大数据时代互联网创业者的蓝海战略思维

　　日前某海产品O2O电子商务平台将其商业计划书伊妹儿给我并电话Call我“赶紧浏览”是否有意向，想让我进行投资或者介绍朋友投资。当我打开他们给我的商业计划书看到“与淘宝、天猫、当当、京东等C2C、B2B2C平台竞争”的字样，立马没有看下去的信心了。

　　原因在于这样的竞争是红海竞争，即便血流成河后来者也很难超越他们，这样的创业模式不外乎后浪推前浪，后浪死在沙滩上，这样的项目投入300万肯定是烧钱，钱烧完了继续烧纸吧。于是我毅然决定不看好这个项目。那么互联网创业怎样才能博得投资人的眼球？创业要怎样才可能成功？今天笔者引入一个理论：蓝海战略（Blue Ocean Strategy）。

　　什么是蓝海战略（Blue Ocean Strategy）？

　　蓝海战略（Blue Ocean Strategy）最早是由W.钱·金（W. Chan Kim）和勒妮·莫博涅（Renée Mauborgne）于2005年2月在二人合著的，吉宓译。《蓝海战略》一书中提出。蓝海战略认为，聚焦于红海等于接受了商战的限制性因素，即在有限的土地上求胜，却否认了商业世界开创新市场的可能。

　　我们把整个市场想象成海洋，这个海洋由红色海洋和蓝色海洋组成，红海代表现今存在的所有产业，这是我们已知的市场空间；蓝海则代表当今还不存在的产业，这就是未知的市场空间。那么所谓的蓝海战略就不难理解了，蓝海战略其实就是企业超越传统产业竞争、开创全新的市场的企业战略。如今这个新的经济理念，正得到全球工商企业界的关注，有人甚至说，接下来的几年注定会成为“蓝海战略”年。

　　蓝海战略行动（Strategic Move）作为分析单位，战略行动包含开辟市场的主要业务项目所涉及的一整套管理动作和决定，价值创新（Value Innovation）是蓝海战略的基石。价值创新挑战了基于竞争的传统教条即价值和成本的权衡取舍关系，让企业将创新与效用、价格与成本整合一体，不是比照现有产业最佳实践去赶超对手，而是改变产业景框重新设定游戏规则；不是瞄准现有市场“高端”或“低端”顾客，而是面向潜在需求的买方大众；不是一味细分市场满足顾客偏好，而是合并细分市场整合需求。

　　互联网创业的蓝海战略思维

　　蓝海战略在中国被企业界、学术界和社团广泛关注。著名的职业经理人苏奇阳先生就蓝海战略结合实际应用出版了《蓝海战略书简》，中国互联网协会还专门开办了定期举办的“蓝海沙龙”。

　　一个典型的蓝海战略例子是太阳马戏团，在传统马戏团受制于“动物保护”、“马戏明星供方侃价”和“家庭娱乐竞争买方侃价”而萎缩的马戏业中，从传统马戏的儿童观众转向成年人和商界人士，以马戏的形式来表达戏剧的情节，吸引人们以高于传统马戏数倍的门票来享受这项前所未见的娱乐。

　　我们再来以马云为例，为什么马云的阿里帝国如此浩瀚？1999年初马云认为电子商务领域一定会像雨后春笋一样迅猛发展。有人主张做B2C，有人提出做C2C.最后，马云做出决定，他说：“我们就做B2B.”大家觉得这个想法不太可能实现，因为当时互联网上还没有这种模式，至少中国的互联网上还没有。

　　当时在中国已经有了B2C和C2C模式，然而马云并没有为此动容，而是另辟蹊径“我们就做B2B”。马云是有蓝海战略思维的，当时中国互联网商业还刚刚起步，可以说电子商务还是一块处女地，他敢于成为吃螃蟹的人。事实上马云的蓝海战略思维在后来被证明是对的。我们再来看马云的余额宝、娱乐宝无不是蓝海战略的典范。

　　如今中国房地产如火如荼，也是中国最赚钱的暴利行业，凭马云及其帝国的财力物力完全可以进入这个行业赚得盆满钵盈。然而瘦弱的马云不走寻常路，而是向电子金融和物流方向发展，这就是马云的蓝海战略思维，善于开辟新领地、新战场，但马云总是在蓝海大战中稳坐第一，刘强东、马化腾等人稳居第二的位置。

　　互联网创业者应该运用蓝海战略，视线将超越竞争对手移向买方需求，跨越现有竞争边界，将不同市场的买方价值元素筛选并重新排序，从给定结构下的定位选择向改变市场结构本身转变，开辟新战场，抢占处女地，走差异化道路或者走别人没走过的路。这种思维是互联网创业者最该有的。

　　大数据时代互联网如何利用蓝海战略

　　大数据作为云计算、物联网之后又IT行业又一大颠覆性的技术革命。在这场技术革命中，我们如何抢占大数据时代的先机占据蓝海空白？我想这是广大互联网创业者都在思考的问题。既然是大数据时代，创新空间辽阔，蓝海市场广远，创业者在这其中是有用武之地的。因此创业者要想在互联网创业上出人头地，就必须敢于向茫茫蓝海进发，敢于抢占蓝海先机。

　　蓝海战略共提出六项原则，四项战略制定原则：重建市场边界、注重全局而非数字、超越现有需求、遵循合理的战略顺序，和两项战略执行原则：克服关键组织障碍、将战略执行建成战略的一部分。这就是蓝海战略的核心所在。

　　互联网世界无边无界，互联网创业者应敢于重建市场边界，发现新的机遇与市场空白，在大数据时代背景下，超越现有的市场与需求，重构需求或者激发新的需求。马云就曾经说过，淘宝改变了中国人的消费模式和生活模式。也就是说，互联网商业的成功在于改变人们观点与生活方式，打差异化竞争战略。

　　笔者觉得互联网创业者应该多学习古代兵法的一招就是“诱敌深入”自己的阵地，而不是死磕进入别人的领地，也就是蓝海，蓝海是一个很少有人占领的新天地，然而又是最有可能成功独占的疆域。如果互联网创业者能够在大数据时代灵活运用蓝海战略，定能在蓝海上划上一个圈，走马圈地，成就未来。

　　来源：投稿，作者：阿见（微信公众平台：tj-xwsszyz），原文链接。

屏蔽谷歌的起因、影响和未来

　　2014年5月27日，谷歌搜索开始在中国被干扰，部分用户访问出现异常，而根据谷歌自己的统计数据，谷歌自5月31日开始被中国“完全屏蔽”，谷歌所有产品均无法从中国访问，至今已经长达18天，这也是中国有史以来针对谷歌的时间最长最严重的一次屏蔽。

　　背景：中美网络对抗加剧

　　这次长时间屏蔽并不是一个偶发事件，而是在一个中美对抗加剧的大背景下出现的，5月19日，美国以商业间谍罪起诉通缉五名中国军方黑客，打破了两国默认地不公开谈论争端的共识，这一争端是中美关系进入“紧张时期”，最令中国感到愤怒的是，美国居然能够如此在网络监听问题上实施双重标准如此坦然，在斯诺登事件后，美国在网络问题上已经失去了道德制高点，而中国并没有乘人之危，在“棱镜门”中刻意为难美国，给美国留足了面子，但时间过了还不到一年，美国却倒打一耙指责中国，做的如此彻底，如此干脆，如此理直气壮，这不得不让中国做出难以抑制的愤怒反应。

　　5月26日，中国国务院新闻办互联网新闻研究中心发布了一份名为《美国全球监听行动纪录》的报告，这也是“棱镜门”事件爆发近一年来，中国官方首次对涉及中国的监听窃密问题进行官方确认和表态。这份报告称，美国政府对华窃密工作中，微软谷歌等科技公司都有配合。

　　5月份，中央政府采购网发布《中央国家机关政府采购中心重要通知》，要求所有计算机类产品不允许安装微软Windows 8操作系统。6月4日，中国官方电视台在午间新闻节目中对微软的Windows 8操作系统提出批评，质疑该操作系统安全性，节目中的专家指出，Windows 8操作系统的开发者可获取包括用户电话号码、银行账号在内的信息。

　　而谷歌搜索引擎，则在5月31日开始被“完全屏蔽”，所有谷歌服务均无法从中国访问。从这些事件可以看出，屏蔽谷歌很有可能是对美国的多项报复政策之一。

　　影响：谷歌市场彻底丧失

　　根据艾瑞和CNZZ的统计数据，自从谷歌于2010年退出中国市场之后，谷歌在中国的市场份额从顶峰时期的30%降低到2014年的1%，此次被屏蔽后，市场占有率更跌倒了0.3%，根据我从Google Adwords里的统计数据看，5月31日后Google的展示和点击次数猛降，能够正常使用Google的中国用户仅为正常时期的20%左右，谷歌的这种流量的巨大跌幅可谓惨烈，如果这种屏蔽继续持续下去的话，谷歌在中国的搜索市场份额将彻底丧失，谷歌在中国的主要盈利业务Google Adwords将彻底出局。

　　但这却对中国其他搜索引擎的市场份额影响不太大，目前谷歌在中国的占有率只有1%左右，使用谷歌的用户都是相对重度的用户，对于搜索质量的要求甚高，如果谷歌无法访问，这些用户要么通过各种方式（例如VPN或者修改Hosts文件）继续访问谷歌，要么就使用bing等搜索工具，转化为百度、360、搜狗的可能性较小。

　　谷歌搜索本身具有很强的技术优势，在英文、科技、图片等领域的搜索质量要高于其他竞争对手，因此对于很多专业用户来说，谷歌是很难放弃的一个重要工具。

　　结局：未来或会解封

　　虽然短期内谷歌解封的可能性较小，但随着未来中美关系的逐步缓和，谷歌还是有解封的可能性，不同于社交网站，谷歌不会产生大量所谓“有害信息”，从而威胁“国家安全”，谷歌只是一个搜索工具，在专业领域的搜索技术处于领先地位，屏蔽谷歌对于中国的科研和学术具有重大负面影响，不利于中国的科技创新和发展，因此未来解封谷歌也是很有可能的。

CP2C模式下对网络营销模式的应用与思考

　　CP2C（customer planning to customer）是一种新型的营销模式，也被叫做“众筹营销”。意思是：消费者发起产品的订购邀约以及提出一些DIY柔性需求给厂家，而厂家在下单之时起，即可全程给出生产排期和产品追踪。这种营销模式的出现改变了市场的驱动方式，不再是生产商出产品吸引顾客市场，而是订单驱动生产力。

　　优点：这种新型的营销模式能够分担生产商的成本投资风险，在有订单的情况下进行对顾客的定制服务，同时能够满足不同顾客的不同需求，提高顾客满意度。并且这样的生产流程是相当灵活的，对于顾客突然地需求转变还可以直接在生产线上进行调整，不至于像以前一样经历退货和返工的麻烦。对于标准产品满足不同客户的多样需求，是营销理念上的进步。

　　缺点：对于生产周期较长的商品会着实让顾客久等，不利于这类顾客的关系管理。还有就是这样的营销方法对于生产管理的要求会更高。对于本身就是非标准产品定制来说，不算是营销上的进步。

　　以上是百度百科给的定义和分析！！

　　下面，就这种CP2C模式说说看法，其实，是互联网发展的一种必然趋势！因为CP2C模式完全符合互联网思维的理念！

　　1、CP2C模式在产品运营中的优势

　　互联网思维中，强调互联网的开放性、互动性，积极鼓励用户参与参与产品的每一个环节！CP2C模式的本质就是让用户深度参与，甚至可以为用户进行“客制化DIY”，真正打造出适合用户兴趣和需求的产品。

　　这样做，既能满足不同用户的而不同需求，同样，根据用户的不同意见可以不断的完善产品！从营销的角度看，提高了用户的参与程度，就提高了用户对产品的粘度，当用户的需求得到了满足，用户对于产品的美誉度就高！这样就形成了对产品美誉度的口碑传播！

　　2、CP2C模式对于SEO的思考

　　CP2C模式的核心是满足用户个性化的需求，那么，用户的这些需求在哪体现呢？肯定是在搜索引擎的关键词上来体现！SEO要做的肯定就是通过不断的挖掘长尾词，来获得更多有效的导入，运用CP2C+SEO的方法，就解决了用户搜索长尾关键词的问题，SEOer们就不用为挖掘长尾词而苦恼。

　　CP2C+SEO的方法让我们想到，做SEO应该从用户需求出发，或者目标人群所关注的关键词，进行关键词的部署！SEO的一切工作应该围绕用户需求展开，而不是仅仅是看看关键词排名，看看那有多少流量？而应该是不断优化用户体验，更大程度的满足用户需求，SEO的工作只有基于对用户需求的满足才会有效果！

　　来源：投稿，作者：刘海政 新浪微博@网络营销大湿 微信公众号：刘海政的大搜罗

7个问题解读阿里巴巴收购UC

　　6月11日，阿里巴巴集团与UC优视联合宣布，UC优视全资融入阿里巴巴集团，并组建阿里UC移动事业群。消息传出，震惊业界，以UC公司30亿美元的估值来看，此次收购将会创造中国互联网有史以来最高的并购金额纪录。

　　由于速途研究院最近发布了《2014年1季度中国手机浏览器市场分析报告》，引发了行业不小的关注度。UC优视公司旗下的UC浏览器是我们报告里面重点阐释的企业，所以11日当天消息传出后，不少业界媒体和机构来采访我和我们的分析师，希望就阿里巴巴收购UC一事，提供一些数据和观点。

　　下面我把当天被提问最多的一些问题集中的做一些回答，当然更详细答案大家最好直接去问马云或者俞永福（不过我估计采访他们二位，也不会问出准确的答案，因为这两位的风格是说法和做法往往相反）。

　　问题一：阿里巴巴为什么会巨资收购UC？

　　答：速途研究院公布的《2014年Q1手机浏览器市场分析报告》显示，UC浏览器第一季度使用率为41.19%，大幅度领先第二名QQ浏览器，阿里巴巴把UC拿下，将会为阿里巴巴在移动端增加强有力的入口，一定程度上来说阿里巴巴和腾讯等企业未来的竞争就赢在了起跑线上；与此同时，UC的应用分发和游戏分发业务等也做到了行业领先地位，这些都能和阿里的业务所契合甚至互补。

　　问题二：UC俞永福此前公开表示“UC是非卖品，UC不会被巨头收购，只有UC收购别人”，那这次为什么UC还是卖给了阿里？

　　答：UC公司不是家族企业，俞永福也不是第一大股东，俞永福作为企业CEO讲的话并不能完全决定UC的走向，并不具备绝对的决策权。另外，此前UC和百度谈崩，价格问题是核心原因。阿里能够给出更高的价格和更多的资源，以及更美好的未来发展空间， UC的几大控股方自然会把阿里作为首选。

　　问题三：UC归入阿里，对双方此前合推的神马搜索有何利弊？

　　答：移动搜索的价值正在被凸显，速途研究院此前公布的数据显示移动搜索并不像PC端一样被百度一家独大，在这个领域百度虽然还是老大，但没有把行业垄断。对神马搜索这样的后来者来说，利用UC浏览器的入口能力，完全有可能在短期内做到10%以上甚至更高的市场份额。2014年下半年如果神马搜索发展顺利，届时将会对UC和阿里的估值进一步提升。当然，弊端也非常明显，UC浏览器以后成了既做裁判又做运动员的平台，此前UC浏览器内置了宜搜、易查等第三方搜索引擎，现在宜搜已经被剔除。

　　问题四：如果阿里没有出手，腾讯是否有可能把UC拿下？

　　答：完全有可能。腾讯深知移动浏览器是极为重要的入口，这两年费了很大力气推腾讯自己的QQ浏览器，但不论影响力和市场份额均和UC有较大的差距。如果没有阿里，腾讯也有可能和百度这样的巨头竞购UC，补足腾讯在移动浏览器领域入口不强的短板。

　　问题五：UC结盟阿里巴巴，能有哪些商业化的想象？

　　答：①移动电子商务（早在收购之前，UC浏览器每天就能给淘宝等各大电子商务企业带来海量的用户，双方合并后，UC浏览器将会进一步加强在电子商务领域的发力，所以未来大家通过UC看到淘宝网过多广告后千万不要惊慌）；②海外市场（阿里虽然是中国互联网一哥，但海外未必比UC做的好，UC此前在印度等多国获得了浏览器市场排名第一的好成绩，在这些国家拥有的用户量一点都不比阿里少，阿里收购UC后，或将借助UC开拓的一些渠道，发力海外的电子商务）；③游戏（中国互联发展了这么多年，真正能够真金白银赚钱的行业就是游戏了，UC通过九游游戏平台已经运营了多款成功的游戏大作，而阿里巴巴2014年也成立了由刘春宁负责的娱乐业务，这两个部门结合会碰撞出一些火花）。

　　问题六：阿里巴巴近来一系列的巨额收购，是为了上市提升估值造势？

　　答：阿里巴巴入股文化中国、新浪微博、高德、UC、银泰、新加坡邮政、恒大足球、中信21世纪、恒生电子等公司核心原因是为了阿里的战略布局考虑，不是为了上市造势。但这些投资完成后，一定会大幅提升阿里巴巴的估值。（这个问题我近来被问了很多次了，我举个简单的例子大家就能理解了“人活着不是为了吃饭，但人只要好好吃饭，就能帮助你更好的活着”。）

　　问题七：有人说阿里收购UC，会让竞争对手睡不着觉。那为什么消息传出后三家竞争对手百度、腾讯、360的股票反而齐齐上涨？

　　答案：阿里当初入股优酷土豆的时候，优酷股票没有出现预期的上涨，反而暴跌10%，证明被阿里看中的企业并不一定会影响到其股价走势。对于上市企业来说，自身的发展才是最为重要的，由于市场容量足够巨大，竞争对手的好坏对其股价不会造成太大的影响，尤其是美国的资本市场。这里顺便再回答下另外一个问题“阿里巴巴上市预计150——200亿美元的融资额，市场是否难以承载”，这个问题大家完全没必要顾虑，美国资本市场面向全球的投资者，全球投资者承载200亿美元的融资需求，简直是绰绰有余。

　　来源：投稿，本文作者系速途研究院院长丁道师 微博：丁道师 微信公众：dingdaoshi123

GoAgent的安全风险

　　GoAgent 利用 Google App Engine (GAE) 来实现安全上网，以免费、快速、稳定的特点深受网民的欢迎。但是，GoAgent 的安装和配置中存在两点严重安全风险的问题却鲜为人知。这两点安全风险都可能被攻击者利用进行 “中间人攻击（man-in-the-middle attack）” 来窃取 GoAgent 用户的网络帐号密码等敏感信息，其概括描述如下：

• GoAgent 在启动时会尝试自动往系统的可信根证书中导入一个名为 “GoAgent CA” 的证书。由于这个证书的私钥是公开的，导致任何人都可以利用这个私钥来伪造任意网站的证书进行 HTTPS 中间人攻击。即使在不开启 GoAgent 时，这种攻击的风险仍然存在。换而言之，一旦这个证书被导入，攻击者可以用此绕过几乎所有网站的 HTTPS 保护。
• GoAgent 本身对 TLS 证书的认证存在问题，而且默认时不对证书进行检查，这导致在使用 GoAgent 时存在 HTTPS 中间人攻击的风险。

　　事实上曾经有用户在 GoAgent 主页上的问题跟踪列表中指出了这两个安全问题（见以下链接），但既没有修复也没有广泛公开，多数用户，尤其是非中文用户可能并不知情。下面是这两个问题的详细解释。

https://code.google.com/p/goagent/issues/detail?id=11091
https://code.google.com/p/goagent/issues/detail?id=8031

　　GoAgent 导入公开私钥根证书的问题

　　GoAgent 在启动时会尝试在系统中导入一个根证书来避免访问 HTTPS 网站时的证书报警，但在默认情况下所导入证书的私钥是公开的。因为私钥公开，任何人可以作为 “GoAgent CA” 来签发任何网站的证书。即使在 GoAgent 没有启动甚至卸载的情况下，这个公钥仍会遗留在系统中。在有些系统中，GoAgent 所导入的根证书不仅被 GoAgent 默认使用的浏览器信任，其他的浏览器也可能会信任这一根证书，从而受到这一问题的影响。

　　GoAgent 所导入的这一公开私钥根证书的指纹是：

SHA1 Fingerprint=AB:70:2C:DF:18:EB:E8:B4:38:C5:28:69:CD:4A:5D:EF:48:B4:0E:33MD5 Fingerprint=56:B1:20:86:1B:0A:B0:61:38:00:1B:C3:67:CF:0C:CC

　　包含这一 “GoAgent CA” 证书以其私钥（文件中 -----BEGIN RSA PRIVATE KEY----- 位置）的文件 URL 为：

https://github.com/goagent/goagent/blob/c4386808ea943e2ebed25f1e5264943354e3f9cb/local/CA.crt

　　根据版本信息，这一证书和私钥从 2011 年 6 月甚至更早的时间以来一直保持不变。

https://github.com/goagent/goagent/blob/fa9959e577395e48a477fd5495afbc2363a51baa/local/CA.key

　　GoAgent 主要包含两个部分：一个在用户计算机上运行的本地代理程序 proxy.py，以及一个在 GAE 上运行的远程代理程序 gae.py。

https://github.com/goagent/goagent/blob/c4386808ea943e2ebed25f1e5264943354e3f9cb/local/proxy.py
https://github.com/goagent/goagent/blob/c4386808ea943e2ebed25f1e5264943354e3f9cb/server/gae/gae.py

　　安装时，用户需要上传 gae.py 到 GAE。用户浏览器通过设置一个本地代理将 HTTP/HTTPS 请求转发到 proxy.py，再由 proxy.py 和 gae.py 进行通信。

　　默认情况下，GoAgent 在启动时试图导入上述 GoAgent CA 证书。具体的代码为 proxy.py 中的 CertUtil.import_ca：

https://github.com/goagent/goagent/blob/c4386808ea943e2ebed25f1e5264943354e3f9cb/local/proxy.py#L337

　　这个函数会根据用户操作系统通过不同的方式尝试导入证书，在某些情况下会需要管理员（root/administrator）权限。在 Windows 下，这个函数会调用 CertAddEncodedCertificateToStore 这一 API。在 OS X 下，会尝试执行系统命令

security find-certificate -a -c "GoAgent" | grep "GoAgent" >/dev/null || security add-trusted-cert -d -r trustRoot -k "/Library/Keychains/System.keychain" "pwd/CA.crt"

　　在 Ubuntu 下，会拷贝证书文件到 /usr/local/share/ca-certificates 然后执行 update-ca-certificates。在其他 GNU/Linux 发行版中，会尝试执行以下命令更改 NSS 数据库：

certutil -L -d sql:$HOME/.pki/nssdb | grep "GoAgent" || certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n "GoAgent" -i "pwd/CA.crt"

　　由于 Firefox 采用了不同的方式存储证书，这一自动安装过程不会导入 GoAgent CA 证书到 Firefox 中。但是 GoAgent 的安装指南和 FAQ 中说明了如何手动导入这一证书：

https://code.google.com/p/goagent/wiki/InstallGuide
https://code.google.com/p/goagent/wiki/FAQ

　　这一证书随后被 proxy.py 用来作为 HTTPS 中间人来避免浏览器在访问 HTTPS 网站时出现报警。GoAgent 的工作原理如下：首先 proxy.py 将浏览器的 HTTP 请求进行编码并转发给 gae.py，gae.py 完成收到的请求然后将结果进行编码后返回给 proxy.py，最后 proxy.py 将结果转发给浏览器来完成 “翻墙” 过程。由于 GAE 的限制 （免费 app 无法使用 socket 接口），对于 HTTPS 请求，proxy.py 无法进行透明转发，只能作为中间人先和浏览器完成连接，然后获得其中的明文请求以后在转发给 gae.py。当收到 CONNECT 请求（这意味着浏览器正在浏览一个 HTTPS 网站）， proxy.py 首先利用 GoAgent CA 签发一个假的证书来和浏览器完成握手，从用户的角度，所有的 HTTPS 网站的证书都是由事先导入的 “GoAgent CA” 认证的，所以不会报警。有些浏览器会对少数网站的证书进行特别的检查（Certificate Pinning），这种情况下 "GoAgent CA” 所签发的证书可能会触发证书不安全的报警。GoAgent 的这种工作方式导致 HTTPS 不再是浏览器到网站的端到端安全通信，而变成了 proxy.py 到 GAE，以及 GAE 到网站两段独立的 HTTPS 连接，GAE 能够看到请求和应答的明文。

　　测试页面

　　请访问

https://goagent-cert-test.bamsoftware.com/

　　来进行测试。这个页面使用了一个由 GoAgent CA 签发的证书。如果你的浏览器没有受到影响，会显示报警信息；如果没有看到报警，则表明你的浏览器导入了公开的 GoAgent CA 证书，存在严重安全风险。

　　如何防止风险

　　GoAgent 本身带有生成证书文件 CA.crt 的功能。只需要删除 local/CA.crt 文件就能保证 GoAgent 所导入的证书是唯一的，不会被网络上的攻击者利用来进行攻击。

　　下面的 “补丁（patch）” 文件会帮助你从 GoAgent 的 git 仓库中删除 CA.crt 文件，请下载补丁文件并执行以下命令： git am 0001-Remove-static-CA.crt.patch. 如果你不是通过 git 获得 GoAgent（例如直接从 http://code.google.com/p/goagent/ 上的链接下载得到），请手动删除 local/CA.crt 文件。

0001-Remove-static-CA.crt.patch

　　如果你以前曾经使用过 GoAgent，务必要检查系统中任何可能的地方，删除 SHA-1 指纹为 AB:70:2C:DF:18:EB:E8:B4:38:C5:28:69:CD:4A:5D:EF:48:B4:0E:33 的 “GoAgent CA” 证书（建议使用浏览器访问上面的测试页面进行检查）。下面说明在常见系统中检查和删除 GoAgent CA 证书的方法。

　　如何删除 GoAgent CA 证书

　　Firefox 中，打开 “preferences”，”Advanced”, “Certificates”, “View Certificates”, “Authorities”，然后在证书列表中找到 “GoAgent CA”，选中并点击 “Delete or Distrust...” 按钮，然后确认。

　　Ubuntu 下，删除 /usr/local/share/ca-certificates/GoAgent.crt 然后执行

update-ca-certificates --fresh

　　Windows 下，请参考以下链接：

http://technet.microsoft.com/en-us/library/cc754841.aspx#BKMK_addlocal

　　中 "Adding certificates to the Trusted Root Certification Authorities store for a local computer" 的步骤，但是在 step 8 时右键选中 "GoAgent CA" 然后选择 "Delete"。

　　在 Mac OS X下，打开 “Keychain Access” 应用，点击锁图标并输入密码解锁。在边上的控制面板中，选择 "System" 以及 "Certificates"，选中 "GoAgent CA" 然后按 “Delete” 键，点击 "Delete" 按钮并输入你的密码确认。

　　GoAgent 没有进行正确的 TLS 验证，存在中间人攻击的风险

　　默认情况下，GoAgent 会通过 HTTPS 来保护本地 proxy.py 和 GAE 服务器上的 gae.py 之间的通信 （在配置文件 proxy.ini 中相关的设置默认为 gae.mode=https）。但是同样在默认情况下，GoAgent 不会要求对 GAE 服务器的证书进行验证（gae.validate=0），这导致本地 proxy.py 和 App Engine 服务器之间的通信存在 HTTPS 中间人攻击的风险。此外， gae.validate 配置项同样控制 App Engine 上的 gae.py 是否对网站服务器的证书进行验证，默认配置下这一配置为 0 导致 gae.py 也不会对网站证书进行验证，使得 gae.py 和网站之间的通信同样存在 HTTPS 中间人攻击的风险

　　即使修改配置启用证书验证（gae.validate=1），GoAgent 对 App Engine 服务器证书的验证也并不严格：在 proxy.py 中只是对证书的 organizationName 进行了粗略的检查（是否为 “Google ” 开头），而没有对主机名（hostname）进行匹配。

https://github.com/goagent/goagent/blob/c4386808ea943e2ebed25f1e5264943354e3f9cb/local/proxy.py#L1623

　　将配置改为 gae.validate=1 同时会启用 gae.py 段对网站服务器证书的验证，这部分的事先没有明显的问题。

https://github.com/goagent/goagent/blob/c4386808ea943e2ebed25f1e5264943354e3f9cb/server/gae/gae.py#L184

　　GoAgent 还提供了一个可选功能，通过 RC4 和一个共享密钥来对 proxy.py 和 gae.py 之间的数据进行进一步的混淆。启用这一功能需要在 proxy.ini 中设置 gae.password，以及 gae.options=rc4，并在 gae.py 中设置 __password__ 变量。

https://github.com/goagent/goagent/blob/c4386808ea943e2ebed25f1e5264943354e3f9cb/server/gae/gae.py#L5

　　但是，这里的 RC4 加密只能起到一个简单的混淆作用，无法在不启用 HTTPS 的情况下利用这一功能来防止中间人攻击。GoAgent 中的 RC4 无法实现数据的机密性，因为密码本身会通过一个 G-password 头在 proxy.py 和 gae.py 中传送，而且在两段通信中会使用同样的密码流（keystream），导致攻击者很容易通过密文的 XOR 操作来获得 XOR 过的明文（见流密码的重用问题，Stream Cipher Key Reuse），进而得到明文。在这里 RC4 只能起到防止其他 GoAgent 用户共享服务端流量的目的，无法提供更多的保护来防止网络攻击。

　　如何防止风险

　　确认在 proxy.ini 中设置了 gae.mode=https （默认），并且启用了证书验证 gae.validate=1（非默认）。这样的设定基本上能够防止 proxy.py 和 GAE 服务器，以及 GAE 服务器和网站服务器之间的 HTTPS 中间人攻击。由于 proxy.py 中没有对证书的主机名进行严格匹配，proxy.py 和 GAE 服务器的通信仍存在（相对较小的）风险，如果有人能够申请到 organizationName 字段以 “Google ” 开头的证书，仍然能够成功进行HTTPS 中间人攻击。

　　来源：bamsoftware，原文链接。

阿里巴巴全资合并UC优视

　　阿里巴巴集团与UC优视公司今日联合宣布，UC优视将整体并入阿里巴巴集团，成为阿里巴巴全资子公司，与阿里集团部分业务进行整合。整合完成后，阿里巴巴将以UC为主体组建阿里UC移动事业群。

　　UC优视公司董事长兼CEO俞永福将加入阿里巴巴集团战略决策委员会，并出任阿里UC移动事业群总裁。

　　阿里巴巴最早在2009年战略投资了UC 优视公司。据阿里巴巴集团招股书披露，截至2014年5月7日，阿里巴巴集团一共持有UC 公司66%的股份。累计投资金额超过6.86亿美元。

　　从战略投资到全资收购，阿里巴巴集团用了5年的时间，终将UC这一中国互联网行业最大的变量公司全盘纳入。

　　UC优视公司成立于2004年，是中国最早一家专注于手机浏览器的互联网公司，旗下拥有UC浏览器、神马搜索、手机游戏平台九游、移动应用分发平台PP助手等多个移动互联网产品及平台。

　　目前，UC手机浏览器在全球范围的用户超过5亿。艾瑞咨询的数据显示，从2012年11月到2013年11月，UC浏览器在国内移动浏览器市场的月度覆盖人数占比达到了65.9%，是中国市场用户普及率最高的几款移动应用之一。依托手机浏览器，UC 优视搭建了国内最大的移动游戏运营平台之一——UC九游，预计到2015年九游给合作伙伴的全年分成将超过15亿人民币。另外，UC优视还在2013年收购了第三方iOS应用分发平台PP助手。

　　2014年4月，UC优视还联合阿里巴巴，共同推出新的移动搜索品牌“神马搜索”。截至目前，神马搜索在国内移动搜索引擎市场的渗透率已经超过20%，月度活跃用户数超过1亿，根据业内多家互联网公司的监测，神马搜索已经成为国内第二大移动搜索平台……

　　此外，UC优视还是国内最早一批进行国际化探索的互联网公司，在150个以上的国家和地区，发布了英文、俄文等12个国际语言版本的产品。UC方面透露，目前UC浏览器的海外用户超过1亿，其中在印度的市场份额超过30%，在超过10个国家的市场份额超过10%.

　　阿里巴巴一直希望能将自己的生态体系，从电子商务领域延伸到人们生活的方方面面，包括游戏、阅读、文化娱乐乃至医疗健康。UC的全面融入，结合其现有的平台，也有助于阿里巴巴生态的外向延展，完善其生态。

新浪微博粉丝通推广效果分析

　　新浪微博“粉丝通”是基于微博的企业营销推广产品，它会根据用户属性和社交关系将信息精准的投放给目标人群，同时“粉丝通”也具有普通微博的全部功能，如转发、评论、收藏等，这些天我注册并使用了一下微博“粉丝通”，并对其推广数据进行了一番分析。

　　粉丝通的收费规则有两种，一种按CPM收费，最低出价为1000人次/5元，一种是按CPE收费， 最低出价1人次/0.5元。根据客服的建议，广告推广只选择了按CPM方式的广告投放，一共投放了两个广告计划。

　　第一个广告计划是针对兴趣投放的广告，投放微博用户为全部用户，然后在“社交兴趣图谱”里选择指定的兴趣人群来投放，投放了7天，出价为千次15元。平均数据为：平均千次展示成本为13.07元，单次互动成本为18.42元，微博内链接点击平均价格为37.5元。

　　第二个广告计划是针对行业微博大号的粉丝投放的，“社交兴趣图谱”里选择全部，投放了两天，出价为千次15元。平均数据为：平均千次展示成本为11.66元，单次互动成本为4.51元，微博内链接点击平均价格为6.41元。

　　从投放效果看，针对行业微博大号粉丝的投放效果明显好于针对社交兴趣投放的效果，可见新浪微博对于用户的真实社交兴趣把握还并不太准确。不过，即使针对行业微博大号的粉丝投放，其微博内链接点击成本价格也较高，

　　一条推广微博是否有效果，一般由如下三方面组成：粉丝的质量、微博的到达率、微博的质量，粉丝通解决了前两项，但微博的创意却是由企业来提供，只有高质量的微博才能够吸引到别人，如果微博质量不高的话，使用CPM方式投放广告就不太划算。

　　根据千次展示成本，也可以估算一下普通一条微博推广的费用，如果按照12元的价格计算，一条微博如果展示了5万次，那么按照粉丝通的计算价格应该为600元推广费用。

　　如果无法撰写出高质量的微博创意，那么可以尝试用用按照互动次数投放广告，预计按照CPE方式投放对于低交互微博可能会更合算一些。