J漾諸事會社

http://tech.rednet.cn/c/2007/07/09/1252287.htm

想賣一個或者買一個尚未修復的0day安全性漏洞麼？瑞典新興安全公司WabiSabiLabi Ltd.就提供這種服務。

　　近日，來自瑞典的WabiSabiLabi開設了一個安全缺陷交易市場，合法的買家可以在上邊銷售或購買尚未修復的0day安全性漏洞的詳細資料。截至目前，已經有四個漏洞擺上“貨架”，競價或售價最低500歐元，最高達2000歐元，但至今沒有人購買或競購。

　　正在銷售的這四件“商品”分別是：Linux Kernel本地記憶體洩漏、Windows XP Yahoo! Messeger 8.1遠端緩衝溢出、Squirrelmail GPG外掛程式命令執行缺陷、MKPortal SQL注入漏洞。

　　WabiSabiLabi稱，為了維護電腦業界裡的道德風尚，安全研究人員一直都在享受不公平的待遇，因為他們辛辛苦苦找到了安全缺陷，卻沒有因此獲得任何好處，而在製藥和金融業界等其他領域，沒有人強制要求研究人員進行這種“義務勞動”，所以，他們成立了這個市場，以便安全研究人員的勞動能獲得回報，不再有人逼迫他們免費公開研究資料，或者賣給網路犯罪份子。

　　趨勢科技的David Perry對WabiSabiLabi的這種做法表示擔憂，認為根本無法辨別買家的動機，這些漏洞也很可能會被拿去犯罪；3Com Corp.的Tipping Point部門和VeriSign Inc.的iDefense Labs實驗室也曾出資買下研究人員發現的問題，但成立這種公開市場還是第一次，弄不好就成了安全性漏洞的eBay樂園。

　　安全研究人員Cesar Cerrudo指出，雖然叫賣安全性漏洞這種做法看起來有點兒不可思議，但的確是事實，因為有的研究人員為了更快、更簡單地拿到錢，只能在黑市上進行交易。