作者：Ben Thompson 翻譯：ONES Piece 翻譯計(jì)劃 Platycodon Xu
譯者按：WannaCry 病毒爆發(fā)后，輿論一方面驚嘆其波及范圍之廣、危害之大，一方面也對(duì)誰來承擔(dān)責(zé)任產(chǎn)生了分歧：責(zé)備微軟修補(bǔ)不力者有之，慨嘆用戶惰于更新者有之，怪罪美國政府泄漏漏洞者亦有之。本文作者則另辟蹊徑，在一一分析上述因素并非本質(zhì)問題的基礎(chǔ)上，指出軟件行業(yè)根深蒂固的「付費(fèi)在先」模式才是幕后的罪魁禍?zhǔn)住粌H使用戶誤以為安全保障是軟件價(jià)格中的應(yīng)有之義，也讓廠商缺乏長期維護(hù)的經(jīng)濟(jì)動(dòng)機(jī)，這才讓一些長年潛伏的漏洞遲遲得不到修補(bǔ)，最終導(dǎo)致安全危機(jī)集中爆發(fā)。在此基礎(chǔ)上，作者指出將軟件服務(wù)化（SaaS）才能給各方提供最大的正向激勵(lì)，既確保廠商的持續(xù)經(jīng)濟(jì)來源，又保障用戶時(shí)刻保持更新，因此是正確的發(fā)展道路。拋開文中的個(gè)別預(yù)測是否在近期具有可操作性，本文這種追根溯源的思路的確具有參考價(jià)值。
根據(jù)預(yù)測，大約有 200000 名用戶和管理員的電腦被「WannaCry」病毒感染——隨著病毒新變種的出現(xiàn)，這個(gè)數(shù)字估計(jì)還會(huì)上升（原始版本被一名安全研究人員無意中攔截了）。對(duì)他們來說，本文標(biāo)題所隱含問題的答案是肯定的。[1]
WannaCry 是一種被稱為「勒索軟件」的惡意程序：它加密電腦上的文件，然后要求付費(fèi)解密。勒索軟件并不是什么新事物；WannaCry 之所以如此具有破壞性，是因?yàn)樗杂?jì)算機(jī)蠕蟲病毒為基礎(chǔ)。所謂蠕蟲病毒，是一種能將在同一個(gè)網(wǎng)絡(luò)中不斷自我復(fù)制的惡意軟件（當(dāng)然，這里所謂的網(wǎng)絡(luò)可以包括整個(gè)互聯(lián)網(wǎng)）。
蠕蟲病毒從來都是惡意軟件中最具破壞力的那一種——也是最臭名昭著的：即便不熟悉技術(shù)的讀者也可能聽過 Conficker（2008 年爆發(fā)，預(yù)計(jì)造成損失 90 億美元）、愛蟲（ILOVEYOU，2000 年爆發(fā)，預(yù)計(jì)造成損失 150 億美元）、MyDoom（2004 年爆發(fā)，預(yù)計(jì)造成損失 380 億美元）的大名。其實(shí)爆發(fā)過的蠕蟲病毒遠(yuǎn)不止這些，但近年來已經(jīng)沒有那么多了：21 世紀(jì)頭十年是蠕蟲的黃金時(shí)期，當(dāng)時(shí)數(shù)億臺(tái)聯(lián)網(wǎng)的計(jì)算機(jī)都安裝著一個(gè)極度不安全的操作系統(tǒng)——Windows XP，而用戶們被誘導(dǎo)著點(diǎn)擊按鈕染上病毒，最后只能把錢交給騙子來擺脫那些嚇人的彈窗。
接下來的幾年，微軟從 Windows XP SP2 開始對(duì)安全性重視了許多；網(wǎng)絡(luò)管理員變得聰明起來，知道把網(wǎng)絡(luò)與外部隔離；而用戶也多少有所長進(jìn)，知道不要亂點(diǎn)不該點(diǎn)的東西。然而，正如上周的事件所揭示的，蠕蟲病毒仍然是一個(gè)威脅；而且像往常一樣，每個(gè)人都在把責(zé)任推卸給別人。只不過，這次多了一個(gè)冤大頭：美國政府。
WannaCry 的來龍去脈
在微軟博客上，微軟總裁、首席法務(wù)官 Brad Smith 直言不諱地說（下文中出現(xiàn)的「WannaCrypt」是「WannaCry」的別名）：
惡意軟件「WannaCrypt」從英國和西班牙開始爆發(fā)，迅速蔓延到全球、劫持用戶的數(shù)據(jù)，用戶只有通過比特幣繳納贖金才能取回。WannaCrypt 在攻擊中使用的漏洞是從美國國家安全局（NSA）竊取的，那次失竊事件今年早些時(shí)候有過公開報(bào)道。一個(gè)月前的 3 月 14 日，微軟為修補(bǔ)漏洞、保護(hù)客戶安全，已經(jīng)發(fā)布了一個(gè)安全更新。盡管該更新保護(hù)了運(yùn)行著較新版本 Windows 系統(tǒng)、打開了 Windows 更新功能以安裝最新更新的計(jì)算機(jī)，全球仍有許多計(jì)算機(jī)沒有安裝補(bǔ)丁。結(jié)果，醫(yī)院、企業(yè)、政府和許多家用電腦受到感染。
Smith 在文中提及了一系列關(guān)鍵時(shí)間點(diǎn)。但因?yàn)槔砬鍋睚埲ッ}很重要，所以我按照自己的理解重新總結(jié)了一遍：
- 2001：上述漏洞隨 Windows XP 的推出即已出現(xiàn)，并暴露在之后的每一個(gè)新版 Windows 中
- 2001—2015：某天，美國國安局發(fā)現(xiàn)了（也可能是 Equation Group 發(fā)現(xiàn)的，據(jù)傳隸屬于國安局）漏洞，并開發(fā)了一個(gè)稱作「永恒之藍(lán)」（EternalBlue） 的漏洞程序，但并不清楚他們是否使用過該程序
- 2012—2015：據(jù)稱一名合同工據(jù)稱竊取了國安局掌握的 75% 的黑客工具
- 2016 年 8 月：一個(gè)名為「ShadowBrokers」的組織發(fā)布了一些據(jù)稱從國安局得來的黑客工具；這些工具似乎就來自 Equation Group
- 2016 年 10 月：上述合同工被控竊取國安局?jǐn)?shù)據(jù)
- 2017 年 1 月：ShadowBrokers 掛價(jià) 250 比特幣（按當(dāng)時(shí)價(jià)格約 225000 美元）叫賣若干 Windows 漏洞，其中包括一個(gè) SMB 0day[2] 漏洞——可能就是 WannaCry 使用的「永恒之藍(lán)」
- 2017 年 3 月：微軟在沒有大張旗鼓宣傳的情況下，發(fā)布補(bǔ)丁修復(fù)了一系列漏洞，但未列明其發(fā)現(xiàn)者；「永恒之藍(lán)」也在修復(fù)之列，似乎很可能是出于國安局的警告
- 2017 年 4 月：ShadowBrokers 發(fā)布了一批新漏洞，其中包括「永恒之藍(lán)」，或許是因?yàn)槲④浺呀?jīng)封堵了這些漏洞（這就極大降低了 0day 漏洞的價(jià)值）
- 2017 年 5 月：基于「永恒之藍(lán)」的 WannaCry 病毒發(fā)布，波及約 200000 臺(tái)計(jì)算機(jī)，直到有人無意中觸發(fā)了它的自殺開關(guān)；但新變種即將開始傳播
不消說，該為 WannaCry 的傳播負(fù)最終責(zé)任的是它的作者，我希望他們能被逮捕并被充分依法起訴。
但除此之外，責(zé)任界定就很模糊了。
四處擴(kuò)張的責(zé)任
從上述事件發(fā)展中首先可以看出的是，正如所有 Windows 漏洞一樣，最先應(yīng)當(dāng)承擔(dān)責(zé)任的是微軟。微軟開發(fā)了 Windows 系統(tǒng)，卻沒能為之建立一套強(qiáng)健的網(wǎng)絡(luò)安全機(jī)制。而且盡管微軟做了很多修修補(bǔ)補(bǔ)的工作，許多根本性的缺陷依然如故。
但這些缺陷也不都是微軟的錯(cuò)：有關(guān)個(gè)人電腦的一個(gè)基本假定，就是應(yīng)用程序應(yīng)當(dāng)對(duì)整臺(tái)電腦有不受限制的訪問權(quán)；所有限制這種權(quán)力的嘗試都受到了強(qiáng)烈的抵抗。iOS 倒是開辟了一種新模式——所有的程序都被關(guān)在沙盒里，只能訪問操作系統(tǒng)中一些謹(jǐn)慎給定的鉤子和擴(kuò)展[3] 。然而，這種模式之所以成為可能，完全是因?yàn)?iOS 是一個(gè)新生事物。相反，Windows 的市場霸權(quán)完全來自于市面上既有的大批軟件。這意味著除非微軟自廢商業(yè)模式，就不可能倒行逆施、收回這種不受限制的權(quán)力。
此外，一個(gè)現(xiàn)實(shí)問題是做軟件很難：漏洞是不可避免的，特別是對(duì)于操作系統(tǒng)這么復(fù)雜的軟件而言。這就是為什么微軟、蘋果，以及幾乎任何一個(gè)勤勉的軟件開發(fā)商都要定期發(fā)布更新和漏洞補(bǔ)丁。亡羊和補(bǔ)牢是密不可分的。
然而，說到這一點(diǎn)，必須指出微軟在兩個(gè)月前就修復(fù)了漏洞：任何打了三月份補(bǔ)丁的電腦都對(duì) WannaCry 免疫，而這個(gè)補(bǔ)丁按照默認(rèn)設(shè)置是自動(dòng)安裝的。Windows XP 是個(gè)例外，但微軟早在 2008 年就不再銷售這個(gè)系統(tǒng)，2014 年就停止了支持（盡管如此，微軟還是在周五晚上發(fā)布了一個(gè)針對(duì) Windows XP 的漏洞補(bǔ)丁）。換句話說，最終用戶和管理著電腦的 IT 部門本身也有責(zé)任，他們本來只要及時(shí)打上關(guān)鍵補(bǔ)丁就能保護(hù)自己的安全。
話雖如此，及時(shí)更新的成本也是很高的，特別是對(duì)于大型機(jī)構(gòu)而言。因?yàn)楦聲?huì)弄壞別的東西。這里的「東西」可能是企業(yè)賴以運(yùn)營的關(guān)鍵軟件。它們有的是第三方銷售的，有的是外包的，有的是企業(yè)自己開發(fā)的。這些軟件過于依賴特定版本的操作系統(tǒng)本身就是一個(gè)問題，所以它們的開發(fā)者也應(yīng)該承擔(dān)責(zé)任。同樣的道理也適用于硬件及其驅(qū)動(dòng)程序：英國國民保健署（National Health Service）有報(bào)道稱，一些核磁共振和 X 光機(jī)只能搭配 Windows XP 運(yùn)行——這是設(shè)備廠商的嚴(yán)重疏忽。
簡言之，放眼四周，有很多人應(yīng)當(dāng)承擔(dān)責(zé)任。然而，有多少責(zé)任應(yīng)該歸到事件發(fā)展的中間環(huán)節(jié)——政府的頭上呢？
政府的責(zé)任
Smith 在博文中寫道：
這次攻擊事件再一次印證了政府囤積漏洞是個(gè)大問題。2017 年，類似事件有抬頭之勢。之前，我們已經(jīng)看到中情局（CIA）囤積的漏洞被曝光在 WikiLeaks 上；如今，國安局失竊的漏洞又影響了全世界的用戶。政府手上的漏洞一次又一次地泄露到公眾領(lǐng)域，導(dǎo)致?lián)p失四處波及。如果用常規(guī)武器打比方，這就好像美國軍隊(duì)的「戰(zhàn)斧」（Tomahawk）導(dǎo)彈失竊一樣。
坦白說，這樣的類比很滑稽，除非你想夸張地說 WannaCry 可能危害到醫(yī)院，從而真的導(dǎo)致人員傷亡（即使那樣，也比戰(zhàn)爭武器的傷害小得多）。
首先，制造戰(zhàn)斧導(dǎo)彈的是美國政府，而制造漏洞的卻是微軟（盡管是不經(jīng)意間制造的）；國安局所做的只是發(fā)現(xiàn)了漏洞（然后加以利用）。這種差別是很關(guān)鍵的。尋找漏洞是件苦差，需要投入很多財(cái)力和人力。因此，一個(gè)值得思考的問題是：國安局為什么愿意做這件事？答案就藏在它的名字里面：為了國家安全。而且，正如我們?cè)?a target="_blank" rel="nofollow">震網(wǎng)病毒（Stuxnet）這類事件中看到的那樣，這些漏洞可以變成強(qiáng)大的武器。
這就是根本問題所在：要求國安局發(fā)現(xiàn)漏洞后立即公布，實(shí)際上就等于要求它從一開始就不要發(fā)現(xiàn)漏洞。畢竟，一個(gè)被修補(bǔ)（實(shí)際上就等于公布）的漏洞的價(jià)值將大大削減。這種價(jià)值不僅是指金錢上的（正如 ShadowBrokers 組織發(fā)現(xiàn)的那樣），也是軍事上的，意味著[如果要求公布漏洞]，國安局根本就沒有理由投入財(cái)力和人力去發(fā)現(xiàn)漏洞。換句話說，如果上述要求被實(shí)現(xiàn)，發(fā)生的事情也會(huì)不是國安局早幾年把 EternalBlue 的事情告訴微軟，而是這個(gè)隱藏的漏洞被雪藏更多年（或許會(huì)被中國、俄國之類的第三方發(fā)現(xiàn)，要知道國安局并不是唯一一個(gè)尋找漏洞的機(jī)構(gòu)）。
實(shí)際上，關(guān)于本次事件中政府[的角色]，真正需要吸取的教訓(xùn)不是國安局應(yīng)該擔(dān)當(dāng)微軟的質(zhì)量保障團(tuán)隊(duì)，而是泄密事故的確會(huì)發(fā)生。這就是為什么我去年談?wù)撎O果和 FBI 的糾紛時(shí)，認(rèn)為政府不該通過法令來削弱安全機(jī)制或者安插后門（而不是尋找既存的漏洞）——這種手段更符合 Smith 所做的戰(zhàn)斧導(dǎo)彈的類比。而且考慮到攻擊的散布是不分?jǐn)澄摇⒉豢蓽p緩的，哪個(gè)國家對(duì)攻擊者最有利可圖（比如美國），哪個(gè)國家用這種手段受到的反噬就最大。
商業(yè)模式的責(zé)任
盡管美國政府的責(zé)任并沒有 Smith 聲稱的那么大，與安全危機(jī)糾纏近二十年還是表明了系統(tǒng)性失靈的存在。在我看來，這應(yīng)當(dāng)歸咎于商業(yè)模式。除了上文列舉的幾種技術(shù)和戰(zhàn)略因素，軟件[行業(yè)]還有一個(gè)致命缺陷，那就是自其誕生的數(shù)十年來，無論采取盒裝形式還是許可證形式，軟件是都按照一個(gè)預(yù)設(shè)的價(jià)格出售的。
其結(jié)果，[軟件行業(yè)涉及的各方]都得不到正確的激勵(lì)，進(jìn)而都做出了有問題的決策：
- 微軟不得不為多個(gè)不同的代碼庫提供支持，這不僅成本高昂、實(shí)現(xiàn)困難，而且也沒有任何經(jīng)濟(jì)上的激勵(lì)（例如，這就是為什么微軟要終止對(duì) Windows XP 的支持）。
- 第三方軟件商傾向于把特定版本的操作系統(tǒng)看作是固定不變的：既然 Windows 7 和 Windows XP 是不同的，那也就意味著[廠商]可以點(diǎn)名只支持 Windows XP。第三方軟件商缺乏經(jīng)濟(jì)動(dòng)力更新軟件則進(jìn)一步加劇了上述問題：畢竟，用戶已經(jīng)給它們付過錢了。
- 最嚴(yán)重的問題的是對(duì)購買者的影響：他們把計(jì)算機(jī)和相關(guān)軟件看作資本成本（capital costs）——一次性支付，而后隨著購買價(jià)值的實(shí)現(xiàn)而貶值。在這樣的視角下，持續(xù)的技術(shù)支持和安全保障是與[軟件本身]的持續(xù)價(jià)值相分離的額外成本，為它們付費(fèi)的唯一理由就是避免未來受到攻擊——而無論是攻擊的時(shí)間還是可能帶來的經(jīng)濟(jì)危害，都是不可預(yù)測的。
但現(xiàn)實(shí)是，軟件及其帶來的安全問題是永不終結(jié)的。因此，認(rèn)為購買軟件是一錘子買賣是說不通的。
SaaS
四年前，我借 Adobe 拋棄盒裝軟件一事寫過為什么訂閱制對(duì)開發(fā)者和用戶都更有利：
那篇文章的主題是 Adobe 如何將用戶獲得的價(jià)值更好地體現(xiàn)在營收上：在訂閱制下，雖然價(jià)格門檻降低了，但隨著時(shí)間推移，Adobe 從用戶身上獲得的收入?yún)s與其提供的價(jià)值卻更相稱。而且正如我當(dāng)時(shí)提到的，「Adobe 有充足的動(dòng)機(jī)通過持續(xù)維護(hù)來減少用戶流失，而用戶也得以一直用上最新版本?！?/p>
這也正是維護(hù)良好的安全性所必須的：銷售者應(yīng)當(dāng)讓軟件保持更新（這次事件里的銷售者就是微軟，它賣的軟件就是操作系統(tǒng)），而用戶則應(yīng)當(dāng)永遠(yuǎn)使用最新版本。不僅如此，把軟件當(dāng)作服務(wù)來定價(jià)意味著擺脫了那種「一錘子買賣」的假定，購買軟件不再是一種資本成本：相反，它變成了一種持續(xù)的開支，其中就隱含了維護(hù)[的成本]，無論這種成本是由銷售者還是用戶承擔(dān)（也可能是雙方共同承擔(dān)）。
當(dāng)然，我是在說 SaaS（Software-as-a-service，軟件即服務(wù)）模式。這種模式的興起，加上云端計(jì)算的普遍應(yīng)用，是對(duì)于 WannaCry 事件保持樂觀的最大理由——WannaCry 不過是一個(gè)糟糕商業(yè)模式的茍延殘喘罷了（盡管要先花上很長時(shí)間收回沉沒成本、并擺脫那種完全貶值的資產(chǎn)就「免費(fèi)」的假定）。
長期來看，普通企業(yè)或政府幾乎沒有理由在本地運(yùn)行任何軟件，或者把任何文件存儲(chǔ)在獨(dú)立的設(shè)備上。一切數(shù)據(jù)、無論文件還是應(yīng)用，都應(yīng)該存在云端，通過持續(xù)更新的瀏覽器訪問，并以訂閱形式付費(fèi)。這將使所有的激勵(lì)機(jī)制各得其所：用戶同時(shí)為安全性和功能性付費(fèi)，而銷售者也有動(dòng)力賺取這些費(fèi)用。
值得稱贊的是，微軟很早之前就已經(jīng)在往這個(gè)方向努力了：它不僅集中精力發(fā)展 Azure 和 Office 365 服務(wù)，而且也早就開始用類似于訂閱制的方式銷售傳統(tǒng)軟件。盡管如此，這種以云端為中心的模式意味著用戶更少地被限定在特定的設(shè)備和服務(wù)上，而具有了更多的靈活選擇權(quán)。現(xiàn)實(shí)情況是，上述問題給微軟帶來的頭痛將不亞于安全問題，而這與微軟長久以來成其為最賺錢公司的原因是分不開的。
硬件[銷售]仍然是留待解決的巨大挑戰(zhàn)：對(duì)于那些依賴軟件發(fā)揮其功能的設(shè)備來說，商業(yè)模式可能仍將是付費(fèi)在前，這就意味著[銷售者]沒有提供安全保障的動(dòng)機(jī)。固守這種舊模式的成本將轉(zhuǎn)化為外部性，最終由 Mirai 這樣的僵尸網(wǎng)絡(luò)的攻擊目標(biāo)來承擔(dān)。發(fā)展停滯不前、各方相互指責(zé)是意料之中的——這就是系統(tǒng)性癱瘓的特征，而這正是商業(yè)模式的不匹配所帶來的。
這是 ONES Piece 翻譯計(jì)劃的第 128 篇譯文。本文原載于 stratechery.com，作者 Ben Thompson，由 ONES Piece 翻譯計(jì)劃 Platycodon Xu 翻譯。ONES Piece 是一個(gè)由 ONES Ventures 發(fā)起的非營利翻譯計(jì)劃，聚焦科技創(chuàng)新、生活方式和未來商業(yè)。如果您希望得到更「濕」的信息，我們也有播客節(jié)目「遲早更新」供您收聽。
