共 4 篇文章。
前几天听 bugs 说，国内某C2C网站打算这个月开始禁止Firefox用户登录其网站，而说到原因，又是「出于用户安全考虑」，「Firefox无法支持其‘安全控件’」云云。
我没用过这家公司的服务，因此我也不想就这家公司发表什么评论。我觉得很有意思的一件事是，似乎大家都很信任所谓「安全控件」。
那么，什么是「安全」控件呢？简单地说，这类控件是由特定商家发布的，基于ActiveX技术实现的一种Internet Explorer插件。尽管不同的公司会以不同的方式进行实现，但这类插件通常会实现的功能，不外乎以下几种：
很遗憾，「安全控件」往往并不能理想地达到上述目的。更有甚者，事实上这些控件几乎一定会破坏系统的安全性。
针对这篇blog，一位名为"醉梦流仙"的朋友给出了下列回应：
要破，也要立。如果像你这样只是破，那毫无意义。。网银的安全要怎么做？我是研究游戏安全的，顺便也研究了一下网银，实际上网银做不到绝对安全，只要你用计算机，不管你用什么技术手段都不可能有绝对安全，只是需要增加难度，通过增加门槛让木马制作更困难些。。
你一味的追究数字签名这样的问题，更是舍本逐末，对大部分用户而言是否签名没有意义，签名也保护不了程序安全—-可以运行时修改内存。。
总之，程序放在客户端执行，不可能做到完美，只能通过把事情搞复杂，提高技术门槛，来减少木马。。
加了这个ActiveX控件，起码通用型木马截取不到其密码，难道不是进步？
安全不能建立在别人不知道的基础上，这是过于理想化。你的银行卡，为什么我不能网上取你的款，那就是因为我不知道你的卡号/密码/身份证等等；你的这个BLOG为什么我不能冒充你的身份登录发表文章，只是因为我不知道你的用户名/密码；为什么现在有大量的加壳软件？就是要把程序搞复杂，让人难破解。。
实际上运行在客户端的东西，总是可以研究透的，只是时间问题，那还加壳干嘛，以前很多公司用软件狗，现在很多共享软件用序列号，难道它们都是不能破解的？不可能，只是难度问题。复杂度和难度达到一定程度，就可以挡住很多或者说多数攻击者，这样至少比祼奔要安全。
这位朋友为招商银行着急，我完全可以理解，但是，你对安全存在很多常识上的误解，我不得不为你所开发的网游的安全性捏一把汗。
今天看到招商银行网站上发出了一篇公告说：
尊敬的客户：因业务发展需要，我行定于2007年2月2日升级网上个人银行大众版密码控件。客户第一次登录大众版时，将看到浏览器弹出窗口提示安装新密码控件，客户确认后即可自动完成升级。
一如既往地，在一个涉及用户安全的产品上，这个公告采取了模糊和回避的态度。计算机的所有权属于用户，升级控件没问题，可是到底为什么升级？是否也应该告知用户？
看到一条很有意思的新闻，节录一部分：
」Three government bodies – the Ministry of Information and Communication, the Ministry of Government Administration and Home Affairs, and the Financial Supervisory Service – warned Tuesday about the expected confusion. The problem is that Vista doesn’t play well with a software program called Active-X that is widely used in Korean Internet sites. Without support for Active-X, online services that Koreans use everyday like banking, stock trading, and shopping won’t be available. Vista users will also experience problems with government sites in applying for and printing documents and certificates.「