|
- UID
- 872339
|
针对《每日经济新闻》质疑360的报道，奇虎公司董事长周鸿祎召开媒体沟通会。与此同时，奇虎方面就报道的九点疑问进行了回应。
昨日，奇虎360公司宣布起诉《每日经济新闻》报社，称坚决追究虚假报道者的法律责任。
以下为奇虎方面做出的九点回应：
疑问一：360安全卫士7.3.0.2003l版本记录和上传软件操作行为，会“泄露用户信息”、“窃取用户隐私”。
奇虎回应：云安全软件判断进程安全性的过程中必然要与云端进行交互。安全软件都有“进程防护”功能，也就是对即将运行的程序的安全性进行判断。传统安全软件是比对本地的特征库，而基于云的安全软件需要把运行程序的各种特征与云端的海量的特征进行比对，进而判断其安全性。因此云安全软件在判断进程的安全性的过程中必然要与云端进行交互。同时，要充分、全面的判断一个进程的安全性，仅仅靠文件自身是不够的，还需要全面评估文件指纹、文件签名、命令行参数对多种信息。对此《360用户隐私保护白皮书》已经有非常完整的说明。
疑问二：360服务器上的“用户隐私”数据被谷歌搜索爬虫抓取，包括浏览的网页、下载过的应用、搜索的关键字等。
奇虎回应：所谓“隐私数据”是360安全卫士对可疑网址的查询记录，主流安全软件均采用该机制。这些数据只是360安全卫士对可疑网址的查询记录。目前各种钓鱼、欺诈网站已经成为中国网民面临的主要安全威胁。360安全卫士为全国网民每天拦截3000万次恶意网址访问。之所以能做到这点，就是得益于基于云的网址安全体系。事实上，这也是目前主流安全软件的通行做法，包括诺顿、趋势等莫不如此。360可以提供公证材料，证明金山公司的安全软件也采用了一样的机制。
至于为何会在网址中出现用户名和密码，是由于极少数网站缺乏安全意识，把用户口令编写在网址中。打个比方，就好像银行给用户邮寄信用卡的邮件，把卡号和密码写在了信封上。对于这类存在安全缺陷的网站，360也采用了措施，过滤可能带有用户数据的网址。
疑问三：360浏览器有“后门”，从服务器定期下载dll可执行程序。
奇虎回应：报道中提到的dll文件，实际上只是配置文件，并不具有“遥控”作用。配置文件做成dll形式并添加数字签名校验是安全软件常规做法，可以保证程序在加载配置文件时，能够确认文件没有被木马篡改过。这种做法还可避免下载文件时被中间人攻击。比如黑客通过ARP攻击劫持下载过程，返回由黑客构造的恶意配置文件。
以下是针对报道细节的说明：
1、5分钟一次检查更新，是360安全浏览器的一种保护网购安全的快速攻防机制，360安全浏览器作为上网安全的第一道防线，需要具备这种能力。所有安全软件都有类似行为，比如腾讯电脑管家每3分钟检查一次更新。
2、360安全浏览器有针对钓鱼网址的云查询技术，但是钓鱼的技术有很多种，不仅限于只有假冒网址的攻击，徐州公安局破获的“浮云”网购木马，就是通过QQ号给买家传文件的方式运行起来，注入浏览器，篡改用户的网购订单，将收款人换成自己来牟利，获利上千万元。而且通过云控，攻击方式不断变化，一天内变化能超过7次以上。为了对付这些行为，360安全浏览器也需要这种更新机制来进行更快速的攻防。2012年，360安全浏览器拦截钓鱼网站18亿次。如果按每次网购受骗的损失约500元计算，2012年360安全浏览器共计防止用户遭受9000亿元的损失。
3、360安全浏览器下载的dll只是数据文件，这种通过dll内置数据文件来防止篡改的方式，360于2012年3月还专门申请了专利。
4、下载的dll资源文件会验证签名，如果签名不对，则不会被加载。报道中提到的一个没有签名的dll被调用，是因为分析者在测试环境中用调试工具破坏了校验机制导致的，在真实环境是不可能发生的。
疑问四：全新安装的Windows7在开启自动更新、尚未安装任何第三方软件前，360安全卫士对其安全评估结果竟是0分。
奇虎回应：赤裸裸的谎言，任何用户都可以自行验证。试问，一个“全新安全的Windows7”为何会有百度工具栏，为何会在收藏夹中有百度、腾讯的收藏项？这个所谓的全新Windows从何而来？
疑问五：360安全浏览器“浸润”网银安全，屏蔽权威认证机构VeriSign，换为自己的认证机制。
奇虎回应：360浏览器并未屏蔽VeriSign认证
1、360安全浏览器访问被DNS劫持的招商银行，用户看到的是以下页面，在这样强烈的提示下，任何用户都不会进行下一步了。所以根本不存在360安全浏览器屏蔽Versign认证，如果屏蔽，这个拦截网页根本不会出现。用户可以自行下载360安全浏览器来验证，将系统时间改成2010-1-1就能重现。
2、拦截钓鱼网站光评Versign的认证是不够的，很多网站都没有购买证书，所以360又推出了“网站名片”功能，参考国家的ICP备案信息库和其他认证机构数据，对于域名经过认证的网站，给用户更多的信息，帮助用户识别钓鱼网站。
3、而对于已知的恶意网站，360安全浏览器会根据网址云安全技术进行拦截，多种鉴别方式能帮助用户更好地识别钓鱼网站。而最新推出的照妖镜功能，更是能对各种未知网站进行一键云鉴定，对“闪骗”网站进行打击。
疑问六：使用360手机卫士及360手机通讯录进行云备份或云恢复时，用户数据通过请求网址明文传输，可以从服务器的非安全通道直接下载。
奇虎回应：所谓明文传输是谣言，这些数据采用高强度的工业级加密算法进行保护。
360手机卫士和360通讯录，只有在用户主动使用360云备份功能时，才会将用户所选择的通讯录、短信、通话记录等数据进行加密后上传。这些数据在网络传输和服务器存储的全过程中，都采用了高强度的工业级加密算法进行保护。即便用户手机连接到黑客的钓鱼WiFi，这些数据也难以被解密泄露。
疑问七：360旗下iOS平台多款应用遭苹果应用商店下架是因为“窃取隐私”。
奇虎回应：下架一事是由于360手机卫士企业版测试时违反了苹果开发者规则，与用户隐私无关。360公司就APP下架一事已发表声明：通过与苹果公司沟通，下架一事是由于360手机卫士企业版测试时违反了苹果开发者规则，与用户隐私没有关系。360手机卫士企业版尝试为中国境内企业用户提供“骚扰电话拦截”、“来电归属地显示”功能。之前，金山公司诽谤“360窃取用户隐私”，北京海淀法院已判决金山公司刊登道歉声明，并赔偿30万元。
自2009年以来，360公司旗下产品360手机卫士一直在为亿万中国塞班、安卓手机用户提供拦截垃圾短信和骚扰电话的服务。仅2012年，360手机卫士为超过2.2亿用户拦截了712亿条垃圾短信，拦截了352亿个骚扰电话。
防骚扰也同样是广大中国苹果手机用户的强烈需求。但由于苹果IOS平台不提供相应的公开接口，我们在尝试调用相关苹果私有接口以实现骚扰拦截功能时，无意中触犯了苹果公司的内部规则，从而导致360产品在苹果商店的下架。
360公司已就下架一事与苹果公司进行了多次沟通，至今仍在努力沟通中。一旦取得明确的结果，我们将第一时间向广大用户汇报。截至目前，下架事件并不影响现有360苹果用户正常使用360产品。
疑问八：360“利用V3升级偷偷卸载竞争对手产品，安装推广软件”。
奇虎回应：V3是360安全卫士升级程序版本号，绝不会偷偷卸载竞争对手产品和安装推广软件。众所周知，互联网软件都带有升级功能。特别为了有效对抗快速变化的木马和0day漏洞，要求安全软件必须能够快速升级响应，国内外主流安全软件全都如此，比如Norton杀毒软件的升级机制命名为“Live Update”。《每日经济新闻》报道中提到的“V3”就是升级程序的版本号，代表的是第三个主要版本，其作用是把木马防御规则、补丁更新等安全特性快速升级，根本不会偷偷卸载竞争对手产品和安装推广软件。同时，用户也可以在360安全卫士的设置界面中，选择是否开启自动升级。
疑问九：瑞星发现360有“后门”、首次揭露“不安全”。
奇虎回应： 瑞星谣言侵犯360商誉 已被法院判处罚款20万道歉10天。360推出免费杀毒，触动收费杀毒厂商的利益，从而遭到瑞星公司毫无根据的诽谤抹黑。经过中国信息安全测评中心检测，360安全软件并不存在“后门”程序。根据北京市西城区法院判决，瑞星公司从事了侵犯奇虎360商业信誉、商品声誉的不正当竞争行为，其行为构成不正当竞争，应当承担相应的侵权责任。法院判定，瑞星公司立即停止针对奇虎360的不正当竞争行为，在《北京青年报》上连续十天发表道歉声明，并赔偿奇虎360公司20万元。 |
|
