致信息安全专业同学们的信： 很抱歉这么晚才回信，无奈连日来的工作实在过于紧张，今晚返回北京，因此在路上给你们写了回信。 你们的状况其实很典型，专业的优越感如果不加以良好引导，则会转化为失落和下滑，大学生成长心理是微妙的，而其中比较可怕的是专业梦想的幻灭，这将是巨大的挑战和挫折。 在今年招聘的过程中和武汉大学信息安全专业的同学们交流的过程中，我就感受到这一点，一个同学说，直到大三，他才知道这个专业不是培养技术间谍的.... 想想我自己，当年带着对航天事业的神圣使命感来到了哈工大的自控专业，如果不是因为某事突发了这种幻灭，不会改弦易辙选择做程序员的道路。我深知这种幻灭对人的影响。 但同时，我也希望向你们指出的是，无论一个人高中时代是否很出色，其对专业的选择和理解，都是幼稚而浅薄的。凡是在自己所选择的方向上有所发展的人，都无法不经历过彷徨与茫然，反思与自新的凤凰涅磐，浴火重生。而这个过程其实不是仅仅依靠校方的专业引导能实现的，要靠大家自己。 在此我要强调一下，我并不反对你们积极的投身于很具体的安全实践。我很不喜欢那种只会纸上谈兵式的安全工作者，云晓春老师曾忧心忡忡的慨叹：“全国每年以入侵检测课题毕业的学生这么多，却没有几个能完成一个规范的入侵现场勘查和事后取证”，我深以为然。 对于你们的活动，我也是很支持的，信息安全专业的学生，如果连一些常见的安全工具都没有接触过当然是不可想象的。当然我的确有一些担心，但这种担心不在活动本身。而在于任何事情都有其潜在的结果。 我希望这个活动达到的目的是，增加同学们对信息安全的感性认识和理解，增强对安全本质与体系的思考，增强实际分析问题、解决问题的能力，在成长为一个全面的信息安全工作者的路上，打开兴趣的大门。但另外一些引导我觉得也是需要在活动中贯彻的，那就是信息安全的全景视图和信息安全工作者的从业道德。 我过去批评过几类人，入侵迷、工具收集狂和bugtraq的fans。而这种人所以能大量涌现，的确是相关的活动确实带给实施者以难以名状的快感。 从那些每日比拼着肉鸡数量、比拼着所进入的站点、比拼着所拥有的独门暗器、比拼着自己所了解漏洞的多少的所谓小红客们身上，不知道你们是否能读出我的忧虑，这些东西无不带给人极大的快感，这也是一个江湖，甚至这个江湖还支撑着一个地下产业。但这里是不是一个信息安全工作者的正途？这难道不是一种狭隘而偏执的安全观么？ 我不禁想起周光召院士的一句话，只有纽约贫民区的黑人杀手才比金项链的粗细呢，我小时候有些同学津津乐道的是他们打打杀杀的英勇，但他们并没有成长为大侠，当然，也没有成长为黑社会老大。 信息安全技术是体系化和层次化的，我从不否认实际环境下渗透攻击和测试也是一种艺术，犹如人的双手，重要、灵活，但决不是信息安全体系的全部。 如我在一篇文章中所说，说钱学森定的上五个师，不是说钱老能手刃五个师的美国大兵，而是说技术的价值。而确有一些人在说什么让博士和高中生各配一台服务器互相黑一下，看看谁更牛，这就有如让钱老和美国大兵一对一掐一下，实在幼稚可笑。 而一些青年则确实乐此不疲，在这些重复的事情被以高度的热情和不懈的努力进行时，信息安全技术体系进展飞速，安全产品走入整合时代，漏洞发掘走向对方法论的探讨，MD5算法被破解，而一些新的算法正在被构造。这也是一个江湖，一个真正庞大、深邃、值得我们凝视深思并为之奉献一身的体系。 信息安全需要去避免浮华和虚荣，避免那种相互交流中变得虚泛和夸夸其谈，避免那种可能因一城一地的得失，一两个新名词，一两个新漏洞的不知晓带来的沮丧，安全是一个庞大的体系，2000年，我能就每一个领域和朋友们交流，但如今大家在一起的时候，都变成如果不确实从事同一方向，基本无法深入到细节交流，这种分化本身就是一种进步。 我在和高校信息安全专业老师们的交流中，我表达了这样一个观点，即信息安全专业的学生和对普通计算机专业学生的要求应该是同质基础，更高要求，如果说一个计算机专业的本科生能编写合理、稳定的程序是一个基本的要求，那么信息安全专业的本科生要求就是编写合理、稳定、安全的程序。而不是现在我们所看到的一些认为自己是“搞安全的”毕业生，居然写不出合格的程序。这一点，我的这个认识，我觉得需要传达给你们。 一个信息安全工作者的成长需要深刻的经受寂寞的考验，需要经受诱惑的洗礼。 我转我以前写的其他两篇文章给你，可以提提你们的看法。并预祝你们的活动取得成功。

评论