Security

最近某公司的枪手在我的blog上的发言很踊跃，我表明一下我的态度：我对这家公司已经非常失望，我没有兴趣在一群不愿改进的人身上浪费我宝贵的时间和生命。愿意不愿意改进是你们的问题，如果情况不再恶化，我不想再深究；假如再做出格的事情，我们法庭见。

之所以还要回应，是因为这些枪手们十分混淆视听的言论。拜托做枪手，有点专业精神好吗？拿人钱财，替人消灾懂不懂？我从疯狂投诉到现在都懒得写关于这家公司的东西了，还过来胡说八道个啥劲？

针对这篇blog，一位名为"醉梦流仙"的朋友给出了下列回应：

要破，也要立。如果像你这样只是破，那毫无意义。。网银的安全要怎么做？我是研究游戏安全的，顺便也研究了一下网银，实际上网银做不到绝对安全，只要你用计算机，不管你用什么技术手段都不可能有绝对安全，只是需要增加难度，通过增加门槛让木马制作更困难些。。

你一味的追究数字签名这样的问题，更是舍本逐末，对大部分用户而言是否签名没有意义，签名也保护不了程序安全—-可以运行时修改内存。。

总之，程序放在客户端执行，不可能做到完美，只能通过把事情搞复杂，提高技术门槛，来减少木马。。

加了这个ActiveX控件，起码通用型木马截取不到其密码，难道不是进步？

安全不能建立在别人不知道的基础上，这是过于理想化。你的银行卡，为什么我不能网上取你的款，那就是因为我不知道你的卡号/密码/身份证等等；你的这个BLOG为什么我不能冒充你的身份登录发表文章，只是因为我不知道你的用户名/密码；为什么现在有大量的加壳软件？就是要把程序搞复杂，让人难破解。。

实际上运行在客户端的东西，总是可以研究透的，只是时间问题，那还加壳干嘛，以前很多公司用软件狗，现在很多共享软件用序列号，难道它们都是不能破解的？不可能，只是难度问题。复杂度和难度达到一定程度，就可以挡住很多或者说多数攻击者，这样至少比祼奔要安全。

这位朋友为招商银行着急，我完全可以理解，但是，你对安全存在很多常识上的误解，我不得不为你所开发的网游的安全性捏一把汗。

今天看到招商银行网站上发出了一篇公告说：

尊敬的客户：因业务发展需要，我行定于2007年2月2日升级网上个人银行大众版密码控件。客户第一次登录大众版时，将看到浏览器弹出窗口提示安装新密码控件，客户确认后即可自动完成升级。

一如既往地，在一个涉及用户安全的产品上，这个公告采取了模糊和回避的态度。计算机的所有权属于用户，升级控件没问题，可是到底为什么升级？是否也应该告知用户？

历经7年，发布了12个主要发行版本的FreeBSD 4-STABLE代码系的官方（安全）支持，在今天正式宣告结束了，与此同时结束的还有FreeBSD ports tree对这一系列版本的支持。

作者 Bruce Schneier
原文 Debating Full Disclosure

作者授权 blog.delphij.net 发表此翻译版本。未经许可请勿转载。

全面披露 —— 将安全漏洞的细节公之于众 —— 是一种很好的做法。公开并让更多的人检查是改善安全唯一可靠的途径，而遮遮掩掩则只会让我们的安全受到损害。

今天我将把FreeBSD中的又一个 「自由」 （GPL授权）软件——gzip——替换为一个 可以自由再发布 的（BSD授权）版本。这一版本已经经过长期测试，特别是FreeBSD port联编集群的考验。

替换gzip的主要导火索是去年由Google公司安全团队发现的CVE-2006-4334、CVE-2006-4335、CVE-2006-4336、CVE-2006-4337、CVE-2006-4338等一系列问题，以及由于修正这些问题所引入的f2c压缩文件无法解压的回归问题。新版本的FreeBSD gzip来自于NetBSD的Matthew R. Green所撰写的、基于可自由再发布的zlib压缩库的用户界面接口。

看到一条很有意思的新闻，节录一部分：

」Three government bodies – the Ministry of Information and Communication, the Ministry of Government Administration and Home Affairs, and the Financial Supervisory Service – warned Tuesday about the expected confusion. The problem is that Vista doesn’t play well with a software program called Active-X that is widely used in Korean Internet sites. Without support for Active-X, online services that Koreans use everyday like banking, stock trading, and shopping won’t be available. Vista users will also experience problems with government sites in applying for and printing documents and certificates.「

在CNBeta上看到一条消息，说是某公司甲开始拒绝使用另一家公司乙的邮箱注册，理由是「不稳定」。

今天有人在IETF的tcpm上有人提到一篇《Misbehaving TCP Receivers Can Cause Internet-Wide Congestion Collapse》的论文。看起来是一个很有意思的问题，即，乐观ACK(opt-ack)在作者看来是一个潜在的DoS攻击工具，而且粗略地扫了一眼，这个问题很可能是真实存在的（但是这篇2005年11月的文章，目前似乎只有Sun做了回应……)，等周末有时间研究一下。

又是等待了将近一个月，很遗憾，对于为招商银行写驱动的这位兄弟，不是我那么想在快过年了的时候跟你过不去，而是——你让我在从11月6日到今天——12月22日——将近两个月的时间里，我一直对你抱有希望，抱有期待，然而，直到现在，今天我所看到的、经过招商银行再次签名确认的5.1.3.9版本，依然无法在Windows 2003 x64版本上无法运行，这两个月来，我一直不得不依靠电话银行甚至ATM来进行所需的工作。

原因依然是，你花了两个月的时间，竟然仍然不了解如何撰写一个能够支持64位Windows版本的程序——我们且不论你的程序是否需要这个服务，是否应该安装一个捆绑我的键盘的驱动——你依然在我行我素地坚持将可执行文件或动态连接库命名为.dat的错误习惯，更过分的是，你甚至不曾找过一个64位版本的Windows 2003来进行哪怕一点点的兼容性测试，在我看来，根据我对银行这个行业的粗浅了解，这样的程序能够经过重重的发布审计，并最终发布，是令人震惊的。

哪怕是一家非常小的作坊式软件企业，花了两个月的时间，也应该想到「回退到已知正确版本」这最后一招了吧？