“心臟出血”XP停服 軟件行業(yè)迎來千億商機

4月8日互聯(lián)網(wǎng)世界兩個震撼事件，一是“心臟出血”漏洞導致全球網(wǎng)站受到安全威脅，二是XP停止服務帶給兩億中國XP用戶的電腦安全。關于“心臟出血”漏洞，是因為多數(shù)SSL加密的網(wǎng)站都使用名為OpenSSL的開源軟件包。本周一，研究人員宣布這款軟件存在嚴重漏洞，可能導致用戶的通訊信息暴露給監(jiān)聽者。

“心臟出血”漏洞被公開之后，一部分雅虎用戶數(shù)據(jù)在一天之內(nèi)遭到泄露，雅虎發(fā)言人表示：“我們的團隊已經(jīng)在雅虎的主要資產(chǎn)中(包括雅虎主頁、雅虎搜索、雅虎電郵、雅虎財經(jīng)、雅虎體育、雅虎美食、雅虎科技、Flickr和Tumblr)成功部署了適當?shù)男迯痛胧?，我們目前正在努力為旗下的其他網(wǎng)站部署修復措施。“

亞馬遜也發(fā)布了類似發(fā)言表示正在部署修復。但是蘋果、微軟這樣堅持推行商業(yè)軟件而不是采用開源軟件的公司暫未中槍。出現(xiàn)互聯(lián)網(wǎng)世界如此大面積安全問題的根本原因還在于：當今最熱門的兩大開源網(wǎng)絡服務器Apache和nginx都使用OpenSSL。這兩種服務器約占全球網(wǎng)站總數(shù)的三分之二，包括大量熱門的網(wǎng)站。

機會一、“心臟出血”漏洞導致重新審視開源軟件，全球主要IT服務器將被推動重新采用付費的商用軟件，而大量開源項目也會面臨轉(zhuǎn)付費項目的機遇。

20世紀80年代，自由軟件運動拉開序幕，開源軟件的積極發(fā)展推動了應用程序的一個“黃金時代”。計算機軟件生來就是開源和免費的。1976年2月3日，比爾·蓋茨發(fā)表了著名的《OpenLettertoHobbyists》(致電腦業(yè)余愛好者的一封公開信)，提出了軟件“版權”(CopyRight)的概念，正式宣告進入商業(yè)軟件時代，隨后商業(yè)軟件領域崛起了一個個巨無霸。開源軟件曾一直受到商業(yè)軟件的強力壓制，但是幾乎每一款成功的商業(yè)軟件背后，總有一款比較成功的開源軟件，如Linux之于Windows，MySQL之于Oracle，商業(yè)軟件過高的價格是開源軟件令“野火燒不盡，春風吹又生”。微軟鮑爾默曾將開源與Google和蘋果并稱為微軟的三大勁敵。然而，隨著軟件日益互聯(lián)網(wǎng)化，開源軟件在一些領域開始超越商業(yè)軟件。在排名前1000的高流量網(wǎng)站中，開源服務器軟件Nginx占據(jù)了34.9%，已經(jīng)取代了Apache（34.5）第一名的位置。將范圍擴大到前百萬網(wǎng)站時，Nginx已超過Microsoft，位列第二。全球范圍內(nèi)，有上億個網(wǎng)站使用了Nginx，大約占14.55%。類似Netflix、Hulu、Pinterest、AirBnB、WordPress.com、GitHub、SoundCloud、Zynga、Evenbrite及Zappos這些網(wǎng)絡重量級公司都使用了Nginx來服務他們的網(wǎng)站。Apache開源技術則是近十年改變?nèi)騃T世界的重要力量，ApacheHTTP服務器項目主要致力于為現(xiàn)代操作系統(tǒng)開發(fā)和維護開源的HTTP服務器，其中包括Unix和WindowsNT。自1996年4月以來，Apache就變成了互聯(lián)網(wǎng)上最流行的Web服務器。連續(xù)18年，ApacheHTTP服務器都是全球Web服務器的領軍者，為上億個網(wǎng)站提供服務。

以下是淘寶網(wǎng)對采用Nginx的說明：淘寶網(wǎng)是亞洲最大的電子商務網(wǎng)站，每天訪問淘寶網(wǎng)的PV超過了幾十億。大壓力的訪問，對淘寶網(wǎng)的Web服務器提出了嚴苛的要求。經(jīng)過一系列的對比，我們最終選擇了Nginx作為我們的Web服務器，因為它性能高，又非常節(jié)省資源（CPU和內(nèi)存），并且有足夠的靈活性。雅虎、Google、亞馬遜、Facebook等互聯(lián)網(wǎng)新霸主，都大量采用免費的FreeBSD、Linux、ApacheWebServer等開源軟件搭建自己的系統(tǒng)，在開源軟件的“哺育”下崛起的。開源軟件有助于他們成本降低和技術水平提升。但是，應該看到本次“心臟出血”漏洞反映出基于開源軟件構建的IT世界不堪一擊！全球2/3網(wǎng)站采用當今最熱門的兩大開源網(wǎng)絡服務器Apache和nginx，此次全部中招！開源社區(qū)的本質(zhì)允許IT人員來檢查一個產(chǎn)品的源代碼，改善或改變代碼。“心臟流血”帶來的最重要的教訓“這些漏洞都比較隱秘，如果只是看代碼的話，是無法發(fā)現(xiàn)。這次是因為谷歌檢測程序足夠嚴格，發(fā)現(xiàn)了這個漏洞，但是對于任何依賴開源安全軟件的網(wǎng)站來說，都應該進行反思為什么開源軟件如何脆弱和不堪一擊。

這次罪魁禍首OpenSSL軟件是套開放源代碼的SSL套件，其函式庫是以C語言所寫成，實作了基本的傳輸層資料加密功能。OpenSSL軟件是以EricYoung以及TimHudson兩人所寫的SSLeay為基礎所發(fā)展的，但是SSLeay隨著兩人前往RSA公司任職而停止開發(fā)。1998年12月23日發(fā)布第一套OpenSSL軟件版本，此后大概兩年更新一次版本。

目前這場安全風波給2/3的全球網(wǎng)站帶來安全漏洞，教訓已經(jīng)很明顯。但是盡管有2/3全球網(wǎng)站使用OpenSSL，這項開源的協(xié)議在過去的歲月中因為缺乏足夠的資金進行發(fā)展，一直進展緩慢。OpenSSL大約兩年前就已經(jīng)存在這一缺陷，但是因為缺少嚴格的測試而沒有被發(fā)現(xiàn)。當目前網(wǎng)站出現(xiàn)安全問題，由于不是付費的商業(yè)軟件，網(wǎng)站根本找不到相關負責人，只能依靠自己的技術力量進行補漏，這不僅浪費時間而且不是每家網(wǎng)站都有這樣的技術力量來補漏。RedHat、SUSE等開源軟件公司都已推出商業(yè)版本，2013年8月開源服務器軟件Nginx也發(fā)行了其商業(yè)版本。此次令全球互聯(lián)網(wǎng)公司手忙腳亂的安全事件發(fā)生后，不僅推動全球市場商業(yè)軟件的普及，而且預計開源項目轉(zhuǎn)推商業(yè)版本也將掀起新的高潮。上世紀90年代末，全球應對“2000年蟲”事件，軟件界年份時間以兩位數(shù)計，到2000時所有軟件系統(tǒng)將自動清為00，而由此引發(fā)全球軟件內(nèi)核修補軟件，帶來數(shù)百億的軟件外包機會，推動中國印度軟件外包的發(fā)展。對比上次“2000年蟲”事件，此次“心臟出血”漏洞影響更深遠，將帶來超千億的市場機會！這對中國軟件界也是重大機會。

機會二、微軟宣布對XP停止服務，給中國安全軟件企業(yè)及自主研發(fā)操作系統(tǒng)帶來巨大商機。

互聯(lián)網(wǎng)數(shù)據(jù)中心報告顯示，XP在沒有更新的情況下，其病毒感染幾率是Win8的6倍。XP的停止服務意味著用戶的電腦放棄構筑“防御工事”，而網(wǎng)絡攻擊者們卻可以不斷發(fā)現(xiàn)用戶電腦的漏洞，研發(fā)更先進的“武器”，進行更有針對性的攻擊。有企業(yè)IT管理人員擔心最怕的是發(fā)生爆發(fā)沖擊波、震蕩波之類的蠕蟲病毒。

這令人想起2008年微軟在中國就曾弄出了一個“黑屏事件”。那年10月微軟宣布：10月20日開始推出的新一輪正版增值計劃，如果用戶沒有通過WGA驗證，XP用戶開機進入后桌面背景將變?yōu)榧兒谏脩艨梢灾卦O背景，但每隔60分鐘將再度黑屏。微軟的“黑屏”事件后中國計算機用戶將目光轉(zhuǎn)向國產(chǎn)的“開源軟件”和網(wǎng)絡安全軟件的發(fā)展，半年時間國產(chǎn)的Linux操作系統(tǒng)和Office(ForLinux)辦公軟件個人版的總下載量已突破百萬次。同時推動了金山、騰訊、百度等多家公司推出面向普通用戶的網(wǎng)絡安全軟件。華為、中興等公司也紛紛進入企業(yè)級的網(wǎng)絡安全領域。此次，WindowsXP的“退役”恰好為中國網(wǎng)絡安全提出了嚴峻考驗，也提供了新的契機。微軟停止服務之后不提供補丁服務，但是安全軟件可以通過與Windows7等操作系統(tǒng)平臺進行對比，分析出文件差異，得出漏洞可能出現(xiàn)在哪里，而做出自制的補丁，通過不斷打補丁進行加強。國內(nèi)仍在使用XP系統(tǒng)的用戶逾2億，市場預計將給國內(nèi)安全軟件領域帶來超過300億元以上規(guī)模的需求。安全軟件的市場除涵蓋政府、能源、電信、金融等大型客戶，目前也在迅速向小企業(yè)及個人用戶擴展。

此外，這也給發(fā)展中國自主產(chǎn)權的操作系統(tǒng)帶來重大機會。中國2億多的XP用戶中大量政府、企業(yè)、金融用戶，提供了一個廣闊的廉價、安全新操作系統(tǒng)的需求市場。“斯諾登事件”已過去大半年時間，然而給全球互聯(lián)網(wǎng)帶來的震撼仍未停息，世界各國也紛紛進行反思和采取措施，一些國家還競相掀起新一輪網(wǎng)絡安全“保衛(wèi)戰(zhàn)”，切實加強本國網(wǎng)絡空間安全，現(xiàn)在是中國需要借此機會徹底改變電腦安全受控于美國企業(yè)和美國政府的機會。

2006年，微軟推出了Vista操作系統(tǒng)，宣傳要用戶電腦付費升級。當時專家評估確認，Vista的架構會使用戶電腦被微軟高度掌控。在Vista電腦上，沒有得到微軟的授權，不僅一些軟件不能運行，用戶也不能自己能改系統(tǒng)，改一個bit，電腦就不能動，電腦的控制權完全在微軟手里。根據(jù)這些意見，中國政府采購目錄中沒有列入Vista。而據(jù)相關專家分析，windows8和Vista是同類架構，windows8不可控的程度更超過Vista，因為其還捆綁了微軟的殺毒軟件，更是無時無刻都在檢查用戶電腦，隨時可以給用戶電腦下載補丁，而用戶都無從知道。

4月8日一個是對全球互聯(lián)網(wǎng)界產(chǎn)生安全問題的重大事件“心臟出血”漏洞，一個是微軟停止對XP服務給2億多中國XP用戶帶來重大安全影響，雖然都是不好的事件，但是卻給全球和中國軟件業(yè)帶來重大的發(fā)展機會。推動全球商業(yè)軟件的發(fā)展，開源軟件推商業(yè)軟件，以及加快中國自主操作系統(tǒng)市場化的進程、中國安全軟件大發(fā)展等都帶來重大機遇。

微軟是美國棱鏡門事件中的“八大金剛”之一（向美國國家安全部門泄漏企業(yè)和個人信息），通過此4月8日互聯(lián)網(wǎng)世界兩個震撼事件，一是“心臟出血”漏洞導致全球網(wǎng)站受到安全威脅，二是XP停止服務帶給兩億中國XP用戶的電腦安全。關于“心臟出血”漏洞，是因為多數(shù)SSL加密的網(wǎng)站都使用名為OpenSSL的開源軟件包。本周一，研究人員宣布這款軟件存在嚴重漏洞，可能導致用戶的通訊信息暴露給監(jiān)聽者。

“心臟出血”漏洞被公開之后，一部分雅虎用戶數(shù)據(jù)在一天之內(nèi)遭到泄露，雅虎發(fā)言人表示：“我們的團隊已經(jīng)在雅虎的主要資產(chǎn)中(包括雅虎主頁、雅虎搜索、雅虎電郵、雅虎財經(jīng)、雅虎體育、雅虎美食、雅虎科技、Flickr和Tumblr)成功部署了適當?shù)男迯痛胧覀兡壳罢谂槠煜碌钠渌W(wǎng)站部署修復措施。“

亞馬遜也發(fā)布了類似發(fā)言表示正在部署修復。但是蘋果、微軟這樣堅持推行商業(yè)軟件而不是采用開源軟件的公司暫未中槍。出現(xiàn)互聯(lián)網(wǎng)世界如此大面積安全問題的根本原因還在于：當今最熱門的兩大開源網(wǎng)絡服務器Apache和nginx都使用OpenSSL。這兩種服務器約占全球網(wǎng)站總數(shù)的三分之二，包括大量熱門的網(wǎng)站。

機會一、“心臟出血”漏洞導致重新審視開源軟件，全球主要IT服務器將被推動重新采用付費的商用軟件，而大量開源項目也會面臨轉(zhuǎn)付費項目的機遇。

20世紀80年代，自由軟件運動拉開序幕，開源軟件的積極發(fā)展推動了應用程序的一個“黃金時代”。計算機軟件生來就是開源和免費的。1976年2月3日，比爾·蓋茨發(fā)表了著名的《OpenLettertoHobbyists》(致電腦業(yè)余愛好者的一封公開信)，提出了軟件“版權”(CopyRight)的概念，正式宣告進入商業(yè)軟件時代，隨后商業(yè)軟件領域崛起了一個個巨無霸。開源軟件曾一直受到商業(yè)軟件的強力壓制，但是幾乎每一款成功的商業(yè)軟件背后，總有一款比較成功的開源軟件，如Linux之于Windows，MySQL之于Oracle，商業(yè)軟件過高的價格是開源軟件令“野火燒不盡，春風吹又生”。微軟鮑爾默曾將開源與Google和蘋果并稱為微軟的三大勁敵。然而，隨著軟件日益互聯(lián)網(wǎng)化，開源軟件在一些領域開始超越商業(yè)軟件。在排名前1000的高流量網(wǎng)站中，開源服務器軟件Nginx占據(jù)了34.9%，已經(jīng)取代了Apache（34.5）第一名的位置。將范圍擴大到前百萬網(wǎng)站時，Nginx已超過Microsoft，位列第二。全球范圍內(nèi)，有上億個網(wǎng)站使用了Nginx，大約占14.55%。類似Netflix、Hulu、Pinterest、AirBnB、WordPress.com、GitHub、SoundCloud、Zynga、Evenbrite及Zappos這些網(wǎng)絡重量級公司都使用了Nginx來服務他們的網(wǎng)站。Apache開源技術則是近十年改變?nèi)騃T世界的重要力量，ApacheHTTP服務器項目主要致力于為現(xiàn)代操作系統(tǒng)開發(fā)和維護開源的HTTP服務器，其中包括Unix和WindowsNT。自1996年4月以來，Apache就變成了互聯(lián)網(wǎng)上最流行的Web服務器。連續(xù)18年，ApacheHTTP服務器都是全球Web服務器的領軍者，為上億個網(wǎng)站提供服務。

以下是淘寶網(wǎng)對采用Nginx的說明：淘寶網(wǎng)是亞洲最大的電子商務網(wǎng)站，每天訪問淘寶網(wǎng)的PV超過了幾十億。大壓力的訪問，對淘寶網(wǎng)的Web服務器提出了嚴苛的要求。經(jīng)過一系列的對比，我們最終選擇了Nginx作為我們的Web服務器，因為它性能高，又非常節(jié)省資源（CPU和內(nèi)存），并且有足夠的靈活性。雅虎、Google、亞馬遜、Facebook等互聯(lián)網(wǎng)新霸主，都大量采用免費的FreeBSD、Linux、ApacheWebServer等開源軟件搭建自己的系統(tǒng)，在開源軟件的“哺育”下崛起的。開源軟件有助于他們成本降低和技術水平提升。但是，應該看到本次“心臟出血”漏洞反映出基于開源軟件構建的IT世界不堪一擊！全球2/3網(wǎng)站采用當今最熱門的兩大開源網(wǎng)絡服務器Apache和nginx，此次全部中招！開源社區(qū)的本質(zhì)允許IT人員來檢查一個產(chǎn)品的源代碼，改善或改變代碼。“心臟流血”帶來的最重要的教訓“這些漏洞都比較隱秘，如果只是看代碼的話，是無法發(fā)現(xiàn)。這次是因為谷歌檢測程序足夠嚴格，發(fā)現(xiàn)了這個漏洞，但是對于任何依賴開源安全軟件的網(wǎng)站來說，都應該進行反思為什么開源軟件如何脆弱和不堪一擊。

這次罪魁禍首OpenSSL軟件是套開放源代碼的SSL套件，其函式庫是以C語言所寫成，實作了基本的傳輸層資料加密功能。OpenSSL軟件是以EricYoung以及TimHudson兩人所寫的SSLeay為基礎所發(fā)展的，但是SSLeay隨著兩人前往RSA公司任職而停止開發(fā)。1998年12月23日發(fā)布第一套OpenSSL軟件版本，此后大概兩年更新一次版本。

目前這場安全風波給2/3的全球網(wǎng)站帶來安全漏洞，教訓已經(jīng)很明顯。但是盡管有2/3全球網(wǎng)站使用OpenSSL，這項開源的協(xié)議在過去的歲月中因為缺乏足夠的資金進行發(fā)展，一直進展緩慢。OpenSSL大約兩年前就已經(jīng)存在這一缺陷，但是因為缺少嚴格的測試而沒有被發(fā)現(xiàn)。當目前網(wǎng)站出現(xiàn)安全問題，由于不是付費的商業(yè)軟件，網(wǎng)站根本找不到相關負責人，只能依靠自己的技術力量進行補漏，這不僅浪費時間而且不是每家網(wǎng)站都有這樣的技術力量來補漏。RedHat、SUSE等開源軟件公司都已推出商業(yè)版本，2013年8月開源服務器軟件Nginx也發(fā)行了其商業(yè)版本。此次令全球互聯(lián)網(wǎng)公司手忙腳亂的安全事件發(fā)生后，不僅推動全球市場商業(yè)軟件的普及，而且預計開源項目轉(zhuǎn)推商業(yè)版本也將掀起新的高潮。上世紀90年代末，全球應對“2000年蟲”事件，軟件界年份時間以兩位數(shù)計，到2000時所有軟件系統(tǒng)將自動清為00，而由此引發(fā)全球軟件內(nèi)核修補軟件，帶來數(shù)百億的軟件外包機會，推動中國印度軟件外包的發(fā)展。對比上次“2000年蟲”事件，此次“心臟出血”漏洞影響更深遠，將帶來超千億的市場機會！這對中國軟件界也是重大機會。

機會二、微軟宣布對XP停止服務，給中國安全軟件企業(yè)及自主研發(fā)操作系統(tǒng)帶來巨大商機。

互聯(lián)網(wǎng)數(shù)據(jù)中心報告顯示，XP在沒有更新的情況下，其病毒感染幾率是Win8的6倍。XP的停止服務意味著用戶的電腦放棄構筑“防御工事”，而網(wǎng)絡攻擊者們卻可以不斷發(fā)現(xiàn)用戶電腦的漏洞，研發(fā)更先進的“武器”，進行更有針對性的攻擊。有企業(yè)IT管理人員擔心最怕的是發(fā)生爆發(fā)沖擊波、震蕩波之類的蠕蟲病毒。

這令人想起2008年微軟在中國就曾弄出了一個“黑屏事件”。那年10月微軟宣布：10月20日開始推出的新一輪正版增值計劃，如果用戶沒有通過WGA驗證，XP用戶開機進入后桌面背景將變?yōu)榧兒谏?，用戶可以重設背景，但每隔60分鐘將再度黑屏。微軟的“黑屏”事件后中國計算機用戶將目光轉(zhuǎn)向國產(chǎn)的“開源軟件”和網(wǎng)絡安全軟件的發(fā)展，半年時間國產(chǎn)的Linux操作系統(tǒng)和Office(ForLinux)辦公軟件個人版的總下載量已突破百萬次。同時推動了金山、騰訊、百度等多家公司推出面向普通用戶的網(wǎng)絡安全軟件。華為、中興等公司也紛紛進入企業(yè)級的網(wǎng)絡安全領域。此次，WindowsXP的“退役”恰好為中國網(wǎng)絡安全提出了嚴峻考驗，也提供了新的契機。微軟停止服務之后不提供補丁服務，但是安全軟件可以通過與Windows7等操作系統(tǒng)平臺進行對比，分析出文件差異，得出漏洞可能出現(xiàn)在哪里，而做出自制的補丁，通過不斷打補丁進行加強。國內(nèi)仍在使用XP系統(tǒng)的用戶逾2億，市場預計將給國內(nèi)安全軟件領域帶來超過300億元以上規(guī)模的需求。安全軟件的市場除涵蓋政府、能源、電信、金融等大型客戶，目前也在迅速向小企業(yè)及個人用戶擴展。

此外，這也給發(fā)展中國自主產(chǎn)權的操作系統(tǒng)帶來重大機會。中國2億多的XP用戶中大量政府、企業(yè)、金融用戶，提供了一個廣闊的廉價、安全新操作系統(tǒng)的需求市場。“斯諾登事件”已過去大半年時間，然而給全球互聯(lián)網(wǎng)帶來的震撼仍未停息，世界各國也紛紛進行反思和采取措施，一些國家還競相掀起新一輪網(wǎng)絡安全“保衛(wèi)戰(zhàn)”，切實加強本國網(wǎng)絡空間安全，現(xiàn)在是中國需要借此機會徹底改變電腦安全受控于美國企業(yè)和美國政府的機會。

2006年，微軟推出了Vista操作系統(tǒng)，宣傳要用戶電腦付費升級。當時專家評估確認，Vista的架構會使用戶電腦被微軟高度掌控。在Vista電腦上，沒有得到微軟的授權，不僅一些軟件不能運行，用戶也不能自己能改系統(tǒng)，改一個bit，電腦就不能動，電腦的控制權完全在微軟手里。根據(jù)這些意見，中國政府采購目錄中沒有列入Vista。而據(jù)相關專家分析，windows8和Vista是同類架構，windows8不可控的程度更超過Vista，因為其還捆綁了微軟的殺毒軟件，更是無時無刻都在檢查用戶電腦，隨時可以給用戶電腦下載補丁，而用戶都無從知道。

4月8日一個是對全球互聯(lián)網(wǎng)界產(chǎn)生安全問題的重大事件“心臟出血”漏洞，一個是微軟停止對XP服務給2億多中國XP用戶帶來重大安全影響，雖然都是不好的事件，但是卻給全球和中國軟件業(yè)帶來重大的發(fā)展機會。推動全球商業(yè)軟件的發(fā)展，開源軟件推商業(yè)軟件，以及加快中國自主操作系統(tǒng)市場化的進程、中國安全軟件大發(fā)展等都帶來重大機遇。

微軟是美國棱鏡門事件中的“八大金剛”之一（向美國國家安全部門泄漏企業(yè)和個人信息），通過此次微軟停止XP服務之際，徹底在中國政府、金融和關鍵行業(yè)企業(yè)用戶中放棄微軟產(chǎn)品，發(fā)展中國自主研發(fā)的操作系統(tǒng)，并發(fā)展起本土開發(fā)商提供的應用和服務，都是非常好的契機。而且可以有效拉動內(nèi)需，促進國內(nèi)軟件行業(yè)的大發(fā)展，帶來上千億的中國軟件業(yè)發(fā)展機會。