資深信息安全工作者江海客解讀學子困惑

江海客，真名肖新光，安天實驗室首席技術架構設計師，知名信息安全專家。《計算機教育》雜志本期特援引哈爾濱工業大學（以下簡稱哈工大）計算機學院信息安全專業2004級學生與江海客老師的對話，相信其內容不僅能讓信息安全專業的學生獲益，也能讓其他專業的同學有所裨益。

對話一

肖老師：

近期我們班級準備舉辦一個黑客工具展示的活動，我們想請您為我們作一些技術上的指導和策劃。

先說說我們的班級吧。當初我們班的同學報這個專業，很大程度上是沖著“信息安全”這個名字來的，我們對信息安全都有著濃厚的興趣，我們也期望能在這個行業中有所作為。于是剛上大學的時候，我們勤奮學習，第一學期我們班級的成績是全院最好的，但是在第二個學期，我們的成績卻出現了嚴重的倒退。我們在想，是不是我們在平時太少真正地接觸本專業的知識了，對自己的專業不再那么感興趣了，更沒有了那種“我們是搞安全”的優越感。以前要是在別的同學面前提到我們是學信息安全的，我們好像都很自豪，但是一年來的學習，我們卻沒學到多少這方面的知識，我們感覺好像被信息安全騙了，我們不再勤奮學習，更多的同學將大量的時間花在游戲、電影、電視劇上，學習全被耽擱了。

這學期，我們選了一些新的班委，我們都很有激情，都非常希望我們的班級能像大一第一學期那樣輝煌，因此我們想到了這個活動。希望從這個活動中，大家能更多地了解一些信息安全知識，讓大家對自己的專業能更加感興趣。

曾聽說您提到“工具收集狂”和“源代碼抄襲狂”的問題。在這個問題上，我絕對支持您的觀點。作為一個計算機專業的學生，我們絕對不允許自己僅限于能用別人的工具，能看得懂別人的代碼，我們應該拿出自己的東西，所以我們絕對要扎實自己的知識。

現在我想為我們的這次活動做一些“狡辯”。我有一個高中同學，他不是學計算機的，但是他對計算機有很大的興趣，特別是對“黑客”之類的東西有著很濃厚的興趣。剛開始的時候，他是自己學習使用一些小軟件，他也很有能耐，從51、唐悅等人那里弄了一些工具來，然后自己鉆研，又自學了DOS、Unix等，他看起來好像對黑客這類東西很精通。有時候我和他討論一些問題，對于他提出的一些名詞，我聞所未聞。我感到很自卑，學計算機的居然被一個外行考倒了。

我們希望通過這次活動，先對一些工具有一個大概的了解，之后再逐步地深入了解更多信息安全的知識。懇請您能給我們一些幫助，例如某些工具的使用，使用某些工具后會造成什么樣的后果等。同時也希望您對我們的活動提出建議和意見。不勝感激！

陳天鈺

牐

信息安全專業的各位同學：

很抱歉這么晚才回信，無奈連日來的工作實在過于緊張，今晚返回北京，因此在路上給你們寫了回信。

你們的狀況其實很典型，專業的優越感如果不加以良好引導，則會轉化為失落和下滑。大學生成長心理是微妙的，而其中比較可怕的是專業夢想的幻滅，這將是巨大的挑戰和挫折。

在今年招聘時，我和武漢大學信息安全專業的同學們交流的過程中，我就感受到這一點，一個同學說，直到大三，他才知道這個專業不是培養技術間諜的……

想想我自己，當年帶著對航天事業的神圣使命感來到了哈工大的自控專業，如果不是因為某事突發，毀滅了這種幻想，我不會改弦易轍選擇做程序員的道路。我深知這種幻滅對人的影響。

但同時，我也希望向你們指出的是，無論一個人高中時代是否出色，其對專業的選擇和理解，都是幼稚而淺薄的。凡是在自己所選擇的方向上有所發展的人，都無法不經歷彷徨與茫然、反思與自新的鳳凰涅磐，浴火重生。而這個過程其實不是僅僅依靠校方的專業引導就能實現的，要靠大家自己。

在此我要強調一下，我并不反對你們積極地投身于很具體的安全實踐。我很不喜歡那種只會紙上談兵的安全工作者，云曉春老師曾憂心忡忡地慨嘆：“全國每年以入侵檢測課題畢業的學生這么多，卻沒有幾個能完成一個規范的入侵現場勘查和事后取證。”我深以為然。

對于你們的活動，我也是很支持的。信息安全專業的學生，如果連一些常見的安全工具都沒有接觸過，當然是不可想象的。當然我的確有一些擔心，但這種擔心不在活動本身，而在于任何事情都有其潛在的結果。

我希望這個活動達到的目的是，增加同學們對信息安全的感性認識和理解，增強對安全本質與體系的思考，增強實際分析問題、解決問題的能力，在成長為一個全面的信息安全工作者的路上，打開興趣的大門。但另外一些引導也是需要在活動中貫徹的，那就是信息安全的全景視圖和信息安全工作者的從業道德。

我過去批評過幾類人，入侵迷、工具收集狂和bugtraq的fans。而這種人所以能大量涌現，的確是相關的活動能帶給實施者難以名狀的快感。

從那些每日比拼著肉雞數量、比拼著所進入的站點、比拼著所擁有的獨門暗器、比拼著自己所了解漏洞的多少的所謂小紅客們身上，不知道你們是否能讀出我的憂慮。這些東西無不帶給人極大的快感。這也是一個江湖，甚至這個江湖還支撐著一個地下產業。但這里是否是一個信息安全工作者的正途？這難道不是一種狹隘而偏執的安全觀么？

我不禁想起周光召院士的一句話，“只有紐約貧民區的黑人殺手才比金項鏈的粗細。”在我小時候，身邊有些同學津津樂道于他們打打殺殺的英勇，但他們并沒有成長為大俠，當然，也沒有成長為黑社會老大。

信息安全技術是體系化和層次化的，我從不否認實際環境下滲透攻擊和測試也是一種藝術，猶如人的雙手，重要、靈活，但決不是信息安全體系的全部。

如我在一篇文章中所說，錢學森比得上五個師，不是說錢老能手刃五個師的美國大兵，而是說技術的價值。而確有一些人在說什么讓博士和高中生各配一臺服務器互相黑一下，看看誰更牛，這就有如讓錢老和美國大兵一對一掐一下，實在幼稚可笑。

而一些青年則確實樂此不疲，在這些重復的事情被以高度的熱情和不懈的努力進行時，信息安全技術體系進展飛速，安全產品步入整合時代，漏洞發掘走向對方法論的探討，MD5算法被破解，而一些新的算法正在被構造。這也是一個江湖，一個真正龐大、深邃，值得我們凝視深思并為之奉獻一生的體系。

信息安全需要去避免浮華和虛榮，避免那種相互交流中變得虛泛和夸夸其談，避免那種可能因一城一地的得失，一兩個新名詞，一兩個新漏洞的不知曉帶來的沮喪。安全是一個龐大的體系。2000年，我能就每一個領域和朋友們探討，但如今大家在一起的時候，已變成如果不確實從事同一方向，基本無法深入到細節交流的情形。這種分化本身就是一種進步。

在和高校信息安全專業老師們的交流中，我表達了這樣一個觀點，即信息安全專業的學生和對普通計算機專業學生的要求應該是同質基礎，更高要求。如果說一個計算機專業的本科生能編寫合理、穩定的程序是一個基本的要求，那么信息安全專業的本科生的要求就是編寫合理、穩定、安全的程序，而不是現在我們所看到的一些認為自己是“搞安全的”畢業生，居然寫不出合格的程序。

一個信息安全工作者的成長需要經受深刻的寂寞的考驗，需要經受誘惑的洗禮。

預祝你們的活動取得成功。

江海客

對話二

肖前輩：

我是一個文學趣味頗濃的女生，對于一些理性的東西，我常常感性化處理，這也造成了我對于這樣理性的一種學科的一種抵觸，談不上有多不喜歡，但也無甚好感。所以我常常只是順從地學，而非自發地學。對于這點，我很遺憾，偶爾對于編程的興趣，也僅是一種日漸生情。

來學信息安全，當時的想法就是，既然我不能去學我最喜歡的清華的信息系統與信息管理，那么學其他的都不再重要了。于是我就來到了這里，暈暈沉沉地過完了我的大一。在其他人眼中，或許我已經夠出色了。但是我自己明白，我根本不知道自己該干什么，也根本沒有真正意義上地去了解我要學的內容，而把大多數時間用在英語上。我去看原版的C語言教材、Internet 技術教材，并不是為了學習計算機，而是對其中深入淺出的英語內涵更感興趣。我好像迷失了。

前輩，有的時候，我很向往武俠小說的那種獨自拼闖受傷，一個人坎坷地走過終成大器的境界，但是現在我似乎想坎坷都不知道到哪里坎坷。很憋悶的一種感覺。

作為計算機學院報紙“精彩e生”的編輯，我很想征求您的意見，您認為像我們這種院報，應該把科技資訊這個版面定位成什么樣子？對于這點，我百思不得其解，一個版面容量只有五六千字，登不了十分詳細的操作解疑類的文章，大家又不看專業性特別強的，這個度我實在拿捏不好，您能給我一點建議嗎？

Apirl

Apirl同學：

你好！

從你的信里，我看到三個部分：第一，是你道出對現狀的迷惑和思考；第二，是你對未來有些彷徨，以期望我給與一些道路的看法；第三，是你期望我對你們院報的一個版面提出參考。那我就逐一談談我的觀點吧。

首先，我要小小地打擊你一下，就是你對“清華的信息系統與信息管理”真的是一種理性的喜愛么？

我的意思是，專業失落感，不只發生在那些因為種種原因沒有成功選擇自己感興趣的學校專業的人身上，而是一種普遍的需要經歷的階段，因此這也不應成為一種不熱愛乃至不作為的借口。

雖然我承認，20世紀80年代的人要比我們更成熟，有更寬闊的知識面，但我相信在專業選擇過程中，我們的彷徨和疑惑一樣要浮現在你們身上。很多微小的東西都可能默然決定我們的好感或者厭倦。

高一的時候，我曾經想報考化學專業，因為我的化學老師對我那樣好，把她所有大學時代的書，都拿來給我看,包括在不教我之后，也不顧我們班任課老師有些不滿的目光，解答我關于一些有機化學的知識。高二、高三我堅決地要讀國防相關院校，為此我母親還哭了幾次，但我還是報考了哈工大的自控。

高考結束，哈工大來招生的老師看我的計算機學習是從小學開始的，就問我是否愿意去三系，說搞導彈也需要計算機。我拒絕了，我心里還有一個小算盤，因為我同校也有一個同學，保送工大三系，他在歷次吉林省信息學競賽中都獲得了前十名的成績。我當時覺得，就算我去了三系可能也無法超過他，還是去四系做個計算機比較突出的學生吧。現在想來，那時多么幼稚可笑。

大三那年，和我同屆的一個吉林大學生化專業的同學因為熱愛兵器，找到老師要換專業。聽到此事我一直在想，如果他知道搞導彈的人50%一生都沒見過實彈，每天只是和數模打交道他是否還這樣想。

其實，每一個專業都是一個獨立的帝國與王朝。我記得當年來高中招生的是一個九系的女老師，關于焊接專業的描述，她涓滴若水，娓娓道來。我能深切地感受到她對專業的熱愛與癡迷。后來我曾經問她這是她當年的第一專業選擇么？她說不是，是專業調劑的結果。今天想起來，當一個女孩子被調劑到焊接這樣的專業時，該有何等的沮喪？但她未能選之所愛之后，則能愛之所選，且仰之彌高，鉆之彌堅。我想，這對于在陰差陽錯之后感到失落的人們來說，是一個通解。

你說對于編程你已經“日漸生情”，這是一個很好的開始，希望你能堅持走下去。在安天研發部的墻壁上，有這樣一段話，“在我們生存的世界之外，有一個信息世界獨立存在著，我們對他凝視深思，熱忱地獻出我們的智慧與汗水，這是最高的幸福，是天堂。”這個世界何其瑰麗奇偉，而為了保障這個世界秩序的信息安全事業何等崇高莊嚴，值得我們為之奉獻一生。

你信中所言，你文學趣味頗濃，你不應為自己選擇了一個純理工專業而苦惱。在我看來，對于從事理工技術的人來說，這是何其大幸。翻開計算機鼻祖們留下的典籍，理性之中何嘗沒有激情感性的光芒。控制論的作者維納熱忱地贊美他的父親，說他具有“德國的思想、猶太的智慧和美國的精神”，也熱忱地夸獎她的母親，說她“把一個桀驁不馴的落魄才子(指他的父親)，改造為一個可以為社會所接受的人”。于是，一個精通二十國外語的斯拉夫語教授和一個名門的大家閨秀，把他們書卷氣濃郁的兒子，培養成19歲的數學博士，培養成30歲的美國數學學會會長，培養成控制論的創始人，計算機技術的三大鼻祖之一。

不知道你們看侯捷老師的書與大陸一些干癟抽象的計算機教材相比又有什么感受，是否有余香之感？相比之下，一些新生代程序員，是喜歡撈干的，他們不原意看《勿在沙灘筑高樓》這種感悟，而有著一種狂妄的唯技術崇拜，這，何其單薄。

從你描述的現狀來看，我倒是看到了一些具有普遍性的東西。你的現狀讓我聯想到了認識的多位師姐師妹。我發現一些典型的共性，那就是，對專業沒有達到癡迷，但同時又有著良好的學習成績。我想，這得益于女孩子良好的學習習慣、刻苦精神和上進心。而比起那些在校平平，后來在方向上作出成績的男孩子來說，他們更多的依靠于膽識、沖擊力和動手力。

做這樣的對比，是因為我希望你意識到，扎實的理論功底真的是一種令人羨慕的東西。2001年在我做基于成分分析的未知病毒判定這個方向的時候，我才感到我的數學功底多么差。而你實在有著比我們這批人更好的起點。雖然良好的學習成績不能完全等同于理論功底，但畢竟相隔已經不遠。就像我在2003年給哈工大病毒組的公開信中所論述的，科學成果來自“科學理論體系+科學實證精神+科學理想”的結合一樣。

如果你能把七分對基礎知識的學習深化為理論體系的基礎，如果你能把一分書卷之氣演變為一種科學理想，如果你能通過類似這樣的技術活動獲得兩分科學實證精神，那么就會有一條十分穩健的“大師之路”。

下面說說你們的雜志，我覺得對于綜合性雜志里面的專業內容，與其在專業、普及之間勉強定位，不如更宏觀一點。

從一定程度上說，我期望學生刊物或者就是技術的，或者就是人文的，純粹一些更好。雖然天下殊途同歸，雖然技術未必不散發著文化的魅力，而文化也未必不洋溢著技術的風采，但讓文化雜志更開放、更張揚、更POP一些，也許會有更好的收獲。對于“科技資訊”這樣的版面，我覺得應該是產業面的，是你們自己對于產業的系統描述、看法和理解。其最終著眼點是在于從一些情況出發，學會系統地采集資料，作出判斷，形成觀點，予以論證。

扎實的技術功力、豐富的實踐經驗，如果能輔以產業化的視野，往往能綻放更多的光華。有時梳理一些大公司的發展道路，你會驚嘆其技術體系上的一脈相承中，仿佛有著后知十年的預判。

母校有務實嚴謹的技術風格，但深度令人滿意，廣度則顯得不足。記得我在校時，一個師兄假期到清華園小住，回來慨嘆清華同學廣泛討論著尼氏的《數字化生存》，而我們的同學多數對此一無所知。

目前，安天的內部雜志《盾牌》的主編也是哈工大畢業生，若非安天有制度，內部雜志不允許外流出公司，不然倒也可以給你參考一二。

我手里有我在大學時主編的一期《計算機學友》，僅作為一點對比和參考吧！下載地址：

http://www.antiy.com/temp/cfriends.rar

你們的創造力、活力和現有的條件都不是我那個時候所能比擬的，如果被嘲笑為老朽，那不是我們這批人的悲哀，而是我們的幸福。

江海客