“零日漏洞”（Zero-days）是指软件中存在的严重安全漏洞，软件制造商或用户对其一无所知。之所以如此命名，是因为开发人员发现该安全漏洞的当天它便已遭利用，因此他们仅有 “零天”的时间来修复它。
这些漏洞可能存在于市场上使用最广泛的部分软件和平台中，例如Adobe Flash、Internet Explorer、社交网络（仅举两例：Facebook和LinkedIn）以及其他无数软件。
Hacking Team近期泄露的邮件 为人们了解政府在国际零日漏洞市场中的参与程度提供了新的线索。与将这些漏洞披露给软件制造商以便其修复不同，政府机构购买零日漏洞后将其囤积起来。
这种做法以及允许该做法的政策，使数十亿互联网和软件用户面临严重且不必要的网络安全风险。针对这一问题存在若干解决方案，但首先让我们来看一下零日漏洞市场。
不断增长的零日漏洞市场
了解零日漏洞的存在，对犯罪分子和情报机构而言同样具有价值。他们愿意花大笔钱获取这些漏洞的信息，进而开发漏洞利用程序（或直接购买此类程序），以规避目标的信息安全防护。
在其他技术手段中，入侵 Sony Pictures Entertainment 和 Office of Personnel Management (OPM) 的黑客利用零日漏洞实施了这些大规模入侵。
这已成为一项严肃的业务。零日漏洞买卖的国际市场由 三个相互交叠的市场构成：“黑色”、“灰色”和“白色”。
黑市的卖方包括自由职业黑客和各类组织。买方包括 犯罪分子和犯罪组织。鉴于该市场的地下性质，无从得知黑市上有多少漏洞被买卖。荷兰国防学院研究员Roy Lindelauf认为， 如今售出的漏洞利用程序中，超过一半是从合法的正规公司而非自由职业黑客手中购得的，这表明黑市并非这三个相互关联市场中规模最大的一个。
第二个市场之所以被称为“灰色”，是因为它合法但并非官方认可，且不受监管。 历史上，民族国家一直垄断灰色市场中的购买活动。其中包括巴西、印度、以色列、马来西亚、朝鲜、俄罗斯、新加坡、英国、美国以及其他许多国家。国防承包商如 Northrupp Grumann 和 Raytheon 也被认为是买方和/或卖方。
美国国家安全局（NSA）被认为是“最优秀、最可靠的零日漏洞采购者……实际上是一个真正贪得无厌的采购者”，据WikiLeaks索引的一封Hacking Team邮件称。它 在2013年花费了2500万美元 用于从私营恶意软件供应商处采购“软件漏洞”。 某一来源 指出，零日漏洞的平均价格在4万至16万美元之间，这意味着2500万美元或可购得156至625个漏洞。
同样合法的“白色”市场中的买方包括软件制造商，如 Facebook、Google、Microsoft 和 LinkedIn。软件制造商会向任何发现并向其披露漏洞存在的人提供一笔资金，这种资金有时被称为“漏洞赏金”。
还有一些平台将数十家软件制造商与安全研究人员和专家联系起来。它们承诺向通过该平台向软件制造商披露漏洞的人支付佣金。iDefense和TippingPoint是该领域的早期两家公司。新公司也已进入这一领域，例如HackerOne，该公司 近期募集了2500万美元风险投资。
漏洞赏金是应对零日漏洞问题的一种新颖方案：付钱让人们不去入侵系统。相反，付钱给这些人，让他们运用其技能发现并披露漏洞，以便软件制造商修复，从而整体提升网络安全。
通过漏洞赏金计划支付的金额可能相当可观。在所有市场中， 价格往往由漏洞类型及其用于黑客攻击的潜力决定。然而， 白色市场的价格通常不如黑市那么高，而且这些价格也远不及零日漏洞攻击受害者所遭受的损失。
政府囤积零日漏洞的风险
尽管许多政府机构是全球灰色零日漏洞市场的买方，但几乎没有国家对其所购漏洞的处置方式制定明确的政策立场。
在美国，关于零日漏洞官方披露政策的部分细节已公开。前国家安全局局长基思·亚历山大曾表示，该机构将零日漏洞用于“防御，而非……用于进攻性目的”。总统巴拉克·奥巴马的 观点，据其顾问称，是：“当美国国家安全局发现互联网安全中的重大缺陷时”，该局“应当在多数情况下——披露这些缺陷……而非将其隐瞒，以便这些缺陷得以被利用。”不过，对于明确的国家安全或执法需求，则设有宽泛的例外。
使用“国家安全”一词颇为耐人寻味，因为一项完全不披露任何零日漏洞的政策，实际上使所涉软件的所有用户——在当今世界包括企业、政府机构和个人——面临被入侵的额外风险。
值得肯定的是，美国在解释其零日漏洞披露政策方面，比其他所有政府走得都更远。澳大利亚、中国、俄罗斯和英国则根本未公开其对零日漏洞的立场。
这种做法以及允许该做法的、往往不透明的政策，后果十分严重。当政府机构购买了零日漏洞的信息并将其囤积时，无法保证其他恶意个人或组织不会发现（或购买）并利用同一漏洞。
通过隐瞒零日漏洞的信息，政府机构使所有软件用户长期处于悬而未决的风险之中。这种风险的范围是全球性的，因为所涉软件和平台被数十亿人使用。
有哪些替代方案？
除了囤积零日漏洞及其所带来的风险这一政策之外，还可能存在哪些替代政策？
强制披露，或 加强监督（针对零日漏洞的发现或购买）是对现状而言显而易见的国内替代方案。在国际层面，“通过 Wassenaar Arrangement（瓦森纳安排）协调零日漏洞出口管制的自愿集体行动”被视为另一种可能的方向，尤其是鉴于该安排目前正在审议之中。该协定旨在控制可能具有军事应用价值的武器和技术的出口与进口。
计算机安全分析师兼风险管理专家 Dan Geer 提议，只要漏洞呈“稀疏而非密集”（即所涉软件的漏洞较少而非较多）时，美国政府应以高出十倍的出价，压倒国际零日漏洞市场上的所有其他买家。
如果国家安全局每年在零日漏洞上花费2500万美元，按照Geer的计划，这一数字将增至至少2.5亿美元。国家安全局的预算每年至少为100亿美元，其中 2013年花费了12亿美元 用于进攻性网络能力（换言之，即国家支持的黑客活动）。
鉴于这些预算的规模，Geer的提议在财政上是可行的，但这需要官方政策的重大转变，首先要强制立即向软件制造商披露所有漏洞，以便其修补。
深入问题根源
如果各国政府真正认真地应对零日漏洞问题，他们或许会考虑从根源上解决：让软件制造商为有缺陷的代码承担责任。
自20世纪80年代以来，软件制造商的普遍做法被称为
“patch and pray（打补丁并祈祷）”。简而言之，软件制造商急于将产品推向市场，选择稍后再为漏洞发布补丁，而不是在发布前投入时间和资源，对缺陷（包括零日漏洞）进行额外的测试和修补。
经济逻辑很简单。发货即意味着销售和收入。推迟发布以测试和修正漏洞会增加成本。鉴于有缺陷软件造成的损失由用户而非软件制造商承担， 软件制造商在发货前修复漏洞的动力很小。这样一来，人们更容易“快速行动，打破常规”，前提是无需为最终损坏的东西付出代价。
更糟糕的是，用户并不总是及时更新软件，而这实际上是他们唯一的防御手段。因此，漏洞在被发现且补丁已发布之后，仍可能持续存在数年之久。
让软件制造商为其有缺陷软件造成的损失承担责任，将彻底改变这些激励机制。可以研究多种方案，力求找到一种既能将漏洞减至最少、保护用户，又不扼杀创新的平衡办法。
让软件制造商为其有缺陷的产品承担任何形式的责任，将需要极大的政治意愿， 尤其是在当前提案正朝相反方向推进的背景下。然而，如果处理得当，它将为软件制造商创造强有力的激励，促使其采取更严格的措施，减少其软件中的漏洞数量。这将为数十亿软件用户的网络安全带来有意义的提升。
网络安全政策的悖论依然存在
政府官员声称正在竭尽全力加强网络安全。零日漏洞对个人、政府机构和企业的网络安全构成了严重威胁。
然而，政府机构恰恰是零日漏洞的最大买家。如果它们真的重视网络安全，那么为何这些政府机构还要隐瞒其发现或购买的部分零日漏洞的信息？
这再次体现了 当前网络安全政策的悖论：负责加强网络安全的政府机构，却开展了产生相反结果的活动。
明确披露所有已发现或购得的零日漏洞的政策，将是国际上加强网络安全的重要一步。更理想的做法是从根本上解决问题，即让软件制造商为与其有缺陷软件相关的损失承担部分责任。
在凝聚起应对包括零日漏洞在内的有缺陷软件问题所需的政治意愿之前，遗憾的是，软件用户保护自己的最佳方式，仍是追随软件制造商的做法：打补丁并祈祷（patch and pray）。
本文最初发表于 The Conversation。阅读 原文。刊登本文并不意味着世界经济论坛认可其中观点。
要紧跟 Agenda 的最新动态，请 订阅我们的每周通讯。
作者： Benjamin Dean ，是国际与公共事务学院（School of International and Public Affairs）互联网治理与网络安全研究员，任职于 Columbia University。
图片：一个放大镜被举在电脑屏幕前。REUTERS/Pawel Kopczynski.
