电子邮件的安全问题

对内行来说，“电子邮件”和“安全”这两个词在同一句话里出现是不对的，因为电子邮件的设计从技术上来说，几乎就不可能是安全的。医院往外发的邮件都会自动加上一个免责声明：“Electronic Mail is not secure, may not be read every day, and should not be used for urgent or sensitive issues” -- 就是起一个警告作用。

比电子邮件安全的现代通讯手段多得是，但是，俗称“伊妹儿”的这东西可能是大多数网民第一个接触到的互联网通讯工具，方便、简单、实用。这也是为什么现在每个人的邮箱里都塞满了垃圾邮件，但还是无法舍弃电子邮件。通讯工具本质就决定了用的人多才方便实用，就算我个人不喜欢电子邮件，但是需要联系的人用 email，我也就只能将就了。两年多以前 Google Wave 推出的时候，我很激动了一阵，最终不得不放弃，在 Google 公布停止 Wave 的开发之前很久就停止了使用，原因很简单：我希望联系的人都不用 Wave。

写这篇文字的起因，是最近几天连续有几位平时有邮件来往的熟人都出现了问题，先是一位从英国伦敦发来一封紧急求助的邮件，述说财物被盗，让朋友们赶紧按信里给的地址汇钱相助。这种手法我见惯了，相信收到这封邮件的其他人也不会上当，但是我还是给所有人发了一封警告的邮件。第二天又收到另外一人的邮件，里面只有一个网页的网址，我知道多数也是被人冒名发的垃圾，点了进去，却发现冒名者还有更险恶的招数在里面。赶紧又给所有收件人发了一个警告，结果马上收到一位朋友的回邮，说她已经点了那个网页。幸好她还算有所警觉，没有再进一步上当。

这个网页点进去之后，浏览器里会弹出一个窗口，告诉你你的电脑有安全问题，你需要马上安装一个软件来解决问题。这次的这个网页设计得还不十分逼真，以前看见过更像真的。遇到这种情况，记住不要再点任何按钮，尽管弹出的窗口可能有“OK”和“Cancel”这样的选择，但是你点那个结果可能都是一样的。如果你不幸误点了任何按钮，记住千万不要同意安装任何软件；如果你更不幸安装了软件，那你就赶紧祈祷或者拜佛吧。

前段时间网上热烈讨论 Gmail，特别是一些中国维权人士的邮箱，遭遇来自中国的攻击一事。当时一位香港人士在 YouTube 上发了一段视频，显示了一个邮件里收到的视频链接，在点击了之后就在他的 Gmail 帐号里自动设置了一个邮件转发。随便在 YouTube 上搜索一下“Gmail hack”就能找到无数的视频，不过这并不是说 Gmail 特别不安全，实际上 Gmail 比其他一些同是通过浏览器操作的邮箱相对来说要比较安全一些 -- 注意我用的“比较”一词：我前面说过，目前的电子邮件技术不可能绝对安全，而浏览器操作的邮箱，如比较常见的 Gmail、Hotmail 以及 Yahoo! Mail 这些，又给恶人更多一些攻击的角度，所以，使用电子邮件记住一点：电子邮件不安全！

今天，我在三天之内收到第三个由熟人邮箱发来的垃圾邮件 -- 这三起一是 Hotmail，两个是 Yahoo! Mail，所以我想还是写一笔。

首先，是邮箱的密码：记得曾经看过一个教小孩上网安全的招贴画，说“密码象内裤一样，一定要定期更换。”一般人很少换密码，更不会象换内裤那么勤。但是如果你的邮箱密码十年没变，应该考虑变一下了。同时，密码也要讲究一些：不要太过熟悉、太过简单，比如电话号码、生日什么的，最好不要用。最好是自己设计一个规则：比如，如果你喜欢摇滚，可以记住一句歌词，或者记住一句俗语，象什么“害人之心不可有”之类的，然后抽取每个字（词）的第一个字母，加一些大小写变化，再加一些符号之类就不错：“H4zxbk6!”。

其次，还是要多一些安全意识。上述那位香港人士演示的通过 Gmail 邮件转发来偷人私信的手法，是利用了 Flash 软件的一个漏洞。Flash 是 Adobe 公司的一套软件，常被用来制作、放送网络视频、动画之类，基本上在所有的浏览器里都有 Flash 插件。如果有人恶意制作一个视频放在网上，然后通过电子邮件发给你，在你收看视频的时候，他背后偷偷地做一些小动作，比如偷你邮箱的 Cookie 去修改你邮箱的设置，你基本上根本不会注意。这种攻击手段往往容易让人中招，尤其如果你是从“熟人”那里收到转发的视频，你更可能放松警惕。Flash 是一个著名的不安全软件，但是挡不住用的人多，另外一个 Adobe Reader 用来阅读 PDF 文档的，也是 Adobe 公司的产品，两者都屡次被用作恶意攻击的工具。

再次，多数人使用微软的视窗 (Windows) 操作系统软件，但是多数人可能的都没有定期更新系统的习惯。这又是一个需要“象内裤一样”对待的事儿，一定要定期做。微软公司每个月至少发布一次安全补丁，如果你不修补你的电脑系统的话，后果就像裤子破了不补一样 -- 你知道会出现什么状况，对吧？当然，这些系统补丁有时候是会有意想不到的副作用，比如打完补丁系统无法启动之类的，可能会偶有发生，那也是无法避免的。作为微软的用户，你只能“两害相权取其轻”，或者闭着眼睛，在红药丸和蓝药丸两者之间选一个。

还有，就是微软视窗里的 IE (Internet Explorer) 浏览器软件，如果能不用，改用 Mozilla Firefox 或者 Google Chrome 浏览器最好。如果一定要用 IE，注意在定期做好系统补丁的同时，把 IE 更新到最新版本。

最后，还有一个办法就是彻底摆脱微软视窗的桎梏。以前，我一直向人推荐 Linux -- 这是一个开源的系统，相对来说市场占有率远远低于微软的视窗，没有病毒侵害之忧，而且操作上不比微软视窗差，只是有区别而已。现在，Linux 对我个人来说仍然是首选，但是市场上用谷歌安卓 (Google Android) 系统的智能手机、平板电脑类的产品已经非常丰富而且越来越多、越来越便宜，Google ChromeBook 一类产品也开始崭露头角，都是值得推荐的 PC 换代产品，当然如果你钱多的话，苹果公司的 Mac、iPhone、iPad 之类也是不错的选择。但是，从电子邮件的角度来说，安卓一类产品与 Gmail 的紧密结合用起来会比苹果公司的产品更方便。

说完这些，还是要重申一点：目前还没有什么能改变电子邮件不安全这一现实。

国际互联网机构敞开了域名系统的大门

(Source: Internet Body Opens Way For New Domain Names)

山姆 · 赫尔姆斯
道琼斯通讯社

新加坡（道琼斯）-- “点康姆”时代已经结束，欢迎进入“点神马”时代。

统管国际互联网域名政策的机构星期一表决通过了决议，将允许任何公司和个人以任何语言、注册任何字符串作为网站域名，这一步迈出可能会改变人们浏览互联网的习惯方法。在新的政策规定下，人们可以用 .com、.net 或者 .biz 以外的其他后缀来注册域名，甚至可以用单个词语做网址。

简称 ICANN 的非营利机构“国际互联网名称与编码联合体”介绍说，采用这一更加开放（同时也可能更加混乱）的域名注册办法，目的在于激发新一轮的创新。商业机构可以创立标志性域名来推广品牌，而专家们也说，这对银行一类注重联网安全问题的机构会起到帮助作用。也能帮助业者创造商业机会，销售二级域名。

“这可能是域名空间一个崭新的创新时代来临的曙光”，ICANN 的首席席执行官罗德·贝克斯特罗姆星期一在新加坡说。他接着道，“互联网的域名系统这一开放直面整个人类的想象力和创造力，将带来无穷的机会。”

总部在墨尔本的澳洲域名国际公司负责管理澳大利亚 (.au)、阿曼 (.om)、卡塔尔 (.qa) 和阿拉伯联合酋长国 (.ae) 等国家域名的注册，其首席执行官亚德里安·金德里斯目前正帮助他的客户做申请他们自己的顶级域名的准备。他说，这些申请者中主要是商业公司，希望保全其品牌，还有就是创业者希望在网络空间圈下一块有价值的“地皮”。

例如，注册“.doctor”（点医生）这个顶级域名的人可以靠向行医者专卖“某某医生”这样的二级域名赚钱。“我觉得这些域名可以卖 $1000 一个，因为顶级域名里可以建立验证机制来增值，”金德里斯说。

顶级域名可以由最长达 63 个字符的任何字符串构成，ICANN 说。例如，"asknotwhatyourcountrycandoforyouaskwhatyoucandoforyourcountry" 不加后缀可以用来注册域名。不过，申请人必须预付 $185000 美元来注册这样一个域名，而传统的域名将来还是只需很小的一笔费用。

ICANN 将在 2012 年 1 月 12 日至 4 月 12 日之间根据新的规则接受域名注册申请。第一批新域名在 2012 年下半年就可能上线。

ICANN 说，上述的昂贵收费是根据处理这类申请整个过程估计所需的成本，包括处理域名纠纷可能需要的法律程序和其他一些无法预料的事项，当然，这个域名“拍卖”也有可能产生相当可观的一笔收入，那将归入 ICANN 的储备基金。

“拍卖”的赢家将由专家组根据一系列条件来审核申请者合格与否，比如申请人使用所申请域名的计划，其商业模式是否能够持久，等等。

如果申请人在赢家公布之前撤回申请，将根据提前量得到相应的退款。

ICANN 如果怀疑申请人有对明显不属于他们的某品牌或商标侵权的图谋，将会拒绝其申请，由此可见，理论上真正有权申请象 .cocacola 这样一个域名的也就一家公司。

问题可能复杂化之处在于象 .anything 这类语义普通的域名，但这也可能是 ICANN 能捞一票的地方。

如果 ICANN 无法就某个域名从一组申请人中间挑出一个最合适的候选人，那么申请将进入拍卖程序，最终可能谁钱袋最大谁就是赢家。

ICANN 的主席 Peter Dengate Thrush 在媒体招待会上说，他觉得大部分纠纷会在申请程序之外、进入拍卖阶段之前得到解决。

“但是如果真的进入拍卖程序，卖得的钱也还是回归整个 ICANN 社区，用于正途，”他说，但没有具体说 ICANN 会拿这些钱干什么。

这不是 ICANN 头一次计划增加通用域名的数量。大约十年前，为了缓解对一些热门的域名的需求，类似 .info、.biz 和 .museum 等一批通用顶级域名投入了使用，但业界对这些新域名的反应并不踊跃。

-By Sam Holmes, Dow Jones Newswires; +65-6415-4157; samuel.holmes@dowjones.com