOS團隊聯系，提交漏洞詳情，然后等他們修復完成了，我們才對外公布，這是非常負責任的做法。我們是希望EOS乃至整個區塊鏈行業發展的更好。
問：一位從事過信息安全的朋友提醒我問，在Vulcan團隊發現這個大漏洞之后，你們是如何考量曝光漏洞的時機和方式?你們認為現在這樣的漏洞爆出時機和方式，是否體現了或者符合網絡安全行業通用的、負責任的處理方式?
周鴻祎：前面我也說了，這次我們的處理方式，是非常負責任的，也是網絡安全行業比較通用的。
時機上，我們發現漏洞之后，Vulcan團隊在完成對這個大漏洞利用研究測試之后，立刻聯系了EOS創始人BM，我們是希望幫助EOS開發團隊先解決這個漏洞的，保證漏洞不會攻擊者利用，在他們修復完成之后，才披露的。
采用這種比較公開的方式，我們也是希望以此呼吁大眾關注區塊鏈技術的同時也注意區塊鏈安全。我認為現在的漏洞爆出時機和處理方式都是合適的，負責任的。
“史詩級漏洞”名稱、價值由來
問：在360公布#3498 EOS漏洞之前，EOS的bug已經在Github上提交了3497條，但360出手前鮮有人關注并產生如此之大的影響。你如何看待昨天披露安全漏洞的嚴重程度?為什么稱這個漏洞價值百億美元?為什么360安全衛士在微博上將之稱為“史詩級”漏洞?
周鴻祎：我先來解釋下這個漏洞被人利用可以用來干什么。如果漏洞被人利用，可以控制EOS網絡里面的每一個節點每一個服務器，那就不僅僅是接管網絡里面的虛擬貨幣、各種交易和應用，也可以接管節點里面所有參與的服務器。拿到服務器權限，就可以為所欲為了。如果有人做一個惡意的智能合約，就能夠把里面所有的數字貨幣直接拿走了。所以這個對于區塊鏈網絡來說，不會有比這個更嚴重的漏洞了。
再說“史詩級”，EOS在區塊鏈發展史上的重要性大家肯定知道，如果說，這個漏洞我們沒有提出來，EOS沒有修復，等到EOS主網上線了，被惡意的黑客發現并利用了，那時候EOS會不會一夜之間就被搞掉了，我們都不好說。EOS現在的估值至少百億美金了，所以我覺得這個漏洞價值百億美金并不夸張。另外就是這個其實是我們安全圈內部的說法，是半個舶來語。“史詩級”是從“Epic”翻譯過來的，國外安全社區經常用“Epic bug”或者“Epic fail”來形容比較重大的安全漏洞。
當然我從公關的角度來看，史詩級這個詞大家理解不一樣，太文藝青年了，所以說成百億美金的漏洞，大家會不會覺得更接地氣一點。因為很多標題黨，嚇尿了、嚇哭了、嚇軟了、崩潰了……都被濫用了，所以用了個史詩級，其實說百億美金級別最好了。
關于“360安全大腦”
問：此次發布EOS漏洞事件，讓Vulcan(伏爾甘)團隊一戰成名，可此前行業內很少有關于他們的消息，能否向我們具體介紹下他們?你最近不斷提及360安全大腦，能一并介紹下嗎?在這個事情上，你們安全大腦團隊跟BM團隊是通過telegram直接交流的，你們實質接觸是從什么時候開始的?坊間說，你們和EOS很快有合作要公布，你方便在這里透露嗎?
周鴻祎：你們說的行業內，肯定不是安全圈子里面。360 Vulcan團隊在安全圈子里，大家應該多多少少都知道。Vulcan最早是我們360安全衛士的攻防研究團隊，有一年他們要參加Pwn2Own，這是個比較厲害的世界黑客大賽，要參加這種大賽，所以他們組了一個小組，就是Vulcan團隊。
他們在攻防研究、挖掘廠商漏洞和幫助廠商修復漏洞上實力很強的。他們2015年組隊去參加Pwn2Own 2015獲了獎，當時用了17秒攻破了微軟的IE11，是歷史上首支成功攻破IE的亞洲團隊。Pwn2own黑客大賽上，Vulcan團隊連續多年斬獲了十幾項冠軍，在Pwn2own 2017上更是拿到了世界總冠軍。所以圈子內部，對他們是絕對不陌生的。
最近的安全大腦是這樣的，從名字上大家就能看出來一點，大腦，肯定要能學習、還能做運算做決策的。所以簡單說，360安全大腦，是一個具有感知能力、學習能力、推理能力、預測能力和決策能力的綜合性智能系統。然后就是360安全大腦能夠干什么，這次EOS漏洞的發掘，其實就是結合360安全大腦和安全專家的能力。
再給大家舉個例子說一下吧。不知道大家記不記得2016年美國曾遭遇過一次大斷網事件，這個事情后來查出來了，是黑客利用安防智能攝像頭搞了一次DDoS攻擊，360被邀請參與了事件的緊急處置，最后還受到了FBI的致謝。360安全大腦在這中間做了什么呢，其實這個事情發生之前，我們就在安全社區，我們圈子里做了預警，我們是最早做過預警的，就是我們的360安全大腦，發現了有針對安防智能攝像頭的異常訪問流量。
安全大腦是人工智能基于大數據的分析判斷，加上我們的富有經驗的安全專家的人腦，構成了真正的安全超腦。
跟BM團隊聯系是我們安全團隊直接聯系溝通的，最早應該就是28號的時候。
我們和EOS方面目前沒有直接合作的，區塊鏈安全是我們一直關注的問題。此外360也是互聯網科技企業，像EOS這些主要的公鏈，我們在技術研究方面一直有投入。從年初開始就已經與一些合作伙伴，就EOS生態建設、安全防護、主節點的競爭等方面進行交流討論。
搞安全需要耐得住寂寞
問：在移動互聯網時代，今日頭條、小米科技、美團點評等等迅速崛起，與PC互聯網時代占盡先發優勢不同，360優勢并不明顯，這會不會讓你感覺到失落?你是一個不服輸的人，這會不會是360有一天大舉進軍區塊鏈很大的動力?
周鴻祎：其實做安全這個行業，說刺激也很刺激，你看不管是去年5月的勒索病毒，還是昨天的EOS漏洞，一下子就讓全行業都關注到你了。
但與此同時，實際上，搞安全是一件需要耐得住寂寞，需要長久投入努力的事情。比如上面我說Vulcan他們參加黑客大賽11秒攻破IE 11，但在那之前，他們扒代碼的時間你是想象不到的。然后，不參加比賽了，雖然幫助微軟幫助谷歌幫助蘋果修復了很多漏洞，你們都不知道，我們更像是一群守護者，站在大家身后的人。
PC時代那時候，病毒木馬橫行，我們順應潮流用360安全衛士、360殺毒幫大家解決了安全問題，可能獲得的關注比較多。
但在移動互聯網時代，實際上我們也做了很多事情，你們可以看看去年谷歌致謝榜單里面，我們在安卓上，幫助谷歌修復兩百多個漏洞，全球第一，是第二名的三倍。除了這類工作，我們還和公安合作，比如推出獵網平臺，打擊電信電話網絡詐騙。
這些事情，可能不會像當年一樣刺激，但我覺得我們是做了非常有價值的一些事情，從內心來說，我們還是比較驕傲的。
這些年，我們在原創核心技術上積累也是非常多的，比如上面說的安全大腦，其實是我們多年技術積累的結晶。
360安全大腦的網絡安全空間大數據，現在是全球規模最大的。也因為有這些大數據和數據中心，360安全大腦的態勢感知、智能查殺、攻防與溯源，包括應急響應上，現在在全球都非常具備競爭力。
我不服輸，但不是說非要進軍區塊鏈什么的，而是說，在大安全這個新時代里面，希望能夠繼續發揮360安全守護者這個作用。區塊鏈應用以后有可能深入生活、生產的多個方面，360作為國內最大的安全公司，當然希望充當一個“守護者”的角色，為區塊鏈應用保駕護航。
360的安全業務邊界
問：在前不久的第二屆世界智能大會上，你提到“人工智能本身就存在安全問題。”你舉例說，360安全團隊曾利用超聲波干擾技術，成功實現對特斯拉的欺騙，讓它相信前方的障礙物并不存在。你的觀點是，人工智能也許可以有99.99%的概率保證識別是正確的，但是對于安全來講，它只要出現一次識別錯誤，就會造成嚴重后果。那么，360定義的安全業務的邊界有多大?
周鴻祎：我們關注人工智能或者區塊鏈，其實不管是AI和區塊鏈的安全，都有一個共同點，就是無論是AI的算法，還是區塊鏈的算法，都是要寫代碼實現的，而代碼是人寫的，肯定會有漏洞的。
我之前看到過一個數據，開源軟件中，每千行平均就有6-8個安全漏洞。所以對于新生事物，不管是新興技術還是什么，看到美好一面的同時，作為搞安全的，我會不自覺的看到他們潛在的安全風險。搞安全的人更像是一個“看門人”，時刻都要保持一顆懷疑之心、守護之心。
360進入區塊鏈行業的機會——安全問題
問：如果360進入區塊鏈行業，360的機會在哪里?你如何評價目前區塊鏈行業數字貨幣交易所處于中心地位的狀況?
周鴻祎：我們現在看區塊鏈，涉足區塊鏈，肯定還是圍繞安全。
安全問題不是說這次我們披露了，大家熱鬧一天就完了。我希望大家記住，EOS這個漏洞，不是最后一個，也一定不是最厲害的一個。未來區塊鏈行業一定會出現更多的安全問題，之前傳統互聯網領域里面遇到的安全問題，區塊鏈行業里面一定也會遇到。這就是我們在其中的機會，當然我們也有自信和實力在其中擔起責任，保護區塊鏈行業健康穩定安全發展。
問：能否介紹下360在區塊鏈安全方面的布局和方案，比如：交易所安全怎么做?礦池安全怎么做?智能合約安全方面又怎么做?
周鴻祎：過去這段時間，360在區塊鏈方向上，我們的安全團隊還是很用心的研究了很多，也拿了一些方案。我們未來會基于區塊鏈安全生態推出三個系統，主要包括數字貨幣錢包安全審計系統、區塊鏈安全態勢感知系統和區塊鏈節點安全解決方案。
第一個，數字貨幣錢包安全審計系統，這里面會詳細地列一些審計的要點，闡述如何做一款比較安全的數字錢包，從而保障用戶的財產安全。
第二個，區塊鏈安全態勢感知系統，這個系統是基于360安全大腦的，可以自動對異常區塊、異常交易、異常地址和智能合約進行監控，不僅可以將交易風險降到最低，而且還可對非法數字貨幣進行溯源。
最后一個，區塊鏈節點安全解決方案，目前主要會針對EOS。
問：未來幾年，區塊鏈行業會出現一家像PC互聯網時代的360這樣有影響力的安全企業嗎?在區塊鏈時代，360安全產品是否能否全面開源?
周鴻祎：區塊鏈行業里會不會出現一個360，我覺得應該不會出現這種情況，區塊鏈方面問題的解決會是產業化的，360肯定會是其中的主力，但不會像PC時代那樣一枝獨秀，會有很多從事安全的企業和個人一起來保障區塊鏈的安全。
區塊鏈行業的安全需與網絡安全行業協同開放
問：你認為區塊鏈企業自身應該采取哪些措施，加強區塊鏈的安全性?
周鴻祎：區塊鏈領域里面，我認為真正的安全問題其實還沒出來。通過這次披露EOS漏洞，我們希望是讓大家能夠重視區塊鏈安全問題。在網絡安全行業里，有兩種情況是最可怕的，一種是做沙漠里的鴕鳥，知道不改，還有一種是知道了不爆出來，最后被人利用，這兩個才是最可怕的。
我最近還在提一個概念，叫“大安全”，簡單說，就是網絡安全的影響已經從最初簡單的信息安全，演變到現在，從線上到線下，都會受到網絡攻擊的威脅，并且新威脅越來越多。區塊鏈作為這兩年新火起來的技術，它遇到的安全威脅，我也把它歸到新威脅里面。
這種情況下，光靠某個企業，比如區塊鏈行業里，你某個項目自身，安全防護能力肯定是有限的，反過來光靠360這樣一家安全公司也不行，所以應該是整個安全行業需要得到發展。所以，區塊鏈行業，要能夠與網絡安全行業，做到協同開放，大家一起來做這個事情。你上一個區塊鏈項目，區塊鏈本身，你肯定比我懂得多，但是安全問題上，肯定我的人更專業，那如果我們來給你們做一下安全檢測，是不是安全風險就會降低很多?
我們一定要記住，有這么一句話，叫“沒有攻不破的網絡”，只有沒被發現的漏洞，或者被發現沒公開的，不存在沒有漏洞的網絡。所以，我們希望無論是區塊鏈行業，還是其他行業，要能夠正視網絡安全問題的重要性。
做法上，除了我剛剛說的，利用網絡安全行業的外部公司力量，你還可以做一些漏洞獎勵計劃，讓整個安全社區都來幫助你解決安全問題。我們每年都會幫谷歌、微軟和蘋果他們解決很多問題，他們都有自己的漏洞獎勵計劃，對提交漏洞的團隊給予獎勵。
問：從目前的漏洞產生機制上看，360安全團隊只曝光了EOS智能合約的設計缺陷，實際上，從漏洞風險上看，我們認為可能在P2P端口、RPC端口、服務器與集群等方面還可能潛藏著很多安全的大坑。360的技術團隊就這些問題是否會對EOS進行系統的評估?
周鴻祎：是的，從黑客攻擊者的角度來說，對一個系統或者應用來說，有很多的攻擊面，他們通過各種途徑和方式嘗試突破，軟件設計和實現的缺陷是其中一個也是最直接的攻擊面。
360有很多安全團隊，他們會從不同角度發現系統的脆弱性，通過評估給出整體的安全解決方案。目前區塊鏈應用主要以智能合約應用和數字貨幣為主，從360安全團隊發現的安全威脅來看，在區塊鏈新領域的確還存在很多安全威脅，我們會逐步在這方面拓寬關注和研究的方向。
京公網安備 11010502049343號