媒体问答环节

提问：我是独立媒体人，我们集中在《每日经济新闻》有什么疑虑，稿件里面说360的安全浏览器在后台频繁与服务器进行通信，在用户没有交易情况下，安全浏览器有没有用户不操作，也会有交互的行为，如果交互的话信息是什么？

周鸿祎：在整个互联网当中，钓鱼和欺诈、挂马网站是主要安全威胁。这些恶意网址的生存周期是以小时来计算的。做一个网站骗几个人，马上把域名一换。报道所谓的360安全浏览器“后台交互”，其实就是查询最新出现的恶意网址，诺顿宣传是秒级更新，和很多软件与服务器之间保持一个心跳概念是一样的。其中并没有传递用户的任何信息，就是一个安全更新服务。《360用户隐私保护白皮书》里也写得很清楚，浏览器拦截恶意网址最主要的基础是，360服务器建立一个恶意网址库，每天不断加入最新发现的钓鱼网站，现在已经有上亿条网址。如果把恶意网址库放在用户电脑里，会占据大量系统资源。而当用户访问一个网址时，浏览器会计算网址的指纹去服务器做查询，看它是不是恶意网址，这种情况会和服务器有交互。

提问：你说上传用户访问网址去做对比，那用户访问的网址不是隐私吗？

周鸿祎：现在即使是同行竞争对手，你问金山、腾讯等，只要做网址安全的检查，大家的技术都是一样的，都必须跟服务端去做对比，这是第一；第二，这个功能如果你觉得有疑虑可以关闭，但肯定没办法拦截恶意网址；第三，为了解决你所说的网址是不是隐私的问题，我们做了改进，用不可逆的哈希算法把网址转换成了一个字符串（网址指纹），我们只关心服务端恶意网址库有没有相同的字符串，并不关心具体网址是什么。这个功能我们已经做了四年，随着用户越来越多，积累的恶意网址库是国内最全、更新最快的，能够帮助用户辨别各种钓鱼欺诈网站。如果把这个工作原理避而不谈，说查用户网址就是侵犯用户隐私了，这个报道就是有意抹黑。

提问：我是PingWest中文网记者。前几天我写了一篇文章，很多互联网公司和互联网服务如果要实现每个功能，都可能涉及用户隐私，主要是用户有没有知情权。有一点其实360可以说出来，如果抓取大量的数据，把这些海量数据筛选出有商业价值的信息，其实它的成本是相当高的。

周鸿祎：你用很多软件，不跟服务器通信是不可能的。但是要分清楚：第一用户为什么用这个功能，是不是必要，聊天软件扫描用户硬盘我觉得很可笑；第二，用户有没有知情权，有没有选择权。360浏览器的恶意网址拦截，你说就算这个功能再好你也不想用，那可以选择把它关掉。另外360软件代码已经在中国信息安全测评中心进行了托管，任何人有兴趣，只要你是正规的公司，你就可以去查有没有问题。我们尽量做到透明和公开。

我们两个最重要的云查询，一个是对恶意程序的查杀，一个是对恶意网址的拦截，我们产品每天的查询量非常巨大，这些数据不做存储。

报道里面还诬陷说我们拿用户的文件，比喻成保安监视业主上床的过程，这是什么比喻？安全软件检测的都是可执行程序，比如exe文件。检测文件也是只查询文件指纹、文件名、文件路径和数字签名，这是一个安全软件必然要做的，并不会涉及到文档、图片等非PE文件。在座有科技作者，你在Windows里面运行一个程序，正规公司的软件一般会有数字签名，这个签名的校验Windows系统也会查询的。

360工程师：也有一些人为什么要查程序的路径、运行参数，其实一个程序的行为很大程度不是由它自己决定，而是它后面的参数、它同目录下其他的文件可以改变程序行为。如果只查一个程序的指纹是黑的还是白的，很难判断这个程序究竟有没有害、是不是已经被木马利用了。所以需要根据文件路径、文件指纹、签名、文件大小综合判断。

周鸿祎：我再举个例子，现在很多正规软件被木马利用，黑客会把正规软件的exe和木马dll（功能扩展模块）组合在一起，由白exe加载黑dll。如果单独扫描exe肯定没有问题，但它要是和木马dll在一个目录里，运行后就会把木马加载起来。最后逼得我们把这些白程序，他们在哪启动，运行路径是什么，都需要做检查。木马和360做攻防，不断想办法过掉360，我们也在更新我们的主动防御规则，对程序运行的过程进行评分，如果符合某几个木马特征，分数到了一定程度，360就会报警拦截。这些技术原理属于安全软件的秘籍，因为各个安全软件最后比谁最牛，就是谁能对付未知的新木马，做安全也不会一劳永逸，我们每天都在和木马黑客做攻防。

如果单独查杀一个木马很简单，只要把它的指纹放在文件黑名单里。但是要应对木马新的攻击方法，我们专门有上百名分析人员，每天在机器分析各种木马的行为。我们总结了上万条的木马行为特征，用这些行为特征综合判断才能抵御木马病毒的不断变异。

同时我们也比较纠结，比如有的功能如果用明文传输数据，攻击我的人会说明文不安全；如果加密传输，又有人跳出来说这是“黑匣子”，不知道传的是什么，真是欲加之罪何患无词。

提问：我是人民邮电报社记者，我的一个观点是看用户是否知道，第二是这些数据传输会不会占用很多流量，我电脑经常做体检，但感觉有的病毒没杀干净；第三你怎么看待苹果下架360产品？

周鸿祎：360给大家下载软件更新和打补丁有一个P2P模块，在P2P模块有可能占用一些流量，这个可以选择关掉。P2P类似迅雷、BT，你下载微软的补丁包，同时也可以把补丁包分享给其他用户。360有个流量监控功能，可以很方便管理流量使用。，第二你说用我们软件感觉杀毒杀不干净，这个得看具体情况。确实我不能保证100%干掉所有病毒，但我们专门成立了500人的一对一服务团队，用户用软件解决不了的问题，可以由工程师帮助你解决问题。

苹果下架这个事，你们有人用我们安卓上的手机卫士，可以拦截骚扰电话和垃圾短信，但是在苹果手机上它不允许，它提供的资源和规范不允许有软件能够拦截垃圾短信和过滤骚扰电话，或者显示来电归属地。同样是360手机卫士，你在安卓和在苹果上用，这两个一个天上一个地上。腾讯做了手机安全软件，在苹果系统上也是一个摆设，因为啥也干不了，啥功能也没有。包括在苹果上装省电功能，也只是显示一些信息。

我们一直努力想尝试，用户天天抱怨我们在苹果上功能太烂。所以我们做了两件事，我们做了越狱版，这个卫士很强大。另外苹果有一种帐号叫企业版，用企业版也可以开发这样的软件，企业版有一个优点，给一个链接就可以下载，我们这样做触犯了苹果的开发者规范，苹果认为我们在AppStore以外的市场，给苹果的用户提供了产品，他认为所有的产品都要从AppStore里面做。所以360很多应用被苹果下架了。这是大家做产品上有一个理念上的争议，我们还在跟苹果继续沟通，给他们提供数据，我们一年拦截多少垃圾短信和骚扰电话。安卓版360手机卫士有一个很有意思的功能，有些卖房子的中介、卖保险的电话一来都可以显示出来。我们靠用户贡献巨大的骚扰电话库，有些电话一打来就可以告诉你这是推销广告，这是保险中介，这个功能很好，但是在苹果上也做不了，我们愿意把数据库分享给苹果，哪怕由苹果自己来做，给用着苹果手机也深受垃圾短信和电话骚扰的用户。今天苹果没有提供类似的功能，苹果没有认识到在中国这是个巨大需求。

提问：我是中国企业报的。强调一下我是360的忠实粉丝，听了您的解读，我觉得很有道理。但我们毕竟不是专业人士，有没有第三方官方机构对360杀毒软件做一个安全检测？

周鸿祎：360安全软件都是经过公安部严格检测的，360杀毒参加了国际所有主流评测，并且全都获得了认证。方舟子说我们浏览器有问题，我们也主动把浏览器送到国家信息安全测评中心检测。经过两个月时间，如果两天检测那是糊弄大家，我们一直配合测评中心，花了两个月得到EAL2级，国内没有其它浏览器获得这项认证。这些对手给360抹黑，不听你说什么，造一篇两万字的文章，加一些图表，一个20字的标题，加上140字微博上传的摘要就够了，说360可能有问题，这是我说的FUD，一个可疑、不确认、可能。我怎么解释都进入了对方给我设定的议题。比如你说周鸿祎有100个情人，我找来旁证说周鸿祎没有情人，最后大家不知道有没有情人，就变成没有100个也有3个。这种竞争方法让我很无语，接下来我们会组织一些专业机构查看360产品源代码。

360工程师：EAL一级代表安全性有保证，二级是公共系统，三级需要检测服务器和人员，包括公司建筑物上是不是有门卡，四级是美国军方的级别，这类检测最早是美国国防部出台的，后来发展到全球，中国和美国检测标准也是一致的。

提问：咱们行为应该是从上往下自发的行为，从上往下有没有统一的口径。对杀毒软件的日常行为有监管吗？

周鸿祎：公安部管杀毒软件，对杀毒软件有规范，我们是符合的。工信部制定一个互联网的规范，这个也包括杀毒软件，这两个条例我们都是完全符合的。

提问：我是环球企业家的记者，我还是针对《每日经济新闻》那篇报道，我的一些疑惑点。你刚才提到360扫描用户硬盘是扫描可以运行的文件。那篇文章又说2010年12月底，360服务器不仅仅泄露用户的行为还有文件，上面列了一定的条数。还有一个问题就是针对文章里面说的360推荐和删除工具方面，这方面我用我妈的电脑有非常明显的感觉，在一键修复，360会把百度工具栏提示为恶评插件，什么样软件是恶意，什么软件是白名单，评判标准是什么？

周鸿祎：第一个问题，360服务器数据只是恶意网址查询的数据，没有任何文件，报道中这部分完全是捏造的。这个事情你在网上可以搜到，当时金山和我们之间发生非常激烈的争论，我们发现金山也在采用同样的机制，金山服务器上被搜索引擎抓取的网址记录有3100多万条，其中也有一些由于网站缺陷导致用户口令编码到网址中。经过这次事件，我们对网址检测进行了改进，主动过滤可能带有用户口令的网址不再提交查询。

百度工具栏是不是恶评插件，不是我来决定的。这个功能是由用户投票，另外我们不做自动查杀，而是列出来由用户自己选择。第三个我们推荐的软件，你在360软件管家里，可以看到很多QQ的软件，这些肯定不是我投资的。我们推荐软件主要原则是市面比较流行，真正受用户欢迎的，比如说暴风、PPS等等跟我们无关的软件，我投资的软件现在就是一个迅雷一个酷狗，这也是用户量很大，用户很欢迎的软件。关于评判恶意软件的标准，木马和病毒评判标准很简单，如果完全用户不知情，在用户电脑里面搞鬼，就可以判断。最难判断就是恶评插件，以前叫流氓软件，这类软件也有一定功能，但是也有一些灰色的东西。从360问世开始，我们查杀流氓软件吃了很多官司，这个是侵犯人家名誉权。最后全都由用户投票，改名叫恶评插件。

再回到用户隐私问题上，举个例子，你们都有微信，我一直不敢用。虽然我一直认为微信是一个很好的产品，但是请各位考虑一下，在今天这样一个云时代，你享受这些产品的便利，确实它也可能会带来一些问题。比如说我自己想匿名用微信都不可能，因为我在其他人的通讯录里会被记录成周鸿祎，而每个人的通讯录都会被微信上传匹配好友，我手机号传上去了，微信就知道你是谁，你所有朋友是谁，你朋友实名是谁。过去我们在电脑上可以匿名用QQ，只有QQ号。但是到了无线互联网，包括你跟谁聊天的内容都是通过服务器中转，你给谁传的照片，微信也知道。有些人无所谓，但是我有所谓，比如我哪天去哪，可能就被定位了。我有一个大家都不知道的女朋友，最后你们都不知道，马总也知道了，什么时候把我们照片揪出来。我开个玩笑，不是真的，我是举这样一个例子。最后你就发现在云时代，其实和很多这些产品相比，360在用户隐私的保护上是做的最好的。而且为保护用户的隐私，将来我们也可能考虑在微信上是不是做一个加密的功能。你已经把你全部身家放到一家公司，最后你不能把钥匙也交给它吧。

提问：《每日经济新闻》报道说有一个全新的Windows系统，360体检是零分。

周鸿祎：这篇报道用的截图和例证说，360对全新安装的Windows7体检是零分，还会提示卸载百度工具栏。一个新安装的Windows7里面怎么可能有百度工具栏呢，足以证明这篇报道是有意抹黑。