郭宇、宋锐聊互联网安全那点事

lghw

gaoxu0937 发表于 2013-3-4 16:48
有意义。用户名，密码以及网络行为背后是你这个活生生的人还有你的社会关系网络

360收集密码完全没有意义，你能举出来一个例子来说明密码可以用来做什么吗？
用户名也没什么太多的意义，很可能一个用户在各个网站的用户名都不一样，要关系起来很麻烦。
360一直在做社交的尝试，比如360的加登录框，和新浪的帐号打通，还有口信（直接使用通讯录建用户关系，已被证明是失败的产品），都是走的正道，也没发现有使用不正常方式建好友关系的。

gaoxu0937

lghw 发表于 2013-3-4 17:01
360收集密码完全没有意义，你能举出来一个例子来说明密码可以用来做什么吗？
用户名也没什么太多的意义， ...

用户名密码可以直接卖钱，很多公司做过（我相信360不会）。  N多公司曾经通过用户名密码来病毒营销。360和金山都收集过密码，都被对方揭发过。最危险的就是这种“正道”了，防不胜防。

清修

600198198 发表于 2013-3-4 15:29
作为用户我只关心目前国内免费的杀毒软件中哪个更靠谱   两位专家给介绍下呗

业内来说，目前360安全卫士和360杀毒软件的技术属于领先，专业人士应该同意。

lghw

gaoxu0937 发表于 2013-3-4 17:01
用户名密码可以直接卖钱，很多公司做过（我相信360不会）。  N多公司曾经通过用户名密码来病毒营销。360和 ...

你太多疑了，360和金山都不可能去“有意”（就算无意收集，也会立即处理掉）去收集密码。除非觉得自己死的不够早。

清修

600198198 发表于 2013-3-4 15:29
作为用户我只关心目前国内免费的杀毒软件中哪个更靠谱   两位专家给介绍下呗

如果是在国内使用为主,还是推荐360,海外老牌厂商对中国本地化的一些安全问题上专注程度还不太够.

lghw

gaoxu0937 发表于 2013-3-4 17:01
用户名密码可以直接卖钱，很多公司做过（我相信360不会）。  N多公司曾经通过用户名密码来病毒营销。360和 ...

知道你说什么事了，就是金山说360后台服务器的日志被Google搜索引擎那件事。
这件事360都解释了不下十次了（当然总会有人说周从来不敢正面回应），隐私白皮书里也早写了，就是你访问的网址不在本地的黑白名单上，就会去网上查下，那个东东就是查询日志。金山敢说自己没有查询日志吗？
当然360不是没有问题的，
1. 网络安全没有做好，死的活该。
2. 应该尽可能的去掉URL中的隐私信息，比如密码字段。
但用这个大家都有的东东去攻击360，说360收集3亿用户的密码信息，就太过了。

lghw

gaoxu0937 发表于 2013-3-4 17:01
用户名密码可以直接卖钱，很多公司做过（我相信360不会）。  N多公司曾经通过用户名密码来病毒营销。360和 ...

这是我在另一个回复里说的这件事的：
N年前奇虎的服务器日志被Google抓取，引起隐私漏泄的事（这件事被黑360的反复引用）。蹊跷的事，日志明显没有外链，属于“信息孤岛”，是不可能被搜索引擎给抓到的（没有入口）。Google的蜘蛛是怎么知道这个地址的呢，只有一种可能，就是有人手工向Google提交了这个地址。

gaoxu0937

lghw 发表于 2013-3-4 17:02
你太多疑了，360和金山都不可能去“有意”（就算无意收集，也会立即处理掉）去收集密码。除非觉得自己死的 ...

很多事情你都无法想象，比如csdn密码明文

清修

战术防区 发表于 2013-3-4 17:03
每经的稿子里，“独立调查员”通过实验证明“诈骗网站通过域名劫持招商银行网站，所谓的'360绿色网站认证‘ ...

实验不应该如此草率，也需要更严格和权威的第三方来进行检查，目前看起来这个“独立调查员”不属于这个层次。

韩剧Fans

国内有真正安全的安全软件吗？

清修

清修 发表于 2013-3-4 17:06
实验不应该如此草率，也需要更严格和权威的第三方来进行检查，目前看起来这个“独立调查员”不属于这个层 ...

无法保证这个实验的有效性和真实性, 这类实验还是应由独立,权威的第三方来进行.

lghw

清修 发表于 2013-3-4 17:07
无法保证这个实验的有效性和真实性, 这类实验还是应由独立,权威的第三方来进行.

先假设实验是真实的。也只能说部分成立，成立的部分在于这么做之后的确没有告知用户这个域名是不安全的。
但结论明显是不能成立的，在被修改本机hosts文件后出现的未提示，这个与360绿色网站认证本身没有直接关系，不是说只有绿色网站才有问题，或非绿色网站才有问题。把问题引向绿色网站认证就是一个误导。比如说，360杀毒无法查杀100层压缩包中的病毒（无责任举例），不能说360杀毒的所有功能都是假的。
其次，真实环境下修改本身hosts文件，说明病毒已经入侵用户电脑。如果此时没有安全软件，再安全的浏览器也是无法保护用户安全的。比如上面的问题，只要注入到浏览器画个假的图标在上面，用户根本不会知道的，呵呵。
而如果存在安全软件，比如360安全卫士，修改hosts文件本身就会被拦截，注入浏览器也会被拦截。
重复下，这个推导方式就是以点盖面，找到一个不足来推翻全盘，是一个误导

清修

韩剧Fans 发表于 2013-3-4 17:07
国内有真正安全的安全软件吗？

如何定义“真正安全”啊兄弟 ， 不过确实国内的安全软件在名声上还是有很长一段路要走，特别是国际上。

lghw

招聘人 发表于 2013-3-4 17:14
不一定是本机hosts，也可以是蹭网的时候上了黑客设的热点，上面的dns是改过的，甚至北京网通dns服务器遭人 ...

的确如此，安全要全面的看，从某一个点去看都是不合适的。
如果整个网络被劫持，只要找一个框架页，应该可以搞出来证书不过期，内容是假的。或者网站是对的，最后提交密码时重定向的情况。这比hosts劫持更难防御。
我也不否认360没有问题，应该是一个BUG，360应该会尽快解决。只是说独立调查员的这种推导问题的方式是不科学的。

清修

韩剧Fans 发表于 2013-3-4 17:07
国内有真正安全的安全软件吗？

绝对安全目前是没有任何安全厂商能保证也不敢保证的, 作为用户只能选择相对比较安全的产品.

清修

安培计 发表于 2013-3-4 17:07
金山跟奇虎的发展思路很相似，两位专家认为在网络安全领域金山跟360有何差异？作为业内人士，对金山的发展如 ...

360用免费开创了一个崭新的商业模式，保护了众多的用户安全，之后各家杀毒软件都follow了这个免费的模式，不过“连FB都不一定能打败Google”。 金山的猎豹浏览器听说不错，没用过，安全人员的能力不错，不过数量上和360有差距吧，能力上由于360有教父压阵，所以没有悬念。

清修

安培计 发表于 2013-3-4 17:07
金山跟奇虎的发展思路很相似，两位专家认为在网络安全领域金山跟360有何差异？作为业内人士，对金山的发展如 ...

个人感觉,金山开始还是走的传统软件厂商 如瑞星之流的老路,所以才会在初期被360抢占了这么大的市场份额, 在傅盛来到金山以后,产品的风格,营销的方式就开始和互联网模式接轨, 长期来看金山肯定会比现在好.
单就安全技术来说, 个人认为360的能力更强一些.

清修

准线 发表于 2013-3-4 17:16
两位有注意到，360有什么“安全问题”是值得股东担心的吗？

潜在问题肯定是有的，比如误杀其他软件这些，不过目前看起来360做得不错。
任何公司，在安全上不投入都会有巨大问题。
微软有人说Surface平板没做好，是由于安全投入太大导致　
马化腾说腾讯10%的人员是负责安全（看到的新闻），你自己看。

清修

清修 发表于 2013-3-4 17:21
潜在问题肯定是有的，比如误杀其他软件这些，不过目前看起来360做得不错。
任何公司，在安全上不投入都会 ...

树敌太多哈哈,看看这一路的 二选一, 做空, 黑公共, 下架,  官司....