这是一个所有人都在推卸责任的时代

某家银行下辖的期货公司发来公文，说我们的软件存在着「DLL 劫持」漏洞，限期修正，催得很急。

说起来跟《鬼子来了》一样，翻译官最该枪毙。DLL 是什么东西，老爷可能不懂，但是一听到「劫持」二字就坐不住了。劫持？打劫？谁打劫？匪徒？要劫谁？黄四郎的觉都要睡不着了。

是不是漏洞，技术上说，当然可以算是。该不该改？可以改，可以不改。对方拿了个自己生成的 TextShaping.dll 往我们软件的安装目录下一放，Calc.exe 被调起来了，就说有问题。然后我拿去往 Steam 的安装目录下一放，也有问题。人家 9700 万月活，四千多万的并发在线人数，似乎并不担心。

Foxmail 也一样有问题。而且 Foxmail 比 Steam 还大条，它默认推荐的安装目录可不是什么 %ProgramFiles% 之类，说起来问题更严重。但是它们都没改，或者说，没被要求改。为什么？因为没有「主」。都是用户自己下载，自己安装，自我的决定。出了问题，没有人寻死觅活找别人担责。

其实通达信也一样，别看它貌似防了一手，但它仍然可以被 DLL 劫持。关系到同行，我就不展开细讲了。Resource DLL 各位自行了解一下。

最鸡贼的是招行的网银。以前我就吐槽过它，貌似为了「安全」而无所不用其极。这次我又发现它的一个做法：为了防止 DLL 劫持，它索性把自己放到 Windows 的系统目录里面去了。

可以可以，相当可以

这样当然可以防止 DLL「劫持」，因为它直接把自己和操作系统的安全性绑一块儿了。相当于搬到元首家里去住下了，要死一起死。

解决方案不是完全没有，但本文本质上是一篇吐槽文，不是技术类文章，因此也不展开细讲。

说到底，这些所有的事情，都是为了推卸责任。期货公司真的是为了客户的「安全」着想吗？让这种软件能在客户那已经千疮百孔的机器上「带毒运行」，真的好吗？还真以为自己是常山赵子龙啊？能在恶意环境中杀个七进七出，片叶不沾身？

它们其实只是为了在客户真出事找它们寻死觅活威胁要跳楼的时候，可以拿出一些文件来，对着来「监察」的「钦差」们说上一句「你看我该想的办法都想了，剩下的就不是我的问题了。」

然而问题解决了吗？解决个锤子！

---

今天又收到一篇公文，是要向我们「确认」软件是否有采集客户的 MAC 地址并上报。

听上去是个人信息收集的问题，不过在这个行业中，有强制要求必须要这样做的，所以这个行为是合法合规的。要确认的，是我们不能「漏报」。

然而，这个「确认」其实是在耍滑头。自己不想去通过测试来确认，恐怕也无力去确认，于是发文件让供应商签字画押。本质仍然是找人担责。

我本来写了一大段，后来又默默地删掉了。对老爷能说些什么呢？

我觉得「MAC 地址能自己动手改」这应该是一个老爷可能不知道的常识。老爷本就应该是不具备什么常识的，所以我就不去败兴了。我能告诉他什么是拨号上网吗？他去一搜，到处都是 PPPoE，回过头来跟你说 Modem 也有连接的网卡。他晓得个锤子，他连 Modem 为什么叫「猫」都不晓得。

他要押，你就画给他，画个小乌龟，带尾巴。

---

太太这些天，在办交强险退保的事情，办得劳神劳力，最后我让她算了，就当给保险公司的老爷老娘们拿去买伟哥了。

说起来是很有理有据的事情。没起保的交强险可以退，相关的说法网上一搜一大把，都是支持的。AI 分析也没有任何问题，我甚至让 Google Gemini 和 ChatGPT 都分别做了 Deep Research，法律证据也都很充分。甚至太平洋保险自己都有 案例解读，监管层 2023 年也有相关的 Q&A。然而就是办不下来，四处碰壁。

投诉到太平洋客服没什么用，开口就是公司规定。去银监会投诉，只是把事情给你转回去。其实又是踢皮球到太平洋保险，说法还是同一套，总之就是不给退。

在网上刷到一位有 相同经历 的程序员。看来保险行业内部，特别是客服岗位，恐怕应该是学习过这种案例了。如果松了口承认了相关法规，就得受罚，而且公司层面说是「补偿」而不是正常的办理流程，也就是「口子不能开」，开了就是客服个人的责任。

监管层说是可以退，然后又让个人去跟保险公司「协商」。这情景活脱脱就像我当年去电脑城找 12315 投诉商家欺骗消费者，然后老爷过来指导销售「你快点跟消费者解释你们都有些什么额外的成本」。我在猜，大概体系内部其实是不允许退的，对外说可以退，对内严惩相关人员。医保不也一样？

---

其实吧，我就把话说重一点，也说得大一点。从三年疫情就可以看出来，共产党和中国政府其实根本不是在管理，他们也没那个能力。他们就是「责任驱动」，你也可以说他们是被「压力驱动」的。他们所做的一切，都是为了「卸责」，逃避危险。所有事情的动机，都可以用「给自己少些麻烦」来理解。

尽管有的时候，他们貌似反而制造了更多的麻烦，但你如果试图站在他们的立场去想想，就会发现，那是因为他们觉得如果不这样做，就会有「存亡危机」。「人无远虑，必有近忧」，话是没错，然而鼠目毕竟只有寸光，一切终归是偷来的。

看穿了这一层，很多事情，你就可以理解了。虽然逃避责任最好的办法是不担责，不在其位，自然就没责任了。但是有一个词叫做「秋后算账」，他们是最怕的。当年他们这样干过，所以自己最清楚。后面上台的人也不想为现在的烂摊子买单，那么必然有人要担责。猜猜会是谁呢？因此，为了不被秋后算账，现在必须抓牢权力，而且永远也不能松手。非不愿也，实不能也。

上行，所以下效。何况人性本来就是趋利避害的。现在没有利可以趋了，那害总是要避一避的。故而，造就了这么一个所有人都在推卸责任的时代。

即使在公司里，也能嗅到这种氛围。上了点年纪的同事，「混」得最好的，就是那种浑身是刺，搞得别人不想理他的人。其他人也在眼馋他的「清闲无事」，纷纷向他学习。做事情都是趋于保守，少做少错，不做不错。长此以往，一个民营企业，会有什么下场？我不知道，但连老板想的都是「先把这几年熬过去」，以及「找死不如等死」。

如果参透了这些，或许能在眼下处世更加自如一些。我虽然已经看破，但无意为伍。且也先「保守」一下，把自己的心田防守扎实一些吧。

---

洋洋洒洒写了这么多，其实一句话「社会逐渐趋于保守」就可以概括。这应该也是大家都基本能认同的事情。只不过，最近遇到的想吐槽的事情，一下来了好几件，还是想拿出来说一说，所以絮絮叨叨写了这么多。

以及，有些话，如鲠在喉，不吐不快。真的说出来了，心里竟然舒服了一些，可见还是有毒。

银联钱包你真垃圾，我一点都不欢迎你

5 月 30 日一下飞机，我就在虹桥 T2 的廊桥里面看到了银联云闪付 62 折的大幅营销海报。「去看看有没有便宜可占」，当时我这样对太太说。然后我们就各忙各的，这事几乎给忘了。

昨天太太跟我说，超市里面银联云闪付满 79 减 30，所以她在自己的 iPhone6+ 上装了个银联钱包。我想起了在机场看到的东西，就也去 AppStore 上搜了一下。有两个东西，一个叫「银联钱包」，一个叫「云闪付」，都是「中国银联」出品的，评分还真是一样低。我有点纳闷，好吧两个都下了，反正 AppStore 上至少没木马。

安装好之后把玩了一会儿，「云闪付」一来就叫我登录，而「银联钱包」至少让我看到里面有些什么功能了，里面也有「云闪付」的功能，那么好，「云闪付」你滚蛋吧。

其实我知道 Apple Pay 本来就是所谓的「银联云闪付」，我只是想知道银联这次在玩什么花样。结合新闻我有点弄明白了：大概闪付需要芯片，很多地方只肯买扫描枪，所以银联这次也搞了个跟支付宝有点像的扫二维码支付。这就必须要 App 支持，光靠 Apple Pay 还不行。

好吧，我觉得至少比起阿里粑粑这种流氓公司而言，银联我还可以尝试一下。于是我准备注册了……

我真的没想把本文写成吐槽文。不过正式开始用的第一眼我就被雷到了。拜托！中国银联！这是 iOS，是哪个老师教你「自己开发密码键盘会更安全」的？你说出来我们来轮他。

先得注册。我在界面上看到了可以用「手机号」、「邮箱」或「用户名」来注册。我并不是一个暴露狂，所以我准备以用户名来注册。点开 App 上的注册，发现只能用手机号注册。我不死心，换到 PC 上在 Web 下注册。一开始 Web 页面看起来也只能用手机号注册，不过当我 F12 之后，就发现还有一个 DIV 被 display:none 了。

呵呵，我心想：「就这也能难住老子？」

看来还是绕不开。

然后还有这个令我一看到就恶心得头皮发麻的「点此安装」。

我用的是 Chrome，要我换用 Edge 甚至是 IE 我都可以接受。不过要我安装 OCX 那就太过分了，。有的 Web 页面如果用手机浏览器打开，就不会提示安装控件了。我抱着姑且试一试的态度，用手机试了一下：

Chrome 是这样，Safari 也是这样。

好吧，反正就是必须得要手机号对吧。那我还是回手机 App 上去注册吧。

在 App 上输入手机号码，通过短信发了验证码给我，验证通过了，接下来让我输入密码。这明显的大爷作风嘛。我很想问银联你是不是并不在乎有没有用户来注册？反正老子是国企，用户多一个少一个无所谓？你们知道像美团之类的 App 在这一步是怎么做的吗？

我又要吐槽了。最低 6 位虽然太少，但我可以理解。最多不能超过 16 位是个什么意思？你们如果后台数据库里面保存的真的是密码的 Hash 值而不是原文，你管我密码最大有多长？你们知道 Twitter 允许的密码最大有多长吗？你们可以自己去试一下。

明文密码！我一直不厌其烦地在 Twitter 和 Google+ 上强调这个事情：只要没有特别的理由就限制密码的最大长度，那后台保存明文密码的可能性就一下子变得高了起来。不要跟我讲什么 16 位现在还足够安全。关键是撞库！撞库！撞库！

我一直是坚持「为每个服务使用独立随机密码」这个原则的。我宁愿忘掉密码，宁愿冒本地密码本被人搞走的风险，我也不会把心放在 Server 管理人员身上。原因很简单：做过这行你就知道了。

所以，我开启了密码生成器，去掉「符号」的勾，选择了长度为「16」，然后得到了一串随机密码。知道我前面为什么吐槽自己做的密码键盘吗？你既然决定了自己做密码输入控件，就很可能不会支持复制粘贴。

在我比较辛苦地输入完密码之后，出来一个这个。

估计我以前在什么时候注册过银联的账号吧。有句妈卖批我不知当讲不当讲？！我输入手机号码的时候你不告诉我，我输入短信验证码的时候你不告诉我，我输入密码的时候你不告诉我，等我把这些都搞完了你就告诉我这个？！

抱着一丝希望，我点下了「是我的，立即登录」按钮，App 跳回到了最开始的登录界面，输入我刚才生成的随机密码（是的我又辛苦了一遍），说我密码错。这次我真的骂人了。

好吧，看来我只能选择「忘记密码」了。

在又通过短信验证了一遍手机号之后，给我看的是这个界面。

我曾经在 Blog 中讲过，「密保问题」并不是一个好的设计。不幸的是，银联这里选的是所有密保问题中最糟糕的那几种之一。如果真的用家人生日做密保问题的答案，安全性极其脆弱，有等于无。如果用别的答案，又极容易忘记。

偏偏这里不回答还不行，又没有提供「忘记答案」的选项，实际上是把这条路给堵死了。其实手机短信验证的安全级别明显比密保问题要高。取信低安全等级的验证结果，而忽视高安全等级的验证结果，最后只能请求人工服务，这是极差的用户体验，也是极蠢的产品设计。

如果我记不起这个以前注册的账号的密码，我可能就只能打电话给银联了，而且可能这帮官腔佬最后还不肯替我解决。不过很幸运，我用一个旧密码最后成功登录了进去——看来我注册的时代还不太「古老」。

然后我又被雷到了。登录成功之后，App 给我看了这个：

是的，没有「跳过」或者「稍后设置」的选择，这一步是必须的。

设置手势密码之后才可以设置 TouchID。好在根据太太的经验，登录进去了之后是可以把手势密码功能给关掉。不过问题又来了，要进入「安全设置」你必须要：

到这一步，我彻底放弃了。

极其差劲的技术运用，极其糟糕的用户体验。难怪 AppStore 上绝大多数评价都只给了一星，而近期的五星好评全像是刷出来的。我估计如果 AppStore 不是规定最低是一星，很多人连这一颗星都不想给。

说实话，我不相信这种程度的技术能够保障我的资金和信息安全，给我天天打 62 折我也不敢用。算了。卸载。再见！

招行网银在 Win10 下糟糕的支付体验

我这人不用 QQ，不用微信，微博借王维林也成功销号。然而，支付宝因为早年上淘宝购过物，搞过那个什么实名认证，我评估后认为不用比用下去可能更不安全，所以账号勉强留了下来。不过我也给自己定下了两条规矩：

1. 不绑定银行卡的快捷支付。
2. 不在里面保留超过 200 元人民币的余额（含余额宝）。

这两条规矩，使得我的支付宝平时基本上当作零钱包来使用，正式的支付只用在 PC + 网银上。这样，即使失窃，损失也很有限。再说，花钱方便是方便什么？方便你「败家」而已嘛。

因为我自己定的这些规矩违反某些方面的利益，所以经常给我形成一些耐性上的挑战。昨天我就又遇到了一次，来自招行网银 + Win10。
没有足够的余额，又不开快捷支付的话，在支付宝上支付一笔淘宝订单就只能通过网银了。我以前一直用招行网银，虽然它对 Chrome 和 x64 很不友好，但我还是耐着性子开 x86 IE 来在这种j「特殊场合」将就一下。反正也就是最后一步嘛，登录 Alipay 集中支付一下就好。但昨天在 Win10 机器上我又发现了新的问题。

Edge 不支持
Edge 登录支付宝是挺顺利的，但招行网银的页面一打开，直接说这是「使用陈旧技术的页面」，估计是因为 ActiveX。要想跨 Browser 提交表单估计还是做不到的，所以最后还是只有在 Win10 下打开 Internet Explorer。

无管理员权限登录会失败
IE 下几经折腾，可以打开招行的网银专业版了。然而插入 UKey 之后一登录就跳出 Dialog 让我输 Key 的密码。在确认不是钓鱼软件的情况下，连输四次后，专业版登录界面弹出提示说证书签名有问题云云。
我估计这问题就是因为权限不到位，果然给了管理员权限后就能正常登录了。然而专业版登录界面是从 IE 页面上 Call 出来的，这就意味着我得给 IE 管理员权限才行。这样的话风险就有点高，还好可以手动做单次授权。

以前我一直觉得，金融行业在 IT 技术应用上普遍保守，而在国内放眼看来，招行在技术方面还算是相对进取的。现在看来情况已经反转了。x64 都普及多久了？IE 份额离开绝对优势地位都多久了？Win10 正式版都上市多久了？到现在还在用着 ActiveX。招行里面搞技术的人这些年都不知道在干啥。曾经引以为傲的服务水平也许还没下滑，但也绝对不算突出了。我是不是该换一家主力银行了？

从招行专业版的安全问题说开来

招商银行网银专业版可能是国内最早推出的专用网上银行客户端。招行庞大的发卡量，营销策略以及先走一步的优势，使得其网银专业版拥有庞大的用户群。我大概是世纪之交的时候开始用的，一开始是文件证书，后来转成了移动证书。一直没有觉得安全性方面有什么大的问题，直到网络上的声音开始铺天盖地。
所谓安全意识，不是在机器上装了多少杀毒、安全防护的软件，也不是装的这类软件有多先进多好用多会用。意识这种东西，看不见摸不着，但会体现在一些地方，比如对自己电脑的状态有一种敏感的嗅觉。什么时候感觉有点不对劲，有点不一样，发现有一点变化，会追根刨底直到找出原因，而不会想当然地认为没什么大不了的从而放松警惕。我看到的一些反面教材，基本上都是大大咧咧或者不明就里的使用者造成，最后到需要修复的时候，早已无法探究出根源。安全这东西，出事不要紧，要紧的是得知道为什么出事，然后亡羊补牢，保证以后不会再犯。无法找出原因，就意味着不知道因为什么中的招，那下次再中招也是指日可待的，修复、保护得再好也作用有限。
网络上声讨网银安全性问题的增多，一方面说明了用户安全意识的增强，另一方面也是近来安全事故开始出现得越来越多并且越来越容易的缘故。开发一个网银木马，本来是一件技术活儿。但是罪犯们学会了分工合作。以往只有少数高手能做这种东西，而会做这些的高手往往不需要靠犯罪来发财。现在只需要少量的败类，就可以让一个甚至数个犯罪组织靠这个捞钱。于是，网银软件中安全漏洞也就成了急待解决的问题。

银行的软件开发人员很可能并不是专门从事安全方面工作的技术人员，因此其中存在安全漏洞也是难免。事实上，信息安全这个领域实在是博大精深，而且日新月异，作为一款应用软件的开发人员要想在这方面做得完美无缺实在是非常的困难。
从理论上来说，安全性可以无限地加强，只要能投入无限的资源（包括人、财、物）。而显然，作为一家以盈利为目的的商业银行，不可能无限地投入资源，所以注定会要有个取舍。很多在声讨它的人也意识到了，银行的策略就是确保「小白」——也就是大多数的没什么安全意识的用户，确保他们不要出问题。同时，也确保在通常的攻击水平上不会暴露致命的漏洞，也就是说类似镖局一样，防山贼不防楚留香。
应该说，这是一个从理性角度看来很合理的策略。不管从哪个方面来声讨银行对于网银安全性的处理办法，如果要换个角度，站在该行管理者的位置来考虑，肯定也是同样的方案。很简单的统计学规律，抓大放小，护头不护腚，起码能保命。带来一点使用不便算什么？禁掉虚拟机，那些从安全角度出发在虚拟机中用网银的人肯定不爽，但我可以说对于当前会上网且有网银账号的人群而言，知道有虚拟机这个东东的人可能还不到1％。

但是，问题来了。为什么银行敢于抓大放小呢？难道少数那一部分就不是顾客，可以得罪了吗？
做个假设，如果这少数案例可以开出天价赔款，进而让银行高管们下课，银行是不敢如此怠慢的。我们可以看到国外偶尔冒出摔个跤赔上一千万的案子，但这在我国是不可能的。银行的 ATM 出了问题，窃喜之下多取了些钱，可以获刑无期；从取款机上取到了假钞，却是「查无实据」、「无稽之谈」。抛开这些具体案例的对错暂且不谈，很明显可以看到一点，客户和银行的地位是不对等的，甚至可以说是相差悬殊。
我国现阶段的国情，导致了法律不倾向于保护虾米，这是立法层面的问题。更为严重的是，这样的法律透露了一种态度，以至于在司法层面这种态度也得到了很好的「贯彻」。大陆法系对于现实问题的滞后是一个因素，而现在也没有推翻整个法律体系重来的可能性和时机。但采用大陆法系的国家并非只有我一国，所以我认为有更深层次的问题在里面。

——那就是：权力崇拜！

权力崇拜，自古即有之。人人都想当王，更想当皇帝。想要得到权力，从而「人往高处走」，不得不说这也是人类社会发展的动力之一，并不是坏事。但关键在于缺了一环：掌握权力的人缺少对于权力的恐惧，而没有权力的人缺少对于权力的蔑视。
这里便不需要举华盛顿的例子了，也许这对我国不适用。「我国一没有殖民地，二没有搞宗教迫害，难以产出那样的人才。」——这种话说出来，联想到T开头的那个单词，在二三十年前可能是要掉脑袋的。反正，总之，我国是不会有什么「中国的乔治·华盛顿」的。
在我国，是不可能有什么纺锤体的。强权阶层掌握了话语权，互相联合起来，以便保住自己的地位，努力地把想要爬上来的人往下踹。那些弱势群体们，对于强权阶层就算是有所厌恶、憎恨，也并非针对权力本身。因为他们知道，如果自己有朝一日爬到那个位置，必定会干出同样的事情来。同时，强权阶层轻视甚至忽视随权力而来的责任，缺少恐惧，肆意妄为。因为他们也知道，权力大家都想要，因此想用就得用到底，免得过时作废。
这就有了网银的故事：从银行看来，小部分客户是可以放弃的，他们相对弱势，闹不出什么动静来。从法院看来，客户是可以放弃的，相比起他们，来自金融业那边的压力要强势得多。
这也就是我认为我国目前民主大概还算有，但共和根本就谈不上的原因。在每个人心中都是如此——少数服从多数的观念从幼儿园起便开始灌输，根深蒂固。须知，从根本上看，少数服从多数便意味着弱肉强食。某些时候，那多出来的人头，就等同于多出来的拳头、嘴、枪杆子……

至此，得出一个结论：如果混不进金融业，那就好好地当一个网银「小白」吧。如果凑巧像我一样不是，那就当作是吧。

招行的网银专业版又升级了

想用 pcAnywhere 连回家里的电脑来使用招行的个人网银专业版。提示升级，而且旧版似乎已经无法使用，于是就升了。谁知升过级之后登陆界面却无法打开了，任务栏上有窗口，任务管理器显示它占用了 80％ 左右的 CPU，但是就是不出现界面。去招行网站上手动下载了安装文件再次安装，依旧。然而我本机上刚升级的网银却都是好使的。

联想到上次的虚拟机失效事件，怀疑又是招行采取了什么措施所致。大概是要排除掉可能存在的远程控制吧？估计是在进行木马侦测，但是又干不过 pcAnywhere，于是就高占用了。

从这些方面来看，招行的网银的确是越来越安全了，但是也就越来越不方便了。说实话，我有点意见的。安全和便利从来都是天平上的两头，而现在的感觉这个天平有点失衡了。如果连自己的电脑的信息安全都无法保证的话，用网银不就等于给人送钱吗？根本就不要照顾这种脱线的家伙。

日记2007.01.09

Chapter One

09:30 准时醒来，听到电视里面杨健和杨毅在那里胡侃，于是慢慢又躺了十几分钟才起身。折腾完毕，刚好 jump ball，真是起得早不如起得巧。

很过瘾的一场球赛，经典的防守，经典的第四节。虽然场面比较难看，但是——看过我旧版个人主页的朋友可能记得，我喜欢看防守。而且，最关键的是 rox 赢了。

Chapter Two

想教老爸如何通过网上银行缴费，却发现他电脑上没有装招行网银专业版。下载最新版安装之后，恢复证书时弹出一个从来没见过的提示框，让我从手机或电话去获取一个验证码。

手机短信迟迟收不到，电话又要求输入卡号、密码、证书号……。16 位卡号并不很容易记忆的，何况不是我的卡。折腾了半天，气死我了！欲去投诉，写好了文字却没有发送的欲望了。对方肯定不会理睬的。用户方不方便，根本不算什么。这世界上就有那么一些白痴，文件证书乱扔，又爱到处惹木马，丢了钱却死赖银行。我要是银行的职员我也会搞的很严格。

希望有一家银行能够真正实施人性化的服务。我不需要那么高的安全级别，我的电脑防护得很好，我就可以在签署协议的情况下以牺牲一点微不足道的安全性来换取我认为很重要的易用性。可惜，在中国这也许要等上很多年，而且我得要有很多钱……

Chapter Three

和爸妈一起去石板坡派出所拿身份证。装模作样（老爸认为）地找了一会儿，告诉我们说还没有到，让我们后天再过来。

淘宝的身份认证需要它，保险单的复效需要它，社保的办理也需要它，因此这些计划又顺延了。

Chapter Four

回来的路上，顺便把发理了。冬天穿高领毛衣，头发稍长便很不自在。

理发厅生意并不好，一个顾客也没有。虽然洗剪吹 ￥10 在附近的理发厅中还算偏贵的，但我始终疑心这样下来一天能否搞定大家的工钱。也许某些特定的时候生意会好起来吧？

Chapter Five

表妹的U盘坏了。还是两年前她 DELL 笔记本购买时附送的那一块。这年头，电子设备也这么容易坏？