安全新知："破窗谬论"与网络安全

ZDNet安全频道原创翻译 转载请注明出处

对于破窗谬论来说，黑客会让网络的安全情况变得更好这种观点，是一个非常典型的例子。
--------------------------------------------------------------------------------------------

　　破窗谬误是弗雷德里克·巴斯夏在他的文章《看得见的和看不见的》中提出的。当有人发现，制造破坏性事件带来的机会和好处，远远超过生产力造成的不利影响时，则该人(几乎总是)会选择制造破坏性事件。

　　“破窗谬论”这个术语的产生是因为巴斯夏采用破窗作为例子，并提出了以下观点：

　　这是一种导致大家都不好过的病态想法。所有人都必须生存，如果窗户上的玻璃从来没有被打破，玻璃工人该怎么生活?

　　在这里，假设是这样的，如果窗户玻璃从来没有被打破，那么整个玻璃产业将崩溃。因此，尽管店主的窗户被打破，至少会带来暂时的不便，但对于整个行业来说实际上却可能因祸得福，促进经济繁荣。打破窗户的野蛮人，甚至可能被在这个过程中获得好处的人当作英雄。

　　但是，巴斯夏也有其它方面的考虑：

　　看起来如果我们的店主已经在一件事上花费了六法郎时，他就不能花费在另一件上了。如果不必更换窗户玻璃的话，他可能买一双新鞋，或者为自己的图书馆添加一本新书。总之，如果这一事故被预防了的话，他会在别的方面消费六法郎。

　　也就是说用来修复被打破窗口的资金是挪用自其它领域。可以说，实际上最终的结果是没产生什么作用，因为，看起来本来应该收到钱的书籍装订商和确认获得费用的玻璃工人相比起来并没有更加值得的地方。

　　但是，上面的假设忽略了窗户被打破的店主的生活质量。他的钱基本上是花在支付已经拥有的东西上了。如果窗口还没有被打破的话，实际上他可能通过为自己和家庭购买新的东西而达到提高生活质量的目标。此外，此类事件的损失也可能会提醒他，提高商品的价格，从而影响到他客户的生活。当事件的数量达到无法承受的极限时，他最终甚至有可能被迫完全关闭了店铺。

　　破窗谬论的问题在于人可能会忽略一些我们可能永远也无法确定的机会，原因是它们没有出现在首位。仅仅从字面上看，成本可能是无法估量的。

　　现在就让我们来对比一下，这样的观点，我们“需要”破坏网络安全的犯罪分子。显然，这些人迫使软件开发商和供应商尽力提高软件的质量。他们让软件开发人员和安全专业人员的就业机会变得更多。与投掷石块破坏商店橱窗的人相比，他们基本上是建立一个全新的行业!从某些方面来说，他们肯定是英雄。

　　同样，当对软件的安全或者稳定性进行讨论的时间，有些人也可能会指出，没有失败的软件的话，他或她甚至不会有一份工作：

　　“我很高兴Windows时常发生故障。这让我拥有了工作。”

　　仅仅在TechRepublic中，在过去的几年中，我已经看到过至少半打以上的类似言论。

　　我以前的生存方式和修复被破坏窗户的玻璃工人非常类似。我曾经在佛罗里达州的一家咨询服务公司担任IT技术顾问，本质上和玻璃工人没什么区别。当在一台受感染的机器上查出超过一万七千种单独的病毒、蠕虫和其他恶意软件时，我会说安装的Windows肯定是当机了。现在，我在TechRepublic中撰写安全相关的文章，针对的是防范恶意的安全黑客、设计不良的软件带来的漏洞以及没有意识到安全重要性的用户。

　　这并不意味着我想，或任何时候都希望，存在这些问题让我能赚钱。如果有机会进行选择的话，是增加IT安全问题出现的频率和严重程度(这样提供服务的价格就会上升)，还是减少，这样的话，我就不得不找一份新的工作，在所有其他条件相同的时，我想是会毫不迟疑地选择后者。如果有必要的话，我能找到另外行业的工作;但是，我不能让人们浪费资金在这上面，仅仅是为了保护经济环境的安全。

　　在下次你感觉恶意安全黑客和低质量软件的开发者也是有价值的时间，我希望你认识到真正的本质是什么：破窗谬论的一个典型例子。