浙江大学周亚金：“又破又立”的顶尖安全学者，好奇心驱动的行动派

会员服务 ·

浙江大学周亚金：“又破又立”的顶尖安全学者，好奇心驱动的行动派

2022 年 7 月 6 日 量子位

AMiner × 量子位联合出品

编者按：

周亚金，现为浙江大学计算机科学与技术学院和网络空间安全学院“百人计划”研究员。

2010年，移动安全元年之时，刚好读博士的他从计算机底层技术转向移动安全，师从计算机安全著名学者蒋旭宪教授。

从此开启安全研究生涯，从0参与了一个领域的崛起。

他形容自己对计算机的热爱——其实并不需要外部支持或者条件，只要一个装满可乐和披萨的冰箱，一台电脑，一些勇往直前的勇气，就可以用计算机去创造自己想创造的。

如今，作为浙大研究员的他仍在享受安全研究这一领域的乐趣，并指出目前我们太过分强调新的攻击场景和攻击向量，反而忽视了系统化的安全体系和防御的构建。

后者才是应该花大力气去做的事情。

今年1月，在AMiner团队推出的AI 2000榜单中，周亚金入选2022年全球人工智能最具影响力学者。

AMiner也有幸和他进行了一次深入对话。

△ 图源CCF区块链技术大会

博士期间转赛道，做出顶级开创性研究

2010年被认为是移动安全的元年。

当时智能手机刚刚开始成熟并普及起来，既有苹果发布iOS 4，又有Google接连推出Android 2.1、2.2和2.3。

但天地初开，难免也有混沌的角落。

很快，手机游戏的盗版和破解发展到如火如荼的阶段，iOS越狱在一些国家被承认合法，恶意软件成了“家常便饭”。

也同样是在这一年，周亚金进入北卡罗来纳州立大学计算机科学系攻读博士学位，师从计算机安全著名学者蒋旭宪博士。

研究团队当时主要研究与底层系统技术研发相关的安全问题，这个研究方向对于周亚金来说既是新鲜的，也与他此前的计算机操作系统研究背景有所继承，因此，周亚金开启了他的安全研究生涯。

周亚金所在的研究团队是国际上最早进行移动安全研究的团队之一。

对于研究者来说，从0开始参与一个领域的崛起，既是一种幸运，也是一种全新的挑战。

周亚金所在的研究团队一开始就从移动APP生态安全角度去研究这些现象。

他们注意到，当时移动生态非常混乱，有很多的恶意应用进入第三方市场，甚至是像谷歌的官方市场都有很多的恶意应用，第三方手机厂商甚至可以随意预装APP，而且预装的APP还不能卸载。

除此之外，还有许多广告平台窃取用户的隐私、盗版APP等。

那么，究竟这些恶意应用是从哪里来的？是如何传播的？具体的工作方式又是什么？

虽然没有任何产业界的人士委托或者与研究团队交流这些问题，但周亚金所在的研究团队判断，这些问题是非常重要的。

并且此时市面上也没有一篇研究能够很好解答这些问题。虽然其中不乏一些学者同样意识到这些问题的严峻性，但尚不知道从何入手。

带着上述问题出发，从2010年开始，周亚金所在的研究团队在蒋旭宪教授的带领下不断收集市面上移动APP的软件样本。

随着样本数量增加，他们所收集的样本在当时甚至比一些专业安全公司还要齐全。

当然，只是收集样本还不够。

在这个基础上，他们又开发了新的技术，去检测和理解这些移动恶意应用的完整工作方式，最终形成了2012年这篇被IEEE S&P所接收的领域开创性研究。

这项当时最大规模的研究中，他们分享了所用的底层技术架构和完整的APP样本，这也是移动安全领域早期的重要开源实践之一。

以这项研究为起点，在2010年到2018年的8年时间内，工业界的整个产业链都加入进来，对恶意应用的研究规模越来越大，越来越多的研发工程师收集到了更多的数据，进而开发出更先进的技术，顶级学术会议也大量出现Android安全的各类论文。

目前，根据AMiner数据显示，这项研究的引用率达到了2679，且论文相关的Android Malware Genome Project，也是安卓安全研究者最有价值的参考项目之一，惠及了全球安全产业。

在多方力量推动下，目前移动APP安全中的多数问题都得到缓解，整个生态也变得更加成熟有序，最终的受益的是全球数以亿计的智能手机用户。

安全研究“又破又立”的独特体验

当问到从研究计算机底层技术转向移动安全是不是一种“降维打击”时，周亚金否认了这种说法。

但他也强调，早年间的计算机系统底层技术研发让他受益匪浅，正是因为有了基础理论的根基，所以在研究移动安全和其他安全问题上，才能更得心应手，能源源不断地汲取养分。

周亚金表示，不管做什么方向的安全研究，或者做应用产品，底层技术都是重要的，需要打好基础。

比如说信息安全学科，它一部分的根是在计算机科学中，了解整个计算机系统是怎么工作的，这样之后无论研究怎样的应用方向，都能提供比较好的支撑。

所以，如果想从事安全领域，他觉得可能需要几个特质：

1、好奇心。当我们去讨论新的问题或者看到一个新事物的时候，你会从各个方面去解构其原理，想要迫切地知道它是怎么工作的。知道其工作原理之后，会想了解系统中有没有某些假定在实际过程是不成立的，这样可以想到别人可能想不到点和角度。所以好奇心非常重要；

2、打好基础。如上文所言，计算机安全中有系统安全、密码安全等各种领域，只是系统安全领域的大部分的根还在计算机科学中，比如操作系统、体系结构、编译原理，这是计算机三大核心课程，所以基础一定要打好；

3、平时可以多培养一些攻防兼备的技能。

事实上，这些特质也是周亚金多年从事安全研究的亲身体会。

在他的个人主页，有这样一段加粗的英文：

If you want to set off and go develop some grand new thing, you don’t need millions of dollars of capitalization. You need enough pizza and Diet Coke to stick in your refrigerator, a cheap PC to work on, and the dedication to go through with it.

这段话出自游戏界大牛John Carmack。

周亚金之所以在自己的主页上展示这段话，一方面是他对John Carmack的欣赏之情，另一方面，也是因为这段话道出了他对于计算机的热爱——

你其实并不需要外部支持或者条件，只要一个装满可乐和披萨的冰箱，一台电脑，一些勇往直前的勇气，就可以用计算机去创造你想创造的。

“只要有好奇心你就会想亲手实践一些东西，Make your hands dirty才能体会过程中的很多乐趣。

这段话其实对我影响很大，直到今天，我还是会去亲手去实践一些想法。

这也是计算机安全研究的魅力所在，如果你只是做一个系统的构建者，那么你永远接触不到作为一个系统破坏者的乐趣和体验。

当然这并不是说鼓励去做系统的破坏者，但是做安全，需要有破坏性的思维，可以让你以一种合理和合法的手段去感受破坏的乐趣，而且在这个过程中可以得到系统构建的快感，因为破坏了之后就需要思考构建的问题。

在破坏了之后能举一反三，能更理解系统的弱点在哪，要考虑更安全的情况，这是做安全研究所带给我最大的乐趣。

既能体验到破坏的快感和新鲜感，也能体会到构建系统的成功感，这是安全研究与众不同的一点。”

在安全领域，创新不一定是褒义词

现在，随着移动安全研究的成熟，在浙江大学网络空间安全学院担任研究员的周亚金，主要进行以下两个方向的研究。

第一，区块链安全，包括与加密数字货币相关的犯罪行为的理解、揭露和检测。

第二，开发出软硬件协同的安全平台。

他认为，整个安全领域可以简单地分为攻击和防御，但安全其实也是分层次的。

底层的操作系统需要安全，操作系统安全了以后，才能保护上层的系统框架安全。上层的系统框架安全之后，才能保护更上层的应用安全。

因此，他希望可以从最底层CPU和硬件的角度出发，提出支撑上层安全机制的一整套硬件系统。

操作系统的安全必须要有底层的硬件来保护，否则操作系统本身就是不安全的。如果为了让操作系统变得更安全需要损失，比如30%的性能开销，也没有任何一家厂商会用这样的方案。

因此，需要从底层CPU的机制出发，定义出一些在硬件中做简单改造就能让操作系统变得更安全，同时性能开销变得非常小的硬件特性。

虽然软件安全本身也得到了长足发展，但周亚金认为安全社区的研究者和系统方向的研究者看待安全问题是有区别的。

例如，前者往往能够更快速地对“点”上的攻击和防御做出反应，但后者可能会更倾向于在“面”上去思考如何统筹性地开发出一个既高效又安全的系统。

过去的学术界安全研究其实更多以发论文为目标，产业化出来的相对比较少。

但对于周亚金和他的团队来说，诸如如何在CPU中增加一个新的安全属性，如何在一个芯片架构中实现新的安全功能，如何将研究转换成实际的产品，需要整体去思考。

目前他们已经和国内厂商在软硬件协同安全中有了深度合作。

虽然已经从移动安全转向了区块链和软硬件协同安全等新兴安全方向，但周亚金认为，纵观整个安全领域，对安全的需求没有特别大变化，只是安全的场景在发生变化，每一个新兴领域的出现，都会有随之相伴的安全需求出现。

除此之外，如何从全局或者系统的角度去提出更完整的防御体系，依然是整个领域的短板所在。

“我们国家在安全领域有大量投入，特别是在最近几年，网络空间安全学科得到了重视。

但我认为，目前我们太过分强调新的攻击场景和攻击向量，反而忽视了系统化的安全体系和防御的构建，后者才是应该花大力气去做的事情。

无论是学术界还是工业界，不少研究都是讲如何攻破一个系统，或者用了一个什么样新方法和新漏洞去攻破系统，但能提出来系统的防御体系应该是什么的比较少。

我们通常讲，攻击就像点穴一样，点到一个穴位，可能被攻击者就瘫痪了。但是防御不是这样的，防御是说全身每一个穴位都要穿上防护衣、金钟罩，只要有任何一点没有考虑到，或者说考虑得不是那么周全，就有可能会被攻击。

这一种研究非常欠缺，也不受到重视。两种类型的研究目前来看是失衡的”。

作为一名同时拥有产业界和学术界丰富经验的研究者，周亚金对于安全领域的创新也有不同的看法。

众所周知，学术界非常推崇创新，但他认为创新不完全是一个褒义词：

我们往往讲创新，但是创新也会走入某种极端，就是为了创新而创新，此时你会提出一些非常fancy、非常酷，但实际上很难去落地的东西，所需要的假定在实际中完全是不成立的。

所以，一方面需要有学术界的前沿视野，要能站得高，能脱离所在的行业和所解决的小问题的点，跳出去看看整个安全行业趋势。另一方面也要脚踏实地，不能只追求学术上很fancy的东西，只有把这两种结合起来，才可能做出有影响力的研究。