2010年7月2日 星期五

總統府網站分析 III (安全性)

總統府網站雖然相較很多網站並不是那麼重要, 但也因為其特殊性以及政治立場的角色, 是很容易一直被拿出來討論的, 至少這幾天就 Alexa 的觀點來看, 從 3000 名外進到 3000 名內 (見右圖), 流量也瞬間多了四倍, 也可以當作是一個小型的壓力測試了..

至少這段時間也超過內政部與法務部, 感覺起來似乎有點全民網站的味道了, 不會那麼感覺是馬總統粉絲站, 而不是總統府網站了, 所以這七百萬也花得挺有用的.

但話說回來, 一個網站就安全性來看有兩種層面:

1. 該看的人都能看到該看的東西
2. 不該看到的東西被看到


至少就 High Availbility (HA) 的 Load Balancing 等等的機制應該是沒話說, 聽說以前是用 F5, 而這次是不是有換掉我就不知道了, 但應該不是用 Redundent IP 來實作是真的.

而要做多少的壓力測試 (Pressure Test) 我是沒意見, 至少在目前沒掛過的情型下應該是及格的 , 或許至少在沒有被 DOS 或 DDOS 之前是無法真的知道的, 雖然我個人對這套系統是擔心多於信心.

但下一個問題是, 真的有沒有不該看到的東西被看到.

當然就正式與非正式的小道消息知道, 總統府網站的確有做過 Static Code Analysis, 也就是所謂的 SCA, 這個至少避免了許多常見的問題, 包含 XSS, SQL injection, BOF, ... 等等的基本問題都被測試過了, 甚至小道消息是也不少人做了不少嘗試, 最後目前 "只" 發現這個 Explicit Parameters 的 Error Text Handling (ErrTxt) 錯誤訊息處理問題的問題.


因此最後有了這張圖與其 "呼叫網站"....

這篇文章也說個大概, 但實務上我知道有人做的 "嘗試" 遠超過如此, 但也真的只有這樣, 所以我也經過管道也確定有做過 SCA, 但也承認這個問題是 SCA 目前無法直接找到, 是屬於系統設記的問題, 且這對系統的穩定度與完整性沒有任何損害.

但也絕對因為不是透過 "正常網站" 的瀏灠不造成影響與問題, 就說這系統安全性無虞是接近掩耳盜鈴, 畢竟若這是一個 Kuso 網站若有這樣的問題大家還可以拍手叫好, 但若這個是會發布國家級公告的總統府網站就沒那麼有趣了, 因為這很接近 "看到不該看到的東西" 了.

因此若是非總統府網站, 做到這樣已經是誠屬難得的, 但因為這個角色的特殊性, 這問題也是非同小可, 所以最後還是補起來了, 這也足以對後面的工程師與程式設計師讓我在這邊表達敬意, 這是相當認真與努力的表現, 不然依照我做網站的個性, 只有比較糟不會更好. (所以我才打死不接案子)

拉回來, 台灣有多少網站有在做 SCA, 當然我知道大部份的 100 名或 300 名大網站應該可以假設知名的網站 8 成都做了, 當然這個 3000 名沒甚麼人在看的網站有做 SCA 也是該鼓掌一下, 因為我也聽說之前太多的問題發生, 國家級網站已經把這種滲透性測試及 HA, SCA 當作標準流程之一, 說真的我不得不承認這塊是領先業界, 畢竟台灣小型網路公司還真的沒有資源 (人力與金錢) 去做這件事.

最後要我在這項給總統府網站打分數, 我會給 63 分, 比 61 分來得高, 若不是總統府網站會給 80 分以上, 但這個在這邊是不行的, 只是這分數跟我藍綠沒有絕對的關係喔... (大概吧...)

一個人是聰明的, 一群人是笨蛋

這是一個相當有趣的題目, 這是不爭的事實, 為甚麼我們很常觀察到 "一個人是聰明, 一群人是笨蛋" 呢? 因為理論上我們認為三個臭皮匠勝過一個諸葛亮, 再怎樣一群人的知識與經驗, 不可能少於任何一個人, 因為我們不是常說團結力量大嗎? 但是另一個有名的諺語是: "一個和尚挑水喝,兩個和尚抬水喝,三個和尚沒水喝。", 這大概就說出個大概了.

因為一群人聰不聰明, 不是在於他們一群人的能力, 而是這一群人在一起的共同價值觀, 或是最低道德水準是甚麼, 甚至是這一群人在一起的責任是甚麼都會影響一群人最後的產出.

事實這篇文章要講的不是又要講甚麼總統府的題目, 要講的是: 記者 vs 部落客.

基本上我一直在媒體業, 看過很多記者, 大部份的記者有很高的 "道德良知" 與 "專業素養", 這個幾乎是絕大多數沒有在這職場的 "部落客" 能夠達到的, 甚至可以說 80% 的記者比 95% 的部落客都來得能力好, 只是這個 80% 的記者可能是 1 萬人, 而這個 5% 的部落客是 5 萬人那樣, 但無論如何, 若依這個觀點來看, 媒體的水準是不可挑戰的才對.

但是雖然記者一個人是不錯的, 且通常許多報導是一個人或兩三人作出來的, 但為甚麼有可能會遇到做 "傻事" 呢? 當然這跟報導流程有關, 一個報導的水準不是決定在直接在現場的記者, 也決定在飽經事故的主編, 更是決定在看發行量與收視率的總經理, 以及只看財務報表的董事, ...

一個人有自己的道德觀與價值觀, 但一群人在一起, 採取的不是任何一個人最高道德與價值觀還高的標準, 而是採取任何一個人最低道德與價值觀還低的標準, 所以即使一個人再聰明, 一群人還是會做傻事的, 即使是明顯的社會價值不容, 或者是 "職業道德" 限制的範圍, 因為這一群人通常會有一個人的 "道德觀" 早就被社會化到很低, 甚至是只剩下 "錢" 是唯一的判斷水準.

為甚麼會有這樣呢? 因為真的要在一個會議做出一個共同決策的結論, 採取低標被接受的機會比採取高標的機會高很多, 但理論上應該是會有折中的決定才對阿, 只是事情有很多層面, 不是單一的角度, 每一個人在不同層面都有其自己的高標與低標, 但最後若是每一個層面都是採取低標的話, 就會造成這標準是低於任何一個人, 並不是這一群人故意做出低標的判斷.

再加上主事者與主導者理論上擁有較高的影響力與決定權, 且這一些人可能是這一群人中最低的道德與能力標準的話, 變成即使是真的要做出中間標準的判斷是不太可能, 幾乎是每一項觀點都是最低標準, 再這兩種過程的運作下, 真的可以證明: "一個人是聰明的, 一群人是笨蛋"..

很不幸的, 部落客水準再差, 這 5% 的五萬人, 可能有 5% 的 2500 人 (0.25%) 表現的比 80% 的記者 2500 人還要好, 這還不打緊, 更怕的是經過 "組織" 運作的方式, 大部份的媒體早就因為主編的裁決, 業務的主導, 總經理的政治考量以及董事的賺錢優先想法下, 還剩下多少 "良知" 是任何人都可以看得出來的.

但就觀察是再怎樣糟糕的媒體, 還是比 80% 的部落客個人文章還要好, 只是這樣是可以鬆口氣的事嗎? 事實上就這 20% 說不定是可以上數十萬個, 這樣的排名真的很不好看, ...

一個記者, 一個律師, 往往經過 "訓練" 表現的比一般人來得 "好", 但往往經過許多事情的經驗與 "成長", 還是有一小群人 "升級" 到某種階級, 而這一些人往往是這一群人的主事者, 到最後這一群人在一起, 做出來的決策, 若是在所謂的 "職業道德" 的框框限制就還好, 但事實上在一群人是笨蛋的定律下, 早就拋棄這職業道德做出讓外人懷疑他們是笨蛋的決策, 即使是我們仔細看這一群人的大部份的個人, 都是比一般人聰明的, 但這無法保證任何事...

當然用這個說法來證明部落客(大部份都是一個人) vs 記者(大部份是一群人) 誰比較聰明誰比較白痴是太過於 "以偏蓋全", 且事實上我想要說的不是部落客與記者, 而是 "個人" 與 "團體", 所謂的 "個人優先" 並不是極端的個人主義, 而是團體的決策與價值觀, 本來就不應該凌越任何 "個人", ...

若是這篇文章是政治文的話: 至少我們該往至少帶頭的那個人的標準不要因為能力, 事故, 經驗而有太低的標準, 品味, ...... 只是現在很多政治的結果往往是在比資源, 比誰的老爸比較好, 真令人搖頭...

LinkWithin

Related Posts Plugin for WordPress, Blogger...

熱門文章