Microsoft.com 網站幕後實況

清楚自己的要求，不只是跟從，才是王道！

來自 資安之眼 - blue 著

微軟的員工Jeff Alexander近日從營運團隊那獲得了一些資訊，以下將談論到微軟如何使用IIS、防火牆和Windows Server 2008，藉此機會大家也得以瞭解微軟網站幕後的一些情況。

www.microsoft.com至今仍未使用防火牆，而且未來也沒有打算要採用，原因包含以下幾點：

1. 由於網站未處理HBI資料(他沒有多解釋，我想應該是指high business impact)，所以不需要進行外部的紀錄。

2. 僅僅www.microsoft.com和update.microsoft.com每天的IIS日誌就接近650GB(這還不包括每個下載伺服器每小時產生6GB的量)。單就IIS的日誌大小就已經是個挑戰，更別說去解析另外一個650GB(防火牆)的日誌。

3. 五年前微軟還找不到可以滿足需求的防火牆解決方案，所以不得不將焦點放在網路、主機和應用程式的安全性上。由於這方面的工作十分成功，儘管現在已經有可以處理這麼大流量(非下載網站流量8-9Gbps、內部網路流量約30Gbps)的防火牆，他們也不打算採用。

4. 到2006年7月之前，微軟還使用NLB(網路負載平衡)系統，在他們這種切割為細小單位的網路環境下建構防火牆變得既昂貴又複雜。

5. 一般而言，防火牆會允許所有經由正確連接埠的流量直達網站伺服器，因而應用程式安全變得非常重要，IIS/ASP.NET/應用程式要能夠適宜的處理這些流量。當然他們也瞭解不同的防火牆/入侵防禦系統對此問題會提供一些額外的防禦方式。

而微軟保護網站的作法如下(由外部列到內部)：

1. 利用Cisco Guards檢測和回應DoS攻擊。

2. 利用路由器ACLs阻擋不必要的連接埠。

3. www.microsoft.com、MSDN、TechNet都採用NetScalers來管理流量，同時它還提供了抵擋DoS攻擊等功能，update.microsoft.com則仍然使用NLB。

4. www.microsoft.com已 經採用Windows Server 2008/IIS7，MSDN/TecNet也正轉換到該版本中，update.microsoft.com則採用Windows Server 2003/IIS6。他們按照微軟公佈的安全準則關閉了一些未使用的服務，並利用GFS確保系統建立的標準化。

5. 在發生SYN floods攻擊時，NLB系統會使用自動啟動Network Monitor、Performance Monitor來擷取並分析攻擊。目前在NetScaler系統上尚未完成這部份的功能。

6. 如果情況許可他們會在伺服器上執行防毒程式，雖然有時他們不會採用安裝在系統上的方式運作。

7. 前面提到的應用程式安全主要由ACE負責，這是一個內部小組，主要負責應用

投資十戒

From: getjetso.com/forum/viewthread.php?tid=248342

一、戒短線急攻近利買賣，不要貪圖蠅頭小利。

二、戒被捲入狂潮的洪流，不要被外來不理性的亢奮，令你跟隨潮流作出投資。例如科網泡沫、地產狂潮等都是好例子，2000年買入科網股，或1997年地產高峰時買入住所，你都會很痛苦。最近，澳門賭業概念股急升，亦是活生生的例子。

三、不要被貪婪及無理性恐懼控制投資決定。股市大崩潰時群眾的拋售，一定會導致你產生恐懼。這時候你要克服恐懼，作出人棄我取，購入「千里馬」。

四、戒買新股。畢非德從不買入新股，這是他的成功要素之一。他作出投資決定前，必須分析公司過往的業績。

五、避開所有衍生工具，林治和畢非德同樣認為政府要取締衍生工具。衍生工具的經營者，就是天空中的獵鷹，無時無刻窺伺你的小雞蛋。

六、戒聽流言或「貼士」，流言會令人疏於學習，不做自己應做的工作，迷失方向，不從事正確的分析。

七、不要過分分散投資。這個世界「千里馬」不多。過分分散投資，會拖低你的投資回報，好的「千里馬」可能三、五隻已經足夠。

八、不要買落後股。落後的馬匹很難有奇舻出現再迎頭趕上，公司股價表現落後，背後一定有其原因，你要細加分析，不要有撿便宜的心態。

九、避開他人的「婚禮」。從過往收購合併的經驗中，筆者發覺很多「婚姻」都是悲劇收場，例如盈科收購香港電訊就是最好的例子。1973年置地收購牛奶，至今置地股價仍沒法回復當年水平。

十、戒有「刀仔鋸大樹」的心態。緊記投資是一門嚴肅的工作，並非「六合彩」的賭博。筆者年輕時也有同樣的心態，認為一家小公司能夠順利發展的話，從小到大的增長過程，會比市值大的公司快，這個概念是錯誤的。

理論上，每個行業都會經歷起飛階段，但當一個行業起飛時，並非所有公司都能在起飛階段得益，從事同樣行業的小公司，在經營方面是有意想不到的掣肘，令 到他們比大公司落後。例如大公司現金流充足，在重新投資的時候，規模比較大，所以爭取到經濟效益，增長會較快；小型公司除了面對資金的掣肘外，其他方面如 內部監管、管理層的誠信、品牌的建立等，所面對的困難會比大公司為多。「細細粒，容易食」的心態是絕對要避免的。

舉例說，八十年代航運業出現困難，包玉剛系的隆豐投資，可以成功轉型收購九倉，因為公司有足夠的規模，得到銀行的支持。另一家大公司和記洋行， 1974年出現財務困難，但由於規模太大，香港不容許這樣大規模的企業倒閉，所以由礇豐銀行接管，最後將控制權賣給長實，成為今天的和黃。同樣情況，今時 今日在中國大陸，國務院絕對不容許中國人壽破產。一旦出現的話，其影響太深遠，社會不能承擔。但是上海地產、歐亞農業，都是可以置之不理的公司，可以隨時 人間蒸發，也無傷大雅，損失的只是無知的小投資者。2004年10月20日，《亞洲華爾街日報》透露，投資老將林治亦損手於細價股。2003年林治購入一 百八十萬股SafeScript Pharmacies Inc.，相當於該公司8%股權。2004年10月，美國證監會向該公司的前管理層提出訴訟，認為管理層曾經誇大營業額與溢利，股價當然應聲下跌，林治亦 措手不及，只有認命。管理層的人事關係及誠信，往往是小公司的無法茁壯成長的要素。

福音電影

從福音電影到社會企業

From: In Media

--JohnCoal

香港福音電影的模式和劇情，好像從《天使之城》開始，就沒有甚麼不同，不外是個人見證，而這些見證總是靈光一閃，突如其來。這讓福音電影越來越沒有機會接觸到群眾，達到其宣揚福音的目的。其實，如果按照我們分析報紙傳媒的近年立場定位的方法而論，這個現象不難解釋。

曾幾何時，我們用「市場導向新聞學」來說明蘋果的現象，所以事情都是以「市場」作解釋：為甚麼有風月版，因為市場需要，為甚麼有波經，因為市場需 要；為甚麼會有彩色，因為人家有，我也要有。現在「市場」延伸到廣告市場，和內地市場，因此，東系報紙少講李嘉誠，各大報紙社論紛紛歸邊。

現在，這些拍攝福音電影的機構的營運模式，其實和報館有一點相似，就是資金的來源偏重在某一些方面。報館面向廣告客戶，而翻開這些機構的年報或預 算，不難發現他們的收入，有一半以上，是來自奉獻的。（影音使團的年報很難開，為了這篇文章，已經hang了我兩次機......）因此，很大程度上，同 樣是傳媒機構，他們也許也有責任向支持者交代。而當支持者的要求，也不過是如此的時候，觀眾 / 讀者的需求也不會是在 top of the editorial list。

機構的保守性，在於她認定了福音電影的消費方式：就是在個人分享，或者佈道會的中間，播放福音電影，然後再由在場的信徒跟進。所以你可以看到在這些 機構的網頁裏，總會見到「包場」的呼籲，而他們的產品，也是個人佈道、個人見證為主的。這就是為甚麼我們總不會有《奇異恩典》，一套述說堅持信仰者怎樣改 變社會畜奴陋習的電影。

以機構運作而論，這樣將市場限制，然後再試圖透過捐獻去運作，坦白說，就像是多年以前台灣電影之死一樣。電影導演有政府資助，不用考慮市場，將劇本的層次提升得太高，趕走了觀眾，結果讓台灣觀眾不再留戀台灣電影。

現在，按照這種運作模式，機構所能接觸的觀眾，只可能是信徒及其親友，而永遠不可能在社會扎根，也不會深入觸及社會文化。年多前香港藝術節邀請了南非的福音合唱團來港演出，他們唱福音歌曲，也唱自己國家的歷史。這不也是見證嗎？

當然，機構大有道理去說：我們是傳福音的，不能單循市場考慮，而這樣支持福音的奉獻是應當的。我同意。我質疑的是兩件事。第一，是機 構的運作模式，就像現在社會向NGO問責一樣，我願意順從上帝的命令奉獻給機構，不代表這些財富可以不被善用；而機構收到奉獻，也不能當是奉旨的。第二， 取材方面，無論上帝的福音或是香港的現代城市的環境，都是獨特而能夠多元表達的題材。（01年有一套獨立電影，叫《憂憂愁愁的走了》，豈不是我們讀這段經 文時的好註腳？）

好故事就是好故事，越老土的故事越好看：君不見《聖誕頌》和《受難曲》其實都是拍完再拍的題材嗎？

我的意思是：福音機構從來不商業化，所以導致現在的問題。單靠奉獻，不問自己的接觸面。或者，這也許意味是，他們從根本地將奉獻視為正式收入，而不是補助。

或者是否商業化不是我的重點，我的重點是，如果福音傳媒要有所突破，要改變的，是在體制上的改變，應該將自己定位為「社會企業」而不是一個受資助的機構。

甚麼是「社會企業」？引用社聯社會企業資源中心的定義，就是：

「不是純粹的企業，亦不是一般的社會服務，社會企業透過商業手法運作，賺取利潤用以貢獻社會。它們所得盈餘用於扶助弱勢社群、促進社區發展及社會企業本身的投資。它們重視社會價值，多於追求最大的企業盈利。」

因此，總結我之前的看法，就是：福音機構應該透過自己的產品，賺取利潤，然後用之於傳揚福音及擴充自己的規模，而不是依賴奉獻，對奉獻過份倚賴的問題，前文已述，不再重覆。

所以，我可以接受這句話：「福音傳媒是一宗大生意。」而這個冒險的說法背後，必需澄清的是，那些利潤用來幹甚麼？如果利潤都是用來提 升社會質素的話，財政是否健全反而是其理念的可行性的指標。例如，平安鐘很多人以為是政府資助機構，實際上卻是社會企業的好例子。一方面產品提升了長者的 生活質素，另一方面卻以實際的商業運作來證明其對長者服務理念的可行性。

因此，在社會企業的角度看，商業化是財政獨立，及機構本身可持續發展的策略，是一個助人自助的手段，目的是讓企業的理念，能在社區紮 根，也在市場中得到驗證。而明顯的是，福音傳媒之所以存在，也不外是向人展示福音。現在我們既可以接受福音是一個可以在大眾媒介流傳的理念時，福音機構不 應，也不能只滿足它只受「主內弟兄」的祝福，而漠視它真正服務對象的需要；不應再花錢去買時段，而是要賣節目；我可以接受創世電視接受啟動時的奉獻，卻不 能接受運作多年，還是要受資助；更重要的是，接受資助也可以，做些好像BBC那些可以賣的節目，讓奉獻用在更多不同的場域去吧。透過實際的運作，展示福音 的可行性。

而當然，如果讀者根本反對宗教的意義的話，上文的討論，也希望說明商業化並不是萬惡的概念。「福音機構」，可以用其他的社會服務代替。

MD5 碰撞

MD5 的碰撞原來已經成功了。Security update 的 cycle 又來了…


MD5 的淪陷：實例 (From: Gea-Suan Lin )

自 2004 年王小雲女士找到方法有效率的產生 MD5 碰撞後 (也就是兩個不一樣的資料的 MD5 Digest 相同)，就不斷有人嘗試更進一步的攻擊。

之前最主要的攻擊是對某一組 X.509 的 public key 產生另外一組 MD5 Digest 相同的 public key，再對這組 public key 攻擊而產生 private key (因為這組 public key 是 weak key)，接下來就可以做各種攻擊。這篇論文在：Colliding X.509 Certificates。

這次則是更進一步思考要如何放惡意程式碼到 Windows 執行檔，卻仍然可以騙過 MD5 檢查，比較抽象的講法是 “chosen-prefix collision”，表示新的資料前面是包含惡意程式的程式碼 (所以 prefix 是選定的)，然後利用後面的空間接一段垃圾用以「湊」出同樣的 MD5 Digest：MD5 Proven Ineffective for App Signatures。

這個攻擊非常重要的原因是因為這離一個 Secure Hash Function 的消失又更進一步：pre-image attack，我只給你 MD5 Digest，要找出一組資料符合這組 MD5 Digest。看起來新系統還是趕快換用 SHA-256 吧 orz…