考试不及格？国产安全软件请别做"白卷英雄"

　　欢迎关注“创事记”的微信订阅号：sinachuangshiji

　　文/李书航

　　最近几天，全球三大权威杀毒软件测试机构分别宣布撤销2015年授予360和腾讯的所有认证奖项。360随后宣布退出其中一个测试AV-C。腾讯并没有立即宣布退出，但是说需要法律维权。就在几天之前，两家还先后拿着自己通过测试，并都取得高分的测试结果，向社会宣传他们的好成绩。这种剧情的反转真是让人看不懂。

　　不过，三家机构针对腾讯和360被取消评分给出的原因也不同。腾讯被取消评分的主要原因是他们为了“跑分”而特意进行了优化，而针对360指控则更加严厉，说它实际上是借用了另外一款国外知名杀毒软件BitDefender的引擎，但在送评的版本当中开启这个引擎，却在给用户提供的最终版本当中默认关闭，导致如果用户以默认的形式安装了360杀毒，他们就不会使用BD引擎带来的充分防护效果。

　　因此，针对这两种不同理由，腾讯和360的态度也是各不相同。腾讯就显得稍微温和一些，他们觉得对评测标准不一感到困惑；360就发表了两个言辞决绝的声明，退出AV-C测试。有趣的是，我看到360在声明当中提出是三个主要的原因让他们这样做；他们并没有否认提供给最终用户的版本跟评测样本不一致。

　　三大原因分别是：

　　1、国内不把破解外挂当病毒——“在中国，各种破解器、外挂软件拥有大量用户，只要这些软件没有侵害用户系统和数据的恶意行为，安全软件就不会报毒。”

　　2、国内有大量低配电脑——“360杀毒为保证用户体验，为国内用户提供了轻巧的安装包。”

　　3、国内行骗方式比国外高明——“不法分子骗其经纪人卸载了360杀毒，再要求受害者从钓鱼网站下载使用Teamviewer，从而控制其电脑盗取巨额网银资金。”

　　这三个理由都是非常滑稽的。

　　首先，原本就不存在把注册机和破解软件故意当成病毒的事情，能够查出病毒，多半是因为里面确实包含病毒，或者使用和病毒手段类似的特征来修改程序，达到破解目的。这会被进行特征码识别的杀毒软件判定为病毒行为。

　　《中华人民共和国计算机信息系统安全保护条例》中对病毒的定义就提到“破坏计算机功能或者破坏数据”，有一些破解补丁正是会对程序源文件进行修改，这样难道不符合病毒的定义么？

　　退一步讲，就算是把把注册机和外挂都当成病毒并不是出于杀毒原因，而是出于软件厂商的要求，这也是完全合情合理的。不能因为国外打击盗版措施严格，而国内稍显宽松，就在这个问题上实行双重标准。这对于中国软件厂商的生存更为不利——当然，已经采用免费+增值模式的公司，可能不太会替其他公司考虑到这一点。

　　其次，说中国有大量低配置的电脑，这个理由就更加说不过去。越是低配置的电脑，反而越是需要更严格的安全防控措施，原因是它们很容易放弃升级到最新系统，仍然固守在微软已经停止技术支持的Windows XP上。

　　从理论上来说，电脑老到一定程度之后，杀毒软件应该随着操作系统，对其停止技术支持，由此带动电脑的升级换代，促使电脑生产商叫摩尔定律维持下去。然而对于“由于国情所限”必须继续服役的老电脑，它们面临的安全威胁却一样不少。

　　如果因为配置低的原因就放松对安全的警惕，这反倒更是为本来就脆弱的运行环境打开了方便之门。如果安全软件装在电脑上，因为运行快而减弱防护效果，那么还不如不装，跟放了一个皮肤或者电子宠物在那有什么区别？

　　最后，我们来看看“用常规工具来实行非常规行为，所以才有了云安全”这样的说法。当然，最大的问题在于“云安全”的标准是由公司自己拍脑袋想出来，并没有一个放之四海而皆准的量化指标。我们根本不知道，文中所举的这种以社会工程学方法来获取他人钱财和信息的方式，到底应该以什么样的方式来进行测试，以及让全球杀毒软件都服从统一标准。

　　我只知道一点，就是安全软件不可能连最基本的病毒都杀不了。否则的话，这些安全软件虽然可以防住那么多的非常规威胁，却在普通的病毒防护方面比国外的同类产品要落后；那么攻击者只需要使用最原始的病毒方式，就可以潜入用户的电脑，而根本不用在那些变通的攻击方式上做文章。这样的话，国产安全软件岂不就变成一道“马其诺防线”了？

　　本次发难的三大杀毒软件测试的一个共同点，就是使用一些已知的病毒库和特征库，使用统一的标准，来测试所有自称为安全软件的产品。统一标准这一点对于我们构成现代社会实在是太重要了。就算这个标准很原始，很“过时”，参与者也必须通过。

　　我们很难想象有人说自己是数学博士，却连最简单的1+1=2都不会算。而三大测试对于当代杀毒软件来说，就是1+1=2这么最基本的问题。它们的目的很简单：我看到的是什么样的软件，你们给用户的就应该是什么样的软件；我感受到的杀毒标准是怎样的，你们给用户的安全防范也应该是怎样的。然而很可惜，360和腾讯——根据这些评测的官方公告来讲——似乎都没有达到这个目的。

　　说这三大测试是世界上最权威的安全软件测试，自然也会有一些厂商不认同，也当然有知名厂商选择了主动退出，但是它们退出的原因各不相同。赛门铁克在2012年一次测试中得分垫底，甚至差于几乎被当成笑话的微软免费杀毒软件Security Essential，此后声明“测试规则存在误导”而退出。而Comodo则是2011年12月对AV-C测试捐款50000美元，成为其第三方监督员，自然无法再作为运动员身份参加测试。因为“欺骗”和“造假”这样的理由而被公开谴责和取消成绩的情况，在测试历史上是很少见的。

　　如果不是国情问题，那为啥会接连有两家中国企业遭受同样的待遇呢？

　　也许声明说的一部分是对的——在中国，与其说有安全软件市场，还不如说有互联网广告市场更合适。一部分互联网厂商在“破坏性创新”之后鸠占鹊巢，成为“安全”市场的竞争主体，其产品目的与竞争姿势本就是畸形的，导致安全软件的使命从保障安全变成了讨好用户，“门神”变成了“大管家”。“管家”去参与“门神”的评测，当然有不合缝漏风的地方。

　　不管什么测试都会有不完美的地方，但既然电脑的架构一样，基于这种架构的安全威胁，再变多少花招也始终是那样的。三大测试不一定意味着对安全软件最全面和最完美的考验，但它点出的传统杀毒问题，是个安全软件都必须要解决。不是说你“整体防护能力”强，你就可以不做这些基本的，具有可比性的项目了。

　　其实，中国和中国以外的世界的安全环境差异，并没有国内厂商说的那么大，不至于让国外测试完全不符合中国国情的程度。如果以“云安全”作为考虑的起点，连防范话术骗子都算做安全软件的职责的话，那就压根没有任何标准可以评判各家软件做的好坏了。你说人家不符合国情，那拿什么来评判才符合国情呢？最后估计就得自己整一个评测了。

　　所以，要是马上国内要出一个自己的安全评测，我丝毫都不会奇怪——只是，因为全球卷考不过，就来个各国自主命题，以掩盖自己和外国学生之间的差距，何必呢。

（声明：作者独家授权新浪网使用，请勿转载。本文仅代表作者观点，不代表新浪网立场。）