在今天看見明天
熱門: 台積電 兆豐金 勞退 勞保 航運股

不想輸韓國!台灣囝仔變頂尖駭客

不想輸韓國!台灣囝仔變頂尖駭客
擔任領隊的李倫銓是這次拿下亞軍的關鍵人物。

何佩珊

話題人物

攝影/林煒凱

922期

2014-08-21 12:54

年初才成立的小小駭客社團,今年一再上演大驚奇,首度出擊被視為全球駭客競賽最高殿堂的DEFCON CTF,就拿下亞軍,不僅讓全世界看見台灣的資安能量,更燃起台灣資安界的星星之火,這趟驚奇之旅看來還不到謝幕的時候。

今年八月,八位平均年紀只有二十二歲的台灣囝仔,在美國拉斯維加斯共同演出了一場精采的「駭客任務」。由國內知名資安社群CHROOT、台大和交大兩所學校成員組成的HITCON戰隊,在全球最受矚目、等級最高的DEFCON CTF資安競賽中,打敗十八支競爭對手,跌破眾人眼鏡拿下亞軍。

為何跌破眾人眼鏡?因為相較於其他進入決賽的十九隊,台灣代表隊簡直可用「名不見經傳」形容。

眾家對手中,率領美國PPP隊的是天才駭客Geohot,這傢伙在十七歲就破解了iPhone的封閉系統,二十二歲因破解PS3遊戲機而被索尼告上法院;此外,波蘭隊是當今全球CTF駭客比賽的積分冠軍;韓國擺明有國家力量扶持,共有五隊參加決賽;中國藍蓮花隊去年拿下第十一名,被陸媒形容為「中國尖端黑客力量」。


見韓國培訓 激發組隊熱血

 

台灣駭客競賽

▲領隊李倫銓(前排左二)帶著八名隊員和行政後勤人員,一同出征拉斯維加斯的DEFCON CTF,一舉拿下亞軍榮耀。 (圖片來源/李倫銓提供)


至於台灣,不但是首次進入決賽,甚至在今年五月中的預賽裡,HITCON只能以吊車尾之姿勉強擠進決賽圈。而這趟屬於台灣人的驚奇之旅,要從擔任HITCON領隊的李倫銓說起。

看外表,三十八歲的李倫銓就是一個標準上班族。交大資工所畢業、台大電機工程博士候選人,目前在企業負責資安工作。問他為什麼願意無償為資安社群付出這麼多,他自嘲,「就神經病啊。」但其實這種「研究到底,永不放棄」的態度,就是他們追求的駭客精神與價值。因此過去十年來,他與一群志同道合的朋友共同組織CHROOT資安社群,並連年舉辦「台灣駭客年會」;今年初開始,他又多了台大駭客攻防社指導老師的新身分。

這次比賽,據說中國代表隊的唯一使命是「打敗台灣」,至於李倫銓,目標倒不是打敗中國,之所以起心動念組隊參賽,「主要是被韓國激的。」

原來,常走訪各國、參加各大資安研討會的李倫銓,對於韓國近年來對資安的重視程度相當吃驚,「政府帶頭扶持下,韓國出現很多資安社群、比賽,還有BOB(Best of Best)計畫,挑出精英中的精英,由最頂尖的駭客專門訓練。」

看著鄰國資安實力越來越強,李倫銓也興起培育新血的想法,特別是去年起看到年輕選手的優異表現,更激勵他積極組隊,要帶這群台灣好手打遍各大賽事。

不過,這不是件容易的任務,「這個領域太精了,很少人接觸,更沒什麼人在教,是金字塔頂端的頂端。」李倫銓苦笑;而投入國內資安社群多年的資安公司DEVCORE創辦人翁浩正也指出組隊的困難:「這不只是要犧牲個人時間,更是對毅力的一大考驗。」


憑熱忱解題 擠進二十強


找人,是李倫銓遇到的第一個問題。他嘗試在台大社團裡發掘潛力新秀,然而當時社團大概僅十位社員,且專長多半不在資安,「但能不能成為高手,除了功力,最重要是熱忱。」

這次在DEFCON CTF決賽擔任隊長,剛從台科大資工系畢業的蔡政達也說,「有人覺得駭客很酷,問我怎麼入門,這時我會丟幾個題目給他,幾個星期之後,就能『測』出他只是想耍酷,還是真的有興趣。」

就這樣,HITCON戰隊慢慢成形,加上CHROOT和交大資工的支援,他們開始參加國內外大小競賽,並在五月初的百度盃,以新手之姿擊敗四六八支隊伍奪下冠軍,總積分甚至比排名第二到七名的加總都高。

緊接著五月十九日,HITCON又傳捷報,在DEFCON CTF的預賽中擠進第十二名,這預賽十二強、加上八支「種子隊」,就是DEFCON CTF決賽中的二十支出賽隊伍。換言之,HITCON不僅驚險取得決賽門票,也正式被列入「全球二十大頂尖駭客團隊」之列。論及這場戰役的「逆轉勝」,李倫銓至今仍有不可置信的感覺。

「我們在最後一個小時,排名還只在二十名左右……」李倫銓印象很深刻,「當時是凌晨,包括我自己在內的幾個老人覺得沒機會了,只是口頭上還是對年輕人說別放棄!」沒想到,奇蹟在最後一小時發生了,這群熱忱十足的小夥子,卯足全力解出一道四分題,讓團隊的總成績和名次隨之暴衝。

「一開始組隊時,我只希望三年後能打進DEFCON CTF決賽,壓根兒沒想到今年就能提前達陣。」李倫銓說。不過,新的問題又來了,錢!他概算,八名隊員加上後勤人力,飛往美國拉斯維加斯七天,至少需要籌到一二○萬元,對這群學生而言,不是一筆小數目。

「還好,趨勢科技二話不說就吃下全額補助。」李倫銓說,「其實在我們還是nobody的時候,趨勢科技已經贊助過我們前往中國參加百度盃的費用。」若沒有趨勢科技,HITCON的神奇之旅可能會提早畫下休止符。

終於,HITCON踏上傳說中的DEFCON CTF決賽會場,與世界各國頂尖駭客高手正面交鋒。走進現場,每支隊伍都會拿到一台伺服器,伺服器內有多個服務在運行,例如某個網路遊戲,你必須確保伺服器運作正常,更重要的是,不能讓裡面的檔案被偷走。如果只是服務當機,最多是把失分平分給其他隊伍,但若是檔案被偷,攻擊方得十九分的同時,自己也被扣十九分,「可以說是血淋淋的零和遊戲。」所以在出發前李倫銓對大家唯一的要求就是「不要被剃光頭!」


擬定戰略 墊底翻身往上衝

 

然而比賽剛開始二十分鐘,HITCON的士氣就大受打擊,明明未被攻擊,卻不斷「送分」給其他隊伍。原來是設計用來防衛的小工具出問題,意外被判定為服務當機,花了四回合,共二十分鐘才解除狀況,「所以比賽才開始,我們就墊底了!」

不過他們沒有讓這樣的窘境維持太久,發揮團隊默契加上分工策略,表現漸漸回穩,「多數時間,你只會看到這八個大男孩專心地盯著電腦螢幕,有人嘴上咬著麵包,卻忘了嚼,二十多分鐘還沒吞下一口。」

終於,第一天比賽快結束時,HITCON找到絕佳進攻機會。「對手的攻擊意外讓我們分析出網路遊戲的漏洞,但前提是要先在遊戲中賺取夠高的金錢。」所以成功攻擊機率相當低,「我們推算只有五%」,但若配合事先擬好的後門戰術,只要成功一次,就能不斷得分,因此他們還是決定大膽嘗試。

首先,在啟發遊戲漏洞部分,交給兩位程式功力一流的隊員Shik和Peter,接下來搭配蔡政達的後門戰術偷取檔案,「後門戰術的好處是,一旦成功入侵對方服務,即使漏洞被修補,每一回合都還是能偷到檔案。」就這樣,來自台灣的HITCON忽然從魯蛇(loser)變英雄,分數不斷飆高。

第一天賽事結束時,計分板上顯示HITCON暫居第五,「我們已經很開心了!」李倫銓說,沒想到隔天主辦單位更正積分,竟然躍升為第二名,「所有人都傻眼了。」

到第三天,主辦單位安排四強坐在賽場中心,「我們對面就是天才駭客Geohot。」更刺激的是,這時不再公開即時比分,「我們只知道一直被打,覺得大勢已去。」所以當主辦單位宣布HITCON拿下第二名的那刻,「我的手真的在發抖。」回憶當時,蔡政達仍掩不住興奮情緒。

對於這樣的成績,從百度盃開始注意到HITCON、並為他們拍紀錄片的導演黃建亮評論:「可以說是初生之犢不畏虎吧。」不過,李倫銓的評語卻嚴肅了起來,「選手的專注與實力值得肯定,但這不代表台灣資安比別人強。」他說。

就他看來,這次韓國隊一次有五支隊伍晉級決賽,才是真正可敬的實力。「這代表韓國有很好的環境可以養活這些人。」反觀台灣,「我們沒有藍海來留住人才。」他感嘆:「我們要做的事還有很多!」

不過HITCON一夕成名,著實為台灣資安社群帶來不小的助力,八月十六日由台灣駭客年會舉辦的資安競賽,吸引全球逾千支隊伍參賽,也包括了這回在DEFCON CTF決賽中讓台灣雖敗猶榮的Geohot。有趣的是,不同於DEFCON CTF只有榮耀、沒有獎金,這次李倫銓特別設計了二十二K(二萬二千元)的冠軍獎金,暗喻台灣看待資安人才的價值。

 

台灣駭客競賽

▲三天的緊張賽事讓選手幾乎無法闔眼,留下這幅累癱的畫面。(圖片來源/李倫銓提供)


DEFCON CTF資安競賽

DEFCON CTF是全球駭客界等級最高、歷史最悠久的CTF(Capture the Flag,搶旗比賽)公開賽,今年已經是第22屆。

預賽採取的是比較常見的線上解題賽制,在48小時內,每解出一道資安問題就可以取得積分,積分最高的前12名可以進入決賽。另外,決賽還會有8支種子隊,分別是前一年的DEFCON CTF冠軍及全球7大CTF競賽冠軍。

而決賽採取的是「網路攻防戰(Attack & Defence)」每支隊伍都要保護自己的伺服器不被入侵,同時進攻別人的伺服器奪旗。

延伸閱讀

太聰明的人反而難致富!為何醫師薪水這麼高、工作到退休也無法財務自由?變有錢的方法「意外簡單」

2024-02-22

退休存股千張中鋼(2002),股息300萬→35萬晚景淒涼...3條件挖出養老官股,這檔高股息、獲利高又會漲

2024-03-01

存夠退休金、搬到離醫院近的房子...老後只剩混吃等死?她40歲學理財身價逾億元揭「台灣人退休規劃最大錯誤」

2024-02-29

0056存股16年,他38歲提早退休身價上億,現在多存1檔00919的5個理由:一進場就往上漲「有效買點」曝光

2024-02-26

退休月領10萬元!0056、00878、00919...存股哪1檔CP值最高、成本最低?3張圖看「你離財富自由有多近」

2024-02-23