美国国防部17日宣布,参赛者共报告1189项薄弱点,其中138项被认定为“独特、有效”。
“有我们没有发现的漏洞,现在我们能够修复它们。”国防部长卡特说,“这比花钱请人好得多,也比出事后再发现好得多。”
比赛名为“来黑五角大楼”,赛期从4月18日至5月12日,吸引超过1400人参加,在五角大楼5个对外开放网站中寻找安全隐患。类似做法在企业界不新鲜:“白帽黑客”受邀,抢在真正黑客发动恶意攻击之前发现并堵住网络漏洞,但这是美国国防部及美国联邦政府首次进行这种尝试。
五角大楼制定了一系列后续计划,打算把这类活动扩大到部队,还将鼓励军方承包商效仿。任何人今后如果在军方网络中发现漏洞,都可以报告而不必担心受到起诉。
五角大楼为这次竞赛花了15万美元,其中半数是奖金。一名参赛者发现多处漏洞,获得最高奖1.5万美元,其余获奖者最少拿到100美元。卡特认为,这笔钱花得很划算。“这不是一笔小数目,但是如果按照通常做法,请承包商来查找和评估安全隐患,花费至少超过100万美元。”
卡特当天特别表扬了两名参赛者,一名是一家网络安全公司的安全咨询师,另一名是中学毕业生德沃肯。
18岁的德沃肯几天前刚从中学毕业,将去美国西北大学上学。他利用课余时间参赛,发现6处漏洞,其中一些能使黑客有机会改动网页显示内容甚至窃取账户信息。
尽管德沃肯没有得到奖金,因为别的参赛者比他先报告那些漏洞,他还是很高兴:“参赛很值,锻炼了技术,还出了名。有一些招聘的人联系我,让我夏天去实习。”