2017 先知创新大会现场盘点 | 以干货彰显实力

量子密码的现有研究和未来趋势

议题：量子和相对论密码学：基于物理原理的信息安全
演讲嘉宾：施尧耘  阿里云首席量子技术科学家，之江实验室副主任

“大型量子计算机出现后，目前广泛使用的公钥密码系统都不安全了。所以可以肯定的是这些系统会逐步被替换成我们不知道如何用量子计算机破解的系统。这就是所谓的‘后量子密码学’，美国国家标准局现在正在收集候选协议。这个对公钥密码系统颠覆已经在进行中，即使大型量子计算机的出现还很遥远。”这次的演讲，会围绕量子密码的现有研究和未来趋势，在中国做首次分享，技术本身和角度上都有创新点。

（图：施尧耘）

为黑客建立档案库

议题：跨浏览器设备指纹在黑客溯源中的应用
演讲嘉宾：云舒  默安科技CTO兼联合创始人；程进 默安科技安全研究员

设备指纹是一项常用在风控领域的技术，但在黑客溯源领域还鲜有人使用，本议题研究了目前最新的设备指纹技术--跨浏览器设备指纹，并且将之用在黑客溯源领域，当面对APT攻击的时候，利用该技术对能够十分准确标记黑客，还原黑客整个攻击路径，溯源黑客行为，及时通知管理员处理，给予攻击者一定的威胁。
程进介绍了多种最新的设备指纹特征，如音频指纹，WEBGL指纹，系统语言指纹，显卡指纹，WEBRTC获取IP的信息，等等，对这些新的和旧的设备指纹特征，利用机器学习计算指纹相似度，生成跨浏览器指纹作为攻击者唯一设备ID,用来识别，追踪攻击者，还原攻击者的攻击路径，为黑客溯源引入新的技术和思路。

（图：云舒）

（图：程进）

通过对互联网“黑话”的检测打击黑产

议题：互联网地下产业中的黑词检测及其应用
演讲嘉宾：段海新  清华大学网络科学与网络空间研究院教授，网络空间安全实验室主任

你知道“平马二中一”、“丁香五月天”、“咕噜咕噜出肉”都是什么含义吗？
如果你上网搜索完，可能会发现一个新世界。
段海新近年来一直从事互联网“黑话”的检测和研究。
“黑产词”是伴随黑产出现的产品同义词及违法产品本身的关键词的统称。非法商贩和买家通过协定新的词汇表示一种产品，以此躲避监管。例如段海新的研究主要Focus在黑产次的检测、黑词和白词的过滤、提取和判断。此项话题是公众非常有感知，但各大会议中很少介入的点。视角和互动性都有创新意义。

（图：段海新）

先知奖得主获得先知奖

在密码分析领域，王小云攻克了两大国际哈希函数标准MD5和SHA1分析难题，给出两算法的碰撞攻击，MD5由图灵奖获得者Rivest设计，SHA1由美国国家标准技术所NIST与安全局NSA设计，两算法是电子签名等众多密码系统的核心技术。该工作震惊了世界密码学界，引发了哈希函数分析与设计的研究热潮。

她主持设计了我国哈希函数标准SM3，该算法被纳入我国30个重要行业规范并广泛使用，涵盖计算机通信系统、数字证书、金融系统、国家电网、医疗保健、教育和交通系统等。此外，给出多个重要消息认证码算法ALPHA-MAC、MD5-MAC等子密钥恢复攻击。

（图：阿里巴巴总裁金建杭为王小云颁奖）

我是如何攻破那些安卓手机的

议题：Reloaded: Modern Android Devices Security Review
演讲嘉宾：Flanker  腾讯科恩实验室高级研究员

十年Android正值壮年。
Mobile Pwn2Own的舞台上，攻与防螺旋发展，利用的手法也不断演进，同时也促使厂商更注重Android平台的安全性，其安全性正在发生革命性的提升。

层出不穷的新功能、特性和防御机制会对漏洞的挖掘和利用带来哪些新的影响？

Flanker以多个Android厂商旗舰为例，结合静态逆向分析和动态fuzz方法，阐述了新形势下漏洞挖掘的方法和实践。

（图：Flanker）

如何静悄悄的用别人的账户为我买东西

议题：基于模拟态技术的物联网感知安全
演讲嘉宾：徐文渊  浙江大学电气工程学院教授博导, 浙江大学系统科学与工程系系主任

设想一个场景：你正在与同事讨论问题，放在一旁的手机却在暗中“忙活”，比如打开购物网站下单、拨打电话、打开文档和照片逐个查看。
一般来讲，人耳可以听到的声音在20至20000赫兹之间，而徐文渊团队发起的语音攻击，用的是20000至40000赫兹的超声波语音指令。它像海豚的叫声一样，人耳是听不见的。
浙江大学电气工程学院徐文渊教授团队经过上千次实验后证实，利用智能手机普遍应用的语音助手，通过麦克风收集使用者语音，并将之加载至人耳无法听见的超声波上，可以实现对智能手机的远程操控。

（图：徐文渊）

把最辛苦最繁琐的漏洞挖掘工作交给 AI 去做

议题：《漏洞挖掘的工业时代尾声，Android系统代码审计新思路与AI漏洞挖掘的结合》
演讲嘉宾：仲花 蚂蚁金服巴斯光年安全实验室高级安全工程师；此彼 蚂蚁金服巴斯光年安全实验室高级安全工程师

仲花&此彼在此议题中介绍了一种批量挖掘Android系统漏洞的全新角度，并关注被忽视的底层数据结构，以及通过代码审计发现Android系统中攻击面的方法，并展示相关实例。
最后，在结合现有的代码审计方法论下，提出一种新的基于AI的漏洞挖掘系统设计。仲花&此彼表示，“我们找到了一种方法，能够把最辛苦最繁琐的漏洞挖掘工作交给 AI 去做，帮助企业做好网络安全建设。”

（图：此彼）

（图：仲花）

通过机器学习帮企业判断是真的用户访问还是攻击

议题：基于生物行为特征构建多尺度复合神经网络安全模型
演讲嘉宾：张振宇  极验联合创始人

传统业务安全，往往基于单独的业务数据进行分析建模，构建防御系统，例如IP、设备指纹、历史路径、行为等，但是这些依然容易被黑产等攻击者发现绕过，难以做到有效或自适应的防御。
极验在5年多对交互产生的生物行为特征的研究基础上，构建了多尺度复合神经网络的安全模型，即在最细粒度的生物行为特征作为基础，通过层层抽象，分别建立生物特征层、动作交互层、场景模型层、意图习惯层等4个不同尺度又相互联系的安全模型，实现自免疫自适应的安全。

（图：张振宇）

以上内容转载自雷锋网|宅客频道

小数据的大作用

议题：边缘计算和纵深分析推动实现自适应安全

演讲嘉宾：董靖  思睿嘉得总裁 

全新纵深分析架构，与传统SIEM和大数据平台集中处理机制迥然不同，借助边缘计算和机器学习，将数据分析节点小型化，可部署至单台服务器或端点，对局部区域小规模数据集仍有极佳效果。

分布于内网、边界、数据中心、和混合云，持续评估关键数据资产、网络异常流量、用户及设备恶意行为等风险，按照ATT&CK框架检测未知攻击，对内网横向移动等有特效；集成网络和终端调查取证和应急能力，亦可额外内置蜜罐和欺骗等模块；宛若每个局部拥有小型SIEM，实现自适应持续检测响应闭环，接受统一管理并可相互协调；部署只需快速接入服务器或安装端点软件，无需巨资投入集中计算资源和带宽，即可实现无处不在的智能安全分析，即使基础设施架构频繁调整仍能发挥效用。

（图：董靖）

AI 时代的网络安全攻击和防御

议题：AI时代的攻防透视

演讲嘉宾：武广柱  百度首席安全架构师

AI时代，Cyberspace和现实物理世界的链接将前所未有的紧密。一方面，防御方正利用AI从感知层、执行层、战略层来强化Cybersecurity；而另一方面，攻击方在继续威胁传统的系统安全的同时，也将带来对AI自身的安全威胁。

本报告将结合目前工业界和学术界的最新前沿进展，深入透析AI时代的攻与防。

（图：武广柱）

Android 和 iOS 安全机制解析

议题：移动系统漏洞攻防 - 永恒战争中的持续创新 

演讲嘉宾：宋杨  阿里巴巴安全部Pandora Lab 高级安全专家

对iOS和安卓系统的安全机制的解析，以及对应的漏洞利用方法（比较通用）的研究，最终展示iOS最新系统越狱和Android手机的Root的视频。

在这个议题中对比讲解了安卓和iOS安全机制，同时演示了可以适用于市面上绝大多数Android手机的Universal Root，并且在iPhone X演示了iOS最新系统的完美越狱，现在虽然越狱和Root也有其他人实现，但完美越狱和Universal Root目前能看到的只有Pandora Lab能够实现。

（图：宋杨）

蚂蚁 AI 的整体布局

议题：人工智能在蚂蚁的一些实践

演讲嘉宾：漆远  蚂蚁金服首席数据科学家

（图：漆远）

一种对抗网络监听的方法

议题：向NSA说“不”：一种敏捷自适应的互联网抗监听安全通信方法 

演讲嘉宾：呆呆    

随着全球政府级网络实时监听+海量敏感隐私数据掌控，小团体、个人用户的“匿名”已经变得几乎不可能，我们只能退而求其次，在明知对方全面监听的前提下，尽可能的安全、高效、可靠的传输敏感数据。 

本议题结合电子对抗领域使用的“基于伪随机图谱的跳频通信”思想，提出一种基于伪随机码流发生器+多路匿名通信网络+自适应算法的互联网抗监听通信方法。

挖掘 AI 的漏洞

议题：深度学习框架中的漏洞与利用

演讲嘉宾：李康 360网络安全北美研究院负责人

深度学习引领着新一轮的人工智能浪潮，受到工业界以及全社会的广泛关注。尽管安全人员对深度学习系统的安全问题已开始关注，但对深度学习的安全研究大多集中在对抗算法以及数据污染方向，对深度学习应用实现本身的安全并没有给予足够的重视。  
通过分析常用的深度学习框架软件实现，360  安全团队在2017年夏天发现并公布了多个安全漏洞，涉及到的深度学习框架包括Caffe，TensorFlow，Torch等。  这些漏洞会导致多种对深度学习应用的威胁，包括拒绝服务攻击，逃逸攻击，以及通过深度学习系统漏洞来实现远程劫持。  此次演讲将现场展示这些深度学习框架中的安全隐患，目的是提醒公众在期待人工智能应用的同时关注人工智能系统实现的安全问题。

（图：李康）

AI 模仿笔迹原理解析

议题：从AI模仿笔迹看人工智能带来的安全新问题

演讲嘉宾：李闯  中国金融认证中心机器学习实验室高级研究员

字据是自古以来重要的契约凭据，使用人工智能技术能否模仿甚至伪造人类的笔迹签名呢？此次演讲为你详细介绍ai模拟笔迹的成果，以及详细技术原理，如何利用深度神经网络学习到人类书写风格，又如何利用机械臂拿起笔真正的在纸上书写模仿文字。

（图：李闯）

现场众测热火朝天

除了议题分享，本次先知创新大会还设立了现场众测环节。在合作方陌陌SRC 的大力支持下，先知首次尝试了把众测搬到线下，把白帽子们真正意义上地聚集在一起进行漏洞挖掘。经过了两天的比拼，陌陌SRC 收到了满意的结果，白帽子们也收获了经验和成长。

（图：现场众测）

未来感的黑科技展台

在现场，我们看到了一款最新的黑科技——飞猪未来酒店。这是飞猪将信用住和阿里实人认证技术进行结合的新技术产品。相比传统酒店入住，需把身份证给到前台，前台服务员通过肉眼判断用户和身份证上的人是否人证一致，不仅整体入住效率低，用户体验差，同时还存在信息泄露的风险。

飞猪的新技术产品则是利用人脸识别等生物识别技术，结合实人可信模型在线校验酒店入住人的身份真实性和有效性，让酒店实现去前台化，同时还能落实“实名、实数、实情、实时”四实登记要求，并降低酒店的人工成本。

客人到达酒店，在自助刷脸机上选择持身份证入住，身份信息读取成功后，将唤起人脸识别进行人证合一校验，系统自动识别客人飞猪信用住订单，并同步到酒店管理系统，完成入住办理，校验顺利情况下，整个过程仅需大约30秒。
目前，互联网各类产业对身份核实服务的需求越来越庞大，阿里实人认证技术已在阿里生态内多种领域进行应用，包括电商类、文娱类、通信行业等。

（图：实人认证）

 ZHI 的主题曲

一首属于 ZHI 的主题曲，由虾米音乐寻找的未曝光少年阿克江倾力打造，致敬技术者的信仰。

原文发布时间为：2017-11-18

本文来自云栖社区合作伙伴“阿里云安全”，了解相关信息可以关注“阿里云安全”微信公众号