總編下午茶：自由的力量

2016年春節剛過，網絡安全圈子就傳出一個好消息。清華大學博士生陳建軍等研究者在美國舉行的學術會議NDSS'16 上發表的論文 “Forwarding-Loop Attacks in Content Delivery Networks” (CDN的轉發循環***)被評為杰出論文 (Distinguished Paper)。

這個“杰出論文”的分量有多重?答案是非常重!要知道，NDSS(Network and Distributed System Security Symposium)是國際公認的網絡和系統安全四大頂級學術會議(BIG4)之一，本次的4篇“杰出論文”是從389篇全球的研究論文中錄取的，分量相當重。此外據業內人士介紹，這次是中國科研機構在網絡和系統安全領域國際頂級會議上首度獲得最佳論文獎，具有標志性的意義。

值此契機，老楊約見了本次論文研究團隊負責人、清華大學網絡科學與網絡空間研究院段海新教授。3月的一個下午，在段教授回國的第二天，我們在清華大學東門外的一個咖啡廳見了面。

段海新是誰?

雖然是第一次見面，但“段海新”這個名字在我接觸網絡安全領域這些年中絲毫不感覺陌生。查詢一下百度就能知道段海新的“分量”：作為安全圈里年輕的教授，他現在已經是清華大學網絡與信息安全實驗室主任、博士生導師，還是中國教育和科研計算機網緊急響應組(CCERT)負責人，承擔過國家 973 、 863 、自然科學基金等多項國家級科研項目，在國際頂級學術會議或期刊上連續發表了多篇研究論文。

段海新（左二）和他的學生們 （圖片來自于網絡）

段海新不僅在國內外的科研界名氣響亮，對產業的敏感度和影響力也是一流。作為一個規范的科研人員，段海新團隊在做事方式上和傳統的漏洞挖掘有不小的差別。在文章發表之前，他們一般都和相關廠商進行聯系，事先修正問題，然后再行公布。無論國際和國內，業界人員提起段海新團隊，對其研究水平以及負責任的態度也都是認可的。曾經有微軟全球應急響應中心的人員收到了他們的報告，就其真實性找同事咨詢，然后被告知，這個團隊報過來的問題，百分之百是準確的。

其實本次獲獎論文本身就足以說明段海新和他們團隊的風格。從選題上講，他們的研究非常結合實際：作為目前網站加速和防范DDoS***最佳實踐方案的CDN本身，竟然存在著嚴重的結構性問題和被DoS***的風險!論文研究團隊成員之一鄭曉峰曾經在一次介紹這個論文的演講時用了“我們如何差一點拯救了互聯網”這個題目，可見這個選題的實用性!

但值得一提的是，段海新團隊并沒有“悄悄”地用這個事情抬高自己打擊別人，而是非常嚴謹負責地同廠商進行聯系和協商。他們前后測試了16個商業CDN產品，并通知了所有商家，同時和他們——包括Akamai、百度、CloudFlare、阿里、騰訊和Verizon等多家公司——的技術人員進行了廣泛的溝通和交流，共同探討解決方案;此外，由于防范這種***需要多個廠商統一協調的行動，清華團隊計劃作為公益性第三方的角色協調各廠商的安全防范技術規范。從宣傳效果上講，這些事情使得論文的震撼效應降低了很多，但這也許就是段海新的風格所在。

自由和純凈地向前走

老楊和段海新的會面是通過微信聯系的。本來約的是中午，但段老師前一天晚上告訴我，說當天下午還要開會，擔心時間局促，建議改在下午5:00。而當老楊剛剛趕到會面地點，距離見面還有兩三分鐘，收到了他的信息，說他晚到一會，大約5分鐘;而等老楊找到座位回復信息之后沒兩分鐘，一位一身休閑裝的紳士已經在門口叫我的名字了。

和在網上的照片相比，坐在我面前的段海新略顯憔悴，但保持著風度和熱情，這讓我看到了一種長期背負責任感的習慣。事后我才了解到，段老師夜里從美國返回，當天下午就上課，然后回家補覺，結果夜里三點就醒了怎么都睡不著。但段海新當時沒有太多解釋，只是說時差還沒倒過來，所以有點累。

談到上課，由于老楊也做過教師，我們的話題就從這里開始。

段海新是安全領域的知名“教師”。這些年來，他的多名弟子已經成為業內的明星級人物。且不說前幾年在學術界引起轟動的DNS協議漏洞發現者江健博士、發現HTTPSCookie注入問題的鄭曉峰，就說這兩年間，楊坤、朱文雷等創辦了長亭科技，還有一批“藍蓮花”戰隊的小伙子被業內各明星企業盯得緊緊的。

但是，中國的網絡安全人才培養一直是個大問題，雖然這幾年有所提升，但依然差距明顯。最關鍵的是，我們依然沒有看到一個成體系的安全培養方式。就拿大學來講，目前能達到像段海新團隊這樣在國內外有影響力的研究團隊其實還不太多。那么作為團隊的領頭人，段海新自己認為，他們的最大特點、或者說經驗，到底是什么?

面對我拋出的這個問題，段海新脫口而出：自由!

這是一個令我非常意外的詞，但從一向以“敢言”著稱的段海新口中說出，我倒不覺得吃驚。我想起來，加段海新微信的時候，他的簽名檔上寫的就是：“原諒我不羈放縱愛自由”。我腦子里又閃出“藍蓮花”，這個一直代表著中國出征全球網絡安全競賽的“藍蓮花”戰隊，正是在段海新所負責的實驗室中誕生。

我問段海新：“‘藍蓮花’這個名字是您起的嗎?這個名字和許巍那首歌有關系嗎?”

段海新點頭承認。2010年藍蓮花組隊，段海新一方面非常喜歡許巍歌里的那句“沒有什么能夠阻擋我對自由的向往”，另一方面也喜歡蓮花的那種出淤泥而不染，因此就用了這個名字。他希望自己的學生能夠在這個充滿誘惑的環境里，干凈而自由地向前走，不沾染那些壞的東西。段海新認為，學術的研究應該只是為了滿足人的好奇心，興趣是最大的驅動力。

段海新認為，安全領域不同于對自然現象的研究，大自然不會故意和你作對；但安全是人和人的對抗，這種對抗是無止境的。這種情況下，讓學生保持持續研究的關鍵，應該是興趣，就是說讓學生做自己喜歡做的事情。

在這方面，段海新的感受很深。他自己在讀書的時候，常常苦惱于無法做自己感興趣的事情，只能根據導師的要求完成任務;同時一個很大的苦悶就是沒有交流，也沒有人可以交流。因此，在做了老師、特別做教授有了一定自主性之后，段海新就非常喜歡跟學生討論具體的技術問題，如果能找到一些非常好的主意和點子，就會鼓勵學生繼續做下去，同時也在國際上尋找最領先的合作者。例如藍蓮花戰隊隊長楊坤的研究重點其實是軟件安全，這并非段海新的專長，但是他還是鼓勵楊坤沿著自己的興趣做研究，并且把他推薦到美國加州Berkeley著名教授Dawn Song那里參加美國國防部的CGC(Cyber Grand Challenge)項目，在那里經受更多的鍛煉。

自由，也是科研的重要原則

但是，除了在幫助學生成長方面重視他們的“自由”，安全研究和“自由”有關系嗎?段海新也給了我同樣肯定的答案。

段海新用他自己的親身體會告訴我，中國的學術研究機制和強調集體作戰，年輕教授沒有獨立的地位，每個人都屬于一個大的團隊，下級服從上級;這樣的結果是每個人都喪失了自己的獨立性，也就沒有了自由，沒有了獨立的學術思想。

段海新強調，每個人做自己喜歡做的事情，這是非常重要的，如果每個學校、每個院系都能夠保持這樣的激情，每個教授都獨立的做自己喜歡做的事情，也許不一定在CTF比賽或者學術論文上取得重大突破，但很可能在其他領域里嶄露頭角。事實證明，國際上出成績的很多院校，就是在這種情況下取得令人矚目的成績。段海新強調，一個學術研究團隊，核心的評價指標到底是什么?是看拿到了多少國家項目、給學校掙了多少錢，還是作出了多少創新成果?

我問他，國家項目和科研創新，應該是不矛盾的呀?這里面有什么問題嗎?

段海新回答說，現在的問題是，現在面向自由研究的項目越來越少，大規模的集團作戰越來越多，在這種情況下，年輕人的機會越來越少，往往需要依附某些大牌教授才能進行。年輕人缺少資源、成果被淹沒，只能等到“多年的媳婦熬成婆”。另外，學校有還有各種短期的考核指標，有時年輕人疲于應付，碰到什么項目就做什么，失去了自己的研究方向。

我不知道該說什么。沉默一會，我問他：“這種情況，現在有改善嗎?”

他很肯定的回答：“目前沒有，而且越來越糟糕。”

“那么，你想給年輕教授們說些什么?”

“我們都是在體制內生存，確實無法像國外教授那樣獨立自主做研究。但是，在基本滿足了現有體制的基本要求以后，還是要投入一些精力做一些自己喜歡的研究，特別是跟蹤國際研究的前沿。一開始也許可能沒有成績或者不被承認，但是堅持下來總會有收獲。如果全世界都承認你的成果了，現有的體制自然也就認可你了”，段海新如是說，研究也不能只是眼前的茍且，只是迎合現有條條框框來做研究，很難作出有影響力的成果。

【總編約茶】

“總編下午茶”是老楊主持的關注技術應用和IT前沿的訪談欄目。想和老楊一起喝下午茶?歡迎聯系yangwf@51cto.com。