1月28日，微软公司就捆绑销售XP安全陷阱等问题发表声明，称业界对其产品和业务存在误解。笔者发觉该声明仍然漠视其产品的安全隐患问题以及对国家信息系统安全问题所造成的种种危害，并企图对上述问题进行曲解和淡化…
前段时间以来，笔者针对视窗XP存在的严重安全隐患和滥用技术措施危害国家信息系统安全等问题，发表了《微软：踏入中国法律雷区》系列文章，其中特别强调：视窗XP以保护版权为名所采用的“激活”功能和“锁机”功能，已经危及中国的国家信息系统安全。2002年1月28日，微软公司就捆绑销售XP安全陷阱等问题发表声明（以下简称“声明”），声称业界对其产品和业务存在误解。笔者通读该声明后，发觉该声明仍然漠视其产品的安全隐患问题以及对国家信息系统安全问题所造成的种种危害，并企图对上述问题进行曲解和淡化，为证正视听，笔者特作此文批驳如下：
一、 视窗XP是相对安全还是存在严重的安全隐患？
微软引用中科院安全工程研究中心的刘克龙博士的观点指出，“从辩证的角度来看，没有哪一个操作系统是绝对安全的。美国有更安全的操作系统，安全级别为B1级、B2级、A1级的都有，安全性很高，但可用性就会差，所以商用的操作系统的最高安全级别是C2级的。微软的视窗操作系统的安全级别是C2级的，是安全性与可用性结合很好的一个产品。”
笔者认为，任何事物都是相对的，世界上确实没有一个绝对安全的操作系统，但预留“后门”的操作系统肯定是存在安全隐患的，在这方面，微软是有“前科”的：
大概在2000年年中的时候，一位加拿大的计算机安全专家宣布，他发现了微软在Windows中留有一个“后门”DD 标着NSAKey的美国国家安全局密码，使得国家安全局可以在用户不知情的情况下，随意进入用户的操作系统核心程序。此消息一经传播，立即引起舆论的一片哗然。对此，微软迅速做出反应，断然予以否认。它解释说，那个密码之所以起了一个与国家安全局有关的文件名，只是因为Windows通过了该局的一项出口检查。微软甚至怒冲冲地指责那位安全专家是神经过敏。事情是否真的像微软宣称的那样简单呢？此后的报道揭示了其中的原委。原来，美国一向对高级加密技术实行出口严格控制，但只要软件公司向联邦政府提供该软件的密码，就可以获得出口许可。这个由美国政府掌握的密码通常被称为“后门”（Backdoor），Windows当然算得上是高级技术了，所以微软也遵守这个规定。甚至有人说，微软不但很好地遵循了政府的规定，而且还设置了两个密码。
另据报道，视窗98已经被发现存有“后门”，这个秘密首先是美国ＰｈａｒＬａｐ公司的总裁史密斯在去年３月初发现的。他在编程中发现，微软的操作系统视窗９８会根据用户的计算机硬件配置情况生成一串与用户名字、地址相关的代码―――全球唯一识别码，这个识别码会通过Ｗｉｎｄｏｗｓ９８的电子注册程序，在用户不知情的情况下，自动传送到微软的网站上去。后来事情揭发，微软公司也承认情况属实，但辩称只是一个“失误”，否认留有“后门”。
如果将视窗98的“电子注册程序”与视窗XP的“激活”功能相对照，我们可以吃惊地发现：两者并无本质区别，因此，视窗XP肯定存在严重的安全隐患。
“激活”功能需要用户向微软激活服务中心主动登记一个“产品安装识别码”，这个识别码不是微软预设的，而是由视窗XP扫描你的计算机后自动生成，反映的是你计算机的身份特征，每个识别码是全球唯一的。与视窗98不同的是，微软毋需再主动收集，用户必须主动“送货上门”，因为，用户必须用自己的识别码与微软交换一个激活密码，才能激活视窗XP。
当然，声明中称，微软已经委托了所谓的“独立第三方审核公司”――德勤顾问公司作出调查报告，保证这个识别码只是用作激活产品，由于识别码由哈希函数生成，是不可逆的，就象得出“1＋8=9”的结果后，无法由9逆推出“9=8＋1”一样的道理。因此，不存在收集和侵害用户个人隐私信息的情况。
微软的这两点解释，无论在技术还是法律上，错误都是非常明显的：
技术上，懂计算机的人当然知道哈希函数是不可逆的，但是有限元的哈希仍然可以通过穷举的方法破解。由于硬件产品的种类是有限的，如果预先设定一个字典，对所有流行的硬件组合信息进行哈希计算，然后将识别码与之进行对比，即可推算出用户的硬件信息。也就是说，在技术上，“激活”功能肯定存在泄露用户个人信息的安全隐患。
法律上，微软所谓的“保证不将个人信息作非法用途”其实是在转移视线。微软是否作出保证并不重要，法律上的关键是：作为一个商业机构的微软，究竟有无法律权利去获取和控制用户的个人隐私信息？根据中国法律规定，个人隐私权受法律保护，这意味着任何个人或者商业机构，在进行商业活动的过程中，不应故意收集和控制涉及隐私的个人信息，这个权力只能由国家机关依法行使。就如我可以反问微软一句：为什么你微软不能将视窗XP的源代码交给我控制？我大可学你微软的逻辑，请国际大公司作出调查报告：保证我不会将你的源代码用作非法用途。
在外国，对微软如此行径提出强烈反对声音的组织恰恰来自微软的老家――美国。2002年1月29日，美国个人隐私保护团体电子隐私信息中心（EPIC）提出，微软最新提供的一项在线服务：“Passport”（在线身份认证系统）使微软能跟踪用户并收集其个人资料，还会导致垃圾邮件的产生，而且由于Passport服务存在的安全漏洞，容易使信用卡号码等个人资料遭窃。该组织已经公开致函美国所有50名州检察长，要求他们对使用微软Passport服务的用户信息采取保护措施，以阻止微软继续实施这种“不正当”和“欺骗性”的贸易行为，并要求准许删去用户已经建立的帐户。
在预防安全隐患的问题上，微软的态度也并非象他鼓吹的那样积极。早在视窗XP推出之前的2001年7月6日，微软就对外界宣称，为了消除中国对于视窗系统安全隐患的忧虑，微软与中国计算机软件与技术服务总公司达成了协议，由中软负责为微软的视窗XP设计和加装专门的产品安全密码模块。但自视窗XP发行至今，却从未听说过视窗XP由中国公司监督安全安装的相关报道。这不禁令人猜测：是什么原因使微软最终不肯接受中软的监控？
二、不开放源代码，如何保证安全？
微软坚持源代码属于自己的知识产权，不能对外开放。其实，微软是“说一套、做一套”，实际上体现了他对中国国家信息系统安全的漠视态度。
根据2001年12月3日的《联合早报》报道，鉴于德国政府的巨大压力，微软已经决定向德国政府提供视窗操作系统的源代码，以消除该国政府对微软产品存在“后门”的顾虑。“微软公司发言人鲍姆加特纳说：德国国会有有些声音，忧虑资料可能被人经由后门转交给美国中央情报局。我们提供根源码就是希望能一劳永逸地消除这种没有根据的疑虑，取得根源码让视窗作业系统的使用者能够确保他们资料的安全。特别是在政治领域中，大家逐渐会要求要更加透明，以确保使用者对我们产品完整性的信任。并且提及，微软全世界的大客户和学术机构无偿取得根源码已经超过10年了。”“鲍姆加特纳还表示，微软将提供根源码给更多政府机构。”
微软如此做法的原因是：在全世界范围内已经陆续有多个国家开始关注微软产品的安全隐患问题，在欧洲，德国、法国、瑞典等国家甚至已经在公开抵制微软，德国政府更明令全国各级政府一律禁止使用微软的产品。
微软已经为自己的漠视态度付出了沉重代价。最近，微软在北京政府办公软件采购中全面出局，这个消息反映出中国政府已经清醒地意识到：微软产品存在严重的安全隐患问题。至于个中原因，稍前某一时候北京市科委主任余慈声主任接受记者采访时，曾经斩钉截铁地表示：“微软产品一是贵，二是存在安全隐患，政府要采用的话确实有很多弊端。……微软在中国的投资，尤其是不久前对北京申奥的支持以及在未来的1年里培养2000名高级软件设计师的计划，政府还是欢迎的。但这不等于在国家安全问题上可以让步。……在有些关及国计民生的部门，我们必须要求将软件的源代码备案，微软如果不同意，很简单，它就会失去订单。这是我们的权力。” 笔者认为，几乎可以肯定地说，这就是微软在北京政府采购中全面出局的答案！
对于信息系统安全和开放源代码的关系问题，我国政府的态度还是相当鲜明的，信息产业部信息化推进司司长宋玲不久前就曾指出：“我国信息化的一个重要方面就是发展自主的信息产业，保证网络安全和信息安全。在政府上网中，在政府网络与互联网联网的过程中，信息的安全性是一个必须引起重视的问题，电脑战、信息战已经不是科学幻想的东西，它是一个活生生的现实摆在我们面前。信息化系统的安全性必将直接影响到国家的安全。不要相信黑盒子，开放的才是安全的”。
三、“激活”功能必定会危害国家信息系统安全
前段时间，笔者已经写下《微软：踏入中国法律雷区》系列文章，详细分析了微软“激活”以及其背后黑手“锁机”功能的种种危害性和违法性。对于上述严重问题，微软此次声明根本不敢正面回应，只是避重就轻，顾左右而言它。
声明称：视窗XP不是锁死用户电脑，因为用户可以选择使用“激活”方式或者按照安装视窗系列的其他操作系统。这种说法本身就存在逻辑错误，如果用户按照你微软规定的方式使用视窗XP或者根本不用视窗XP，那当然不存在“锁死”问题，但如果用户自己进行硬件升级或者不“激活”，会产生什么结果呢？声明根本不敢提及，但事实很简单，如果你不按微软的规定办事，他一点也不会与你客气，就是：锁你没商量！
声明又称：激活过程简单快速，不会对用户使用造成不便。这个回应与笔者强烈提出的危害安全的问题相比更象是“驴唇不对马嘴”：这好比我说你的“激活”功能是毒药；你却回应说：用起来很方便。对问题根本不敢回应，只是一味强调使用方便，如此回应的原因在于，根本就是黑的东西，无论如何狡辩也没有办法说成白的。
为了更清楚地说明问题，我们可以看看“激活”功能的危害性：
“激活”功能的原理是视窗XP的用户在安装后必须向微软公司的激活服务中心登记并取得激活密码后才能正常使用。如果用户在安装视窗XP后不“激活”或者擅自改变机器配置，视窗XP就会自动锁死。此时，用户必须向微软作出合理解释，取得特定的密码，才能恢复系统运行。上述功能最可怕之处在于深埋视窗XP中的“黑手”――“锁机”功能。正式它终日监视用户的计算机系统，一旦出现微软自己认为的违法情况，就自行现身锁死视窗XP。由于视窗XP是计算机最基础的操作系统，视窗XP被锁自然意味着运行其上的所有应用软件也被锁死，计算机系统陷入失控和瘫痪状态，也就意味着用户的计算机使用权被非法剥夺。
此举的严重程度不止于操控单个用户计算机系统的生杀大权；更为可怕的是：如果将来XP装在全球所有的计算机上，全世界的计算机系统以及中间相连的互联网，都将变成微软和比尔控制下的牵线木偶、傀儡，而所有线头、网络世界的中心将集中在美国、微软或者比尔手中。
如果XP的“锁机”程序被某个黑客、恐怖组织甚至政府机构利用，其意义就不仅在于关闭某个计算机系统，而在于会同时危害和控制全世界所有使用XP的计算机系统，进而危害世界的自由和平。我们以往仅仅在电影画面中看到过的世界末日之征兆――金融市场瘫痪、能源供应中断、导弹误射、核污染外泄等可怕场景，将极有可能因为其核心计算机系统被“黑手”打击瘫痪，而一一变成现实。
至于“激活”和“锁机”功能的违法性，笔者在《微软：踏入中国法律雷区》等系列文章已有详细论述，在此不再赘述，但特别值得强调的是：对于“锁机”的处罚，我国已存有“江民公司KV300逻辑炸弹案”的先例。在此案中，我国的公安部门运用中国有关网络信息安全管理条例等有关法律规定，制止了江民公司在软件中加入名为版权保护程序、实为“锁机程序”的违法行为。“激活”功能和“锁机”功能由于其行为的性质与“江民逻辑炸弹”无异，可以预言在不久的将来，它必将遭到同样的下场。
我国加入WTO后，关于国家信息系统安全的一件大事当属于2002年1月1日生效的《电信业务经营许可证管理办法》。在该办法中，数条关于信息系统安全的“铁规”面世，包括：电信网的高层网管系统要用我国自行开发的产品或委托国内可靠机构开发。进口电信设备软件时，必须要求供货商在合同中承诺不预留非常隧道（俗称“后门”），电信商具备处理局部网络拥塞和网络瘫痪的能力。外国供货商不得直接登录我国电信的网管系统等。相信这些“铁规”必将对存在严重安全隐患的视窗XP等类似产品将产生更大打击。
总体而言，微软此次声明是苍白无力的，纵顾左右而言它也无法抹杀视窗XP的严重安全隐患和危害国家信息系统安全等严重问题。希望微软及早认清形势，尊重中国法律和理智对待视窗XP对国家信息系统安全造成严重威胁等问题，及时主动刹车回头，才是明智之举，否则必将遭到中国千万计算机用户的愤怒声讨和中国法律的严惩。