政府采购迟迟不敢上 Win10,死守 Win7 为哪般

政府采购迟迟不敢上 Win10,死守 Win7 为哪般
2020年02月27日 17:49 航通社

书航 2 月 26 日发于北京

2020 年 1 月 14 日,微软宣告对 Windows 7 系统停止官方技术支持、软件更新和安全问题修复。有说法认为,政府机关是受此冲击最大的部门之一。

这主要是由于政府采购和升级 Windows 10 进度迟缓。直到 2017 年底,政府才允许微软与中国电科合资公司经修改后发布的“Windows 10神州网信政府版”(下称“政府版 Win10”)进入采购目录。

但在此之前的两年里,业界有多种声音反复宣传不应采购 Win10 的理由;而 Win8 和 8.1 作为过渡产品,完全被打入冷宫,至今仍未“解禁”。以至于即使现在,很多地方动作也很谨慎,宁可继续使用 Win7,这是情有可原的。

当时,业界拒绝 Win10 进入政府采购目录的理由多种多样,有的说它没有开放源代码给政府,无法保证重点行业“安全可信”的要求,有的更直接地说国计民生的命根子就不能握在外国企业手里,甭管它说自己多可靠,还是得推行自主操作系统。

如果我们回顾历代 Windows 演变的历史,就很容易发现,这其中一些说法是有思考价值的,但大多数其实站不住脚。

现在用来批评 Win10 不够“可信”的一些产品特性,也同样存在于旧版 Windows 上,当然包括专家们觉得还算“可信”的 Win7。我们已经用了十几年了,也都没什么大事。

本文会简单回顾 Windows 发展历程中不断嵌入微软“广告位”和网络服务,以至于变得不那么“安全可信”的历史,探讨这样做的原因、影响和我们的应对方法。

Windows 10 进入政府采购目录的曲折历程

微软和中国政府长期保持着紧密的合作关系,不仅中国学校教育和等级考试普遍使用 Windows 和 Office,有力推动其成为事实上的行业标准,而且在近年来的政府软件正版化浪潮中,微软也和 Adobe、金山等企业一同成为最大的受益者。

直到 Windows 7 为止,由微软自己贩售的标准版 Windows 都顺畅进入了中国政府采购清单。在获取了 Windows 7 和 Office 2010 的源代码后,中国政府专家进行审查,没有发现严重的后门和安全隐患。

但 Windows 8、8.1 和 10 并未通过公开源代码的方式向中国政府提供保证,所以没有直接进入政府采购目录。相对前面的版本,它们有几个明显的改动,引发了要求绝对可靠的公务场景用户的警惕:

微软账户取代本地账户,成为系统安装初始化时的默认选项。用户联网注册微软账户后,操作系统激活信息同账户绑定,大多数时候需要通过境外服务器访问。

系统大量预置网络增值业务内容,如绝大多数的 UWP 应用,OneDrive 和 Windows 10 里的小娜。小娜甚至在系统安装初始化阶段就可以启用,并开始收集用户信息(微软将在今后去掉这一功能)。

系统内部还到处给微软自家产品打广告,破坏了身为操作系统原本还勉强可以称为“中立”的地位。

至于 Win10 推出后两三年间,它不问场合的强制更新和重启更是让人诟病,对于需要长时间保持开机运转,但又非服务器的电脑简直是一场噩梦。

《科技日报》2018 年 9 月的文章提到,2015 年 Windows 10 中文版上市后,Win10 政府系统审查小组认为其违背了小组提出的三个原则:电子证书系统国产化、应使用中国的商用密码系统、应使用中国的可信计算技术(以中国同类技术替换微软的 WHQL 驱动认证、SmartScreen 筛查等服务)。

https://tech.qq.com/a/20180913/018296.htm

微软宣布 Windows 10 将是该系统的最后一个大版本号,换句话说,将会锁定内核大版本为 10.0(其实,Windows Core OS 和以此为基础开发的 Windows 10X 将是事实上的新版内核,但这里暂时不讨论)。

随着时间推移,政府机关和事业单位越来越多的旧电脑被淘汰,但购置的新机器由于硬件结构的更新,将无法安装 Win7 等旧版系统。为了解决这个棘手的问题,2015 年,中国电科与微软签约,成立中美双方股比 51:49 的合资公司——神州网信。

2015-2017 年间,Windows 10 不能进入政府采购目录,官方在不同场合警告 IT 负责人,由此形成了顽固的认知。

与此同时,长期为国产操作系统鼓与呼的中国工程院院士倪光南,以及深度 Linux 等其它利益相关方也陆续撰文,阐述 Windows 10 进入政府采购之后的种种“隐患”。

倪光南认为,Win10 未通过审查会存在“被监控、被劫持、被攻击、被禁售、密钥和证书失控、无法加固、无法打补丁、不支持国产 CPU 等安全风险,应停止采购和使用”。

https://www.guancha.cn/economy/2018_09_13_471955_s.shtml

不过,这并未阻止“Windows 10 神州网信政府版”于 2017 年 11 月进入中国政府采购市场。不到一年,就有海关总署、新华社、上海市经信委、广东省汕头市政府、中科院自然科学研究所等机构陆续试用和正式采购。

http://www.chinagovernmentprocurementnews.com/articles/42886

目前,微软原版 Windows 7 仍位于中国为政府采购而开设的“正版软件采购网”首页醒目位置,与政府版 Win10 并列展示。政府版 Win10 的售价为 1297 元,比 1344 元的 Win7 略便宜。

http://www.zbrjcg.gov.cn/rjcg

那些“可信” Windows 旧版本里面的微软“私货”

社会上一些声音在反对 Windows 10 进目录的同时,对于已成既定事实,且已经被大范围应用的 Windows 7 进目录倒没什么意见。

其实,不要说 7、Vista 和 XP,最早从 Windows 95 开始,微软一直都在尝试往系统当中加入自己家的“私货”(打引号的)。大多数时候,这些增值服务的加入没有对我们正常使用电脑产生任何影响。

① Windows 9x

现代操作系统其实就是支撑应用程序跑在上面的运行环境,和文件管理等基本用户界面的结合。它由6个部分构成:进程管理、存储管理、设备管理、文件管理、程序接口、用户界面。所以,在上面能运行某些程序(PS、游戏、浏览器等)和管理你的文件,是操作系统的两大基本功能。

但只有这个基本功能的话,系统可以做得相当“良心”,公司却可能活不下去。

微软开发早期 Windows 操作系统时就面临这样的问题。盖茨和艾伦的梦想是“每个家庭的桌子上都有一台个人电脑”,可是如果没有吸引人的应用程序,那么家庭就缺少购买电脑的动机(它实在太贵了)。

所以,90 年代的微软同时做第一方和第三方产品,除了 Windows 和 Office 之外,制作了包罗万象的各种软件和游戏,并以光盘为载体贩售。

Windows 95、98、Me 的零售版安装光盘里,包含了微软在售的几十款软件和游戏的产品目录,其中包含《高尔夫》、《三维弹球》、《微软模拟飞行》、《帝国时代》等游戏,以及《书架》、《Encarta 百科全书》、《地图》等实用工具。

微软还开发了一款仿真导览环境,就是大名鼎鼎的《Bob》。现在看来稀松平常的 Windows 操作界面,当时还有很多人不熟悉怎么用,所以这是一款把系统桌面变成“游戏化”的教学产品。但它做得非常差劲,销路惨淡;同一时期,联想电脑公司开发的《幸福之家》则获得了巨大的成功。

由于互联网尚未进入多数家庭,网速也很慢,所以当时的词典、地图等软件是按照每年更新一次,每次花几百块钱购买新版光盘升级的方法来设计的。

尽管如此,Windows 95 时代的互联网雏形已经让微软感受到了危机的气息。除了 Netscape 高歌猛进之外,“美国在线”这样的服务提供一些不能用 IE、Netscape 等通用浏览器访问的会员专属内容,也构成了商业壁垒。

为此,微软第一次在操作系统中内嵌了互联网功能,即“微软网络” MSN。Windows 95 当中的 MSN 采用了很有趣的设计方法:

美国境内用户用拨号登录后,其内容不是通过网页和超链接形式组织起来,而是藏在一个又一个“文件夹”里。就像在“我的电脑”中养成的习惯一样,你打开其中的不同文件夹,双击图标打开具体页面或视频,感觉就像在操作今天的网盘。

一年后,里程碑式的 IE4.0 推出,安装它以后的 Win95 成为 OSR2 版本,即所谓的 Win97。这一组件的作用,通俗的讲就是让 Win95 长得像是两年后的 Win98——“我的电脑”界面跟 IE 浏览器界面统一,并且深度耦合。

Windows 98 发布后,IE 成为与系统捆绑的核心组件,不可卸载。Netscape 为此开启了旷日持久的世纪反垄断官司。微软涉险过关,但 Netscape 却从此一蹶不振。

Windows 98 还引入了可以热更新 Windows 系统,修补漏洞的 Windows Update。当时,它通过 IE 浏览器的 ActiveX 控件与系统交互。

纵观整个 Win9x 时代和 XP SP3 之前的十年间,ActiveX 控件让系统权限门户大开,3721 上网助手这种流氓软件横行肆虐,网民叫苦不迭。然而,几乎所有的网银、政府办公有时候需要的加密狗等等,也都需要这个“亦正亦邪”的朋友。

那时候没人想到自己开发个什么自主操作系统来替代 Windows,因为当时的 Linux 桌面发行版实在太孱弱了。PC 用户没有其他选择。

② Windows XP

在网络带宽严重不足的时候,微软不仅“即当运动员又当裁判员”,自己卖应用软件光盘,也通过光盘分发软件更新和增强功能。比如 95 和 98 都有的 Plus!,它为系统提供了多种可替换的桌面主题,图标、窗口颜色、鼠标指针、壁纸和屏幕保护程序等可以一同更换。

但从 XP 开始,微软就改为通过网络提供增强功能。XP 第一版加入了 MSN Explorer 浏览器和 Messenger 聊天软件,并通过官网下载的 PowerToys 提供一些有趣的小改进。此后的 Media Center Edition 比普通版本更依赖网络连接,它需要随时联网更新电视节目单等内容。

更值得一提的是,XP 第一次加入了激活机制,以保证正版用户的权益。所以如果说微软系统连接境外服务器,不“自主可控”之类的话,那么从购买原装正版 XP 开始,这问题其实就一直存在了。

那些年,除了“番茄花园”、“深度技术”之外,“上海政府大客户版”也是电脑玩家们另一个耳熟能详的小暗号。

后来,激活机制衍生出“Windows 正版增值计划”(WGA),对显示为已激活的电脑做二次验证,通不过的就不能安装一些小更新,比如 Windows Media Player 10 和 MSE 杀毒软件。“正版增值计划”还给中国用户做过专属屏幕保护程序、万年历等小玩意儿。

WGA 机制也顺利地被中国人民破解,上述小恩小惠盗版用户也照单全收。直到 2008 年,微软对未通过 WGA 正版验证的用户,调整其桌面壁纸为黑色,引发舆论哗然,这就是“黑屏事件”。

如果我没记错的话,倪院士就是从那时候开始成为了“自主操作系统”的坚定布道者,会抓住任何可行的机会争取公众对国产系统的支持。

XP 时代还有一个小功能,未来它将演变成影响 Win10 上位的大问题。

XP 在控制面板里支持自愿将本地用户账户和 .NET Passport 绑定。这就是现在微软账号的雏形。微软当时已经有非常多的在线业务,它们原本有各自的用户账户体系,2000 年前后,微软用一个统一的通行证系统,将内部网站的账户体系统一,这是非常超前于时代的概念。

但受制于当时系统的低集成度,.NET Passport 绑定功能最后只被用来自动登录 MSN Messenger。在系统捆绑聊天软件的天时地利之下,为什么 MSN 会输给本土的 QQ,这其实也是一个值得玩味的话题。

③ Windows Vista 和 7

Vista 时代,微软通过 Windows Live 的新品牌,整合了跟操作系统联系更紧密的在线产品和服务。此时 MSN 的其中一些服务已经非常成熟,特别是 Messenger;但门户和搜索做得却比较一般。将门户之外的业务剥离出来,让它成为 Windows 功能的延伸,在当时看也是个不错的主意。

Vista 安装完成后弹出的“欢迎”界面,会直白地邀请用户下载 Windows Live 套件。这包括改名以后的 Windows Live Messenger、邮件客户端、图片管理器、电影剪辑工具、博客写作软件和附着在 IE 上的工具栏。起初,Live 套件中甚至包含一个杀毒软件 OneCare。

此时,Windows Update 可以经用户“自愿”增强为可以同时接收 Office 等其它微软产品的更新,也就是 Microsoft Update。从此,如果选择全部“可选更新”,则可能会被安装一些奇怪的东西。这包括 Live 套件、Windows 桌面搜索、Silverlight(一款想替代 Flash 的插件)直到“必应输入法”。

Windows 7 继承了 Live 套件和其中植入的多种微软增值服务,以及“小工具”功能,给系统打开了另一个比较大的缺口。“小工具”实际上是透明背景的小网页,其渲染基于 IE 引擎,后来被证明有注入安全漏洞。

截至 Windows 7,在系统中已经出现一些关键点,足以让审查 Win10 的团队成员也亮起红灯。系统中到处嵌入了通向微软网络服务的链接和广告位,系统更新和硬件驱动程序都必须走微软官网,IE 浏览器和其它系统组件都是耦合地越来越紧密,不能卸载。

从 Vista 开始,用户不再被允许完全卸载 Windows 组件,即使是纸牌、媒体播放器、计算器等非必要组件。Windows 文件夹内完整保留了这些组件的安装文件,以便在需要时恢复。这不仅让系统占用空间变得臃肿,也降低了系统的可定制程度。

但如同上面 ActiveX 给我们的启示一样,当你享受着魔改 Windows 带来的便利,和“自主可控”的掌控感时,恭喜你,黑客们也是这么想的。

时至今日,我们普遍习惯了 iOS 和国内魔改的安卓系统里,在使用系统自带组件的同时,向你推销厂商的云存储、会员等增值业务。

但这些类似的做法并没有如同 Win10 曾经经历的那样,遭受到大规模的质疑。

在不知不觉间,已经有大量重要的任务可以单独通过非 PC 操作系统,在手机、平板或通过网页来完成。针对 Windows 的区别对待越来越成为一种偏见。

神州网信对 Windows 10 都改了些什么

中国工程院院士沈昌祥参与了 2015 年对零售版 Windows 10 的合规检测。他在采访中表示,神州网信成立之后 2 个月就声称推出了安全可控的政府版 Win10。“这么短的时间,中方企业难以完成法律要求的对几千万行代码的系统进行底层改进,更别提自主创新。”

确实如此,从神州网信公开的政府版 Win10 手册来看,它只是针对一些明显会引起用户警惕,和对日常运行并无必要的功能进行了最小程度的删减。

首先我们回顾一下 Win10 相较 Win7 存在的新问题:

微软账户取代本地账户,成为系统安装初始化时的默认选项。

系统大量预置网络增值业务内容,如绝大多数的 UWP 应用,OneDrive 和小娜。

频繁且无法打断的系统更新和重启。

但越是在售价较低的 Windows 10 版本中,这些捆绑和嵌入就越多,比如随新机预装的 OEM 版一般都是家庭版。在 Win10 专业版和企业版当中,企业已经可以通过策略,来大规模禁用网络服务,甚至暂停更新。企业也可以将微软商店替换为内部 UWP 应用商店,或者直接部署内部的 UWP。这也是微软推荐的做法。

只是对于要求更高的政府部门而言,这些还远远不够。

目前,Win10 大概每隔半年推出一次重大更新,这相当于以前系统的每一次 SP(Service Pack) 升级。由于系统采用了跟 iOS、Android 等基本对齐的快速迭代的开发方法,所以开发进度比以前大大加快,而由此也引发了未经严格测试流程而导致的不稳定问题。坦白的说,Win10 的稳定性确实比不上前面几个大版本。

所以,神州网信的一大职能就是找一个已经稳定运行的 Windows 10 发行版,在此基础上进行合规修改;同时要将系统的激活、更新升级等联网操作,全部替换到中国境内的自有服务器进行。

“Windows 10 神州网信政府版”现在已经有 V0-G、V0-H、V2020-L 三次迭代,分别对应微软官方 Windows 10 的开发进度。

在此基础上,政府版 Win10 硬核地砍掉了大部分与微软网络服务相关的 UWP 应用,完全去除了 Cortana 和微软账号绑定用户账户,也去除了 Edge 浏览器。

所谓“硬核”砍掉,意味着在很多地方留下了尾巴,例如开始菜单、“打开方式…”等处的快捷方式,但点击以后不起作用。

该版本还修改了其他一些细枝末节,例如 IE 被禁止安装 ActiveX 和启用 Java Applet,会强制开启屏幕保护程序,并设定 10 分钟无动作后启用;不能设置缺省用户名 Administrator 和弱密码。

其中,ActiveX 的限制也意味着 Flash 插件的安装会受到影响。但如果你用的是已经通过各种认证后的 360 浏览器,就没啥问题了。毕竟,在国内安装的 Flash 插件有官方“钦定”的捆绑,本来就不是什么好东西。

神州网信政府版 Win10 采用的国家标准《GB/T 30278-2013 信息安全技术 政务计算机终端核心配置规范》,出台的背景是斯诺登引出的“棱镜门”事件,和 XP 在 2014 年停止官方补丁技术支持,官方简称为“XP 停服事件”。该标准由各地市经济信息中心,国税总局,360 和北信源等机构共同起草。

《规范》指出,单位给员工配备的设备,默认应该采用合规的核心配置,主要通过四种方式提高终端安全性:

应启用数字签名、数据执行保护(DEP)、加密存储、更新升级等安全保护功能;

应禁用存在或可能存在安全漏洞的服务、端口、程序、脚本和驱动等;

应加强口令管理、身份鉴别、账户管理和安全审计等安全保护手段;

应限制软硬件访问权限、资源共享和远程登录等功能。

具体说,有以下几点:

账户登录时,应启动身份验证机制,限制连续登录失败次数,连续多次登录失败后应锁定账户;应配置安全的口令长度、复杂度、有效期和加密强度,应禁止不设置口令;登录时应禁止无关进程的启动。

禁用匿名账户(Anonymous)、来宾账户(Guest)、产品支持账户(Support),限用管理员账户(Administrator),限制普通用户的访问权限,禁止任何账户远程访问。

任何账户的创建、更改、删除,登录、注销、开关机、配置变更,以及对文件、文件夹、注册表和系统资源的访问操作,均应启用安全日志。

关机清除虚拟内存页面文件,关闭浏览器时清除临时文件夹,禁用云剪贴板。

……

即使我们不是政府职员,这些国标提出的安全方法,对我们自己也有很好的参照意义。这意味着我们需要在系统为我们提供的便利,和万事具备的安全之间做出权衡。

结论

安全、可靠、可信,这些从来都是相对的概念。在与外网物理隔离的环境里,十几年历史的机器装 XP 还可以继续跑十几年;在已经安装了“可信系统”的环境中,自行安装自用的软件,或者访问非工作需要的网站,都可能穿透系统预设的保护。

去年 10 月,深圳市网络与安全信息通报中心宣称“Teamviewer 曝重大安全漏洞,攻击者可任意控制用户”。随后的跟进表明,这指的是一个在 2016 年被发现的漏洞,如果更新到最新版本则应该不会有问题。

https://www.freebuf.com/column/216445.html

但这里真正值得注意的是,TeamViewer 这个可以直接穿透防火墙的远程控制软件,会让一些政企用户产生惊慌。他们是为什么,在什么场合下使用呢?这种使用是否符合单位的安全策略呢?

很多人想到 Win10 系统,都会陷入一些“美帝开后门”之类的阴谋论当中。但跟那些比起来,我们自己的安全意识如果比较淡薄,那才会成为整个安全链条中最脆弱的一环。

另一方面,也不能寄希望于所谓“国产系统因为跑不了 Windows 程序所以更安全”的想法。

虽然以深度为基础改出来的 UOS 现在已经快马加鞭地开启了适配(这真的很棒!),但这当然也意味着未来一旦流行以后,它将失去所谓“Linux 不能跑 Windows 恶意软件”的“天然屏障”,专门针对桌面 Linux 环境的安全风险也将不断被制造出来。Android 就是一个广义上的 Linux 系统,看看它现在是多么脆弱吧。

请允许我再重复一次:桌面操作系统的国产替代工程,是非常值得去做的,现在也出了很大的成绩。但毕竟现在,中美还没开战,所谓极端情况也都还停留在大家的脑袋里面。所以,逐步替代 Windows 应该有一个循序渐进的过程;在这个过渡期内,政府版 Win10 完全可以先用着,以继续保证这段时间的部门工作效率和过渡期的平稳有序。

更重要的是,一旦我们先入为主地认为,只要不是国内产的东西都想害我们,或者是只要美国的东西都想害我们,那这种想法跟有些外国朋友想的“华为想害我们”,“中国制造想害我们”又有啥区别呢?

财经自媒体联盟更多自媒体作者

新浪首页 语音播报 相关新闻 返回顶部