CSS参会感受

Posted 2021-04-09 OG完美主义者

本周一、二两天，我去参加了腾讯的CSS安全大会。

原本这些年我已经不太去参加这类会议了，主要因为参加来参加去，每个会上的发言人都是那几位，说的话题内容也没什么新鲜感，所以参会基本上就等同于浪费时间。

但是因为从九月开始我要休年假了，届时其他安全大会也没时间参加，所以决定在休假前参加一次安全方面的大会，可能也是我今年参加的唯一一次安全大会了，毕竟我下半年还很忙。

主持人队伍还不错，头一天的主会场请了央视财经频道的主持人，第二天几个分会场好像请的也都是专业的年轻美女主持人，算是用心了。

本次会议的『镇场大神』请来了世界上第一个攻破安卓、ios、移动通信网络、远程汽车攻击的国外大神，这个阵容绝对算得上世界级。值得一提的是，我之前一直以为对汽车的远程攻击，只能实现对汽车内辅助系统的控制（如多媒体系统），但在本次会上演讲者播放的一段视频显示，其可以通过互联网远程让行使中的汽车突然刹车，这已经控制到了汽车的刹车制动系统。

几周前网上有消息称，一位网友一觉醒来，发现自己收到了很多条验证码短信，同时自己银行卡内的钱已被全部提光。案件告破后发现，攻击者使用了移动网络的臭探技术来盗取短信验证码。这种攻击方式的首创人也是本次会议邀请的另一位大神嘉宾，当论坛阶段，TK问他对此事件有何看法时，他略显尴尬，但还是作出了专业理性的回答。

现在搞安全都要拉上政府主管部门，毕竟政府支持是安全行业发展的重要助力，所以像腾讯这样的大公司自然也不例外。主管部门领导和中科院院士等也都现场发言，同时还介绍了明年即将全面使用的5G技术，以及其在安全方面的应对措施和仍将面临的挑战。

在大学教育中，安全已经成为了一级学科，全国已有30多所大学设立了安全专业，大学和企业联合也已成为安全教育的重要发展方向。而且部分知名黑客也受到了大学的邀请，签约成为客座教授，并会定期到大学里给学生们现场授课。

这方面非常值得关注的是大学对人才的抢夺，那真的是抢夺！！

为了吸引更好的生源，北航网络安全学院的刘校长可谓用尽各种手段，从教学生活条件、薪资待遇发展，再到不可言传的内部机密信息，该说的不该说的他全都说了。据他所说，北航在利用网络舆情控制民选结果方面的研究，已经在香港特首的选举过程中得到了很好的验证。用他自己的话说，就是“想让谁当选，谁就能当选”。

本次会议的分论坛话题也很丰富，从法律到伦理再到消费者的自我保护意识等方面都有讨论。当然也有一线技术带头人关于具体技术的研究和使用总结，比如云安全、防DDoS攻击等。其中一个明显的倾向是AI与安全的结合，有利用AI辅助传统安全工作的探索，也有尝试利用AI开辟全新安全研究思路的尝试，更有甚者已经把AI本身作为了Hack的目标，尝试发现AI自身的弱点、局限和漏洞。

安全这些年是越来越火了，但是我总感觉有相当程度的虚火。本次会议我的这个感觉也得到了部分印证。首先是市场规模小，整个安全行业的市场规模还不及一个传统业务转型互联网之初的市场规模。其次经历了这么多年的探索，安全行业的盈利模式仍然有待发现，如何变现、如何挣钱，仍然是所有安全企业面临的最大问题。目前主要还是靠政府的政策推动，这可能和安全行业多为技术人员创业有关，市场开拓和企业管理发展是安全企业普遍的弱点。

另外国内的安全行业整体环境非常混乱，偷偷摸摸搞小动作、玩阴招已经成了很多人的惯性思维，缺乏良性竞争和打磨产品的文化共识，动不动就想要黑了竞争对手。这一点在普通安全从业者中我也能够清楚的感受到，安全从业者群体一个普遍的特质是容易过分的批评，甚至是出言嘲讽谩骂，遇到一点看不惯或者看不懂的人和事，就要恶语相加，其用词、语气更像是个市井泼皮，并且其自身还会以此作为性格和态度的表现。总的来说从业人员整体素质不高（虽然自称为高科技人才），很多人的价值观都有倾向于灰黑产的趋势。

在这种情况下，自律的企业和安全从业人只有抱团取暖。

本次会议的一个遗憾是，一位原本预计参会的加密领域大神未能现场出席。此人是电影『达芬奇密码』中安全专家的原型，我对他仰慕已久，并曾在网上看过一些他的文章。他被列为世界十大科技作家之一，这十大作家之中还有牛顿、爱因斯坦......

最大的惊喜是见到了一位科学家中的哲学家、安全圈里的段子手——王飞跃。这位先生是个有趣的人，我把对他的第一印象发到了群里：这家伙要么是大开脑洞，要么是个大忽悠！

总的来说，两天的会议略显沉闷，很多人还在拿着几年前的技术填充PPT，但是也有些新的发现。

我今年的配额差不多已经用完了，下半年估计不会再参加此类会议了。