主题：【老服原创】从熊猫烧香病毒引发的一个利国利民的构思 -- 你克我服
家园 【老服原创】从熊猫烧香病毒引发的一个利国利民的构思 【老服原创】从熊猫烧香病毒引发的一个利国利民的构思——呼吁相关部门跟进
熊猫烧香病毒最近肆虐祖国大陆，好多弟兄都不得不更换杀毒软件来应付这突如其来的危机，不一而足。
好容易病毒的蔓延热潮不再、谁料这两天熊猫烧香病毒又一次成为国内大量bbs上的热门话题，原因就是病毒作者被抓、以及这两天“在狱中忏悔、开发出杀毒工具”等消息又成为了媒体的关注点。
本来嘛，编写病毒而且到处散播的坏家伙，抓住了就该照国家法律惩处，不会变成什么新闻事件。不过这次不太一样，病毒的作者自称“武汉男孩”，被抓前还弄出一份声情并茂的“自白书”在网络上传播，声称自己曾经试图走正路、意欲报效杀毒软件公司，结果遭到冷遇，遂只好自立门户，搞出病毒来证实自己的存在云云；故事情节虽然简单，但却颇让不少人同情。在媒体普遍估计熊猫病毒的作者们可能要遭到枪打出头鸟般的法律严惩时，反而国内甚至有朋友挺身而出，呼吁要发动声援此人的大串联呢！（参见： http://www.appbeta.com/modules.php?name=News&file=article&sid=6499 )
当然这种观点并非人人赞同，小弟俺就颇不感冒。不过老陶的文章中一句话却让俺思考良久：
中国绝大多数的网民缺乏最基本的网络安全知识，是社会问题，教育部门不检讨，政府部门不检讨，司法部门不检讨，全让熊猫烧香背了黑锅！！这话不假。
其实不只中国，哪个国家都差不多滴，绝大多数网民、社会、政府都对此束手无策，才导致了病毒横生的问题。说到问题的严重性，很多定义含混不清的“软件”一样会给我等无知用户狠好的教训呢。
我们真的就对此无可奈何、看着一个一个的“熊猫”走上历史舞台再走向深渊？我看未必。熊猫的经历带给俺一点点启示。
问题的解决，要从问题的根本说起。
为什么会有病毒？病毒作者为什么会发展到“以病毒赢利”的阶段？这都需要我们了解现在酝酿问题的体系结构。
我们大多数用户，都在用微软公司的Windows系列操作系统；而微软的软件中充斥着许许多多的漏洞。每年每月甚至每天，都有一些高手在使用中发掘出来新的漏洞。利用这样的机制上或者编程方面的漏洞，高手就可以达到破坏Windows用户正常使用的目的，有些严重的漏洞甚至可以直接让远在万里之外的高手控制那些普通（无知？）用户的计算机而不被发觉。
一般来说，高手们很不屑于利用这样的漏洞来给个人赚取物质利益。通常的做法就是报告这样的漏洞给微软公司或者有公信力的组织。然后微软或第三方会去验证这样系统漏洞客观的存在。接下来微软会去试着修补漏洞，并发放免费的“系统补丁”来应付这样漏洞可能带来的系统潜在威胁。
不过报告上来的漏洞千奇百怪，微软也不一定能马上做出合适的补丁来应对；有的系统结构性问题的对策、更不是一蹴而就的；再加上微软也是可能出错的，有的时候补丁非但不解决问题、反而带来新的漏洞......总之、指望微软去及时解决所有的问题，的确是不太现实的。有的时候报告给微软的问题，微软发现自己一时解决不了，还会用上拖字诀，对报告者爱搭不理呢。
回过头来，这些发现漏洞的高手，为啥会主动/义务汇报问题给微软呢？其实图的就是一个成就感。而微软方面如果没有及时跟进，他们就连这一点点成就感都得不到了。难怪很多高手在汇报问题不果后、愤而转去编写利用这种漏洞机制的病毒、把微软方面试图掩藏起来的问题公开化、迫使对方“严肃对待”。
上面说了，高手们发现的问题有可能是用寻求第三方客观认可的方式选择在网上公开。这时候，就有一些诸如熊猫病毒作者这样的人出现了，他们理解并认可这样第一时间披露出来的漏洞，并且将其运用到自己的“作品”里面。而反应迟钝的微软，往往此时还没能完成问题的定位乃至确认，更谈不上公布出系统补丁供使用Windows的广大用户修补（其实就算公布出来，也有大量的用户无法在第一时间及时更新的）；所以熊猫病毒们自然而然地就会取得“应用上的成功”，而奠定下自己的“地位”。
接下来的链条就更黑暗了。
有些不良病毒作者（都是？）会利用自己病毒为自己打出的招牌，推销自己病毒的源代码产品。
而买家呢，则是那些没有资源去看第一手系统漏洞公开资料、或者是懒得自己费心编写利用最新最劲漏洞实现攫夺普通Windows用户资源程序的那些怀有险恶动机的人。
比方说，熊猫病毒原本呢就是把被感染者计算机里面大部分的图标变成一头憨态可掬的正在烧香的熊猫；而买去病毒代码的人，只要稍微修改，就可以把病毒变成骗取被感染者计算机里面银行帐户信息的恶性工具。
也正是有这样邪恶目的的人，才会出高价向熊猫病毒作者这样的人去收购“可用的”病毒代码。
于是，我们看到，在这样畸形的产业链条下，熊猫病毒作者这样的人，变到去协助犯罪分子以谋求自身价值的认可了。
这实在是悲剧。
这次是熊猫烧香，下次也许是海豚喝酒，反正只要这样的黑色产业链条依旧存在，牺牲者就会一而再再而三地涌现出来！受害者，是我们所有人。
有些朋友说，熊猫病毒的作者，国家就应该给他招安；如此有创造性的个体、得不到社会的认可实在可悲。
小弟俺的思路呢，要解决这样的恶性循环，就要从破坏产业链的一个乃至多个环节入手。否则的话，熊猫病毒的作者被招安了，其他病毒的作者却依然生活在产业链的阴影下。也许他们不会遇上熊猫病毒般被万众瞩目的待遇，也许他们就注定要沿着学来或者研发出漏洞、然后转卖给坏蛋业者们以图生存的道路走下去了。可是如果我们真的能做到破坏产业链，那么甚至让坏事变成“好事”，都是可能的。
回头仔细看这个产业链：
1）发现漏洞的高手
2）接到报告能拖就拖、积极性约等于0的微软
3）利用未被修补的漏洞进行加工、编写病毒来证实自我的病毒作者
4）居心叵测、收购病毒代码来直接祸害Windows最终用户的邪恶业者
5）被病毒攻击、被收买病毒代码的邪恶业者生产的病毒变种盗取有价值信息的倒霉用户。
在这个链条里面，微软本应该成为万众期望的救世主，但它做不到。微软无法成为我们问题解决的出口！
我们再来看看这个链条关系，顺便再回顾一下最初介绍的老陶的名言——“这是社会问题，教育部门不检讨，政府部门不检讨，司法部门不检讨，全让熊猫烧香背了黑锅”，这个链条里、我们有没有漏掉什么原本应该有的环节呢？
对了。
微软做不到的，原本是政府可以也应该能做到的。丢掉的一环就是政府。我们看到，微软之所以做不好这一点，是因为它没有利益驱动——原本能用的Windows系统，对它来说不就已经足够了么？为什么要去处理那些“漏洞”？对它来说、发现漏洞的人都是些没事儿找事儿的家伙。而修补漏洞，则是他们不得以而为之的苦差事呢。
我们来试想一下，如果大家把漏洞不是报告给微软、而是报告给政府某专门机构，事情又会是怎么样呢？......嘿嘿，比方说，我国设立官方机构、大肆收购系统漏洞。经验证有效者、高价酬劳。
这样一来，上述产业链就会发生奇妙的变化：
1）发现漏洞的高手：原本汇报给微软，非但拿不到钱，反而可能被拖着不解决。连应有的被尊重都可能混不上~~~~~~而现在呢？发现的漏洞报告给国家专业部门，一旦其有效性、独创性被认可，就能拿到高额酬劳；而政府利用这些漏洞、可以用于对国外的情报活动或是监控国内可疑份子的计算机活动。高手的价值、虽然没有在微软那里实现，却在“以行动报效祖国”上得到了体现！
2）接到报告能拖就拖、积极性约等于0的微软。
从前面前积压了一大堆报上来的漏洞，需要出人出力、花钱去应对不说，还捞不到应有的收益。不会有任何人因为它修补了自己潜在的问题而夸奖它，不是么？如今却空空荡荡，省心省力~~~~~~
明知道国家机关公然收购自己系统的漏洞，但那既不违反任何法律，又没有对自己构成威胁。被逼急了，从这样的国家机关那里要一批“过时的漏洞”出来装模作样给公众看就是。
3）利用未被修补的漏洞进行加工、编写病毒来证实自我的病毒作者。
如今漏洞都被政府机关收购走了、并加以管理。非国家级用途、不予使用。
结果造成大批病毒作者无用武之地，找不到漏洞、怎么写病毒呢？？呜呼，散伙吧
4）居心叵测、收购病毒代码来直接祸害Windows最终用户的邪恶业者
连病毒都没有了，邪恶业者去哪里收买源代码？
他们失去了上游的一切资源。
5）被病毒攻击、被收买病毒代码的邪恶业者生产的病毒变种盗取有价值信息的倒霉用户。
用户如今则是最幸福的。
微软的补丁也不用打了；
病毒也不用去防护了；
根据病毒机制仿写的窃密程序更是踪影皆无。
天下太平矣！
所以阿，只要国家机关能堂而皇之地站出来收购系统漏洞，并加以管理和应用，就能产生出一举多得的效果。于是，国家强大了、高手劳有所得而且报效祖国兼价值被认可了、坏蛋们没有犯坏的资源源头了、敌人吓得发抖了、微软们也少了很多麻烦了、老百姓们也重新回到安全假象下生活了......老陶们也不会再去念叨什么“声援熊猫”了吧~~~~~
本帖一共被 1 帖 引用 (帖内工具实现)家园 咋一看，老兄说的像是一个政治讽刺剧-1 感觉类似飞车党，双抢人员，或者举一个更类似的例子：车窗盗窃党。
车窗盗窃党发明了新招，0.5秒无破坏性打开车窗，盗得贵重物品。这其中的角色有各种：
1）知道了这一诀窍但是道德无偏差的高手；
2）懒惰的汽车制造公司；
3）把这一诀窍给实用化（实现0.5秒），并且传授武功秘籍的老大
4）收购这一诀窍的黑分子，接受培训的小弟，偷盗人员；
5）被通过车窗偷盗的倒霉蛋，可能是老铁。
通过这个类比，我想说的是，先抛开其他问题不说，这些偷盗分子就应该被招安吗？或者说，挖掘了这一诀窍的高手们，他们就一定要被招安吗？
我想，把这个问题类比计算机病毒，谁都接受不了，成天端着心思想人家车窗的家伙，应该被委以重任，应该被放到一种被社会尊重并获得高额报酬的位置上去。
社会的进步，是一个很复杂的现象，无论它的动力，还是它的衡量。传统的计算方法，如GDP，往往是很傻冒的。再举个例子，某地原来治安很好，不说路不拾遗吧，但起码一楼二楼还用不着防盗窗，门口用不着装“盼盼防盗门”吧；然后“经济搞活了”，“聪明人”来了。这些聪明人通过自己的“聪明才智”更多地是通过“手艺活”，提醒了广大人民群众——得装防盗门窗了。于是乎，当地兴起了一个制造防护栏以及安全门的行业，GDP上升了，“经济”增长了。
这样看来，这些“聪明人”的的确确增加了经济活动量，但问题是——
人们的福利增加了吗？
所以，不管以怎样的理由，不管这个社会的制度如何不完善，如可以说——
——“这是社会问题，教育部门不检讨，政府部门不检讨，司法部门不检讨，全让熊猫烧香背了黑锅”这些熊猫病毒的制造者们，没有任何理由获得道德上的正当性。
并不能因为写病毒的是用电脑人模狗样的，而打砸抢的穿黑风衣戴黑墨镜，就可以认为前者更高尚。
本帖一共被 1 帖 引用 (帖内工具实现)家园 制造病毒的家伙 法律的制裁是最起码的,兄弟的一部分工作是网管,很是被病毒折腾了几次,当时杀人的心都有了,这帮狗杂碎
家园 fp fp
家园 想法很有意思。不过好像有一点还没有特别清楚 我觉得最关键的地方，是在于怎么让写病毒代码的人没有动力去写，比若说，是因为压力，或者是因为有更好的事情要做。
报告漏洞的行为，实际上不用政府收购漏洞报告，就如你所说的，会有很多人乐意在网上公布。一方面是一些机构，比如 cert的有意识行为，另一方面也是个人的自我炫耀的方式。
漏洞一旦被公布，总会有人开始利用。也就是说，政府部门对漏洞报告本身的收购，并不会阻止别人对漏洞的利用，更不用说很多漏洞信息在网上都可查。
也许你说的“如今漏洞都被政府机关收购走了、并加以管理”是说所有的漏洞信息被收购以后予以保密封存。但是，这个可能性不大。
其实，说起来。病毒的问题和垃圾邮件的问题是差不多的。目前对垃圾邮件的应对方式是用这样那样的技术来过滤垃圾邮件信息。但是，为什么就不能通过惩罚垃圾邮件客户的方式呢？很多垃圾邮件的目的很明确，是为了推销。如果对推销的客户，比如那些通过大量邮件卖类似VIGRA的东西的人予以惩罚，垃圾邮件的源头也就被打击了。
家园 政府的任何行为都是税民买单的 如果政府只介入收购系统漏洞信息，而不是组织人力去解决或修补这些漏洞，这样应该不会花费太多。否则，微软该笑了，他们正好可以甩掉售后服务的包袱。