“XP停服”拷问中国网络安全

来源：21世纪经济报道

发布时间：2014年04月12日 13:15

作者：袁华北

　　It'stimetosaygoodbye。

　　2014年4月8日如期而至，这一天，微软停止对XP系统的支持，这意味着微软历史上服役时间最长的一款产品进入了“裸奔时代”。说它裸奔是因为没有了微软的官方补丁，“漏洞百出”的XP系统要直面全球黑客们的攻击。另一方面，传统的杀毒软件失灵——杀毒软件杀的是木马、病毒，对操作系统的漏洞，防护能力几乎是零。

　　但即便如此，仍然有众多人不愿意舍弃那一份“蓝天白云”。第三方的数据显示，全球范围内XP的市场份额约占25%，而中国XP市场份额高达70%以上，目前中国有超过2亿台电脑仍然在使用XP系统。此外，还有众多的政府机构以及企事业单位因为各种各样的原因留守XP。

　　倪光南不止一次地呼吁，XP停止服务是一个重大的信息安全事件，需要认真应对。“特别是对中国而言，应集中我国信息安全领域的力量协同攻关，采用自主创新的可信计算技术进行安全加固。”倪光南认为，在微软停止对XP支持后，中国应推出有公信力的安全云服务，接管国内XP电脑用户的服务支撑，以此可防止在微软停止支持XP后，继续使用XP的电脑出现严重安全事件。

　　微软把善后工作甩给了第三方安全厂商，而这对于已经甚嚣尘上的中国安全产业来说，无疑“火上浇油”。

　　XP曲终人不散，真正的大戏刚刚开演。

　　中国网络安全的分水岭

　　“XP停服”是一场有明确时间表的“阵地战”。微软早早地发布公告称2014年4月8日是最后期限，几轮广而告之下来的结果是，用户以及黑客们都清楚地明白4月8日这个时间节点。

　　“这就好像当年孟良崮战役，敌我双方都很清楚对方的实力。”一位不愿意透露姓名的安全圈人士这样分析：“敌，就是全球的黑客。我，就是微软以及安全公司们。”当然，在4月8日之后，微软已经完成了交接棒的工作，将防护XP系统安全的工作交接给了安全公司。

　　4月9日，微软通过其全球官网，向留守XP的用户推荐了24款安全防护产品。令人遗憾的是在这24款安全防护产品中，只有360一家中国大陆的安全厂商。

　　微软的谨慎和苛刻是有道理的。正如倪光南预言的那样，XP停服是“一个重大的信息安全事件”，波及范围广，用户数多，第三方统计的2亿用户只是保守的估计，其中或许没有包括众多的盗版用户。

　　除了普通消费者外，众多政府机构、企事业单位在使用XP。XP系统在中国上市一周年时，媒体公开披露的信息显示，包括中国海关、江苏省国家税务局、广东省财政厅、昆山市政府等在内的诸多机构都采用了。

　　而且，政府和大企业用户有很多专属应用系统，早年间都是基于WindowsXP环境下开发的，升级到Vista、Windows8后无法运行，需要付出二次开发成本。这些因素决定了政府和大企业用户短期内无法迁移或升级系统。

　　以教育领域为例，全国41万多所学校中，机房和IT平台安装使用的大多是XP系统。有业内人士预言，校园很可能因此成为黑客攻击的重灾区。据教育部公布的相关数据，全国初等教育（小学）学校数量超过32万所，中学和高校数量也分别达到近9万所和2000余所。在教育办公自动化建设中，很多办公软件是基于XP系统开发，短期内无法支持Win7和Win8系统。

　　当然还有众多大型企业的ERP系统几乎都基于XP系统开发。以国内最大的管理软件厂商用友为例，2002年其旗舰产品U8管理软件就通过了微软WindowsXP兼容性测试。根据用友公司的统计，U8已经累计拥有60万家用户，涵盖多个行业以及领域。

　　媒体的公开报道显示如八方达公交集团这样的公司，拥有运营车辆6525部，总资产169亿元。该集团使用用友U8软件，涉及财务管理、人力资源、资产管理几大模块，共涉及分公司12家，分布站点580点，每日在线运行资源200点左右。这样的企业级用户要进行系统级迁移，无疑要耗费大量的时间以及人力成本，并非一蹴而就。

　　此前，甚至有传言称“4月8日后到ATM机存取现金有风险！”尽管这在安全专家看来，不过是市井传说与危言耸听，但XP停服之后复杂的网络安全环境却不容小觑。

　　原因在于常规的杀毒软件查杀的是病毒和木马，不是防御系统级的漏洞。“系统有漏洞，就像一个房间的墙壁损坏，小偷可以随便出入。”中国国家信息安全漏洞库特聘专家、360漏洞实验室主任袁仁广说：“以往安全软件只能防木马病毒，对漏洞缺乏抵抗力。在冲击波蠕虫爆发、伊朗核设施被Stuxnet（震网）破坏、谷歌公司遭遇极光攻击等安全事件中，黑客攻击都是通过漏洞发起，安全软件基本形同虚设。”

　　安全公司深知，必须推出针对XP的专版防护产品，但知易行难。事实上，针对XP停服，中国网络安全产业只推出了三款专版产品，分别是360安全卫士XP盾甲、腾讯电脑管家（XP专属版本）、金山毒霸（XP防护盾）。但是，最终入选微软全球推荐名录的只有360的安全产品。

　　老牌的瑞星、江民等传统杀毒软件厂商似乎没能跟上，没有开发出针对XP停服的专版产品，而安全新军百度杀毒不过雷声大、雨点小。

　　“XP停服是客观事实，与其怨天尤人，不如自己创新。”360公司总裁齐向东说：“360的产品是我们给用户的一个交代，希望用户能看到中国本土厂商的实力。”他认为，相信腾讯、金山、百度等等能慢慢成长起来，中国本土的安全厂商还是有希望的。

　　攻防无止境

　　安全对于整个互联网来说，一开始并非主流的应用。时光如果倒退10年，互联网行业言必称门户，倒退5年言必称搜索。安全行业持续升温恐怕是最近2-3年的事情，原因可能在于互联网的各项应用持续深入，已经与普通人的日常生活息息相关。

　　另一方面，没有网络安全就没有国家安全已经成为共识。中央网络安全和信息化领导小组3月成立，无论是庙堂之高抑或江湖之远都已经感受到了某种氛围。一向以嗅觉灵敏、反应迅速的互联网行业更是迎来了进军安全领域的小阳春。

　　XP停服，更是成了中国网络安全公司的盛宴。

　　2014年2月份，360抢先推出了XP盾甲产品。

　　3月，腾讯、微软、联想等几个大佬级的公司联手推出了“扎篱笆计划”，称将为XP用户提供安全防护。这个计划的参与者相当广泛，除了三大巨头和一些安全公司外，亦包括了腾讯入股的搜狗公司。而在发布会上，金山公司CEO傅盛高调表态，XP用户支持行动希望通过联合防御体系，规范XP系统保护市场，制止利用XP漏洞恐吓用户的行为。

　　虽然在发布会现场，扎篱笆计划并未推出实质性的产品。但随后，腾讯和金山拿出了专门的XP防护专版产品。金山毒霸承诺，将提供第三方的XP安全升级补丁及相关产品解决方案。

　　紧接着，百度卫士宣布将推出“XP用户解决方案”；瑞星杀毒宣布将为用户提供漏洞监控服务；北信源发布了北信源金甲卫士和企业版的北信源金甲防线两种具体的产品。

　　中国的XP用户们是否可以高枕无忧了？4月5日，微软XP系统退役的前三天，一家名为合天智汇的安全公司组织了一场专门针对XP系统的黑客攻击大赛。只有360、腾讯、金山三款针对XP的专版防护产品入选，成为黑客们攻击的目标，其它产品甚至没有入选。

　　比赛开始42秒，腾讯被爆；不到一分钟，金山被爆；只有360熬过了13个小时。腾讯公司副总裁丁珂回应称：“从专业角度看，所谓现场1分钟，更多可能属表演性质。客观说，没有任何软件是完美不可攻破的。现实世界也没有攻不破的安全系统的。如果不限制时间，再高安全级别的系统都迟早会被打破。”

　　360公司副总裁、首席隐私官谭晓生也坦言这个过程并不轻松：“攻防无止境。”

　　全球性安全组织Owasp中国区负责人、长城重点安全实验室主任陈亮认为，出现这样的状况是必然的：金山由于人员流失，技术实力已经不如以往；而腾讯毕竟是做社交应用起家，在安全领域的积累和沉淀不够。360则是一直专注于安全领域，尤其是在操作系统级别的安全防护上有丰富的经验，胜在综合能力强。

　　黑客们不到2分钟先后拿下腾讯、金山或许不乏“炫技”的意味，但有专业安全人士分析称，这次比赛在安全专业领域的重要性不啻于一次“反恐演习”，这背后折射出的是XP停服后形势严峻的网络安全环境。“就和体育比赛一样，挑战赛是在比赛环境下举行的，XP停服后是个漏洞百出的操作系统，到那个时候真实的网络安全环境只会比比赛环境更严峻、更复杂、更多变。”

　　其实国际上对此问题有着更加清醒的认识。海外知名云服务公司EvolveIP的首席技术官ScottKinka就表示：“任何一个单独的桌面安全风险，都将在这之后被无限放大，因为微软不会再为这个老旧的系统提供官方修复。各种恶意软件将汹涌而至，而你的每一个密码、商业机密，以及个人信息，都将处于风险之中。”云安全服务公司Qualys的首席技术官WolfgangKandek也深表赞同。

　　即便有专门的安全产品也并非能真正有用，这次XP挑战赛就是模拟XP停服后的系统安全真刀真枪比拼了一把。这也是大会组织的初衷之一，主办方合天智汇在比赛前接受媒体采访时就表示，“后XP时代”的信息安全一直备受关注，但国内安全厂商推出的防护软件究竟效果如何，普通用户委实很难辨别。

　　也有乐观的观点认为这次XP挑战赛开了个好头，一来是起到了重要的科普作用，通过这种“实战演习”的方式让大家意识到网络安全严峻形势，更能够帮助公众识别出那些“不安全”的安全软件，让略显神秘的网络安全逐步走向大众化。

　　“类似的比赛应该持续搞下去。”国家安全应急技术工程实验室主任杜跃进博士认为，今后如果由第三方来办赛，或者有中立的第三方机构能发挥监督作用，那么比赛的公信力和权威性将会得到进一步提升。

　　360是侥幸吗？

　　XP挑战赛的失败者们认为360赢得侥幸。而谭晓生则认为，之所以360能够在“守护XP”一战中取得领先，是360长期站在与黑客攻防的第一线，在安全领域有长期积累。“比如安全软件给系统打补丁就是360发明的，我们在防护微软系统安全上曾经获得微软全球18次致谢。”而这次被挑战的360安全卫士“XP盾甲”有系统加固、程序加固、补天热补丁、关键程序隔离四大引擎，其中隔离引擎的Sandbox（沙箱）技术是攻击难度最高的，当天参加比赛的不少黑客都能攻破应用层面的漏洞，但都过不了沙箱技术。

　　谭晓生这样比喻：“如同给一辆桑塔纳装上宝马的发动机，并对整个轿车进行了加固。或者说，像个小区保安一样，为用户把门，有程序过来先问清楚，你是谁，从哪来，要做什么？查清楚户口才能放行”。

　　“以前黑客更多是技术专业人士，做病毒是为了炫技，但后来越来越多的黑客变成了就是要骗钱，有一个黑色产业链。”谭晓生说，“我们有网购先赔，每天就是为了保护用户的钱包和这些黑客们斗智斗勇，积累了大量的实战经验。”

　　360安全中心2013年共处理新型网购木马220例，平均每周更是接到200多个新增钓鱼网站举报，涉及网购钓鱼、网上博彩、兼职、游戏等多种欺诈形式。

　　在网购安全领域，360积累了一份大数据。今年3月12日，360发布了《2013年中国网购安全报告》。报告显示，去年共有30613例消费者反映网购被骗，其中22259例遭遇木马和钓鱼欺诈网站，剩余8354例都属交易纠纷。在网购欺诈中，上午10点到12点间是高峰时段，90后则是最容易上当被骗的群体。“这些数据背后是血淋林的教训。”谭晓生说。

　　到2014年1月，360的网购先赔开启用户已超过1亿人。谭晓生透露：“2013年，我们为将近3000名网购受害者挽回或部分挽回了损失，一共赔付了180万元。”

　　另外，则是技术领域长期的厚积薄发。360发明了基于白名单的云杀毒技术，进而成为整个行业的游戏规则。此外还有上述提到的隔离沙箱防护技术，这是近年兴起的一种防范漏洞攻击最有效的安全技术。如果电脑中运行危险代码，会通过沙箱隔离令其不能随意获取电脑中的数据和操控权，从而达到保护电脑安全的目的。苹果的iOs操作系统、谷歌的Chrome浏览器和360XP盾甲都采用了沙箱技术，来防范未知漏洞的攻击，目前国内只有360在XP上实现了完善的沙箱防护。

　　360的互联网安全中心下设漏洞研究实验室、网络攻防实验室、网络安全研究院、移动安全研究院，此外还包括360学院，这样的立体架构为360延揽了一批网络安全界的顶尖人才。

　　漏洞实验室主任是袁仁广，江湖人称“袁哥”，2008北京奥运会特聘信息安全专家。在百度一个黑客聚集的贴吧中，有人这样描述他：“网名：袁哥（大兔子），姓名：袁仁广，中联绿盟的核心成员，中国的第一代黑客。”

　　网络攻防实验室主任郑文彬，人称驱动神童、中国内核安全顶尖高手，曾因发现微软Windows“DirectShow视频开发包”等多个漏洞被微软官方公开致谢。

　　原天融信副总裁宫一鸣是新近加盟360的技术大牛，出任360网络安全研究院院长。宫一鸣具有14年大型网络及运营商安全行业从业经验，在安全圈无人不晓，在此前引发全球关注的300G流量DDoS攻击事件中，宫一鸣也是参与此次网络安全防御的唯一华人代表。

　　移动安全研究院的负责人则是360首席科学家、北莱罗纳州大学蒋旭宪教授。他与360移动研究人员一共发现了全球9个主流安卓手机厂商的安全漏洞，包括三星S4在内共20多款主流手机。

　　而在互联网安全产业生态构建上，360在中国互联网协会和国家计算机网络应急技术处理协调中心（CNCERT/CC）的指导下组织召开了第一次互联网安全大会，这个在去年9月份召开的大会是第一个聚焦在互联网安全领域的专业会议，持续了三天时间，吸引了近2万人次的广泛参与。企业安全、新型安全技术、ATP攻击，云计算，网络犯罪与防范，基于云的数据在被恢复与存储安全等多个议题被广泛探讨，为国内外互联网安全厂商提供了一个难得的交流合作平台。

　　360目前也是国家信息安全漏洞一级机构，也是唯一的互联网安全公司。在与CNCERT等政府主管机构联动上，360在尝试摸索一条道路，即定期汇报+重大突发事件第一时间通报。一个鲜为人知的事实是，360在获得CNCERT致谢上远超绿盟、安天等公司。CNCERT即国家互联网应急中心，是工信部领导下的国家级网络安全应急机构。

　　不过，仅以一场挑战赛就妄下论断国内安全企业的优劣，还为时尚早。必须清醒的认识，目前国产安全公司的保护XP安全方案依旧只能称之为“过渡性产品”，并非“标本兼治”的终极解决办法。伴随XP终将退出历史舞台，最根本的解决办法还是需要国产化操作系统的勇担重任。

　　(编辑卢爱芳)

相关阅读:

互动精华: 更多互动问答

正在努力加载...