kavin

杀毒软件安全建议 对用户真安全吗?

kavin 安全防护 2023-01-10 443浏览 0

误杀,随着病毒数量的飞速增长,安全厂商也在不断完善提高响应病毒速度,量的增长也衍生了误杀的增多。McAfee在四月发生了错误病毒码事件,误杀系统文件,造成不少顾客的电脑强迫关机。此事件在微博或博客上引起不小的声浪;NOD32对于搜狐输入法的误杀同样令人深刻,imm32.dll动态链接库文件的损坏影响了我们日常的使用;还有些彼此如此这般的“误杀”,酿造的杯具最终受益于用户自身,也影响到了用户的感受。

于是乎这些人纷纷开始质疑,这些声称在保护我们的软件,到底是真的保护我们,还是在伤害我们。事实上,除了几乎每台电脑上都会安装的杀毒软件,包括操作系统、浏览器、电子邮件、即时通讯,零零散散我们每天都会用到的各种应用程序,都已备有各种安全上网的功能,提醒我们三思而后行: 要下载、安装、或执行一支程序,我们都会被提醒,这个不明的程序可能有风险,您是不是真的要下载它?真的要安装它?真的要执行它?

连接到一个具有凭证错误的网站,我们也会被提醒,这个网站可能有风险,您是不是真的要进去这个网站?

有朋友用MSN传来一个网址要你过去看看,MSN也会来提醒,这个网页也许有钓鱼的风险,你是不是真的要连接这个网页?

我们每天上的各种网站,也要求你使用更强的密码,甚至还会提醒你要定期去更改密码。

这些所谓的安全保护措施,日日夜夜时时刻刻都在提醒我们,凡事都会有风险,您是不是真的要做这个? 要不要别做那个。乍看之下,彷佛这些“安全建议”,尽忠职守地避免我们受到安全威胁,这应该是好事吧?!但是,讽刺的是,这些怀着善意给我们的“安全建议”,在日渐迷乱的今日,却未必为人们带来好的结果。

根据一篇微软研究使用者行为的论文指出,许多所谓的“安全建议”,虽然都是出自于善心好意,其引发的后果,就经济的角度而言,未必是好的。这些安全建议对IT世界造成的损失,反而大过于它想避免之安全威胁所遭致的损失。

外部性,又称外部成本,是一个经济学上的名词,意指一个人的行为直接影响到他人的利益,却没有承担相对应的义务或获得回报。很多坏事都具有负面的外部性,例如噪音、污染。许多用不正当手段谋取利益的犯罪份子,他们的犯罪手段对社会造成的灾害,时常更甚于其获得的不法利益,他们造成有害的外部成本,转嫁由社会来承担。

在实际生活中,山老鼠盗伐林木,砍下几棵神木或许可以获得几百万的报酬,但是砍伐树木后对于森林与水土保持、生态保育上的灾害,可能不只是数

拿网络上的例子,2008年有份资料指出,一名Spammer,发出了3亿5千万封的垃圾邮件,他所获得的报酬仅仅美金2,731元。但是这3亿5千万封垃圾邮件耗用的网络带宽资源,以及被Spam的人浪费在处理垃圾邮件之时间成本,这些损失恐怕是数十倍于Spammer的所得。

我们就来算算,这一个Spammer造成的外部成本吧!被浪费掉的网络带宽值多少钱不太容易取得,我们就来算算时间成本:

假设这3亿5千万封的垃圾邮件,有1%的机率会进入网络使用者的收信夹中,就有350万封垃圾邮件的垃圾邮件需要被处理,也许是直接删除,或许是回报系统管理员。假设一封信要花上 2 秒钟来处理,就是700万秒,相当于1944个小时。在美国,***时薪是7.25美金,以两倍时薪来计算平均时薪,这1944个小时就相当于28188美金,超过这名Spammer犯罪所得之十倍有余!光是一个Spammer,就浪费掉这个世界美金两万五千元的时间成本,更何况其他浪费掉的网络资源,甚至还有更多Spammer浪费掉的时间成本!

这些例子,都是有害的外部性。有害的外部成本不是由作恶的人来承担,而是转嫁给外部的其他人身上。

然而讽刺的是,想要保护网络使用者免于威胁的“安全建议”,竟然很相似地也有外部成本,转嫁给全世界的网络使用者来分担,这庞大的外部成本,甚至大过于受害者的直接损失。

再者,我们可以来计算这些“安全建议”,为这个世界带来了多少的成本。

假设有某一个安全上的威胁,每年有1%的电脑使用者会因为这个威胁而受害,一旦成为受害者,使用者必须花上10个小时的时间,来清除这个威胁造成的损害。为了避免大家变成这个威胁的受害者,A公司发明了一种“安全建议”,当使用者面临该威胁之风险时,会跳出来“提醒”使用者要三思。请问,A公司的“安全建议”,每天要花使用者多少时间成本,才是经济学上理性的建议呢?

答案是:使用者每天花必须小于 10 x 1% / 365 小时,也就是 0.986 秒,才是一个经济学上理性的建议。

读者,请你回想一下,在你每天使用电脑的过程中,你花在处理各个安全建议的时间,每个建议是否超过 0.986 秒?

遵守这种安全建议,真的是理性的吗?

安全建议理应是要保护数位世界免于威胁的,怎麽反而比这些威胁还要大?

给信息安全社区的反思

当信息安全社区的人士看到电脑使用者对于各种安全建议视若无睹,想都不想就按OK,莫不自以为是地摇头叹息曰:使用者真是无可救药。如今这篇研究论文,正给了信息安全社区一个反省的机会。事实上,使用者比所谓的信息安全专家们,还要来得更为理性。使用者之所以不理会这些安全建议,正是因为这些安全建议,没有做好风险的评估,不说明白威胁的发生机率,不说明白威胁发生后的伤害大小,没有办法协助使用者做好损益分析,莫怪使用者不懂,这是使用者对这些不理性之安全建议的抗议。

身为信息安全社区的一员,这对我自己也是当头棒喝,我的意思决不是叫使用者们无需理会安全建议,而是要提醒信息安全社区,我们真的做的还不够好,我们的建议既不够有效、也没能好好地降低顾客的损失。既然口口声声说要保护这IT世界的安全,我们的思考模式不应是挂念着哪个威胁没拦到该怎么办, 而应该要时时刻刻以使用者的时间与成本为念。否则,自以为是保国安民的建议,失去了使用者为中心的体认,反倒成为劳民伤财的坏话。

继续浏览有关 云安全 的文章
发表评论