Project Zero：谷歌互聯網安全秘密團隊
責編：admin ｜2014-07-17 18:25:15谷歌日前對外公布了一個名為Project Zero的互聯網安全項目，該項目主要由谷歌的安全研究人員組成，旨在保護所有互聯網用戶的網絡安全，避免其受到黑客的惡意攻擊和網絡犯罪的威脅。
科技媒體《連線》雜志網絡版日前撰文對谷歌的Project Zero秘密團隊進行了詳細披露，以下是文章的主要內容。
谷歌的互聯網安全團隊
現年24歲的喬治·霍茨（George Hotz）是個極富傳奇色彩的人物，2007年，年僅17歲的他成為首個破解iPhone的AT&T網絡鎖的黑客，當時AT&T和蘋果并未理會霍茨，只是急忙對Bug進行了修正；隨后霍茨又成功對Playstation 3進行了逆向工程開發，致使索尼對其進行了起訴，這件事情最終以霍茨承諾不再破解索尼的產品而結束。
在今年早些時候，霍茨再度發威破解了谷歌的Chrome操作系統，但這次谷歌的態度與其他公司截然相反，為霍茨提供了15萬美元的獎金來讓其修補了他所發現的漏洞。兩個月后，霍茨收到了谷歌安全工程師克里斯·埃文斯（Chris Evans）的郵件，詢問他是否有意加入一支谷歌旗下的互聯網安全精英團隊。
今天，谷歌公布了互聯網安全項目Project Zero的團隊成員，該團隊由谷歌內部的頂尖安全工程師組成，他們的唯一使命就是發現、跟蹤和修補一些全球性軟件的安全漏洞。Project Zero的名稱來源于“零日漏洞”（Zero-day），所謂的“零日漏洞”是指針對以前并不為人知的軟件問題發起的攻擊或威脅。據了解，Project Zero團隊并不僅限于在谷歌自有的產品中尋找漏洞，他們甚至可以在任何軟件產品上尋找漏洞，而一旦發現了某個漏洞，該團隊會對其進行曝光，通過這種方式來動員或迫使相關的公司與谷歌聯手對付利用這些漏洞發動攻擊的黑客。
“人們應該在無需任何擔憂的情況下享受互聯網所帶來的便利，”Project Zero的負責人、曾經帶領過谷歌Chrome安全團隊的埃文斯說道，“而我們的團隊將會全職關注那些高價值的漏洞并積極對其進行消除。”
Project Zero目前已經從谷歌內部抽調了一些安全精英組建了自己的“夢之隊”，除了前文提到的有著“美國神童黑客”之稱的霍茨之外，還有在2013年發現Adobe Flash及微軟Office大量漏洞的新西蘭人本·霍克斯（Ben Hawkes）、英國知名“零日漏洞查殺”專家塔維斯·奧曼迪（Tavis Ormandy）和發現了蘋果iOS、OSX和Safari瀏覽器多個漏洞的瑞士人布雷特·伊恩·貝爾（Brit Ian Beer）。
根據埃文斯的介紹，目前該團隊還在招募更多的成員，未來將會聚集10名以上全職的互聯網安全研究人員，他們將會使用專業的漏洞查找工具來對一些目標軟件進行掃描，從而發現漏洞并對其進行修補。
緣何組建Project Zero團隊
Project Zero匯聚了頂尖的互聯網安全人才，同時肯定也為這些人支付了不菲的薪水，但是他們的一部分工作卻是去查找其他公司軟件中所存在的缺陷，谷歌這樣做究竟是為了什么呢？埃文斯對此表示，谷歌希望通過Project Zero來把互聯網變得更加安全和純凈，從而提升用戶的使用體驗，這樣一來，自然就能夠帶動更多的用戶去點擊谷歌的廣告，“只要能夠增強用戶對于互聯網的信息，那么對于谷歌來說肯定是有利的，”埃文斯說道。
同時，Project Zero也符合谷歌近幾年的反偵察策略。“斯諾登事件”中曾披露美國國家安全局存在暗中監視谷歌用戶信息的行為，所以谷歌隨后對相關的鏈接進行了加密，最近谷歌由通過在Chrome瀏覽器中內置插件來對用戶的電子郵件進行了加密，這些都表明谷歌已經把保護用戶信息的安全性放在了一個非常重要的位置上，而Project Zero無疑將會減少安全漏洞對谷歌用戶的騷擾。
與其他公司一樣，谷歌多年來一直在“懸賞”獎勵那些發現其代碼漏洞的友好黑客，但查找自身軟件的漏洞也一直都不是谷歌的強項，所以組建Project Zero團隊也將會幫助谷歌補強在軟件漏洞查找方面的綜合實力，進而在一定程度上提升谷歌軟件產品的用戶體驗。
Project Zero的理念
根據前谷歌安全研究人員摩根·馬奎斯-鮑伊爾（Morgan Marquis-Boire）的介紹，Project Zero背后的理念要追溯到2010年他與埃文斯的一次深夜對話，但是兩人正在探討谷歌產品之外的軟件所存在的缺陷對谷歌用戶的影響，“這些軟件之所以會存在缺陷大多是因為開發者在編程時使用了第三方的代碼，”馬奎斯-鮑伊爾說道，“這就好像你穿著一身和服在騎摩托車，那么此時即便你戴了頭盔，那也難以保證你的安全。”
Project Zero的愿景是借助谷歌的技術實力來改進其他公司的軟件產品，當Project Zero的團隊發現某款軟件的漏洞之后，他們首先會對該軟件的開發商發出警告，然后給對方60-90天的時間來修補該漏洞，隨后谷歌就會在Project Zero的官方博客上公布該漏洞。為了避免這些漏洞被惡意的黑客所利用，谷歌表示會動員軟件的開發者或者臨時組建小團隊在7天之內對公布的漏洞進行修復，從而把損失降低到最小程度。