文|曾响铃
来源|科技向令说（xiangling0815）
好多人以为安全软件与病毒的仗早已打完，事实上，远非这般。
近些年来，国外外各大网站频遭功击。今年5月份，国务院app中的H5网页疑似被绑架，页面上出现挂弹窗广告；去年八月份，山东无锡民警破获了“史上最大规模数据泄露案”，其起因是没有全站布署HTTPS加密，因而被黑客钻了空子，造成全省96家互联网公司，约30亿条用户数据被非法盗用；而不久前，Google又由于一个BUG，致使约5200万用户的个人私人数据被窃取。
有别于往年熊猫上香这些病毒明目张胆的广泛传播方法，上述恐吓病毒的功击行为显得更为隐蔽。好多时侯，她们会锁定更高价值的目标，通过http或dns网路绑架进行中间人功击，甚至在功击完关键系统、偷取数据然后，就能四肢而退不被发觉。
其实，以个人隐私数据泄漏等风波为代表的网路安全，依然面临严峻的挑战。不久前，在2018网路空间可信大会上，360浏览器遂公开声称将创建自有根证书计划，这导致业界广泛的关注。
但自建根证书是一件庞大且系统的工作，且这一行为本身是没有太多的商业价值，因此其更须要例如360浏览器等老牌互联网科技企业，拥有更强的社会担当。
一、不被注重的根证书，成黑客入侵的重要通道
曾经，人们对CA公司形成了过度信任，觉得带有https的网站就是可信的。由于其身分校准体系是基于PKI体系，而在这体系中，CA常常一开始就被假设是可信的。但是，CA也是一个商业化机构，在不受监管的条件下，CA公司管理上出现问题也常常导致证书滥发，进而促使证书信用链背上信用债。
早在2013年，斯诺登泄露的文件曾强调，英国NSA借助一些CA颁授的伪造证书截取并破解大量加密https流量，这促使CA的权威性开始遭到指责。
直至2017年，以RyanSleevi为首的GoogleChrome调查小组，发觉赛门铁克竞购Verisign后的证书部门，错误签发3万张https证书。赛门铁克证书门促使浏览器厂商对CA机构的不信任达到了顶峰，当时国际五大浏览器同时发布不信任计划。最后，全球市场份额第二的赛门铁克证书部门整体转让给Digicert，而全球30%的网站须要更换CA供应商。
CA机构的不靠谱行为，促使人们借助CA证书分辨网站安全性，也成为了泡影。更即便当前的互联网，不再只是满足人们查询信息、浏览新闻网站门户的须要，还提供了社交、电商等与财务、个人隐私高度相关的服务，这么，打开的网页一旦被黑客入侵，其对用户的害处性也将加倍放大。
但是，和这些安全恐吓急迫性迥然相反，国外好多网站对根证书大多不太注重。总体来看，主要呈现以下几大问题：
第一，网站使用者不注重“http”与“https”的区别。相较而言，https多是通过CA认证的网站，安全性较“http”根的要高些。2015年开始，国外小型互联网公司开发的网站都相继迁移到强制https进行访问。并且，一直有好多行业的网站并没有使用“https”，例如酒旅民航领域的同程、穷游、中国民航公司等企业网站，而且好多浏览器对那些网站也并没有限制性、或提示性的标记。
第二，浏览器本身也存在着技术及更新升级问题。不仅显性层面的网页本身存在的安全性，例如像浏览器内核过时，不及时更新，这么可能存在的高危漏洞就比较多。这一方面，往年360浏览器表现相对较好，拥有15层的安全防御体系，但是360安全卫士也会按月修复高危漏洞。并且，行业内多数厂商仍不太注重。
但是，在底层加密算法套件这一块，也很考验浏览器厂商的安全防护能力。例如好多https网站采用了全站加密，然而因为浏览器底层加密算法不过关，被黑客钻空子的现象也比比皆是。
二、自建根证书信用系统，国外浏览器还有几场硬仗要打
在赛门铁克证书门后，浏览器行业大鳄Google开始着手自有CA根证书体系搭建。除中国外，Google在全球其他国家和地区相对来说还是处于垄断地位，做这事的阻力比之中国的浏览器厂商要小得多。这么，国外浏览器要创建自有根证书，重新建立证书信用链，还面临着什么挑战呢？在响铃看来，有如此几点：
第一，对不安全的“http”网站，进行普遍性市场教育，有一定挑战。Web浏览器对用户来讲，大多还逗留在“只是使用”的阶段。多数用户只会关注页面的内容，甚少会去挖掘幕后的事情。在没被病毒功击前，“http”网站和“https”网站并没有太大的区别。只有在安全恐吓降临的时侯，用户就会导致注重。因而，要将“http网站是不安全的”这样一个信息，进行普遍性教育，可能会存在着一定难度。360浏览器在着手自有根证书创建时，考虑到这样的一个大环境，则是通过对用户端进行警示的举措，来推动“http”网站使用者造成注重。
第二，技术上，须要浏览器厂商有过硬的病毒过滤技术、AI算法以及足够多的根证书大数据。百度、360、搜狗等浏览器都各有特色，或在内容进行加码，或在安全、AI等技术层面进行加码。并且就网路安全环境的建设，防护仍然是当前摆在首要位置的举措，过硬的病毒过滤技术，仍是网路安全的第一道防护线。其实，其中加密算法是影响防护能力的重要诱因，360本就以安全软件起家，目前拥有“支持国密算法，支持国密单向证书校准”的优势，但是11年的积累，也有着足够多的根证书大数据。
在CA证书信任危机之下，以安全防护起家的360浏览器自建根证书系统，也是情理之中。一方面，通过操作系统信任的根证书积累数据，另一方面也积极自建根证书信任数据库。但360浏览器的规则变得较为强势，即若果360浏览器觉得某根证书有恐吓，虽然是系统默认信任的，360也会对其移除。因此，其具有一套自己的安全判定逻辑，对自建的根证书信任库赋于了更大的权重。
第三，根证书认证过程中，CA的配合度很关键。互联网要有强悍的议价权，则其必须具备一定规模的用户群。拥有近4亿用户的360浏览器，还是具备一定的实力，因此CA有配合的理由。其认证过程，包括CA申请、信息验证、批准恳求、预置测试、正式信任五个部份。策略上，360浏览器先是呼吁CA主动参与，利用技术实现集聚CA机构以及完成初步初审工作，而具体材料的初审则采用人工初审的方法，以更为审慎严谨的心态，来提高360根证书体系的信任度。
其实，360浏览器在做纯公益性的安全体系建设，是真正乐意花大人力、物力来解决这件事情，决心也可见一斑。
三、没有商业价值也要不遗余力去做，360浏览器究竟图啥？
最近，社会价值投资联盟以沪深300成份股为对象，从社会、经济和环境综合效益为评估模型，推选出了“义利99”榜单，中国建筑、万科、京东方等企业都涵盖其中。她们觉得，只有满足了社会的需求，能够真正创造价值，而利润、收获也是自然的结果。
社投盟的这一恶行，某种程度上也说明了在现今的企业家价值体系里，对于企业所创造的价值衡量，或又多了义的维度。企业家们在掌舵前行方向的同时，可能会更关注自己的企业能从什么角度切入，如何赋能用户或合作伙伴。这其实是360浏览器明知创建自有根证书体系，没哪些商业价值，而且仍乐此不疲的诱因所在。响铃觉得，360浏览器做这件事，起码能带来三大正面反馈。
1、可以为行业净化网路环境，提供一个新方向。在互联网成为各行各业标配的同时，互联网企业也急剧壮大，而且网路环境仍然存在着众多恐吓。例如黑客可以通过借助浏览器和flash的0day漏洞，加载富含越权漏洞的代码控制计算机系统；可以通过网页脚本，访问恶意网页的计算机进行挖矿。借助杀毒软件围歼黑客功击是一方面，但倘若换个角度，如360浏览器和微软所进行的根证书信任库建设的广袤工程，从病毒通道层面进行围歼，也不失为一个好方向。
2、可以更深层次引导行业发展方向，创建更“干净”的赢利模式。从Google、百度等浏览器大鳄的赢利模式来看，广告收入仍然抢占大头。像Google模式中，更是将精准触达率作为广告收费的标准，这是站在用户角度思索问题，因此更看重用户的体验感。这也是中国浏览器发展的方向，因而，360浏览器塑造根证书认证信任链，亦是在为用户创建一个信任、安全的社区生态，进而提高用户对内容的信任度。最中级的广告应当是润物细无声，未来，广告的部份理应让渡给内容及用户体验，但是精准触达，AI及算法为这些赢利模式更为精细化提供了可能。这样一来，相较于先前，广告渗透转化的效率也会因干净的环境而显得轻松一些。
3、用户有了更信任、更安全的上网环境后，又能反哺浏览器。当前，业内主要浏览器都将重心锁定在内容和分发上，实际上对用户来讲，安全也是很重要的一个方面。事实上，大多用户在这一方面，本就是假设信任浏览器厂商的。因此，像百度、360浏览器等常用浏览器厂商，她们肩上的担子也就更重。
固然，改善内容输出的精准性、丰富性以及获取信息的方便性，确实能改善用户使用体验。但网路安全，则决定着用户使用该浏览器的频度，虽然笔记本总是被黑客功击是一件很烦人的事情。因此，内容与安全应当是双手抓，虽然由用户使用的安心度，所带来的“流量粘性”的指标反哺，更为难得。
从短期来看，360浏览器自建根证书体系并不挣钱。并且，长远来看，却还能博得更多用户的信任。并且，在主动承当行业责任的时侯，也促使360浏览器本身的威信能得以提高。未来，在互联网信任体系中，浏览器等工具类厂商所能创造的社会价值，将显得更加重要。
【完】
曾响铃
1钛媒体、品途商业评论等2016年度十大作者；
2虎啸奖评委；
3AI新媒体“智能相对论”创始人；
4诗人：【移动互联网+新常态下的商业机会】等畅销书作者；
5《商界》《商界评论》《销售与市场》等近十家刊物撰稿人；
6钛媒体、界面、虎嗅等近80家专栏作者；
7“脑演员”（脑力手演员）概念提出者，现演化为“自媒体”，成为一个行业。
8现为“今日头条问答签约作者”、多家科技智能公司传播顾问。
