2007年5月6日星期日

中国电信的垄断问题和上网费分析

  最近很多网站都在转载一篇比较吸引人的文章,名为“中国网民上网费用10倍于发达国家”,这篇文章说的是,我国网民平均每月实际花费的上网费用为83.5元,发达国家互联网使用价格不到其收入水平的1%,而我国的比例超过10%,是发达国家的10倍。如果按绝对的货币价格计算,美国人只要以中国人1/12.88的价格就能买回相同的信息量。

  对于这篇文章我有我自己的看法,首先是态度问题,你如何看待中国电信这家庞大的垄断企业,我个人认为它是一个标准的十恶不赦的老流氓,而且非常善于打擦边球,基本上没有触犯法律的伤天害理的事情都有触及。例如开发互联星空流氓软件浏览器挟持流氓广告弹窗互联星空业务篡改网站内容ADSL互联星空抢钱,还有十分恶心的绿色上网,总而言是,它不是个东西。

  但另一方面,这个流氓是强大的,它几乎垄断了中国所有的接入上网业务,得罪有权势的流氓也不会有什么好果子,因为没有什么其他的替代方案可供大家选择。上网费其实并不是中国电信的主要问题,就上网费这个问题来攻击中国电信,显然是避重就轻了。

  平心而论,中国电信在这些年的发展中,上网费的确减少了不少。2000年的时候我上网还在使用64K的ISDN,而现在使用2M的ADSL包月只有120元(预交一年)。我觉得这个价格还是可以接受的。虽然中国电信的确很流氓,但是那篇文章分析的角度还是有问题的。显而易见,中国人均GDP是非常低的,2005年只有1703,而美国为42076,日本为36486,相差了20多倍,不能因为别人一个月工资就可以买辆轿车,而我们要20个月的工资才能购买,就说中国的汽车存在降价空间,要商家把价格降在消费者一个月工资就能购买的水平才具有社会责任。这显示是不太合理的。对于一些非生活必需品来说,如果消费者没钱购买,可以不去购买,而不能强行要求商家降价。解决这个问题的的方法是切实提高人民的生活水平,提高人民的收入,实行一定程度的减税政策可以推动这个进程。

  关于中国电信的问题,本质上讲是垄断的问题,我早在9年前就写了一篇文章《自由竞争的垄断和非自由竞争的垄断》来讨论中国电信的垄断问题,而现在大家似乎还在讨论这个问题,这本身就已经十分可悲了。垄断和竞争,在国外可能很奏效,但拿到中国就未必,中国电信不是在前几天也拆分为电信和网通两家公司吗,现在竞争了吗?结果是显而易见的。

  中国电信不仅仅是垄断,而且名声也越来越臭,“绿色上网”已经臭名远扬,时不时还乱弹一下广告,挟持一下浏览器,篡改一下网站,总而言之,钻法律上的空子,但实际上我们也拿中国电信没办法,谁让人家垄断呢。

  解决中国电信的问题,其实也并不是一点办法也没有。我们可以采取的策略包括,尽量不使用中国电信的业务,比如市话业务,中国移动的单向收费实际上已经严重打击了中国电信的中下层客户,最便宜的神州行10元即可免费接听电话,而中国电信的市话包月是26元,更何况手机可以随时随身使用,无论从价格上还是方便上讲,中国电信的市话业务已经面临出局的危险,那么中国电信的盈利就只有长话业务和上网业务,使用移动的12593长话价格也非常便宜低廉,可以替代,剩下的就只有上网业务了。如果对于宽带接入业务能够开放,让那些有足够竞争力的企业也经营宽带接入和网络业务,那么中国电信再想耍流氓就不那么容易了,我希望中国移动也能够在上网业务上有所扩展,也提供低廉而高效的上网服务,那相信是很不错的选择。拿着手机可以随时随地上网,比电信可有太多优势了。

  目前中国移动的名声似乎还不错,品牌价值也名列全球第5,不知道以后会不会有长足的发展。

2007年5月5日星期六

主要的个人门户资源

  个人门户(个性化主页)是可以让用户自己定义内容的网站,用户将自己喜爱的网站内容聚合到一个网页里,下面是常见的一些个人门户站点。

  1、My Yahoo - Yahoo提供的老牌的个人门户网站,据Feedburner统计,其使用量位居第一。不过其中文内容较少。

  2、iGoogle - Google的个性化主页,使用量仅次于My Yahoo,有不少有趣的小工具可以添加,中文用户很多。

  3、Live - 微软提供的个性化主页,使用微软的passport登录。可以添加小工具。

  4、Netvibes - 感觉速度有点慢,但提供的小工具真不少,看的人眼花缭乱。

  5、Pageflakes - 汉化的似乎有点粗糙,有些细节没有完全汉化完,中文名取名叫飞鸽。

2007年5月4日星期五

加密算法中私钥的安全性

  著名的Digg网站近期遭遇到了一次尴尬的事件,Digg不得不对文章进行了审查,并删除了一个帖子。因为那个帖子里包含有这样的字符串:09F911029D74E35BD84156C5635688C0。

  这个128位的字符串代表了什么含义呢?这串数字是HD-DVD破解密钥(HD-DVD processing key),可以使用户破解DRM(Digital Rights Management)而未经授权访问数字音像节目。

  DRM使用类似公钥加密的密码技术,在加密音像文件的时候,只有使用匹配的一对公钥和私钥,才能完成对明文的加密和解密过程。整个加密算法的关键就是私钥,保证私钥的安全性,才能保证整个加密体系的安全性。如果私钥被破解了,那唯一的办法就是更换私钥,或者采用另外一种更好的加密算法。

  目前的公钥加密技术主要算法是70年代诞生的RSA算法和近几年流行的ECC(椭圆曲线)算法,据说椭圆曲线具有更高的安全性、更快的运算速度,从理论上将只有密文和公钥,想要破解私钥是极其困难的,因为私钥决不可能对公众开放,仅仅在加密的时候被使用,甚至对其的操作也是在安全环境下执行的,如果你能够破解私钥,那的确是一件很了不起的事情。

  这里就引发了一个私钥安全性的问题,中国不少银行系统为了更安全的认证用户,使用一种USB Key的技术来确保用户私钥的安全,USB Key是用来存放证书和用户私钥并具有处理能力的一种带智能的芯片,形状类似于U盘,但成本比较低廉,目前在国内银行系统中广泛应用,我以前也曾经专门讨论过这种技术的安全性。

USB KEY

  USB Key之所有是较为安全的系统,是因为产生公私密钥对的程序是研制者直接烧制在芯片中的,公钥密码算法程序也是烧制在芯片中。公私密钥产生后,公钥可以导出到USB Key外,而私钥则存储于密钥区,不允许外部访问。进行数字签名时以及非对称解密运算时,有私钥参与的密码运算只在芯片内部即可完成。由于USB Key内部的CPU可以完成这些操作,全过程中私钥可以不出USB Key介质,因此目前最常用的电脑黑客程序就没有机会去截获私钥,因为整个运算都在Key中执行的。

  USB Key的私钥只要保证只有Key内部程序才能访问,因此这个密钥保护可谓相当不错,从理论上讲,只有破解者知道了USB Key的管理员PIN码,再烧制一段程序到Key中,才可能访问到Key内的私钥,这对于一般的破解者来说是极其困难的。

  对于一套公钥加密系统,如果系统的私钥被破解了,那么这一套加密系统就算是废了,任何开发商都不会允许这样的破解程序存在的,因此我也理解开发商对于这种密钥泄露和破解的敏感性。对于Digg的这次事件,我原先一直以为西方对于保护知识产权的态度是十分鲜明的,但是这次事件令我非常意外,对于破解程序的传播竟然可以做的这么明目张胆且毫无愧疚感,或许在他们看来,音像影视的知识产权也并非那么重要吧。

2007年5月2日星期三

Google个性化主页更新

  据谷歌治印报道,Google近日对Google个性化产品进行了一些更新。Google个性化主页使用新的“iGoogle”名称以及Logo,中文版本也有所更新,并增加了“选择主题”的功能。

  Google个性化主页项目的产品经理Jessica Ewing说,Google个性化主页有壁纸功能,到目前为止,30%的Google个性化主页都使用了主题,Jessics说道。在被问道iGoogle有多少用户时,Marissa Mayer说有“上千万”。

  Jessica Ewing还宣布Google发布Gadget Maker(不需要编程技能)。用户可以用这个工具创建7种不同类型的小工具。在iGoogle页面的下方将会又一个新的链接,链接到Gadget Maker服务。可惜的是,这个功能目前只在英文版里有,中文版的iGoogle界面上还没有这些“向导”工具,不过,估计过一段时间后中文版也会有类似的工具。

  这些“向导”工具包括:相片小工具、消息展示、每日小工具、个性化倒数小工具、个性化列表、YouTube视频小工具、“自由表格”小工具。

  我对于个性化主页的主要用法是将其当作一个“时间管理”工具,用于提高工作效率,详情参见前文《使用Google进行时间管理》。提醒一下的是,我保存在Google个性化主页的信息曾经丢失过一次,便条纸保存的内容全部丢失,相信其他人也越到过类似的经历,因此,我觉得iGoogle目前最重要的应该是其稳定性,保证其信息再也不会丢失,其次才是功能上的扩展。

  最后提一下,谷歌拼音输入法1.0.18已经可以下载,提供迷你状态栏功能。新版Google桌面搜索5.0也可以下载

2007年5月1日星期二

博客系统的安全设置技巧

  我们经常会碰到个人博客被黑客入侵并挂木马的事情,我以前曾经介绍过“服务器的安全配置技巧总结”,但是没有具体结合某个博客程序讲解,今天,我这里就介绍一下在Z-Blog 1.7的系统以及主机可配置的条件下(托管、租用或者合租主机)的系统安全设置。让黑客的入侵变得不那么容易。

  首先Windows 2000或者Windows Server必须格式化为NTFS的格式,格式完成后,设置网站硬盘的安全性。C盘为操作系统盘,D盘放常用软件,E盘网站,格式化完成后立刻设置磁盘权限,C盘默认,D盘的安全设置为Administrator和System完全控制,其他用户删除,E盘放网站,设置Administrator和System完全控制,Everyone读取。

  将Z-Blog的文件目录复制过来,此时会自动将所有文件设置为Everyone读取,这时,选择DATA目录设置为Everyone修改、读取和写入。选择UPLOAD、INCLUDE、CACHE、POST目录,设置为Everyone读取写入,选择RSS.XML、ATOM.XML文件也设置为Everyone读取写入。

  下一步非常关键,就是在IIS管理界面中,选择目录属性,将上面设置的所有“可写”目录的应用程序执行许可都设置为“无”,如下图所示,这样设置之后,可写的目录就无法运行任何ASP或者其他脚本,其意义在于,即使黑客通过某个漏洞上传到了某个可写目录下一段恶意程序代码,这个恶意程序代码依旧无法执行,这就从根本上杜绝了黑客上传木马的可能性。

博客系统的安全设置小节

  最后总结一下安全设置的要点,所有ASP程序应该放在只读目录下,可写的目录均不能放置ASP程序,所有可写的目录均不能有执行许可,DATA目录最好能设置为不能下载。按照我所介绍的这样配置之后,Z-Blog系统的安全性就应该是不错的了。

2007年4月29日星期日

80%的博客含有“攻击性”内容

  博客虽然一直被看作是免费为大家提供“原创”内容的方式,但是根据ScanSafe最近提供的一份调查表明,绝大多数博客的内容都包含“攻击性”的内容,而且可能会“不受欢迎”。

  ScanSafe发布的2007年3月的“全球威胁报告”指出,多达百分之八十的博客主机含有令人厌恶的内容。这些内容包括使用“成人语言”、色情图片等等。该公司建议:企业应积极防止自己的用户获取这些信息。当然,ScanSafe希望企业能使用他们的产品来实现这个功能。

  ScanSafe还表示,他是通过对自己的合作客户的70亿个页面进行分析后发现的这个结论的。这样,他们显然了解到了所谓的“博客圈”有很多像乔治卡林的业绩:多变的,有时有趣,并带有很多“脏话”。

  除了所谓的“攻击性”的内容,3月份的报告还发现约6%的博客主机还包含恶意软件(MalWare)。“博客是一个进行自我表达和交流想法的伟大的工具”,ScanSafe的产品策划Dan Nadir说:“员工访问这些网站可以不知不觉地泄露自己公司网络中的法律合同、病毒以及损失专利资料”。

  但什么是真正意义上的“攻击性”的内容呢?一个博客,只要包含一个不雅词汇,就会被ScanSafe认为包含“攻击性”内容。Nadir告诉Techworld说,“包含Fxxx这个单词的博客多的比包含‘中国’的还要多”。

  ScanSafe关注的重点不仅仅是单一的令人厌恶的内容,还包括那些在电脑前工作的有可能陷入不良内容的雇员的整体的安全和责任,Nadir说:“博客和其他网站提供的内容,会因为用户的贡献而不断地变化,所以,网络安全解决方案是依靠网上爬虫或定期检索有威胁的网站地址,而不是实际的扫描的URL地址的每个时间的请求,这样,ScanSafe可以使得用户远离恶意软件和不健康的内容。”

  根据 ScanSafe的调查,在博客上散布的前五大恶意软件或木马是:Trojan.Win32.Diamin.js, Trojan-Downloader.VBS.Small.ca, Trojan-Downloader.Win32.Delf.acc, Trojan-Dropper.Win32.Agent.bfd, Trojan.JS.Cardst。

  翻译:William Long,中文译文:80%的博客含有“攻击性”内容,英文原文:Report:80 percent of blogs contain "offensive" content

Google Earth更新Panoramio的照片

  据Panoramio的爱德华曼乔报道Google Earth终于将最新的Panoramio照片更新上去了(这次等了好长时间啊),Panoramio的照片最大更新到的ID是1,710,000。大约有3/4的上传到Panoramio的照片被发送往Google Earth,这几乎有接近100万张照片了(973,949),而上次更新到的最大ID只有655,000。

  Panoramio这次更新到Google Earth有所拖延,比上次的Panoramio更新晚了两个多月,在过去的更新中,Panoramio曾承诺会进行频繁更新,但是这次更新拖延了太久的时间,Panoramio的目标是每隔几天就和Google Earth更新一次,希望Panoramio能和Google Earth的团队完成这个目标。

  发送给Google Earth的照片是那些在Panoramio的“热门(popular)”页签中的照片,不过Google Earth团队也有自己的选择,因此并非所有发给Google Earth的照片都能在GE中显示的,如果你在“热门”标签中看到你拍摄的照片,却没有在Google Earth中看到,那就是这个原因。

  如果你的照片还没有列入谷歌地球,那么打开Panoramio的Feed,你依然有机会在Google Earth中看到你的照片。

  最后,我发现我前2个月上传到Panoramio的照片也大多更新到了Google Earth,不容易啊,我可足足等了两个月的时间啊,真是残忍的Panoramio。大家浏览一下Google Earth的深圳地区的Panoramio图层,会看到不少我拍摄的照片。上传自己的数码照片到Panoramio也非常简单,具体操作可以参考我的这篇文章