@mabb0tt: .@joesu11ivanhas 在过去几年中慷慨地抽出时间，与我们在 cs153 @CS153Systems 上交流，讨论……

.@joesu11ivanhas 慷慨地花了过去几年的时间，与我们在 cs153 @CS153Systems 课堂上交流，讨论了他令人难以置信的旅程——从首位起诉黑客行为并执行首次域名查封的美国检察官，到 Facebook 首位首席信息安全官，再到 Uber 首席信息安全官（因公司未向政府透明化而面临重罪指控），最后到达 Cloudflare，在那里 @eastdakota 支持并为他辩护！现在他经常带笔记本电脑给乌克兰的学生。这是一段鼓舞人心、精彩绝伦的故事，主人公也是一位了不起的人。请欣赏 —>

TL;DR

前 Uber 首席信息安全官 Joe Sullivan 回顾了他在政府与科技巨头交汇处的二十年历程：从起诉网络犯罪，到建立信任与安全团队，再到强调激进透明——即使带来痛苦——也是唯一的前进之路。

从联邦检察官到硅谷信任建设者

Joe Sullivan 的职业生涯始于 1990 年代中期，在美国司法部旧金山办公室工作。当他要求在自己的办公桌上安装直接互联网连接时，司法部拒绝了：“我们的网络绝不能碰互联网。”他最终获得了一台单独的上网电脑，成为办公室唯一拥有联网机器的人——也因此成为一切数字事务的实际守门人。

在司法部工作八年后，他于 2002 年加入 eBay，当时公司刚收购 PayPal。他的工作重点是信任与安全：eBay 的模式仍然是“找到物品，赢得竞拍，把现金装在信封里寄出，希望卖家发货”。他走访了美国 50 个州中的 46 个，向监管机构进行教育，并在大约十几个国家培训执法人员如何起诉平台上的不法分子。

2008 年，他转到 Facebook，当时 Facebook 规模还小于 MySpace，在帕洛阿尔托市中心分散的办公室里工作。他接手了三位工程师，并建立了一个庞大的团队。在斯诺登泄密事件期间，他成为 Facebook 与 NSA 的实际联络人，管理着双方的关系——当时公众认为硅谷在分享每个人的数据，但事实并非如此。

他于 2015 年加入 Uber，担任首位安全负责人，再次从三位工程师起步，扩展到数百人。2018 年，他去了 Cloudflare，接手三位工程师，并再次扩展团队。如今，他为网络安全初创公司提供咨询，担任 Costa Nova Ventures 的投后合伙人，并运营一个帮助乌克兰儿童的非营利组织。

改变一切的 Uber 事件

2017 年底，Joe Sullivan 正在太浩湖与家人度假，突然收到彭博社记者 Eric Newcomer 的短信，询问他是否被 Uber 解雇。他毫不知情。随后文章发布：“Uber 向黑客支付赎金以删除 5700 万用户被盗数据。”全球媒体疯狂报道。他的手机被打爆。然后，信号突然中断——Uber 的 IT 团队远程锁定了他的手机和笔记本电脑。公司决定解雇他。

他因错误的原因成为了网络安全界最出名的人。有两个月时间，他躲了起来，留起胡子，避免公众关注。2018 年初开始寻找新工作时，有三家公司先联系了他：华为、WeWork 和字节跳动。尽管存在争议，它们仍欢迎他。但他选择了名为 Cloudflare 的小型初创公司。

Cloudflare 的激进透明

Cloudflare 首席执行官 Matthew Prince 进行了彻底的尽职调查，给 Travis Kalanick 和其他人打了电话。他决定承担风险。Sullivan 于 2018 年春季入职。

几乎立即，他就面临一起安全事件。他在一个周五晚上给 Prince 打电话（安全事件总是发生在周五，他指出）。“我们遇到了安全事件，”Sullivan 说。“谁在写博文？”Prince 回答。Sullivan 震惊了：“我们在流血。我需要止血并保护客户安全。”Prince 坚持己见。几分钟后，Cloudflare 的 CTO John Graham-Cumming 出现在 Zoom 上。“我正在写博文，”他说。CEO 指示 CTO 加入事件响应房间，唯一目的就是记录一切以便透明公开。

一年后，一次重大宕机发生：伦敦团队推送的一条糟糕的 WAF 规则导致半个互联网瘫痪。幸运的是，美国大部分地区还在睡觉。Sullivan 和 John 给每个主要客户打了电话，并发布了详细的事后分析报告。Cloudflare 没有因为搞垮互联网而受到谴责，反而因透明而受到赞扬。Sullivan 认为，科技行业需要越来越倾向于这种模式。

FBI 公告与联邦审判

2020 年，FBI 发布新闻稿称已逮捕 Sullivan。他最大的女儿当时正在德克萨斯大学奥斯汀分校搬进宿舍，朋友们告诉她，他们在 NPR 上听到她父亲被捕的消息。他并没有被捕——但他被指控妨碍司法和重罪隐匿罪（明知犯罪却不报告）。这项指控是针对他个人的：政府认为 Uber 在 2016/2017 年未能向监管机构透明报告此前的那起安全事件，因此 Sullivan 负有责任。

Sullivan 于 2022 年 9 月受审。在审判期间，Uber 的首席隐私官和法律监管事务负责人作证说：“我们的团队负责向政府报告安全事件。我们承担了责任。是的，我知道这起事件。是的，我们没有通知调查机构。”然而 Sullivan 是被告，戴着口罩坐在法庭上（当时仍是疫情时期）。陪审团从未看到他的脸——只看到一个穿着西装、戴着口罩的男人。

Sullivan 深信“负责任的披露”。2007 年在 PayPal，他的团队发布了第一份正式的漏洞披露政策：“告诉我们漏洞。我们不会起诉你。我们不会举报你。我们想要开放的对话。”其他公司纷纷效仿。2008 年他转到 Facebook 后，立即实施了同样的政策。几年后，黑客开始要求赏金——于是漏洞赏金行业诞生了。

政府与科技的演变轨迹

Sullivan 看到了清晰的轨迹：从 1995 年司法部的“无互联网”，经过 eBay 早期的信任挑战，到 Facebook 在斯诺登时期的严格审查，再到 Uber 移动优先的爆发增长，最后到 Cloudflare 的透明优先文化。政府与科技已经从相互猜疑走向积极参与。但透明与不透明之间的张力依然存在。在他自己的案件中，公开发生的事情——即使痛苦——最终为他赢得了 Cloudflare 乃至更广泛领域的信任。

他给初创公司的建议是：“当你遇到安全事件时，第一个问题不应该是‘我们如何遏制它？’而应该是‘谁在写博文？’”

来源： YouTube 视频 @mabb0tt – Joe Sullivan 的演讲 (https://www.youtube.com/watch?v=g50FHC-PzK8)