互联网信息安全“问题样本”

360被指侵门踏户 逾越安全边界

此前360方面曾公开对外表示，安全软件上传网址监测是行业惯例，带有用户名和密码的网址记录是由网站登录机制造成的，并非安全软件有意上传。

而独立调查员认为，这是360为自己侵犯用户隐私的行为所找的借口。在他看来，所谓云安全只是辅助机制，安全软件应尽可能排除可信的主流网站 （所有网银、政府网站，以及主流门户、新闻门户、社交门户、搜索门户等），而不是收集并上传所有网址；且在上传网址时，应排除网址中的访问请求参数等个人信息（网址中问号后接的全部子串）。另外，360即便要上传网址，也没有必要将其长期保留在其私有服务器内。安全厂商在验证其上传的网址、确认是安全网址后，即应在做必要统计后废弃，更没理由与用户机器唯一识别码成对地存储在服务器上。否则，这款软件究竟是安全软件还是间谍软件？是为了用户还是为了监视用户？他认为有充分理由对这些问题打一个很大的问号。

“360明知大量访问请求参数属于用户，而不属于访问目标网站。任何安全软件必须假设并接受‘用户本人无恶意’，这是对用户最起码的尊重，除非其目的是监控用户而非监控网站。云安全软件可以在明确告知并取得用户同意的前提下，上传浏览网址的非用户参数部分，以分析和阻止可能的恶意网址，且不得记录用户机器识别信息。这是最基本的隐私保护原则，而360安全卫士完全不符合此原则要求，罔顾用户隐私权以及由此衍生的财产权等个人权益。”

“至于用户所访问网站的技术实现方式、安全等级等，与360公司有什么关系呢？退一步讲，即使目标网站允许直接访问此类绝密信息，也不是360就可以做的。”独立调查员进一步分析说，“更为严重的问题在于，金融、证券方面的信息，在互联网上是与国家安全、军事等同等重要的禁区，属于高压线的范畴，互联网安全企业理应自觉回避，但360竟然毫不避嫌全面收集、形同监视，我无法理解其真实动机。这才是此事件最为严重的焦点。”

一个不容忽视的细节是：360服务器如今还有没有这些用户隐私？这些被360非法获取的用户机密数据是否曾被滥用，至今这依然是个待解的黑匣子之谜。