如何看待阿里「月饼门」中最后一人(第五人)也被开除?

我在叶敏手下打过俩月的杂。虽然只是暑期实习,但也算是对叶敏和他的团队有所了解,我想从我的视角谈谈叶敏,安全行业,阿里,以及这次的事件。

首先说说我是怎麽被录取实习的。我在知乎看到了某个钓鱼问题,入口指向一个 Wargame,给外行人解释一下,这就是一种类似解谜游戏一样的闯关游戏,只不过需要你破解系统,利用漏洞,挖掘信息,从安全攻击的角度一关一关地攻破防线。当然这些被攻击的系统都是故意为游戏设置的,并不会对任何人造成实际影响。

一开始发现这个入口是典型的 Wargame 时我是抱著好玩的心态来玩的,在连续闯了几关后,我感受到题目的设计风格有变化,证明不是一个人设计的这个游戏,而且难度已经达到行业淮入水平,于是我更加想知道这背后有什麽蹊跷。最终在通关后我看到了阿裡云安全团队的招聘留言。由于我刚好想在暑期回国找个实习,就跟著留言裡面的联繫方式找到了叶敏。在之后经过四五轮複杂的长途电话面试后,叶敏告诉我被录取了。

正如叶敏自己在另一个答案下所说的,对技术不够好奇的人他是不会招的。那个 Wargame 正是出自叶敏的团队之手,真正发现 Wargame 并通关的只有不到5个人。由此可见叶敏对技术的重视,以及对求知欲的赏识。

我不想做类比,但是你可以想象,我们这种好奇心重,对技术非常敏感的人,在看到一些安全隐患的时候都会习惯性的要去弄个明白。如果是我看到那个抢月饼的页面,恐怕也会习惯性地F12一下吧,这跟抢的是什麽没关系,我只是好奇这个系统是怎麽运作的,如果有潜在的问题,我也会想通过测试把问题反映出来。这是身为安全工作者的职责,或者说职业修养。安全不是一味地防守,只有掌握了所有的攻击手段才能游刃有馀,所谓知己知彼嘛。

有人说掌握攻击手段是对的,但是不能对公司系统使用。这真的是滑稽。难道你要等到外面的人攻进来了才骂安全工程师为什麽不做好防护吗?自己家的人至少是能控制风险的啊。安全问题只有靠不断被攻击才能逐渐全面地体现出来。那究竟由谁来攻击比较好?自家的安全工程师还是外面来的黑客?

聪明的公司是会鼓励自己的工程师在不影响业务的情况下尝试对内部进行攻击寻找漏洞的。这种行为应该是完全自发的,不需要监督或批淮的,无微不至的。这样才能最大发挥安全工程师的职能,而不是一切让领导的价值观优先。

叶敏带的团队虽然只有八个人,但都是很注重这种工程师优先的文化的。几乎每天叶敏都会催促我们关注前沿技术,不要只顾安全一块。在叶敏的带领下,大家都尊称他叫二爷。

记得有天同事买了个 BadUSB 板子,其实就是个迷你 Arduino,然后开始研究 BadUSB 攻击手段。跟外行人解释一下,这就是一个伪装成普通 U盘的设备,插上后会模拟鼠标键盘操作,执行恶意操作入侵电脑。

那之前刚好我在学USB协议和嵌入式编程,就跟他一起研究起来。我们的目标是把这个设备插到任意同事的电脑上能够自动打开浏览器,自动髮一条宣告自己被黑了的微博。

结果整个办公室的同事电脑都变成了我们的小白鼠。期间我们还遇到好多问题,比如 Mac 系统用纯键盘操作打开命令行是很不容易的,不像 Windows 有 Win-R 之类的快捷键,Mac的 Launchpad 界面没那麽简单打开。为此我专门买了个带 Launchpad 键的 Apple USB 键盘,然后监听逆向 USB 信号然后在我们的设备上模拟等等。

后来我们没事就跟同事开玩笑,趁对方忘记锁屏把设备一插,一拔,然后大家都收到那人被黑的微博了。

这些虽然跟安全相关,但不是我们的职责,上班时间研究可谓是不务正业,要是上纲上线的话也是足以开除的了。但我们的能力就来源于这些点滴的积累,说不定什麽时候就能派上用场了呢?

反观这次的月饼事件,仔细想想,就事论事的话并不是什麽严重的行为,如果没有上升到所谓价值观的高度的话真的就是跟所有优秀工程师的日常一样一笔带过了,连笑料都不是。事情发生这样的展开完完全全是因为政治!

阿里云跟阿里集团是分裂的两个行政单位,集团的领导都是些老干部,所以有多官僚你们自己能想象。阿里云分出来晚,对技术还保持著好奇,对人才还留有尊重,对公司还满怀热爱。所以事件一开始荆总以及大部分阿里云的领导都是要保二爷的。

但是二爷毕竟也是在阿里混了七八年的老油条了,虽然为人低调,但对形势看得很清楚,一看到这种日常呵呵的事情发生了这种展开,他已经嗅到结果了,所以儘管阿里云的领导还在努力保他,他还是站出来在公众面前发言了。他对保他的领导表示感激,但已经不对结果抱有希望。

我这种未经世事的小 intern 在事发时都没意识到事态的严重性,还心想怎麽可能开我大二爷?但是当结果摆在我面前时我已经没有了惊讶,只有恍然。

在政治面前,你对与错已经不重要,维繫阶级统治,稳定统一的中央政权才是政治玩家的目的,什麽狗屁价值观,通告,反省,都只不过是手段。如果价值观都不奏效呢?可以等九个月,然后自然就会认罪的了。这就是政治。

所以这次事件纯粹是政治闹剧,外行看热闹,内行也摸不著头脑,大家都只是棋盘上的某个棋子而已。

作者:匿名用户
链接:https://www.zhihu.com/question/50659896/answer/122215598
来源:知乎

被谷歌秒收录是种怎样的体验?

great-google

前天发的文章:《鼓励取关,没人最舒服了》。今天在 Google 搜索了一下,发现本站的这篇文章,在以 “鼓励取关” 为关键词时,排在了搜索页第一的位置。而且显示的快照时间为:2016年9月9日 02:10:51 GMT,也就是刚发完文章就被收录了。...

Read More.

鼓励取关,没人最舒服了

写在个人微信公众号上的文章

只写给自己看的,才最真实,日记是其中的一种。

如果知道会有很多人看,难免会加工一些。

我想开了,需要一个自留地,安静的、真实的存在着。

更何况个人的公众号经营的再好,也只不过两三百阅读。愿意评论和打赏的,也只有你的朋友,总会是那些人。

近期,我只写给自己看。如果有主动关注的朋友愿意来看看,我也很乐意。就当聊聊天啦。

所以我是不会把这里的文章转到朋友圈的。六百多人,深似海。我只了解一部分的他们,大多数人从没有过任何接触。我不会为了赚眼球和阅读数,讨好任何人,吸引任何人来看。

鼓励取关。

1 2 3 44