从上世纪90年代的DOS模式下杀毒软件简单的命令参数，到今天从终端到应用的各种安全软件，互联网安全已走过了20个年头。对用户来讲，安全软件可谓是互联网世界的最后一道防线。如果安全软件保护不了安全，亦或监守自盗，对用户而言，无疑是一场灾难。

11月24日，由安全联盟主办、经济观察报协办的“互联网用户‘三权’保护研讨会”在京召开。会上，来自安全、法律等领域的多位专家阐述了互联网用户“三权”与安全厂商密不可分的关系，并就通过立法保护用户“知情权、选择权、隐私权”达成共识。

安全厂商的底线：最小特权原则

中国人民大学教授、中国电子学会计计算机取证专家委员会委员石文昌认为，装在电脑上的安全软件功能越来越强大。以前用户上网的时候最担心病毒、黑客的攻击，现在则担心安全软件私下损害用户的行为。也就是说，比起病毒或者是外来的攻击，“安全厂商不安全”已成为用户权益受侵害的又一表现。

据石文昌介绍，早在1945年，《信息系统安全等级保护基本要求》中就提到了安全设计八大原则。其中，“特权分离”原则就是利用角色间约束能力实现权利之间的制约，即数据库管理员、系统安全员和系统审计员三个角色是互斥的，一个用户最多拥有这三个角色之一。特权分离原则有利于保证权力之间的制衡和监督，能减少未经授权访问和欺诈行为发生的概率。

此后，又从“特权分离”原则中衍生出针对互联网安全领域的“最小特权原则”。即指“在完成某种操作时所赋予网络中每个主体(用户或进程)必不可少的特权”。对安全厂商来说，由于其服务的特殊性，其软件拥有查看、管理用户隐私数据的权限。而最小特权对安全厂商的限制，最通俗的说法就是：“不要代替用户行使权力，你的特权越小越少越好。”

从客观上讲，杀毒和防护都需要一定特权，但事实上，当前安全软件在安全范畴外，安全软件可能还会有一些其他举动，比如查看用户手机通信录、通话记录、定位地理位置等，但实际上这些不为用户所知的行为，往往代表了“越权”。

对此，石文昌以现实生活中财务工作为例，做了详细讲解。财务里通常都会划分成会计和出纳两种角色，如果说一个人同时是做会计也做出纳的话，出现问题的可能性就比较大。在工作过程中分配给一个人特权，能够满足他的工作任务就可以了，不能分配太多的特权，这也就是最小特权现实体现。“如今，安全厂商的权责不清、监管不明，就好像即当了会计，又做了出纳，自然会给用户带来许多潜在的风险。”石文昌强调。

将“三权”还给用户

随着互联网的快速发展，用户注意力更多的聚焦于服务与体验，而忽视了一些潜藏的侵权行为可能带来的威胁。这也是安全企业能够在用户不知不觉中获取更多权力的原因之一。

石文昌认为最明显的就是软件升级。“用户经常在不知不觉的安装升级，但实际上升级前应该有一个协议，什么时候升级，是否升级，用户应该知道，并有权力选择。”而我国很多用户，却经常“被升级”。某些安全软件可以偷偷获取用户的管理员权限，让软件静默安装、升级，甚至卸载竞争对手产品、修改用户的默认设置。

石文昌强调，上传用户信息、修改用户设置、监控用户通信、强制卸载、诱导卸载等安全厂商的行为，实际上都超出了原本软件所必须的行为，也就是大大超出了安全软件的权力范围。而在这个过程中，用户也逐渐丧失了隐私权、知情权和选择权。

面对安全厂商不断产生的“越权”行为，石文昌等多位与会专家共同呼吁，希望从维护用户权益出发，加强行业监管，完善法律法规建设。让每个安全企业都能自觉遵守“最小特权原则”，将“三权”真正还给用户。

(责任编辑：)