奇虎360:讓金山網絡的子彈再飛一會兒吧!
2011年1月3日,360公司公布了大量證據,證明金山散布的“360竊取用戶隱私”純屬謠言。360技術副總裁譚曉生表示:360采用的是和金山一樣的惡意網址上傳機制,金山明知道360不可能侵犯用戶隱私,卻還要發(fā)布虛假新聞,故意制造恐慌,是典型的揣著明白裝糊涂�！�12月31日下班前,金山突然召開發(fā)布會,對我們搞突然襲擊。正好元旦三天放假,就先讓金山的子彈飛一會兒�！弊T曉生笑稱:“只有等到子彈真正命中的時候,大家才會發(fā)現(xiàn),最后倒下的是誰�！�
360提供了大量經過公證的材料,材料顯示,通過百度、谷歌、搜狗、必應、搜搜等各大搜索引擎,可以搜索到大量金山從用戶電腦上傳的網址記錄,其中不乏用戶名和密碼。讓人震驚的是,金山公然把這些來自用戶訪問記錄的網址數(shù)據制作成網頁并公開展示。通過金山官方的pc120.com網站,任何人都可以公開查詢到這些網址,包括其中包含的用戶名和密碼。 (服務器托管)
“現(xiàn)在子彈已經命中了,大家看到是:這顆子彈瞄準的是360,倒下的卻是金山自己。”譚曉生談到:“與金山不同的是,我們并不因此就幸災樂禍,借機攻擊金山竊取用戶隱私,而是要借此告訴網民事實真相:客觀地說,這是由個別網站的技術缺陷引發(fā)的巧合事件,包括金山在內,任何安全廠商都沒必要、也不可能去竊取用戶隱私�！�
據介紹,金山公布的所謂“360竊取用戶隱私”的證據,其實是360網盾上傳的可疑惡意網址。安全軟件在發(fā)現(xiàn)用戶瀏覽器受到惡意代碼攻擊時,會將可疑惡意網址上傳到服務器進行自動分析,然后把鑒定出來的掛馬網址加入惡意網址庫,這是安全行業(yè)通用的做法,除了金山和360外,諾頓、趨勢等也都有類似的機制。
“安全軟件在上傳時,如果用戶同時打開了多個網頁,在技術上是無法定位具體是哪個網頁包含惡意代碼的,只能將當前打開的所有網址一并上傳,其中就有可能會包含一些企業(yè)內網和大網站的網址。另外,通過這次事件我們發(fā)現(xiàn),個別網站的安全機制存在缺陷,會在用戶登錄時直接將用戶名和密碼編寫在網址鏈接(URL)中,因此也會被安全軟件一并上傳到服務器上�！弊T曉生介紹說:“據我們統(tǒng)計,包含用戶名密碼的網址占網址總數(shù)的比例不足百萬分之一,實際影響到的用戶人數(shù)極少,但是360還是根據這次發(fā)現(xiàn)的問題,對云查詢機制進行了修改和完善,設法在上傳時識別和去掉其中的用戶名和密碼。與金山不同的是,360的惡意網址庫只保存在內部服務器上,不會像金山那樣對外公開這些網址�！� (電信服務器租用)
“作為安全廠商,在發(fā)現(xiàn)技術漏洞后,負責任的作法是承認自己的不足,并盡快采取措施堵住漏洞,切實保障用戶利益,而不是公開散布網民隱私,捏造謠言制造恐慌,以此來打擊競爭對手�！弊T曉生表示:“360發(fā)現(xiàn)金山的問題后,馬上通報給了金山公司,敦促他們盡快解決,而不是像對方那樣故意歪曲,大肆炒作。據我們觀察,目前金山已堵住了部分漏洞,在各大搜索引擎上也正在緊急清理�！�
400-6717-361
豫公網安備 