零日漏洞利用市場

零日漏洞市場是與漏洞利用交易相關的一種商業活動。

軟體漏洞和「利用程序」可被用來遠程訪問已存儲的資訊以及實時生成的資訊。由於當今大多數國家中網際網路內容和服務提供商具有一定的壟斷性，絕大多數人使用相同的軟體，因此某一個特定漏洞可能被用於攻擊成千上萬甚至數百萬人。在這種背景下，犯罪分子開始對這類漏洞產生興趣。邁克菲公司戰略與國際研究中心在2014年的一份報告中估計，網路犯罪和網路間諜活動的成本每年約為1600億美元。全球範圍內，各國已設立公共機構來應對此問題，但這些機構很可能與本國政府為預防犯罪而獲取公眾資訊的利益發生衝突。因此，國家安全機構與犯罪分子都會對使用者以及原始開發者隱瞞某些軟體漏洞。這類漏洞被稱為零日漏洞。

學術界和主流媒體已經對市場中零日漏洞的監管進行了大量討論。然而，由於對零日漏洞的大多數定義相當模糊或不適用，很難達成共識，因為只有在某些軟體被實際使用後，才能將其用途界定為惡意軟體。此外，國家運作內部還存在利益衝突，這可能會阻礙制定強制披露零日漏洞的監管措施。政府一方面需要通過向私營企業報告漏洞來保護公民的隱私，另一方面又需要權衡此舉可能削弱其針對目標（這些目標同樣可能威脅公共安全）所使用的通信技術。通過利用對企業和公眾均未知的軟體漏洞來維護國家安全，對安全機構而言是一種重要資源，但同時也會危及每一位使用者的安全，因為包括犯罪組織在內的任何第三方都可能利用同樣的資源。因此，只有使用者和私營企業才有動機儘量降低與零日漏洞相關的風險：前者是為了避免隱私被侵犯，後者則是為了降低數據洩露的成本。這些成本包括法律程序費用、開發修復或「打補丁」以修補軟體原始漏洞的相關費用，以及因客戶對產品信心下降而產生的成本。

## 描述

Ablon、Libicki 與 Golay已在很大程度上闡述了零日漏洞市場的內部運作機制。其主要發現可歸納為五個組成部分：商品、貨幣、市場、供給與需求。下文將對這些組成部分及其與定價之間的關係加以說明。此外，關於需求要素的定義亦將受到審視，因為理解各類市場（即白市、灰市與黑市）的性質及其監管狀況（或缺乏監管）至關重要。

### 商品性

漏洞利用（exploit）是一種數字產品，這意味著它屬於資訊商品，其邊際生產成本幾乎為零。然而，它又不同於一般的資訊商品。與電子書或數字視頻不同，漏洞利用並不會因為易於複製而貶值；相反，一旦被公開，原開發者通常會通過「打補丁」修復漏洞，從而降低該商品的價值。

其價值不會降為零，主要有兩個原因：補丁的傳播具有不對稱性；開發者可以基於原有漏洞以更低成本創造變種。此外，它們還具有時間敏感性。軟體公司會定期更新產品，而補丁只在版本更新之間的這段時間內有效；有時漏洞甚至可能在沒有外部報告的情況下被修復。第三，即使在保密的交易中，漏洞利用本身的使用也可能在使用者端產生異常，從而暴露漏洞並導致其價值下降。從這個意義上說，漏洞利用具有非排他性，但未必是非競爭性的：當越來越多用戶使用某個零日漏洞時，其影響對相關公司的可見度也會提高。這可能促使公司更快地修補漏洞，從而使該漏洞利用只在有限時間內對所有使用者可用。

### 貨幣

在大多數情況下，交易通常被設計為保護參與交換的至少一方的身份。這取決於市場類型——在白市中可以使用可追蹤的資金——但大多數購買是通過被盜的數字資金（信用卡）以及加密貨幣進行的。雖然後者在近幾年已成為主流趨勢，但灰色市場中的價格通常以美元計價，這一點可以從「Hacking Team」電子郵件檔案的洩露中看出。

### 市場

傳統上，黑市——如非法武器或毒品交易——需要一個龐大的、彼此信任的網路來完成交易撮合、文件偽造、資金轉移以及非法運輸等活動。由於在這些網路中很難執行任何法律協議，許多犯罪組織傾向於在熟人或本地範圍內招募成員。這種「地理接近性」會提高交易成本，因為跨國交易需要更多中間人，從而降低最初賣家的整體利潤。

相比之下，零日漏洞是一種虛擬產品，藉助現有技術可以在網際網路上輕鬆銷售，無需中介，因為這些技術能夠以極低成本提供匿名性。即使需要中介，也可以利用「不知情的數據搬運者」（data mules）來避免留下任何違法證據。這也是為什麼黑市相較於灰色市場更加盈利。灰色市場通常涉及與負責國家安全的公共機構進行交易，一般需要藉助第三方來掩蓋交易痕跡。例如，「Hacking Team」檔案中包含了據稱與厄瓜多國家情報秘書處簽訂的合同，其中使用了兩個中介：Robotec 和 Theola。同一檔案還稱，第三方公司 Cicom 和 Robotec 分別代表 FBI 和 DEA 進行合同談判。相比之下，白市較少面臨這一問題，因為其並無隱藏交易的動機，反而公司通常會積極推廣其新發布的補丁。

### 供應

供應鏈十分複雜，涉及多個按等級劃分的參與者：管理者（Administrators）處於頂端，其次是技術專家，接下來的環節是中介、經紀人和商家（其專業程度參差不齊），最後是知情騾子（Witting mules）。

在這一指揮鏈中存在多種產品。雖然「零日漏洞」（Zero-day exploits）只能由領域專家發現或開發，但其他漏洞幾乎可以被任何有意進入黑市的人輕鬆商業化。這主要有兩個原因：部分設備運行的是過時或已廢棄的軟體，這使得一些本該失效的漏洞仍能輕易發揮作用；這些「半日漏洞」（Half-day exploits）可以通過圖形界面操作，並能通過公開的教程學習。這意味著成為該市場的賣家幾乎不需要什麼專業技術。

零日漏洞市場與半日漏洞市場的共存，增強了黑市的韌性。隨著開發者不斷向更高端的技術領域遷移，儘管針對有組織犯罪的打擊行動日益增加，但被取締的供應商很容易被金字塔底層的人員取代。一次持續數月的取締行動之後，往往只需不到一天的時間就能找到新的供應商。

然而，要進入該行業的頂端，需要深厚的人脈關係和良好的聲譽，在這一點上，數字黑市與實體黑市並無二致。半日漏洞通常在較易訪問的場所交易；而零日漏洞則往往需要通過「雙盲」拍賣，並使用多層加密來規避執法部門的追蹤。此類交易無法在普通的論壇或布告欄上進行，因此只發生在經過嚴格審核的特定空間。

### 需求

Afidler 參考哈佛商學院的市場規模分析方法，對白市、灰色市場和黑市進行了區分。其在此基礎上進一步界定了三類市場的不同特徵。

白市是指原始開發者會對報告漏洞的安全研究人員給予獎勵的市場。平均而言，截至2014年的報價通常低於1萬美元，但針對某些特定漏洞（取決於漏洞類型、嚴重性以及受影響軟體的性質），也曾出現高達10萬美元的特別報價。在過去十年中，Microsoft、Apple 和 Adobe 的漏洞中約有14%來自白市項目。

黑市的主要買家是犯罪分子；不過，當政府無法在灰色市場滿足需求，或因國際監管限制難以獲取零日漏洞時，也可能成為買家。Hacking Team 在其網站上聲稱其「不會向被 美國、歐盟、聯合國、NATO 或 ASEAN 列入黑名單的國家或政府出售產品」，但實際上曾被發現違反自身政策。在該市場中，價格通常比白市高出10至100倍，且會因買方所在地不同而變化；例如，美國往往能獲得最優價格。那些被禁止在特定地區（如對美國而言的古巴和朝鮮）銷售的潛在賣家，也更可能轉向黑市。

灰色市場的買家包括私營部門客戶、政府以及轉售漏洞的中間商。有關這些市場的資訊通常只能通過向政府申請獲取的機密資料（其中價格往往出於安全原因被刪減），以及來自國家安全機構和私營公司的洩露資訊（如 FinFisher 和 Hacking Team）來了解。

Tsyrklevich 對 Hacking Team 的交易進行了報導。目前來看，這些資料是了解灰色市場運作機制的最佳證據。不過，這些運作方式中的一部分，很可能同樣適用於白市和黑市：

買方通常會遵循標準的軟體採購流程，包括測試、交付和驗收等環節。由於此類產品本質上依賴於買賣雙方之間的資訊不對稱，因此在採購過程中往往需要就保修條款和具體需求進行談判。諸如目標軟體配置等需求需要提前協商，因為後續為新增目標提供支持可能不可行，或成本過高。

——Vlad Tsyrklevich，〈Hacking Team：零日漏洞市場案例研究〉,https://tsyrklevich.net/2015/07/22/hacking-team-0day-market/

### 爭議

通常而言，反對灰色市場的主要是該市場中商品的零售商，因為灰色市場會損害其利潤和聲譽。因此，這些零售商往往會向原始製造商施壓，要求其調整官方的分銷渠道。國家在發生違法行為時，也會在執法和處罰方面發揮重要作用。然而，零日漏洞利用市場具有一定的特殊性，其運作方式更接近黑市。經紀人和漏洞賞金項目（可視為零日漏洞的「零售商」）對這些「問題產品」的原始生產者並沒有任何控制權，因為這些漏洞是由不同且往往匿名的參與者獨立發現的。因此，他們沒有動力改變分銷渠道，因為他們可以同時從白市和灰色市場中獲利，而在白市中的風險更低。

各國政府通常會配合原始製造商的努力來限制灰色市場，但在零日漏洞市場中卻扮演著不同的角色，因為它們本身也是漏洞利用的常規買家。鑑於資訊安全領域的高度保密性，政府往往不願公開軟體漏洞資訊，因為在這一情境下，它們的利益與試圖入侵設備、獲取特定目標資訊的犯罪分子存在一定程度的一致性。可以認為，情報機構作為這種「問題產品」的消費者，反而可能進一步推高零日漏洞的價格，因為合法市場的存在為黑市賣家提供了更強的議價能力。

最後，私營公司通常不願將漏洞賞金提高到灰色市場和黑市所達到的水平，理由是這對於防禦性市場而言不可持續。既有研究表明，與僱傭內部安全研究人員相比，漏洞獎勵計劃對私營企業而言通常更具成本效益，但如果獎勵金額持續上升，這種優勢可能不再存在。

2015年，Zerodium（一家專注於收購「高風險漏洞」的初創公司）宣布推出其新的漏洞賞金計劃。該公司公布了漏洞提交的格式要求、定價標準（包括受影響軟體的流行程度與複雜性，以及所提交漏洞利用的質量），以及具體的收購價格。這種模式結合了傳統漏洞獎勵計劃的透明性與灰色市場和黑市中提供的高額報酬。軟體開發公司普遍將這一新做法視為一種威脅，主要原因在於高額賞金可能促使開發人員和測試人員離開其本職工作。不過，這一模式對市場的具體影響仍有待觀察。

此外，美國國家安全局（NSA）也因大量收購併囤積零日漏洞而受到批評。這些漏洞被長期保密，並主要用於發展進攻性能力，而非用於修補安全漏洞。