有人說，google的威脅退出，是為自己在中國的經營失敗尋找一個可以對股東交代的理由。這話似是而非。google在中國大陸雖然不敵百度，但也算不得“失敗”，不過是賺多賺少而已。誰也不能保證在所有市場中都獨佔鰲頭，google管理層無須為此對股東作出特別交代；如果意在解說業績問題，更不可能采取這種明顯將進一步大損業績的方式。

當然，google此舉也可能含有某種經營考量︰置之死地而後生，以“民不畏死”的姿態逼迫中國政府重新談判，同時贏得巨大的廣告效應。但是，這是一步險棋，成功的可能性微乎其微----中國政府不可能開這種“被外企逼迫作出政治妥協”的先例。縱然google有可能在表示不再接受審查前提的同時，其實已經在技術上找到了既可不按中方要求審查，又能兼顧中方考量的解決方案，中國政府也不太可能與已經公開令自己大傷顏面的google妥協，它寧願將這種妥協給予其他替代者。

google在中國並沒有被逼入絕境，所以從經營而言，它不可能如此兵行險招。不接受審查前提、宣示可能退出中國的表態，出發點應該確實是政治而非經濟，經濟考量最多只是順帶。企業生存于社會中，不可能避免政治因素的影響。與許多中國人印象中西方企業與政治絕緣、“純市場決定”的形象不同，西方企業有責任接受政府（尤其是議會）的質詢，接受民眾和輿論的監督，所以必須樹立一種符合西方價值理念的政治形象。企業越大，這方面受到的壓力也越大。西方企業家更是生活在社會環境中，他們同樣會有自己的價值選擇，甚至可能懷有某種政治抱負（最典型的是索羅斯）。從已經披露的信息看，上述決策就是由google總部的三個高層管理者作出的，並沒有詢之于股東。而google由妥協到絕然這種態度轉變的發生背景，則是中國本身的變化︰越來越強大的中國，令西方沮喪；越來越強硬的中國，令西方惱火，無論是西方的政府還是民間。google的管理者必定能夠真切體會到西方輿情的這種變化，並且感同身受。原來以妥協方式進入中國的公開說法理由是︰進入，然後才能改變。現在中國已發生與這種預言相反的改變，上述理由就顯得勉強。當然，雖然勉強，但還沒到不能維持的地步。因此，google作出轉變的關鍵性原因，只可能是公司管理者本身已不願意再繼續維持，從而主動選擇了轉變----在某種價值理念和現實情境的催化下，他們準備做外企“對中國說不”的第一人。

于是，一種驚天巨變悄悄發生了。在特殊情境下，只要看準機會，普遍人（雖然google的管理者其實並不普遍，只是離政治有著一定距離而已）也能創造歷史。google事件給中國政府制造的巨大殺傷力，主要不在國內而在海外----不在于那些對google產生了同情、引發了共鳴的國內民眾，也不在于進入中國的外企將受到示範的激勵與啟發，甚至不在于那些已經公開出面勸說其他外企也退出中國的西方政客。google事件的最大示範效應，是為西方直接介入中國政治提示了新的抓手及發力方式。而它影響的最大力量群體，不是西方的政府或議會，而是西方民眾。

當西方的民眾看到，可以用這種方式影響因為各種原因他們不得不越來越重視的中國國內政治，迫使中國按照他們的意願發生改變時，這種意願可能匯聚成一股在西方國家足以橫掃一切的民意洪流，形成一種“政治正確”，重新規範西方與中國打交道的方式。這種“政治正確”是西方企業絕對無力違背的，因為大多數企業的股東，也是這種理念的擁護者，他們會支持企業要求中國作出改變，為此不惜犧牲經濟利益。

普遍人為了價值堅持和社會成就感而放棄經濟利益，這並非不可想象。馬斯洛的需求層次論早就揭示了，社會成就感是高于物質利益的精神享受。除了受困于基本生存條件的低收入群體外，其他人都可能將追求社會認同置于投資收益之上，很多時候只是沒有遇到方便的抓手和機會而已。將基本生存條件置于首要的，可能是那些在金融危機中陷入就業困境的西方工人，但不太可能是相對收入較高的西方社會之主體----中產階級，而後者是西方企業股東的主要構成部分。如此，就不難預計，當那種情勢到來時，西方企業的大多數股東將作何選擇。

如果這種聯動效應真的出現，中國政府才真的將面對不可回避的艱巨選擇，中國也將被逼上前所未遇的十字路口----不管選擇哪一種回應，向左或者向右，中國社會都將發生自1979年以來的最大改變，再也回不到今天。正是顧忌于這種聯動的後效應以及隨之而來的抉擇困境，中國政府才不得不慎之又慎，左右為難。

以一人逼一國，google的管理者或許已可自豪。但是，google此舉的真正成敗，仍將取決于能否引發整個西方社會、西方企業的聯動。能夠，google將成為西方的英雄，甚至可能被輿論塑造成西方騎士小說中的類似形象；不能，google則成為真正的失敗者（利益受損者），輿論一時的追捧，也將消散在時間之河中----這就是冒險者必須承受的命運。

駭人听聞 谷歌退出中國“諜報版”網上瘋傳

論壇    2010-01-16 　以下內容正在網絡熱傳，所述內容未經證實，僅供參考。 了解谷歌內幕人傳出駭人听聞的退出中國“真相”!! 　　 　　最新的谷歌陰謀論，原文出自 Twitter，這是目前國內傳說的最新內幕，幾日來謠言漫天飛舞，真正的真相可能還得看官們自己判斷了。 　　這些日子太沉重了，大家娛樂開心一下。 　　---------------------------------------------------------------------------­-- 　　成百上千的人族無辜群眾命喪蟲族之手，而蟲族分子正是在谷歌的庇護下使用Gmail暢通無阻地 組織策劃對人族大清掃，事件之後政府封鎖星際網絡也表明政府想徹底­阻斷蟲族分子的一個聯系通道。 　　對Gamil少數郵箱的監控可以減少和防止事件的再次發生，保護人族廣大群眾的生命財產安全。 　　根據神族的《愛國者法案》，神族政府有權收集所有信息，其中當然包括郵箱，GMAIL是例嗎？ 　　如果Gmail系統可以對神族政府開放，人族政府應該有同樣的權口利，這才能體現自由，平等，公平，才是一個自由的公司應該做的事情。 　　歡迎大家繼續YY各種版本。 　　----------------------------  以下為轉載內容 　　http://www.brookswelding.com/ 　　Google，祝賀你回到仁慈的主的懷抱。是的，我們在此祝賀而不是哀悼你。當耶路撒冷的太陽終于照耀你冷寂的墳墓之時，我們將迎接你的復活。 　　以下的真相，如果你有懷疑，如果你覺得其他的說法才是真的，那麼請你解釋這樣一個事實︰ 　　Google，祝賀你回到仁慈的主的懷抱。是的，我們在此祝賀而不是哀悼你。當耶路撒冷的太陽終于照耀你冷寂的墳墓之時，我們將迎接你的復活。 　　以下的真相，如果你有懷疑，如果你覺得其他的說法才是真的，那麼請你解釋這樣一個事實︰ 　　Google總部在聲明退出中國之後，立刻取消了所有中國工程師訪問Google代碼服務器的權限。 　　他們都是在上班後發現服務器的home目錄進不去了。事先根本沒有通知。 　　很多人寫到一半的代碼，就沒法動了，要等幾個禮拜之後，調動到美國才能繼續寫 　　如果Google是有預謀的撤離，為什麼要采取這種手段？他完全可以讓員工繼續工作，做一些善後工作。 比方說現在Google music，中國公司和美國做的是不一樣的（music.google.cn 和 music.google.com）現在要取消中國的music了，完全可以讓中國的工程師來做這個代碼遷移的工作。 　　現在是中國的工程師全部帶薪休假，由老外來接手善後事宜。 　　為什麼Google突然那麼不信任中國這邊的團隊？畢竟他們自己開發的代碼，讓他們自己來做遷移肯定效率更高啊 　　唯一的原因就是，Google內部的技術人員中被安插了黨的特務（就在Google上海辦公處） 　　事實真相就是，這個人在受到黨的派遣，應聘Google成功之後，就把Gmail的關鍵代碼down下來然後上交給了組織。 　　而這個組織破解gmail系統的目的就是為了獲取“人權團體”的郵件，這些在Google官方的聲明都有 　　這樣一來會暴露gmail系統的所有漏洞，而且Google官方不能承認這個事情，否則他在國際上的聲譽會大受影響。他能做的就是停止中國所有的工作，中國這邊所有的工程師已經不能登陸google的代碼服務器了。然後應該會抓緊幾天時間修改一部分gmail代碼。 　　其實事情就是這樣簡單完全是突發事件，所以Google的官方聲明，你去讀一讀原版，寫的是很倉促的，字里行間都能讀出他們最高層的震驚，就是Google 三個最高層的人臨時討論一致決定的。如果是什麼和美國政府商量好的，你覺得堂堂Google的官方聲明會寫的那麼潦草，一點正式文件的套路都沒有？ 　　Google撤離也不是因為互聯網審查，這個當然是一件很讓Google不舒服的事情，但這幾年他不也就這麼忍下來了嘛。 　　特工這次的竊密行動，使Google有面臨全面破產的危險（Google官方博客也說了，牽涉到知識產權的問題），說白了，再在中國呆下去，可能要威脅到整個公司的生存，所以才如此倉促的把中國部門的一切工作全部停掉。 　　所以Google一開始還說打算和中國談判，但是今天馬上就放棄談判的打算了，因為就算政府讓步，Google也不能再留了，再留就有性命危險。也不是中國市場賺錢不賺錢的問題了，賺這點小錢，把整個公司的性命搭進去，風險太大了。 　　關于Google工程師訪問Google代碼的權限，Google對于技術人員的誠信是相當信任的。即使是一個實習生，也可以訪問99%以上的代碼。 Google只有一個代碼庫，每個進去的人學到的第一條開發原則就是︰搜！從代碼庫里面盡量搜索功能相似的代碼，然後給原作者發Email。講究這種整個公司的代碼共享，才會達到有那麼高的編碼效率。而且Google的代碼，注釋，和技術說明文檔是一體的，對每一個工程師都是公開的。 　　你可以噴我，也可以提出其他的說法，但是請你在回復之前先看完全文，然後想想自己的說法能不能自圓其說！！ 　　我只能說，特工你太辣手了，實在逼得人家混不下去了。 　　補充一︰ 　　這個事情還在調查中，有一個人，他是黨員，來了Google沒多久，就把gmail核心代碼下載下來，而且現在這個人已經不知所蹤了，這些是可以肯定的。 　　至于他是誰指使的，我們只是猜了。。。 　　這兩天Google總部派人過來和中國每一個工程師喝咖啡談話，調查是不是這個人還有同伙。 　　同時總部在評估，這件事情造成了多少代碼泄漏，哪些代碼需要重寫。 　　等這些工作做完，就會開始轉移中國這里的工程師（要是沒有調查就轉移，豈不是讓別的臥底混入美帝了嘛） 　　然後這個時候總部應該會給一個說法，讓真相大白于天下，等再過一個月左右大家再回來看這個帖子吧！ 　　補充二︰ 　　算了我來說吧。 　　里面一共三個臥底，里面居然還有共產黨支部。 　　里面的支部書記是國安四年前就布的局。 　　這個朋友本科就是交大出來的，後來去了信安部。 　　信安部派他會交大信安學院念計算機，天天做算法題, 畢業就進了Google。 　　之後發展了兩個內線，其中一個內鬼暴力破決Gmail的源代碼系統，把代碼偷出去給了政府。 　　政府主要是要監控用Gmail的反共分子。 　　里面不得了，居然還有國安局的黨支部小組。 　　這個老兄拿了100萬獎勵，外加公務員待遇。 　　這幫人一下班就偷偷去陸家嘴開黨支部會議。 　　小補充三︰ 　　google是如何發現代碼被轉給特工的？ 　　除非google在每個員工的電腦上裝監控軟件。 　　要訪問代碼，必須登陸Google唯一的代碼服務器 　　服務器端有你的瀏覽記錄 　　現在只知道這個人是黨員，他在很短時間內瀏覽了很多代碼，而且這個人現在不見了，我只是根據這些猜測他是上交組織了 　　第一攻擊了很多源代碼管理服務器， 　　第二明確地告訴你是非法弄到的。 　　大家再看會，我的手機就會響起了…… 　　現在同事大部分已經開始準備離開了，少部分技術人員和法律部的會繼續留下來，大家情緒非常失落，誰也沒有想到會是這麼個結果。 　　----------------------------以下繼續看討論--------------- 　　這件事，如果是真的我覺得可以反映一個問題，那就是google人才本地化嚴重失誤。 　　> 信安部派他會交大信安學院念計算機，天天做算法題, 畢業就進了Google。 　　當年歪酷創始人沒去成google就讓我很驚訝。google或許過度看重GPA和算法了，卻忽略了很多在本地更加實際和重要的素質。。。。 　　Google的工作性質決定著這個事實，畢竟是要做中文的檢索而不是英文，讓老外們來做CJK的分詞什麼的，不說不可能，困難肯定是有的吧。 　　> 這件事，如果是真的我覺得可以反映一個問題，那就是google人才本地化嚴重失誤。 　　>> 信安部派他會交大信安學院念計算機，天天做算法題, 畢業就進了Google。 　　> 當年歪酷創始人沒去成google就讓我很驚訝。google或許過度看重GPA和算法了 　　> 這件事，如果是真的我覺得可以反映一個問題，那就是google人才本地化嚴重失誤。 　　听朋友造謠到，很多大牛進了Google中國整天寫頁面，自稱都快寫廢了︰） 　　我也听朋友說過。。。265導航都需要一個破項目組維護。。。。我當時是相當的A！！！４笈Ｈoogle也只能做體力活啊。。。呵呵。。。 　　> 以下的真相，如果你有懷疑，如果你覺得其他的說法才是真的，那麼請你解釋這樣一個事實︰ 　　er... 跟我的推理很接近。以下是第一天在 shlug 發的 　　他們只是用一種看上去很英勇的美國式方式發表了他們的決策而已，具體內幕我估計遠非這麼簡單。 　　他們的抱怨無非︰ 　　1) 安全受威脅 　　2) 人權問題 　　3) 審查問題 　　2) 和 3) 這麼顯然的問題在 google 進來的時候不會沒考慮到，不會等到現在才反省過來。 　　如果 1)是主要原因 ，按照 google 的推論把服務器搬到國外就解決問題了？為何要關閉中國的 office？一個可能的推斷是 　　google 中國被迫向政府提供情報協助（如 yahoo），而且是暗地里已達成某種協議（所以無法披露），然而中國的情報人員越線用了數據導致 　　google 全球網絡可能都存在安全隱患（我想這才是它擔心的吧）。另一種可能是政府安插情報人員到 google 　　office，而且有能力接觸到一些核心的服務的數據，一些小動作導致上述的安全問題。 　　總之，如果沒有什麼原因對 google 全球的產業產生極壞的影響（比如聲譽，安全問題等），我想不出有什麼邏輯要撤銷中國的 office。必定有更多內幕。 　　英文新聞都只是說因為Acrobat Reader、IE等軟件漏洞導致Google一些員工被入侵，從而作為跳板。而且中國還攻擊了其它二三十家公 　　司。Google源碼被內鬼竊取是否屬實，還是屬于兩起獨立事件？ 　　額，我希望在這個時刻在這個郵件列表里不要出現類似這樣容易混淆視听近似謠言的帖子，這內容在twitter上討論很多，這樣的東西在那里出現比較合適。 　　我本科是SJTU畢業的，所以想談一下自己的看法。交大的信息安全工程學院是2000年10月才成立的，多數是面向工程碩士的。我覺得國安如果想要找人的話，直­接到計算機系找人的可能性更大，因為前者在學校里不怎麼重要，交大有不少類似的院系，而後者進Google的概率更大。 　　其次是關于源代碼訪問權限的。我沒有去過上海的Google公司，但就我所去過的外企而言，基本上對一個剛進去不久的人就能訪問99%的代碼是難以置信的。一個­即使在外企公司做了5、6年的manager，大多數時候也只能訪問60%左右的代碼。這里很多人都是做開發的，相信都清楚這一點。更何況Google有很多殺­手級的閉源應用，譬如Google 　　earth，Google 　　map，Gmail，如果這麼容易就能竊取到源碼的話相信其他公司也能竊取得到。並且這則消息也有點前後矛盾，前面說99%的代碼公開，後面卻又說需要暴力破解­（如果訪問代碼合法，又何來“非法弄到的”一說？）。而且我覺得作者大概不太了解Computer 　　Security 方面的內容，想獲取最高權限，首先得獲取能取得最高權限的登錄名，我們假定他能獲取到李開復（事實上我估計即使是李開復也沒有如此權限）的登錄­名，即使不考慮PC暴力破解的低速和密碼的強度（普通網銀都會使用1024bit的RSA），暴力破解的話也肯定要不停地向源代碼服務器發送訪問消息（源代碼服­ 務器肯定不在國內），這麼頻繁的登錄（包括取代碼的操作），服務端是會log下來的，基本上第二天就會被發現，我不太相信Google的安全意識會這麼差。另一­個前後矛盾的地方是作者一方面說“ 　　Google只有一個代碼庫”，另一方面說“攻擊了很多源代碼管理服務器 　　”，如果是一個庫，那麼只要有一個最高級別的訪問權限就可以了，不需要要攻擊很多源代碼管理服務器。更主要的是，我不知道Google用的是什麼源代碼管理系統­，但如果僅從安全角度考慮，一個較安全的系統在設計上應該會采取“安全等級”的授權方式，這不是暴力破解就能解決的。 　　外企有黨支部沒什麼稀奇，一般外企並不反對建立黨支部。 　　另外說一個關于國安的事情，我一個朋友的老公就是國安的，但是連她也不知道她老公的具體工作。 　　關于"這幫人一下班就偷偷去陸家嘴開黨支部會議 　　"，我覺得很搞笑，Google上海的地址是在來福士廣場16樓，想開個會周圍地方很多，為啥要從黃埔區跑到浦東去開，下班時間又那麼擠。 　　至于說“100W獎勵，公務員待遇”之類的八卦，就不提了。 　　對于不通知中國公司而總公司單方面做出決定，我認為紐約時報轉述的理由是相對合理的︰一方面是高層討論的結果，一方面是為了降低事件對中方員工的壓力。 　　我從 google 實習生那里了解到，這段敘述屬實，包括那個"99%"︰ 　　"關于Google工程師訪問Google代碼的權限，Google對于技術人員的誠信是相當信任的。即使是一個實習生，也可以訪問99%以上的代碼。 　　Google只有一個代碼庫，每個進去的人學到的第一條開發原則就是︰搜！從代碼庫里面盡量搜索功能相似的代碼，然後給原作者發Email。講究這種整個公司的代碼共享，才會達到有那麼高的編碼效率。而且Google的代碼，注釋，和技術說明文檔是一體的，對每一個工程師都是公開的" 　　原文的敘述是自洽合理的，恕我不一一回復你的其他質疑了。 　　據我猜測，公開的源代碼里沒有產品中使用的 public key 和 private key，偷 key 是攻擊 SSL 最簡單的辦法。 　　汗，得到源碼目的和動機是什麼？ 　　我估計這位仁兄不是個programmer，不了解其中的差別也有可能 　　獲取源碼和攻擊服務器是2碼事兒，兩者有某種關聯，但是也不是自相矛盾。 　　一種明顯的可能是，攻擊源代碼服務器是為了將訪問log刪掉，聰明的hack肯定要干這件事兒的，否則unix的log里邊可是一清二楚的 　　此外，很多大公司都采用類似WEB-SSO的方式，邏輯上是一個服務器，背後可能是一個或者多個服務器集群。 　　Christian質疑的這些，從技術上來說，也沒什麼好矛盾的； 　　也許真的是太外行的緣故？ 　　如果人家用了PKI（我覺得肯定用了，而且root的remote access肯定是被禁用了）， 　　那最重要的還是要拿到PKI的admin權限 　　這些活都要靠攻擊服務器來完成；他們可能去暴力查找類似的這個最核心的服務器的location、IP等 　　這些東東代碼服務器里邊肯定是沒有的，但可能有一些關聯，所以先從這個入手可能快一些 　　Google 的源碼管理用的是Perforce。我記得。。。。好多大公司也用perforce。。。不解。。。 　　中國的政治，谷歌還玩不轉 　　我把Shuo Chen和Fei Yan的帖子一並回復了吧。 　　很遺憾，要攻擊SSL，偷key並不是什麼好辦法，因為private 　　key只在服務端存放，假設有某種能力攻陷服務器（在服務器允許遠程訪問的情況下）而獲取private 　　key，其他所有數據都可以輕易獲得，沒有必要攻擊SSL。攻擊SSL比較常用的是Man-in-the-Middle Attack。 　　參見︰ 　　http://www.sans.org/reading_room/whitepapers/threats/ssl_maninthemidd... 　　http://www.sans.org/reading_room/whitepapers/threats/ssl_maninthemidd...> 　　以及SSL協議分析 　　http://www.usenix.org/publications/library/proceedings/ec96/full_pape...https://www.usenix.org/publications/library/proceedings/ec96/full_pap...> 　　注意到其中提及如果使用Unix/Linux的權限控制是可以避免Man-in-the-Middle Attack的。 　　先不說修改源碼管理系統的日志記錄（以我使用過的產品來看，有些產品里項目創建人可能可以，其他人是沒有權限的，也許某些產品可以），如果能遠程刪除服務器的日­志文件，需要root權限並且remote 　　access沒有被禁用，對于Google這樣的公司，這個可能性實在太小。 　　Fei 　　Yan提到的分布式源代碼管理很常見，但是要攻擊並修改這些服務器上的文件內容，要繞過硬件防火牆並且確定各台相關源代碼服務器在內網的IP地址，對于這種不尋­常的行為，查看路由器就可以很容易地被發現，這甚至會在獲取源代碼之前就被發現。 　　另外說一下，SSL/TLS是基于PKI的。 　　我所知道最著名的遠程商業源代碼盜取事件就是Half-life2的源碼泄露，但那是通過低版本IE的一個公開漏洞造成的，Valve的某位開發人員沒有給IE­打補丁，並且，Valve畢竟和Google無法相提並論。 　　當然，生活很多事情的發生其實是不合邏輯的。我個人只是通過可以獲知的一些事實和理論進行推斷，類似這篇充滿著類似“99%”和“100萬”的文字實在是很難相­信是能夠自洽的。 　　這篇文章真實程度不好說，但你的語氣明顯是帶有偏見的。什麼叫 　　充滿著類似“99%”和“100萬”的文字 　　100w不好驗證，但99%和Google內部的一些機制隨便找一個員工都可以問到，你不去問問，就在這里說“很難相信是能夠自洽”，好歹你也給點干貨反駁吧 　　我不認識Google上海內部的員工，所以對99%這個數字沒法驗證，據我所知，所有Google中國的員工都已經被下達封口令，不允許談論相關的內容。為什麼­會對99%產生懷疑？因為除非你已經知道全部源代碼的文件數量和你能夠獲得的文件數量，然後求出百分比，否則你是無法獲得99%這個比例的。但事實上，如果你無­法獲得這個1%的項目文件訪問權限，你根本就不知道這個1%的文件數是多少。 　　相對來說，99%這個比例經常出現在某些口頭語中，譬如”我認為這個事件99%是真“，這不是一種很嚴謹的提法 　　我支持Google，但在沒有確鑿實施前，我反對陰謀論。 　　根據我詢問的情況看，至少在美國這邊，Google程序員可以訪問的代碼保守估計"至少"是95％以上，除了幾少數的核心代碼。Google代碼庫很大，少數核­心代碼說只佔1%也不算過分 　　全世界都知道這個99％其實就是說“絕大部分”，也就是說你想得到的基本上都可以得到，也只有你會想用求出百分比去驗證 　　這里的99%很明顯是一種大約的估計。 　　你能否給出一個標準，什麼叫做“絕大部分”？ 　　對于這個thread而言，我認為即使是70%也算夠用了；我們需要的不是鑽牛角尖的糾纏吧。 　　大家都是就事論事的討論，如果加上“我不喜歡”這樣的東西進來，的確就沒什麼意義了。 　　有論點、有論據，並不一定得出的結論就對了。 　　能否站得住腳，還是要看這些論點和論據能否得到事實的支持和大部分由理性判斷並有條件接觸獲取足夠現實論據的其他人的質疑。 　　我想說的只是，那篇MITM的論文談論的攻擊非常有限。能獲得私鑰當然比MITM好得多了。再說，數據庫和密鑰肯定是在不同的security 　　zone，不存在獲得密鑰就獲得數據的問題。 　　1、在這個帖子之前，你並沒有提出99%這個數據是一種大約的估計，並且強調了99%屬實，這個強調使我覺得這個數字很重要 　　2、“我不喜歡”的是這種對討論非就事論事的態度，而參雜有對“干貨濕貨”的判斷態度。 　　3、是，有論點，有論據結論不一定對。但在只有論點沒有論據的情況下，直接做結論恐怕更不一定對。我只尊重事實，至于大部分人怎麼看，未必就是事實。 　　4、對于隕落雕提及的那篇文章談論的攻擊很有限，我不敢苟同。SSL 　　v3 是1996年提出的標準，雖然它不是沒有弱點的，但是從之前提供的協議分析就可以看出，具有實現意義的攻擊可能其實是很少的。一般而言，在進行某個協議的系­統安全分析的時候，是不會考慮私鑰泄露的情況的，因為這意味著你把銀行卡和個人身份ID全給了某個陌生人，這已經不是計算機系統安全的範疇了。SSL 是位于傳輸­層的協議，如果入侵者掌握了私鑰（並且他有最高權限），那麼這意味著他可以隨意訪問任何遠程能夠訪問的數據（通過抓取並解密數據包），包括源代碼。 　　在我看來，像Google這樣的公司泄露私鑰基本是不可想象的，要獲取遠程服務器的root訪問權限是一件極困難的事，需要通過較低權限找出系統漏洞並植入木馬­程序，然後用類似key 　　recorder這樣的程序捕捉盡可能多的信息。而如果關閉root的remote access，這個可能性就更小了。 　　如果你覺得MITM和SSL協議分析中提及的幾種攻擊方式比較有限，麻煩給出更多實現方法的鏈接 17:36

以下內容正在網絡熱傳，所述內容未經證實，僅供參考。 了解谷歌內幕人傳出駭人听聞的退出中國“真相”!! 　　 　　最新的谷歌陰謀論，原文出自 Twitter，這是目前國內傳說的最新內幕，幾日來謠言漫天飛舞，真正的真相可能還得看官們自己判斷了。 　　這些日子太沉重了，大家娛樂開心一下。 　　---------------------------------------------------------------------------­-- 　　成百上千的人族無辜群眾命喪蟲族之手，而蟲族分子正是在谷歌的庇護下使用Gmail暢通無阻地 組織策劃對人族大清掃，事件之後政府封鎖星際網絡也表明政府想徹底­阻斷蟲族分子的一個聯系通道。 　　對Gamil少數郵箱的監控可以減少和防止事件的再次發生，保護人族廣大群眾的生命財產安全。 　　根據神族的《愛國者法案》，神族政府有權收集所有信息，其中當然包括郵箱，GMAIL是例嗎？ 　　如果Gmail系統可以對神族政府開放，人族政府應該有同樣的權口利，這才能體現自由，平等，公平，才是一個自由的公司應該做的事情。 　　歡迎大家繼續YY各種版本。 　　----------------------------  以下為轉載內容 　　http://www.brookswelding.com/ 　　Google，祝賀你回到仁慈的主的懷抱。是的，我們在此祝賀而不是哀悼你。當耶路撒冷的太陽終于照耀你冷寂的墳墓之時，我們將迎接你的復活。 　　以下的真相，如果你有懷疑，如果你覺得其他的說法才是真的，那麼請你解釋這樣一個事實︰ 　　Google，祝賀你回到仁慈的主的懷抱。是的，我們在此祝賀而不是哀悼你。當耶路撒冷的太陽終于照耀你冷寂的墳墓之時，我們將迎接你的復活。 　　以下的真相，如果你有懷疑，如果你覺得其他的說法才是真的，那麼請你解釋這樣一個事實︰ 　　Google總部在聲明退出中國之後，立刻取消了所有中國工程師訪問Google代碼服務器的權限。 　　他們都是在上班後發現服務器的home目錄進不去了。事先根本沒有通知。 　　很多人寫到一半的代碼，就沒法動了，要等幾個禮拜之後，調動到美國才能繼續寫 　　如果Google是有預謀的撤離，為什麼要采取這種手段？他完全可以讓員工繼續工作，做一些善後工作。 比方說現在Google music，中國公司和美國做的是不一樣的（music.google.cn 和 music.google.com）現在要取消中國的music了，完全可以讓中國的工程師來做這個代碼遷移的工作。 　　現在是中國的工程師全部帶薪休假，由老外來接手善後事宜。 　　為什麼Google突然那麼不信任中國這邊的團隊？畢竟他們自己開發的代碼，讓他們自己來做遷移肯定效率更高啊 　　唯一的原因就是，Google內部的技術人員中被安插了黨的特務（就在Google上海辦公處） 　　事實真相就是，這個人在受到黨的派遣，應聘Google成功之後，就把Gmail的關鍵代碼down下來然後上交給了組織。 　　而這個組織破解gmail系統的目的就是為了獲取“人權團體”的郵件，這些在Google官方的聲明都有 　　這樣一來會暴露gmail系統的所有漏洞，而且Google官方不能承認這個事情，否則他在國際上的聲譽會大受影響。他能做的就是停止中國所有的工作，中國這邊所有的工程師已經不能登陸google的代碼服務器了。然後應該會抓緊幾天時間修改一部分gmail代碼。 　　其實事情就是這樣簡單完全是突發事件，所以Google的官方聲明，你去讀一讀原版，寫的是很倉促的，字里行間都能讀出他們最高層的震驚，就是Google 三個最高層的人臨時討論一致決定的。如果是什麼和美國政府商量好的，你覺得堂堂Google的官方聲明會寫的那麼潦草，一點正式文件的套路都沒有？ 　　Google撤離也不是因為互聯網審查，這個當然是一件很讓Google不舒服的事情，但這幾年他不也就這麼忍下來了嘛。 　　特工這次的竊密行動，使Google有面臨全面破產的危險（Google官方博客也說了，牽涉到知識產權的問題），說白了，再在中國呆下去，可能要威脅到整個公司的生存，所以才如此倉促的把中國部門的一切工作全部停掉。 　　所以Google一開始還說打算和中國談判，但是今天馬上就放棄談判的打算了，因為就算政府讓步，Google也不能再留了，再留就有性命危險。也不是中國市場賺錢不賺錢的問題了，賺這點小錢，把整個公司的性命搭進去，風險太大了。 　　關于Google工程師訪問Google代碼的權限，Google對于技術人員的誠信是相當信任的。即使是一個實習生，也可以訪問99%以上的代碼。 Google只有一個代碼庫，每個進去的人學到的第一條開發原則就是︰搜！從代碼庫里面盡量搜索功能相似的代碼，然後給原作者發Email。講究這種整個公司的代碼共享，才會達到有那麼高的編碼效率。而且Google的代碼，注釋，和技術說明文檔是一體的，對每一個工程師都是公開的。 　　你可以噴我，也可以提出其他的說法，但是請你在回復之前先看完全文，然後想想自己的說法能不能自圓其說！！ 　　我只能說，特工你太辣手了，實在逼得人家混不下去了。 　　補充一︰ 　　這個事情還在調查中，有一個人，他是黨員，來了Google沒多久，就把gmail核心代碼下載下來，而且現在這個人已經不知所蹤了，這些是可以肯定的。 　　至于他是誰指使的，我們只是猜了。。。 　　這兩天Google總部派人過來和中國每一個工程師喝咖啡談話，調查是不是這個人還有同伙。 　　同時總部在評估，這件事情造成了多少代碼泄漏，哪些代碼需要重寫。 　　等這些工作做完，就會開始轉移中國這里的工程師（要是沒有調查就轉移，豈不是讓別的臥底混入美帝了嘛） 　　然後這個時候總部應該會給一個說法，讓真相大白于天下，等再過一個月左右大家再回來看這個帖子吧！ 　　補充二︰ 　　算了我來說吧。 　　里面一共三個臥底，里面居然還有共產黨支部。 　　里面的支部書記是國安四年前就布的局。 　　這個朋友本科就是交大出來的，後來去了信安部。 　　信安部派他會交大信安學院念計算機，天天做算法題, 畢業就進了Google。 　　之後發展了兩個內線，其中一個內鬼暴力破決Gmail的源代碼系統，把代碼偷出去給了政府。 　　政府主要是要監控用Gmail的反共分子。 　　里面不得了，居然還有國安局的黨支部小組。 　　這個老兄拿了100萬獎勵，外加公務員待遇。 　　這幫人一下班就偷偷去陸家嘴開黨支部會議。 　　小補充三︰ 　　google是如何發現代碼被轉給特工的？ 　　除非google在每個員工的電腦上裝監控軟件。 　　要訪問代碼，必須登陸Google唯一的代碼服務器 　　服務器端有你的瀏覽記錄 　　現在只知道這個人是黨員，他在很短時間內瀏覽了很多代碼，而且這個人現在不見了，我只是根據這些猜測他是上交組織了 　　第一攻擊了很多源代碼管理服務器， 　　第二明確地告訴你是非法弄到的。 　　大家再看會，我的手機就會響起了…… 　　現在同事大部分已經開始準備離開了，少部分技術人員和法律部的會繼續留下來，大家情緒非常失落，誰也沒有想到會是這麼個結果。 　　----------------------------以下繼續看討論--------------- 　　這件事，如果是真的我覺得可以反映一個問題，那就是google人才本地化嚴重失誤。 　　> 信安部派他會交大信安學院念計算機，天天做算法題, 畢業就進了Google。 　　當年歪酷創始人沒去成google就讓我很驚訝。google或許過度看重GPA和算法了，卻忽略了很多在本地更加實際和重要的素質。。。。 　　Google的工作性質決定著這個事實，畢竟是要做中文的檢索而不是英文，讓老外們來做CJK的分詞什麼的，不說不可能，困難肯定是有的吧。 　　> 這件事，如果是真的我覺得可以反映一個問題，那就是google人才本地化嚴重失誤。 　　>> 信安部派他會交大信安學院念計算機，天天做算法題, 畢業就進了Google。 　　> 當年歪酷創始人沒去成google就讓我很驚訝。google或許過度看重GPA和算法了 　　> 這件事，如果是真的我覺得可以反映一個問題，那就是google人才本地化嚴重失誤。 　　听朋友造謠到，很多大牛進了Google中國整天寫頁面，自稱都快寫廢了︰） 　　我也听朋友說過。。。265導航都需要一個破項目組維護。。。。我當時是相當的A！！！４笈Ｈoogle也只能做體力活啊。。。呵呵。。。 　　> 以下的真相，如果你有懷疑，如果你覺得其他的說法才是真的，那麼請你解釋這樣一個事實︰ 　　er... 跟我的推理很接近。以下是第一天在 shlug 發的 　　他們只是用一種看上去很英勇的美國式方式發表了他們的決策而已，具體內幕我估計遠非這麼簡單。 　　他們的抱怨無非︰ 　　1) 安全受威脅 　　2) 人權問題 　　3) 審查問題 　　2) 和 3) 這麼顯然的問題在 google 進來的時候不會沒考慮到，不會等到現在才反省過來。 　　如果 1)是主要原因 ，按照 google 的推論把服務器搬到國外就解決問題了？為何要關閉中國的 office？一個可能的推斷是 　　google 中國被迫向政府提供情報協助（如 yahoo），而且是暗地里已達成某種協議（所以無法披露），然而中國的情報人員越線用了數據導致 　　google 全球網絡可能都存在安全隱患（我想這才是它擔心的吧）。另一種可能是政府安插情報人員到 google 　　office，而且有能力接觸到一些核心的服務的數據，一些小動作導致上述的安全問題。 　　總之，如果沒有什麼原因對 google 全球的產業產生極壞的影響（比如聲譽，安全問題等），我想不出有什麼邏輯要撤銷中國的 office。必定有更多內幕。 　　英文新聞都只是說因為Acrobat Reader、IE等軟件漏洞導致Google一些員工被入侵，從而作為跳板。而且中國還攻擊了其它二三十家公 　　司。Google源碼被內鬼竊取是否屬實，還是屬于兩起獨立事件？ 　　額，我希望在這個時刻在這個郵件列表里不要出現類似這樣容易混淆視听近似謠言的帖子，這內容在twitter上討論很多，這樣的東西在那里出現比較合適。 　　我本科是SJTU畢業的，所以想談一下自己的看法。交大的信息安全工程學院是2000年10月才成立的，多數是面向工程碩士的。我覺得國安如果想要找人的話，直­接到計算機系找人的可能性更大，因為前者在學校里不怎麼重要，交大有不少類似的院系，而後者進Google的概率更大。 　　其次是關于源代碼訪問權限的。我沒有去過上海的Google公司，但就我所去過的外企而言，基本上對一個剛進去不久的人就能訪問99%的代碼是難以置信的。一個­即使在外企公司做了5、6年的manager，大多數時候也只能訪問60%左右的代碼。這里很多人都是做開發的，相信都清楚這一點。更何況Google有很多殺­手級的閉源應用，譬如Google 　　earth，Google 　　map，Gmail，如果這麼容易就能竊取到源碼的話相信其他公司也能竊取得到。並且這則消息也有點前後矛盾，前面說99%的代碼公開，後面卻又說需要暴力破解­（如果訪問代碼合法，又何來“非法弄到的”一說？）。而且我覺得作者大概不太了解Computer 　　Security 方面的內容，想獲取最高權限，首先得獲取能取得最高權限的登錄名，我們假定他能獲取到李開復（事實上我估計即使是李開復也沒有如此權限）的登錄­名，即使不考慮PC暴力破解的低速和密碼的強度（普通網銀都會使用1024bit的RSA），暴力破解的話也肯定要不停地向源代碼服務器發送訪問消息（源代碼服­ 務器肯定不在國內），這麼頻繁的登錄（包括取代碼的操作），服務端是會log下來的，基本上第二天就會被發現，我不太相信Google的安全意識會這麼差。另一­個前後矛盾的地方是作者一方面說“ 　　Google只有一個代碼庫”，另一方面說“攻擊了很多源代碼管理服務器 　　”，如果是一個庫，那麼只要有一個最高級別的訪問權限就可以了，不需要要攻擊很多源代碼管理服務器。更主要的是，我不知道Google用的是什麼源代碼管理系統­，但如果僅從安全角度考慮，一個較安全的系統在設計上應該會采取“安全等級”的授權方式，這不是暴力破解就能解決的。 　　外企有黨支部沒什麼稀奇，一般外企並不反對建立黨支部。 　　另外說一個關于國安的事情，我一個朋友的老公就是國安的，但是連她也不知道她老公的具體工作。 　　關于"這幫人一下班就偷偷去陸家嘴開黨支部會議 　　"，我覺得很搞笑，Google上海的地址是在來福士廣場16樓，想開個會周圍地方很多，為啥要從黃埔區跑到浦東去開，下班時間又那麼擠。 　　至于說“100W獎勵，公務員待遇”之類的八卦，就不提了。 　　對于不通知中國公司而總公司單方面做出決定，我認為紐約時報轉述的理由是相對合理的︰一方面是高層討論的結果，一方面是為了降低事件對中方員工的壓力。 　　我從 google 實習生那里了解到，這段敘述屬實，包括那個"99%"︰ 　　"關于Google工程師訪問Google代碼的權限，Google對于技術人員的誠信是相當信任的。即使是一個實習生，也可以訪問99%以上的代碼。 　　Google只有一個代碼庫，每個進去的人學到的第一條開發原則就是︰搜！從代碼庫里面盡量搜索功能相似的代碼，然後給原作者發Email。講究這種整個公司的代碼共享，才會達到有那麼高的編碼效率。而且Google的代碼，注釋，和技術說明文檔是一體的，對每一個工程師都是公開的" 　　原文的敘述是自洽合理的，恕我不一一回復你的其他質疑了。 　　據我猜測，公開的源代碼里沒有產品中使用的 public key 和 private key，偷 key 是攻擊 SSL 最簡單的辦法。 　　汗，得到源碼目的和動機是什麼？ 　　我估計這位仁兄不是個programmer，不了解其中的差別也有可能 　　獲取源碼和攻擊服務器是2碼事兒，兩者有某種關聯，但是也不是自相矛盾。 　　一種明顯的可能是，攻擊源代碼服務器是為了將訪問log刪掉，聰明的hack肯定要干這件事兒的，否則unix的log里邊可是一清二楚的 　　此外，很多大公司都采用類似WEB-SSO的方式，邏輯上是一個服務器，背後可能是一個或者多個服務器集群。 　　Christian質疑的這些，從技術上來說，也沒什麼好矛盾的； 　　也許真的是太外行的緣故？ 　　如果人家用了PKI（我覺得肯定用了，而且root的remote access肯定是被禁用了）， 　　那最重要的還是要拿到PKI的admin權限 　　這些活都要靠攻擊服務器來完成；他們可能去暴力查找類似的這個最核心的服務器的location、IP等 　　這些東東代碼服務器里邊肯定是沒有的，但可能有一些關聯，所以先從這個入手可能快一些 　　Google 的源碼管理用的是Perforce。我記得。。。。好多大公司也用perforce。。。不解。。。 　　中國的政治，谷歌還玩不轉 　　我把Shuo Chen和Fei Yan的帖子一並回復了吧。 　　很遺憾，要攻擊SSL，偷key並不是什麼好辦法，因為private 　　key只在服務端存放，假設有某種能力攻陷服務器（在服務器允許遠程訪問的情況下）而獲取private 　　key，其他所有數據都可以輕易獲得，沒有必要攻擊SSL。攻擊SSL比較常用的是Man-in-the-Middle Attack。 　　參見︰ 　　http://www.sans.org/reading_room/whitepapers/threats/ssl_maninthemidd... 　　http://www.sans.org/reading_room/whitepapers/threats/ssl_maninthemidd...> 　　以及SSL協議分析 　　http://www.usenix.org/publications/library/proceedings/ec96/full_pape...https://www.usenix.org/publications/library/proceedings/ec96/full_pap...> 　　注意到其中提及如果使用Unix/Linux的權限控制是可以避免Man-in-the-Middle Attack的。 　　先不說修改源碼管理系統的日志記錄（以我使用過的產品來看，有些產品里項目創建人可能可以，其他人是沒有權限的，也許某些產品可以），如果能遠程刪除服務器的日­志文件，需要root權限並且remote 　　access沒有被禁用，對于Google這樣的公司，這個可能性實在太小。 　　Fei 　　Yan提到的分布式源代碼管理很常見，但是要攻擊並修改這些服務器上的文件內容，要繞過硬件防火牆並且確定各台相關源代碼服務器在內網的IP地址，對于這種不尋­常的行為，查看路由器就可以很容易地被發現，這甚至會在獲取源代碼之前就被發現。 　　另外說一下，SSL/TLS是基于PKI的。 　　我所知道最著名的遠程商業源代碼盜取事件就是Half-life2的源碼泄露，但那是通過低版本IE的一個公開漏洞造成的，Valve的某位開發人員沒有給IE­打補丁，並且，Valve畢竟和Google無法相提並論。 　　當然，生活很多事情的發生其實是不合邏輯的。我個人只是通過可以獲知的一些事實和理論進行推斷，類似這篇充滿著類似“99%”和“100萬”的文字實在是很難相­信是能夠自洽的。 　　這篇文章真實程度不好說，但你的語氣明顯是帶有偏見的。什麼叫 　　充滿著類似“99%”和“100萬”的文字 　　100w不好驗證，但99%和Google內部的一些機制隨便找一個員工都可以問到，你不去問問，就在這里說“很難相信是能夠自洽”，好歹你也給點干貨反駁吧 　　我不認識Google上海內部的員工，所以對99%這個數字沒法驗證，據我所知，所有Google中國的員工都已經被下達封口令，不允許談論相關的內容。為什麼­會對99%產生懷疑？因為除非你已經知道全部源代碼的文件數量和你能夠獲得的文件數量，然後求出百分比，否則你是無法獲得99%這個比例的。但事實上，如果你無­法獲得這個1%的項目文件訪問權限，你根本就不知道這個1%的文件數是多少。 　　相對來說，99%這個比例經常出現在某些口頭語中，譬如”我認為這個事件99%是真“，這不是一種很嚴謹的提法 　　我支持Google，但在沒有確鑿實施前，我反對陰謀論。 　　根據我詢問的情況看，至少在美國這邊，Google程序員可以訪問的代碼保守估計"至少"是95％以上，除了幾少數的核心代碼。Google代碼庫很大，少數核­心代碼說只佔1%也不算過分 　　全世界都知道這個99％其實就是說“絕大部分”，也就是說你想得到的基本上都可以得到，也只有你會想用求出百分比去驗證 　　這里的99%很明顯是一種大約的估計。 　　你能否給出一個標準，什麼叫做“絕大部分”？ 　　對于這個thread而言，我認為即使是70%也算夠用了；我們需要的不是鑽牛角尖的糾纏吧。 　　大家都是就事論事的討論，如果加上“我不喜歡”這樣的東西進來，的確就沒什麼意義了。 　　有論點、有論據，並不一定得出的結論就對了。 　　能否站得住腳，還是要看這些論點和論據能否得到事實的支持和大部分由理性判斷並有條件接觸獲取足夠現實論據的其他人的質疑。 　　我想說的只是，那篇MITM的論文談論的攻擊非常有限。能獲得私鑰當然比MITM好得多了。再說，數據庫和密鑰肯定是在不同的security 　　zone，不存在獲得密鑰就獲得數據的問題。 　　1、在這個帖子之前，你並沒有提出99%這個數據是一種大約的估計，並且強調了99%屬實，這個強調使我覺得這個數字很重要 　　2、“我不喜歡”的是這種對討論非就事論事的態度，而參雜有對“干貨濕貨”的判斷態度。 　　3、是，有論點，有論據結論不一定對。但在只有論點沒有論據的情況下，直接做結論恐怕更不一定對。我只尊重事實，至于大部分人怎麼看，未必就是事實。 　　4、對于隕落雕提及的那篇文章談論的攻擊很有限，我不敢苟同。SSL 　　v3 是1996年提出的標準，雖然它不是沒有弱點的，但是從之前提供的協議分析就可以看出，具有實現意義的攻擊可能其實是很少的。一般而言，在進行某個協議的系­統安全分析的時候，是不會考慮私鑰泄露的情況的，因為這意味著你把銀行卡和個人身份ID全給了某個陌生人，這已經不是計算機系統安全的範疇了。SSL 是位于傳輸­層的協議，如果入侵者掌握了私鑰（並且他有最高權限），那麼這意味著他可以隨意訪問任何遠程能夠訪問的數據（通過抓取並解密數據包），包括源代碼。 　　在我看來，像Google這樣的公司泄露私鑰基本是不可想象的，要獲取遠程服務器的root訪問權限是一件極困難的事，需要通過較低權限找出系統漏洞並植入木馬­程序，然後用類似key 　　recorder這樣的程序捕捉盡可能多的信息。而如果關閉root的remote access，這個可能性就更小了。 　　如果你覺得MITM和SSL協議分析中提及的幾種攻擊方式比較有限，麻煩給出更多實現方法的鏈接