(这条文章已经被阅读了 38 次) 时间：2001-05-28 15:56:56 来源：denver (分析家1978) 转载
作者：Jon Orwant
CTO of O’Reilly & Associates
译者：Sogo
在三月十九日出版的InfoWorld期刊上，专栏作者P.J.Connolly攻击peer-to-peer的计算方式。他声称自己很厌倦听到将P2P运动称为是互联网的下一个重大事件，我不会因为这个而批判他的。实际上在推动B2B，代理和XML等涉嫌”群件”这个字眼的技术和应用上的我是这样认为的。同样我也讨厌将网络，开放源代码和XML称为是未来的几大技术和应用。这三项技术和应用已经在各大媒体作了连篇累牍的宣传。所不同的是他们不值得这样，而P2P却不是。
Connolly的栏目叫”安全观察”。所有这些从事安全检查的人主要是挑各种技术的毛病和潜在的危险。我们急切需要更多的这样的人。有那么的市场开发者和新闻记者在享受新技术所带来的各种好处以至于他们看到这样的批判文章感到很新鲜。因为市场上是不经常能听到这些或这说是理解这些完整的思想的，我们总是喜欢以灌氢游艇和微软的outlook这样耳熟能详的东西来结尾。Oh，这就是人性。 补充：这里主要是说人不愿正视某些不足而一味的欣赏或新或旧的东西。
Connolly提出了一些很好的关于P2P系统安全的见解。问题在于他的批判不适用于所有的P2P系统。还有就是Connolly文章的结尾提出了一系列的问题来误导读者，比如他认为P2P是一项单纯的技术，这就是一个相当错误的理解。”假如P2P是一项技术，”下面的逻辑问题是，”这项技术是好还是不好?你需不需要这种技术?它的竞争对手是谁?”但是P2P实际上仅仅是五个思想的集合：文件共享，分布式计算，网络服务，传递消息和游戏。P2P不是一项新的技术;它是一个思想(想法)的集合，虽然实现这个想法需要各种各样的技术。
我最喜欢的一句格言总是提醒我：”安全是一个过程，而不是一个产品。”密码专家Bruce Schneier就指出你不应该从一大堆软件和硬件中寻找什么安全。适当和安全意味着你能够实施某些政策并且使用一些防护措施来保证你的数据在甲和乙之间而不是和丙。P2P既不能说是安全也不能说是不安全;它取决于你所使用的特定的P2P技术和你怎样用它。和往常一样，这种责任主要落在那些件安全措施建入他们产品的软件工程师身上;说”P2P一点安全性都没有”就像在说”面向对象编程也是同样”或者是”家具很不舒服”一样。
好的安全性很快将意味着理解P2P系统是怎样而不是假如已经广泛用于你的公司或单位中。看看Clay Shirky的关于P2P对于信息的渗透你就会明白P2P已经准备好渗透进你的公司或单位中，不管你知不知道。
“P2P不是一项新的技术;它是一个思想(想法)的集合”
P2P的流行将是势在必行。如果它仅仅是一项技术，它的流行将是完全可以避免的。但是P2P是意味着能够通过在这种网络边缘应用的情况下发挥目前联网计算机的最大潜力。在一定的时机，P2P通过使用新技术和适当的方式来达到绕过NAT和DNS而允许个人电脑之间进行文件交换，循环利用，消息传递和各种直接的服务。
这里注意P2P的作用是”在一定的时机”。P2P不是完全意义上的分散，即客户端完全平等。有一些P2P系统是这样的，但是当他们的用户不断的增长从几十到几百到几千几万，一个奇怪的事情就会发生：超级对等关系—最早出现在P2P系统的客户端组成的对等关系—就会出现，少数小型的资源集中可以加速网络邻居中的资源交换。因此P2P系统不得不面对这样一个问题：如何在分散平等和轻微集中之间找个平衡点，并且要根据当时的情况进行动态的变更。当然如果政府也参与进来将会变得很好。
说到政府，Connolly指出P2P固有的对于知识产权问题的威胁：”我想说
Napster，Gnutella以及类似的软件都是偷窃的工具。”这样说来，汽车也就成
了偷窃的工具;像大多数工具一样，工具可以用来做善事也能用来作恶事。是的，
当你看到这里的时候Napster和Gnutella上已经或正在发生数千起侵权事件。我
也写过一些程序来跟踪Gnutella上的下载情况，我发现刚刚获得Oscar奖项的影
片不用24小时就传遍了整个网络。我也听说有人正在开发无线技术用来每天24小时的广播音乐。Oh，等一等，这个好像已经发生了：在1895年就已经发生了，那个时候Marconi发明了无线电广播设备。RIAA成功地将广播发展成了一个巨大的为艺术家做广告和开发市场的通道;也许如果他们能够试着和我们这些计算机的使用者合作而不是来起诉我们，他们将不会为即将到来的互联网广播站而恼火了。
Connolly还对分布式计算表示了相当的怀疑：”即使说是分布式计算是要让
空闲的CPU阵列来进行数量巨大的计算任务，这还是让我怀疑它的目的……可能像吸血鬼行为那样会有目的的在电脑中放置一个后门。”错了，有这样的危险吗?绝对有，但是能肯定地说这是有目的的吗或者说是故意的吗?绝对不是的。只要你的计算机运行了一个远程送来的没有经过认证的程序，就像当你访问互联网站时允许Java applet那样，你就有同样的危险。Sun公司的开发者在为他们的系统放置了安全保证(过滤危险)，同样别的软件也可以的。(还有，这要比防范Dos攻击要简单的多。)我不得不承认我是从来没有听说过分布式计算竟被称为是吸血鬼行为，这样的虚构了一幅这样的图像：躲在暗处专放暗箭的小人，而且是相当的野蛮(这里是指Connolly所认为的吸血鬼行为的计算机)—-我想这个描述更适合于那些瞪着眼睛对待Connection Machine的魔鬼，Connection Machine是去年的一个相当著名的并行处理计算机。
Connolly接着说”我们将会看到很多这样的努力—将P2P网络很多必要的功能加入其中，这样企业的安全管理员才能够睡的更安稳一些…对等网络绝对需要商品认证系统传递下来的关于信誉度的认证系统。”这次他说到点子上了，不过他没有说到的是这样的系统现在以及存在了：看看Groove，NextPage，Softwax以及数十种其他系统，这些系统都是建立在考虑了安全因素的基础上的。Napster和Gnutella在这方面的压力要大的多，但是他们是绝对不会被用于公司和企事业单位中的。P2P公司定位是使整个世界认识到正像Connolly所说的信誉度并且他们能提供这种服务。他们就不会像Napster那样感受到那么多的压力，因为让我们面对这样的事实：脱光了Lars Ulrich的衣服比起共享Excel的电子数据表来避免电子邮件数据困扰那么多公司的新闻将是一篇更好的故事。这主要是说一般人的关心热点不在于IT界或者说人们对于网上信誉的认知是相当的少。
然后他继续谈到了人们对于P2P的接受的下一个步骤是”数字信誉”。我同意数字信用的时代即将到来，并且我也同意Connolly关于风险的描述：”如果你担心有人会有损你的信用纪录，那只需要等着让别人写一个Perl小程序自动地向信誉主服务器抱怨一千次。但是数字信誉度只有在在少数的P2P系统中使用，在些a)需要确信你的对等伙伴身份和b)不能确信正在分享你的信息的客户端的正直性的系统中才会使用。比如，我在和O’Reilly里的人一起使用就不需要校验他们的信用度。(作者是O’Reilly的人)。公司内部的P2P计算网也不需要数字信用。而且我们也不需要校验我们通过Gnutella下载的MP3或我们通过Groove或Jabber收到的文字信息。Styx和Stones可以打烂我的耳机，但是这些文字是绝对伤不了我的。
在专栏文章的最后，Connolly说，”你会注意到我还没有说过P2P是一个病毒传播的很好的途径;实际上它就是，但是这不是我们专栏所涉及的范围。”一个狡猾的言辞修饰!这和里根回避关于他年龄的问题是一样的，里根说：”请顾及政治目的和我的对手的年龄和缺乏经验，请不要深究这样的问题。”你会被要求不要关注够个问题而实际上关注这个问题。呵呵，真是十米处的点球呀。因此我也坦白的说：是的，二月二十七日一个病毒席卷了Gnutella。如果Gnutella的一个搜索请求(具体点说，是tubthumper。mp3的搜索请求)到达一个被感染的计算机，计算机就会回复一个可执行文件：tubthumper。exe。并且如果你下载了这个文件而且接着在windows中运行了它，你的计算机就会被感染。这个病毒是很讨厌的，但是这不是Gnutella的错，当然这也不是P2P思想的错。这是病毒制造者的错误，也是运行这个病毒的客户端的无知(因为稍有电脑知识的人都不会打开这个文件)，更是windows缺乏相应的安全过滤惹得祸(这个病毒是利用windows的缺陷)。
当然，对于windows中这样的安全问题也有解决的方案，但是这个也超出了今天讨论的话题。