基于服務(wù)的軟件更需要注重安全
那天去TENCENT做安全測(cè)試的交流，聽(tīng)到一個(gè)很奇怪的理論：TENCENT不是賣(mài)軟件的，是賣(mài)軟件之上的服務(wù)的，由于軟件不直接收到錢(qián)，不愿意對(duì)軟件的安全問(wèn)題花錢(qián)，只愿意對(duì)服務(wù)的安全問(wèn)題買(mǎi)單。
但我覺(jué)得
1）服務(wù)是基于軟件的，沒(méi)有了軟件，也就沒(méi)有了服務(wù)的載體。雖然賣(mài)的是服務(wù)，沒(méi)有靠軟件直接收錢(qián)，但是用戶(hù)對(duì)軟件的信任度會(huì)直接影響到服務(wù)。無(wú)論是賣(mài)服務(wù)還是賣(mài)軟件，都必須且有責(zé)任改善自身產(chǎn)品的安全質(zhì)量，以保護(hù)自己用戶(hù)的安全，不能因?yàn)槟悴皇琴u(mài)軟件的，但用戶(hù)因?yàn)槭褂媚惆l(fā)布的軟件遭受到的安全問(wèn)題你就可以置之不理。
2）基于服務(wù)的軟件更需要注重安全，我可以說(shuō)個(gè)案例，04，05年：TENCENT的QQ附帶的QQMAIL工具,大量拷貝微軟IE的DLL到自己目錄下使用而很少跟進(jìn)IE的補(bǔ)丁升級(jí)，導(dǎo)致微軟IE補(bǔ)丁修復(fù)后的漏洞，QQMAIL里還存在，結(jié)果導(dǎo)致我認(rèn)識(shí)的很多朋友因?yàn)檫@個(gè)遭受過(guò)重大損失，基本都棄用QQMAIL工具，我的機(jī)器也因?yàn)檫@樣的安全漏洞被成功入侵過(guò)，雖然及時(shí)發(fā)現(xiàn)沒(méi)有導(dǎo)致更多損失，但是到現(xiàn)在我都養(yǎng)成習(xí)慣，哪怕是現(xiàn)在QQMAIL改成WEB形式了，QQMAIL里的來(lái)信一律不收不看，也不會(huì)以QQMAIL作為自己使用的郵件,另外也對(duì)QQ會(huì)大量使用IE DLL的瀏覽器也拒絕使用并且讓所有認(rèn)識(shí)的親戚都不要使用，不是因?yàn)閷?duì)TENCENT有偏見(jiàn)，而是對(duì)以前因這些產(chǎn)品的安全問(wèn)題導(dǎo)致自身的安全的事件記憶深刻?？梢哉f(shuō)，只要用戶(hù)明白了自己的損失是某個(gè)軟件的安全漏洞造成的，都會(huì)長(zhǎng)期丟棄對(duì)應(yīng)軟件之上的服務(wù)的，而且基于通訊服務(wù)的軟件，對(duì)安全性要求更高，一個(gè)不可利用的CRASH如果能導(dǎo)致用戶(hù)無(wú)法使用軟件，也會(huì)造成服務(wù)的失效，所以基于服務(wù)的軟件更需要注重安全。
以上所言，是希望TENCENT主管安全的大佬們能夠思考一下，并無(wú)批評(píng)TENCENT之意，就國(guó)內(nèi)軟件企業(yè)對(duì)自身產(chǎn)品安全的重視和實(shí)施安全的力度和能力而言，TENCENT和阿里是我覺(jué)得國(guó)內(nèi)做得最好的2家公司。
【編輯推薦】
