科技之錘!
阿伯塔·林恩是很想硬氣起來的,其實以往他都能很硬氣,甚至如果哪位安全專家發現了java想要拿到獎金的時候,基金會都能很硬氣。
比如跟寧為探討一下,如果想要獎金,那漏洞就不能以這種方式曝光;比如他很想告訴寧為要對他們這些開源工作者足夠的尊重,他們在全球有著數以百萬的客戶,有以千萬計算的程序員靠他們的免費程序生活……
但這些話終於還是活生生的忍住了。
原因其實很多,也許因為他真不知道寧為手上到底是否掌握了很多漏洞,他也無法確定寧為是否到底在借題發揮,他甚至不能確定寧為是不是想推出一款全新的計算機語言,所以先拿java開刀。
對麵那個年輕的學術大家以往的戰績太過輝煌,讓他沒法硬氣起來,在無語過後,也隻能順著寧為的意思說了下去,畢竟如果能花點錢買平安的話,也許是最好的結果。
唯一的問題是,對麵燕北大學教授似乎沒太聽懂他的意思,似乎是在討要這次log4j2漏洞的獎金。
說真的,其他漏洞的獎金阿伯塔·林恩肯定願意給,隻要寧為願意把漏洞提交給他們,他甚至可以不關注寧為提交的材料格式是否規範,但是這個漏洞……
“寧教授,捐款這個好說,但我希望能確定的是,您手上是否還有關於java其他的漏洞……”
“怎麼?你們還想多給我們的寧班捐點款?放心吧,有肯定是有的。真的,我之前也沒想到java的漏洞還是挺多的。如果你們真的肯無私的幫助我們華夏建設教育事業,我也可以再給你們一些。”寧為爽朗的說道。
這事一出寧為直接找上三月,自然是知道三月有搜集幾乎現在所有主流計算機語言跟軟件的漏洞,其中也包括主流的操作係統。隻是這事一直停留在讓三月進行搜集,寧為還沒拿出來用過。
當時搜集這些漏洞其實還是為了更好的推進三月智能平台,那個時候寧為想的其實很簡單,讓那些大企業加入到三月智能平台的籌建,他們給出現在三月最需要的數據,平台這邊當然也要回報給這些企業等值的東西。
幫助這些企業找到深藏在代碼中的漏洞,也是算是加入平台的福利了,可誰知道寧為認為這是雙贏的局麵,可人家都不太領情,於是這些東西三月是收集了,但都沒派上用場。
怎麼說呢,強人工智能時代,所有人似乎都小看了強人工智能的能力,這讓寧為也覺得很無奈。現在這種情況,大概就屬於廢料利用了。
以寧為現在的身份跟地位,自然不可能乾出拿著一堆的漏洞去牟利這種事情,也就是這次事情正好碰上了,不然寧為自己都快忘了還有這麼一茬兒。
寧為的話卻把阿伯塔·林恩徹底給整不會了。
基金會肯捐款就再多一些bug的意思,在他的理解便是需要基金會先給燕北大學捐款,然後寧為再告訴他們java的一些bug。但這跟流程不符,一般的流程明明應該是,寧為先提交bug,然後由專業的安全人員對bug進行審核,然後按照內部規定確定獎金的等級,然後再把錢打給bug的者。
這先捐錢……多少合適?
很想跟寧為說說規矩,但是想到對麵似乎就不是個喜歡按條理出牌的大佬,而且隨手曝出的漏洞的確太過恐怖,阿伯塔·林恩又猶豫了。
審慎的思考了半晌後,阿伯塔·林恩終究還是決定妥協,說道“我願意代表基金會向燕北大學捐款500萬美元,寧教授覺得如何?”
“五百萬美元?哦,懂了,你們的意思是,我要先給你們漏洞,然後你們才會決定捐多少款的對吧?這五百萬美元就是之前我給你們這個漏洞的獎金?對吧?那等會我再給你們發個漏洞詳細情況,你看看能捐多少,我心裡也好有個數?”寧為問了句。
阿伯塔·林恩無語了……他是真的沒想到寧為胃口能這麼大,感覺像是在被訛詐。但其實他是真的誤會了寧為,如果他跟一些行業內大佬多交流一下,就會知道現在他的許多同胞大佬找上寧為送錢的時候,開口就是以億為單位,到了他這裡張口五百萬,著實沒能提起寧為太大興趣。
說白了,這純粹是胃口被養叼了,又或者說對錢已經沒什麼概念了,阿伯塔·林恩的同胞們已經成功讓寧為產生了一種對岸大公司都極其富有的,說到給錢,那是一個比一個大方。
“不是,寧教授,您可能對漏洞獎金這塊有什麼誤解。實際上按照assord公布的漏洞獎勵標準,一般來說0day的高危漏洞最高也就是20萬美元的獎金。以穀歌為例,去年全年穀歌在發現漏洞獎勵方麵的投入也不過700萬美元,這已經很多了,微軟跟蘋果在漏洞獎金方麵的花銷甚至還要少於穀歌。”
“aache基金會作為一家為世界許多公司免費軟件使用的公司,其實在漏洞獎勵這塊更不可能有太多的資金投入。以java為例,很多漏洞都是我們內部會員免費給我們的。這五百萬美元的捐款是希望您能將掌握的漏洞都能提前交給我們,讓我們能對java進行更好更有針對性的優化,這也是我們希望對數以百萬計的會員負責。”
阿伯塔·林恩苦笑著解釋道。
寧為恍然大悟。
他是真從沒關心過所謂的漏洞獎金什麼的,畢竟他不靠這個發財,隻是聽了阿伯塔·林恩的話,寧為感歎道“原來是這樣啊!難怪這些公司的產品推出那麼多年了,漏洞還那麼多,原來這些大公司在漏洞獎金這塊的支出這麼小氣啊?能給黑客帶來數以億計收入的漏洞,獎金最高才給到20萬美元?安全專家們找到了漏洞哪有動力去跟那些黑客一起研究這些啊。”
阿伯塔·林恩當然不會告訴寧為,大公司明麵上給予的漏洞獎勵是一套,同時還有專門的人員在會盯著黑市上直接交易的漏洞。就算他想解釋,整個漏洞產業鏈也是非常複雜的,三言兩語又哪裡說得清楚?隻能耐心的跟寧為科普道“不不不,寧教授,您不能這麼說。畢竟找漏洞拿獎金是完全合法的,值得提倡。利用漏洞牟利放在任何一個法製健全的國家都是非法的,是要受到打擊的。這兩者真不能放到一起比較。”
寧為興趣缺缺的說道“那行吧,五百萬就五百萬吧。回頭我會一個有問題的列表發到你們的官方郵箱,當然你們隻捐了這麼點錢,我也就隻能隨便截張圖給你們了,可能不全,也不會給你們再做演示了。就這樣吧,再見,林恩先生。對了,記得這五百萬是定向捐給寧班的,彆搞錯了。”
雖然說市場行情就是這樣,但寧為還是覺得索然無味。就好像雞肋,棄之可惜。不過五百萬美元也是好幾千萬人民幣了,用來給寧班發發福利其實也還行。
但想到其他大富豪一般給學校捐款都是上億上億的捐出去,他這要點捐款才五百萬美元,的確還是有心理落差的。
“等等,要不一千萬美元?真的,寧教授,這是我們在修補漏洞這塊好幾年的預算,都準備拿出來為未來寧班的建設出點力,這……應該差不多了吧?但有一點,以後如果您的團隊又發現了其他漏洞,能否按照流程先提交給我們aache基金會,由官方決定什麼時候對外發布?”
“那如果你們一直不更新補上漏洞豈不是漏洞會一直存在?”
“這其實可以定一個給官方反應的日期,比如一個月。如果我們在確認收到您發的漏洞信息之後一個月還沒有針對漏洞發布更新補丁,您就可以將這些漏洞提交給其他網絡安全公司。”
“那……行吧!一個月的時間雖然長了點,但事情還是要做完美些好。這樣,你們把這筆錢捐給寧班之後,我會把我們團隊掌握的一些漏洞發到官方的郵箱。”
“您放心,我們馬上就會聯係燕北大學那邊了解捐款渠道,這一千萬今天應該就能特批下來,但不能確定什麼時候到指定的捐款賬戶上。您知道的,大筆轉賬需要些審核的時間。不過我們可以在官網同步宣布這個消息,保證這筆錢能到位的。”
“行吧,那我等會給你們發一份清單過去。就這樣吧,我先掛了。”
聽到清單兩個字,阿伯塔·林恩忍不住抖了抖眉毛,突然覺得這一千萬美元花得大概值了。
“好的,再見,寧教授。”
“再見,林恩先生。”
……
不太讓人愉悅的一通電話之後,寧為讓三月再次調出了java的漏洞庫列表,看了整整五頁的內容,乾脆讓三月按危險度比例挑選了列表中一半的漏洞詳情,發給了aache官方的郵箱。
這個數字是很恰當的,完全按照阿伯塔·林恩剛才說的價格來的,起碼在寧為看來對得起對方捐贈的那一千萬美元了。要找出並整理這些漏洞,還是消耗了三月不少算力的,大家又並非朋友,他當然不可能給基金會做義務工。