白帽公告网站的构想

= 白帽公告网站的构想

随着网络安全问题的进一步曝光，我认为应该引发一次[谢东危机](http://en.wikipedia.org/wiki/Seldon_Crisis)改善国内网站的技术以及习惯甚至盈利方式和商业道德。引发谢东危机的关键...

对于网络安全，有些服务商是主动犯傻，他们根本就不知道应该如何防御；有些服务商是被动犯傻，他们可能不得不采取某些明显不安全的手段以应对另一种压力。对于被动犯傻的服务商，我表示同情，在中国大陆这片土地上，生活已经是hard模式，何况还要养活那么多员工。但是同情并不意味着赞成和姑息。

中国大陆的网络服务商首先是商人，其次才是说中文的商人，再其次才是在中国大陆说中文的商人。商人就应该首先受到商业规律的控制，要规范商人的行为，使之不作恶，或者不协助作恶，还是要使用商业的武器和力量。

白帽公告网站就是一个这样的商业力量，这个网站将要定期或者不定期的公示各个网站与网络安全相关的行为，并且以简单明确的方式来表达，

* 这是给每个用户的一份知情报告书，你在选择使用网站的时候，应该知道有哪些安全风险。在同等服务质量的前提下，显然会促使用户去前往更安全的网站。
* 这也是给每个投资商的一份风险评估报告，当你要投资某一个互联网企业的时候，你要清楚是否有可能在某一天突然出现一次来自网络安全的重击，使自己的投资灰飞烟灭。
* 这还是给上市公司的第三方评估。一个无法保护用户密码和隐私的网站，是否能够真正保护投资人的利益呢。

白帽公告网站会选择一些与网络安全相关的外部行为进行评估，先找出一些指标，指明：

* 安全的充分条件：一旦出现，必然网站使安全的。这个看起来并不存在。
* 安全的必要条件：必要条件是说网站需要具有这些条件，否则就是不安全的。必要条件会有很多：密码应该单向hash，登陆过程中要保证密码不会被破译等等
* 不安全的充分条件：其实条目与安全的必要条件是一样的，本来就是逆否命题。换种表达方式可能测量和理解起来更方便，比如明文存储密码，明文发送密码。
* 不安全的必要条件：这个跟安全的充分条件一样是逆否命题。好像也是不存在的。
* 提示可能安全的条件：充分/必要这样的要求太严格了，项目不多，提示的作用也有限，毕竟绝对的牛逼和绝对的傻逼还是少数。但是一定的提示作用还是有的，而且列出这些条件，可以使互联网企业有个明确的努力方向和目标。比如：https，单向运算加密密码和用户信息等等
* 提示可能不安全的条件：同上，列出这些条件也是为了督促企业，避免去做这些容易导致危险的操作。

设想中的白帽公告网站，应该包含：

* 常见网站的列表，宁肯做成像hao123那样的页面。这个公告网站的读者都不是做技术的。
* 同类网站的比较，就是要形成竞争的压力，让普通人能够货比三家。
* 面向投资人的安全风险报告，可以有免费的，也可以有收费的。这种收费报告，可能是盈利的主要来源。
* 安全认证的徽章，要进行安全认证可能要深入到网络企业的内部，不一定能够取得这样的权限吧