沒有流氓軟體，只有流氓行為

技術小牛人發表於2017-11-17
是去年寫的一篇舊文，適時流氓軟體的說法剛剛烹製出爐。現如今，爭端再起，最熱鬧的莫過於“兩虎之爭”。撇清恩怨是非需要很漫長的回溯，網際網路快餐時代的芸芸眾生想必也沒什麼心力去聽陳芝麻的舊事，大家看著熱鬧就行。 

在我看來，很有意思的就是還真沒見過哪家公司能像雅虎中國這樣姿態惡劣地對待前任總裁。人或許有為一己之私而心胸不開闊，乃至於見利忘義的時候，但一秒鐘幾十萬上下的現代高科技企業也擺出有奶便是娘，睚眥必報的姿態，真叫人歎為觀止。閒話不多說，還是貼舊作吧 

最近流氓軟體被炒得沸沸揚揚，查了查，始作俑者有兩個，瑞星公司和北京網路行業協會。 

沸沸揚揚的焦點是北京網路行業協會“點名批評十大流氓軟體”。也不知為什麼，所有的報導都將“北京網路行業協會”簡稱為“網路行業協會”，一個地方性社會團體組織經這一簡寫，儼然成了整個網路行業和資訊保安領域的代言人。 

誠然，權威性不完全由組織規模大小決定，況且這是北京市公安局主管的協會。北京網路行業協會的章程卻在“副會長、理事、常務理事的入會條件”中寫著這樣一條：“（五）、能夠給予協會資助的，副會長50000元、常務理事30000元、理事單位10000元。” 

原來如此。 

在瑞星的網站上可以看到一條觸目驚心的新聞，轉載自新浪。標題是“網路行業協會點名十大流氓軟體 責令限期整改完善”，裡頭羅列了十大遭投訴最多的“流氓軟體”。上榜的門檻遠比當個理事單位要低，有10個人投訴就差不多夠“八強”了。 


在人氣稍旺的bbs，常能看到這樣的發言“加油，爭取頂上‘十大’”，樓主使勁吆喝，但一般不拉到二三百票是很難上榜的。對照下，北京網路行業協會公佈的“十大”未免也太遜了些，於是有人懷疑排名靠後的幾個“流氓”沒準還是反向炒作，自行“灌水”來搏知名度的——這很符合當今文娛界的思維方式。 


媒體們報來報去，大多對投訴統計從何而來一律含糊其辭。惟獨信報很敬業，12日見報的文章稱，“截至7月7日，北京市網路行業協會設立的“流氓軟體”網路調查專門網站上，網民舉報帖達到3624條，有20多萬人投票抗議“流氓軟體”的惡行。”筆者不敢鬆懈，很認真地找到了這個所謂的專門網站——一個無需註冊的留言板（[url]http://www.netbj.org.cn/discuss.asp[/url]）。雖然在釋出前有稽核控制，但通篇的投訴五花八門，有說病毒的，有說涉黃網站的，而且大多語焉不詳。 


協會不是執法機構或行政管理部門，張嘴敦促、批評，閉嘴責令可能自己也覺得底氣總顯不足。後來據說由於某些頗為不爽的廠商做出了激烈反應，“十大”新聞在各大門戶刊出不久就都撤了回去，落得虎頭蛇尾。惟獨瑞星倔強地保留了立此存照的記錄。 

（[url]http://it.rising.com.cn/newsite/channels/info/security/security/200507/12-095019945.htm[/url]） 

“十大”由來原來如此。“流氓軟體”一詞更有意思。網上有一篇被廣泛轉載的出自《東方早報》的文章稱“萬事達國際信用卡公司宣佈說，位於亞利桑那州土桑市的一家信用卡資料處理中心的電腦網路被侵入，4000萬張信用卡賬號和有效日期等資訊被盜，盜竊者採的手段正是在這家信用卡資料中心的電腦系統中植入一個‘流氓軟體’。” 


好厲害的“流氓軟體”，它究竟怎麼定義？ 


“流氓”，辭典上說“原指無業遊民,後來指品質惡劣、不務正業、為非作歹的人”。“流氓軟體”，瑞星網站上說“惡意廣告軟體(adware)、間諜軟體(spyware)、惡意共享軟體(malicious shareware)等等都處在合法商業軟體和電腦病毒之間的灰色地帶。它們既不屬於正規商業軟體，也不屬於真正的病毒；既有一定的實用價值，也會給使用者帶來種種干擾。”這樣的界定看不出準確含義，也自然難以劃分準確的範圍。捧出這樣一個大而化之的概念來，可能是想堆塑一個標靶，以向“假想敵”宣戰為由頭來進行炒作——清除spyware的工具問世多年，百花齊放，再不搞個新概念豈不是要活在別人的陰影下？ 

誰是“流氓”？北京網路行業協會充分相信群眾的眼光是雪亮的，以屈指可數的投訴量為準。但受投訴最多的就是危害最大、潛伏最深的麼？我不這麼看。 

spyware、瀏覽器劫持氾濫確實是目前威脅個人和企業使用者資訊保安的棘手問題，新出現的spyware和蠕蟲病毒捆綁的情況更應當警惕。但筆者認為，沒有流氓軟體，只有流氓行為。之所以這麼說，首先是因為這類軟體（外掛）的優劣與使用者的目的和操作方法往往相輔相成，將3721網路實名用得不亦樂乎的人也不在少數。其次，解決安全問題不是為了打擊“十大”、“八大”，而是要懲治威脅使用者資訊保安的行為。 


筆者認為，當務之急的不是辯駁誰是“流氓”，誰有“黑幕”。而是資訊保安廠商和網際網路企業應當在政府主管部門和行業協會的指導下坐到一起，針對彈出廣告視窗、入駐瀏覽器工具欄、收集使用者私人資訊等行為制訂一系列分級規範。依照行業公認的規範來評析當前的現象，確保使用者能得到必要的明晰提示，對為攬訪問量而不擇手段的廠商進行約束。 
“十大”釋出後不久，瑞星又起草了一個“軟體產品行為安全服務規範”。規範有了，但能否行得通還有待考驗，在此先給起草人提點建議——去掉防毒軟體主介面上的滾動新聞吧，這可是違反了“軟體的可操作性原則”和“軟體的安全安裝原則”呢。 
曾經有半路出家的安全廠商像賣大力丸一樣吆喝防火牆——在中關村擺下兩臺ping都ping不通的機器，然後號稱誰攻破了就能拿走五十萬（也可能是100萬或者5萬，待考）。雖然有貓膩，但“大力丸營銷法”終究是個辛苦活兒，為吸引眼球好歹得拿鐵棒子在自己身上掄幾下。看“流氓軟體”的一系列炒作，更像是有人打算用鐵棒子把倒黴的敲腫了，圍觀的唬暈了，然後我說什麼就是什麼，我是流氓我怕誰？ 
附註： 
“流氓軟體”一詞生造的起源，在新京報近日的採訪報導中或可找到一些端倪。原文如下： 

對於流氓軟體的叫法，毛一丁稱，將此類干擾使用者的軟體命名為“流氓軟體”並不是瑞星的行為，而他也並不同意此類叫法涉及道德問題的觀點，“命名的事，是協會做的。我們先出了篇文章，叫流氓軟體，後來協會開研討會，有人提出改成灰色軟體之類的，但協會祕書長在會上一直這樣稱呼，所以就這樣叫下來了。”(《北京網路協會點名3721等10廠商，限期整改》)


本文轉自 alifafa 51CTO部落格，原文連結：http://blog.51cto.com/chenghong/5508 ，如需轉載請自行聯絡原作者


相關文章