当前位置：网站首页>大咖访谈 | 开源对安全是双刃剑——《大教堂与集市》中文译本作者卫剑钒

大咖访谈 | 开源对安全是双刃剑——《大教堂与集市》中文译本作者卫剑钒

2022-07-26 16:53:00 【开源社】

| 转载自：开源雨林

| 编辑：周韵诗

本期访谈阵容

嘉宾：卫剑钒，《大教堂与集市》中文译本作者，北京大学信息科学技术学院计算机系理学博士，中国金融学会金融科技专委会委员。长期从事信息科技管理、金融科技、网络安全、软件工程、区块链技术、开源技术等领域研究和实践，发表过多篇开源许可证解读文章。

主持：庄表伟，开源社理事、华为开源管理中心开源专家。常年参与社区各类活动，热心开源治理、开源成长、开源学术等方面的研究与分享。

Q：您的技术乐观主义是怎么形成的，如何看待现在的技术进步？

庄表伟：

很多人可能对技术乐观主义不太了解，我先简单说一下我理解的技术乐观主义是什么，之后由卫 sir 展开来讲。我理解的技术乐观主义不是说技术是万能的，而是相信技术能够甚至是最有可能解决现代世界的各种问题。更进一步的技术乐观主义是用来反驳的，例如有些人认为技术会带来很多问题，但是技术乐观主义者会说，虽然问题是技术带来的，但是要解决还得靠技术，绝对不能靠退回去来回避这些问题。

卫 sir‍：

和我理解的基本一致，技术乐观主义就是对技术解决人类问题这点较为乐观。我的技术乐观主义是怎么形成的呢？事实上，我的很多观念不是自己想出来的，更多是通过不断看书、观察、思考和印证得来的，一个理论，如果和现实对得上，我便初步相信这个理论，并会用更多的事实进一步验证它，如果仍然对得上，我就越来越相信它。技术能解决人类问题这个说法，我看下来，基本上是对的，虽然并不是只有技术才能解决问题。

表伟刚才说技术不是万能的，但是我认为其几乎是万能的。近一二百年来，技术发展给人类带来的巨大进步，让我产生了这种乐观精神。大家都看得到，技术让人们在很大程度上摆脱了饥饿、疾病、贫穷、劳苦，甚至是战争，给人们的生活带来了极大的质量提高。

这背后有更复杂的因素，而且技术还会带来更深刻的变革，我并无意展开来说，我只是觉得有这么一个逻辑链条：人都有一颗向善的心，从内心深处总是想造福自身乃至他人，人只要一有机会，就会想办法改善自己和他人的生活。技术是人们改善生活的关键手段，而技术是人造的，所以技术总是按照人们的意愿，往改善生活的方向发展。人类的才智是惊人的，所以技术总是可以不断进步，生活也总是能得到进一步的改善。这个逻辑我认为会持续下去。

从最简单的例子考虑，家电是我们每个人都可以接触到的，大家想一想，冰箱、洗衣机、扫地机、拖地机、洗碗机这类智能家电，是不是真切地改善了我们的生活？再比如医疗技术的进步、通信技术的进步，是不是改善了我们的生活？这么多年来，只要你仔细思考，就能够从内心感谢技术进步带来的好处。当然，技术是一个广义的词汇，心理学的进步、经济学的进步，都可以认为是技术的进步，一切有助于人们控制事物的东西，都可以认为是技术，这里就不展开说了。

庄表伟：其实我也算是一个技术乐观主义者，但我最近几年有点变化。我最近看了一本书，叫《美国增长的起落》，讲的是在 1870 年至 1970 年的一个世纪里，一场经济变革席卷美国，使美国人民的生活水平空前提高的故事。第一次工业革命和第二次工业革命对于人类的生活幸福，尤其是美国人的经济生活有很大的改善，但是到了第三次，计算机发明以后的信息革命，给美国经济带来的增长其实是非常有限的，例如内燃机、蒸汽机、汽车、飞机、电冰箱诸如此类的发明给人类带来的带来的增长的幅度，可能都达不到前两次的一半。加之现在摩尔定律也快失效了，IT 技术能够带来的飞速的增长就快要看到头了，没有世界还在前面等着我们的那种激动人心的感觉，这点其实还挺打击我的，会让我由此进行反思。

卫 sir：这个问题我还真也思考过。我觉得主要问题是，信息科技的发展像一个黑洞，吸收了大量的聪明的、有智慧的头脑，很多科研人才都投入到这个领域了，以至于别的领域有点人手不足，就不像以前那样能够得到飞速的发展，但我认为这是暂时的，IT 方面发展到一定程度，人们就会开始其他方面的发展。目前，IT 方面的潜能还没有完全释放出来，很多应用还远远没有展现，还有很多激动人心的发明会慢慢涌现，很多其他领域的问题可能都可以用 IT 解决。

Q：卫 sir 目前从事安全方面的工作，在开源方面也是非常资深的专家，您认为开源和安全之间的关系是怎样的，如何看待这两个领域？

卫 sir：

一般而言，安全问题更多是代码编写带来的，不安全的代码带来了不安全的系统。从最直观的角度看，我认为开源和安全虽然有关系，但相对是独立的。并不是说开源了，就要采用不同的安全管理方法或者不同的安全技术；也并不是说开源了，安全问题就显著更少或者显著更多。

《大教堂与集市》的作者 Eric S. Raymond 说，开源更有利于发现 Bug，因为代码是公开的，获得评审和改善的机会更多，一定程度上提升了代码的质量。但是，安全问题往往是非常隐蔽的，即便公开源码也未必能轻易发现，安全问题的发现，更多需要专业的人员和工具。一个开源项目的社区，如果没有安全测试人员，没有安全测试工具，项目的安全问题，就很难被发现。

开源对安全是双刃剑，开源有利于开发者发现 Bug，但也有利于攻击者发现问题，攻击者分析二进制难度是比较大的，但如果把源码给了攻击者，分析难度会降低。再有就是供应链安全问题，这个问题也比较复杂，尤其是某些不甚安全的开源组件得到了广泛使用，问题就更严重。但闭源软件一样存在供应链问题，只是受影响程度略轻而已，毕竟免费的东西被使用得更多。

总体而言，闭源在安全方面会有微弱优势，但开源在整体上有压倒性的优势，由于开源的趋势是不可阻挡的，所以完全不用考虑因为安全问题而闭源。

至于开源如何增强安全性，我认为和闭源如何增强安全性的方法是一样的。人们需要考虑的是如何更多投入开发安全，如何在开发的需求、设计、编码、单元测试、集成测试、部署等阶段考虑并做好安全，这方面有很多理论、方法和工具。闭源能用，开源也能用，没有多大区别。

Q：开源软件应该如何选择 License ？

卫 sir：我对 MIT、Apache、GPL 这三种协议研究的比较多，这三种也是最常用的。BSD 以前人们用得多，但是现在少很多，我觉得 MIT 基本上把 BSD 替代了，他俩基本上是等同的。

如果只是自己简单玩玩，不太在乎商业价值或以后是否能有更大市场的，我觉得用 MIT 就够了，因为你也没指望获得更多潜在的收益。

如果是一个商业比较友好的、宽容的、希望以后能有更大发展的项目，就用 Apache。在法律上，Apache 比 MIT 更严谨，考虑得更周全。

如果认可自由软件的概念，比较重视软件的自由，就用 GPL，尤其是当你的项目在整个软件生态中处于比较基础的地位，并且你不希望看到私有分支的情况下，用 GPL 比较好。因为 GPL 有很严格的限制，要求衍生品也开源，就能较好实现作者的意愿。但 GPL 有一个副作用，就是它的传染性，很多人会因为害怕私有代码被传染而不敢用。

总的来说，在选择许可证前，还是希望大家能仔细阅读许可证条文，研究透了再做选择。

Q：关于《大教堂与集市》这本书，当初是出于什么原因去翻译的？

卫 sir：这个更多是机会主动找上门的，当时是华章出版社要翻译这本书，编辑在网上找到我了。当然，能翻译这本书我觉得很荣幸，因为这是一本名著，作者 Eric 很有名气，这本书把开源和人类学、社会学、经济学、政治学等方面的内容都融会贯通到一块，思想价值很高的。

庄表伟

：我非常有感触。《大教堂与集市》里有提到马塞尔·莫斯（Marcel Mauss）写的《礼物》，顺着《礼物》，我又看了美国加州大学洛杉矶分校的阎云翔教授的《礼物的流动》，这些都属于人类学方面的书，也是因此我入了人类学的坑，看了很多相关的书籍。最近还在看一本讲一位法国人类学家去南美洲，寻找印第安食人族部落的书，也很有意思，特别增长见识。

Q：卫 sir 读了很多历史书，谈谈读历史书对你有哪些改变？

卫 sir：

直接影响是比较少的，它不能给生活带来直接的改变，也不能为日常事务处理带来具体的指导。更多的改变是理解了以前不太理解的事情，理解了人类历史的变革和可能的发展趋势。至少在我自己看来，是受益匪浅的。

具体的事例就不列举了，只说一个我的感受：人们在一定历史条件下，会形成相应的社会组织形态和利益关系，随着资源分布和技术发展的变化，不同阶层间的力量对比发生了变化，社会形态也会逐渐变化。这里面最主要的驱动力，是人性中不断扩张自身权益的本能，一旦在经济力量和技术能力使得有可能改善既有现状时，就会发生这样的事，从而使社会形态达到新的平衡。

正如马克思所说，经济基础决定上层建筑。

Q：“财富自由的定义”是什么？有没有可以财富自由的办法？

卫 sir：财富自由的定义，其实有很多人已经说得很明白了，就是仅靠现有资产带来的被动收入，不需要工作就可以支持自己（包括家人）相对固定的生活支出，可以不为薪酬而奔波，有时间从事自己想做的事。

这里面其实有好几个点，一是被动收入，二是固定支出，三是有想做的事，这三点都满足才算财富自由，尤其是固定支出这点，你不能因为有钱了就去消费升级，那样你可能又会没钱。应该仅靠被动收入（如利息、租金等）生活，而从不花掉本金，这样的财富自由才是可持续的。

财富自由的目的是节省时间，让自己有更多的时间做自己喜欢的事，如果你现在已经有大把时间可以做喜欢的事，那就不需要财富自由，保持现状就可以。事实上，绝大多数人，不可能达到财富自由的状态，也不可能有大把时间做自己喜欢的事。这更多是一个愿景而已。了解财富自由的概念，可以促使人们更加深入思考理财，鼓励人们为未来积累财富。

有关如何获取财富自由的书有很多，但更多的是讲一些思路。他显然不能直接告诉你具体怎么做，更多还是介绍思维和行为习惯。例如纳瓦尔在《纳瓦尔宝典》里面说：你要有一个专业技能，最好通过网络、服务器这些工具帮你挣钱，而不是像以前那样通过雇人来挣钱，这样效率更高。他又说，“向大众提供有价值的东西，尤其是他们不知道如何获得的，而且要大规模的供应，要学会营销，学会创造。如果这两件都会，没有什么可以阻挡你成功。”这些内容虽然无法直接应用，但至少告诉人们一个比较正确的方向。

Q：Linus 有一句经典名言，叫 Just For Fun。但在行业里，又一直在说开源商业化。卫 sir 怎么看开源商业化挣钱这件事？或者说它的可能性有多大？

卫 sir：上世纪 90 年代到 Eric S. Raymond 写这本书的那段时间，我认为是开源的黄金时代，虽然它在市场上不是黄金时代，但是从情感上，我觉得是。那时候从事开源的人特别有激情、有动力，那帮人纯粹是因为兴趣，纯粹是为了给计算机世界带来更多可以共享的代码而废寝忘食，那种感觉特别美好，特别令人怀念。近些年开源蓬勃发展起来后，越来越多开源项目商业化以后，我觉得倒没那么兴奋了。

有一种预测说“开源终将吞噬软件”，可能最终所有软件将不得不开源，因为在同等的质量下，开源的竞争力肯定强于闭源，这就像是一种“内卷”，“内卷”到大家必须要靠开源才能求得更好生存。但这个预测仍然有可能是错误的。正如以前我们以为网站都将免费，但现在仍有很多网站都是收费的，而我们也乐意给其付费。所以开源即便最终能占绝对主导地位，那时仍然会有很多闭源软件，事物的正向和反向可能永远都在不断交替。

Q：如何看待区块链这种激励模式？看上去好像是对开源比较友好的一种赚钱模式。

卫 sir：

如果能找到把它们结合起来的方法，而且设计得当，理论上是可以成功的，但目前好像没有看到特别成功的案例，也许以后会有。如果程序员对开源软件的每一点贡献都能通证化，这个软件获得成功和收益后，这些通证就会给程序员带来收益。这也比较符合道德理念，大家聚集在一起干活，贡献的多，收获就多，贡献的少，收获就少，不存在谁剥削谁的问题。但如何正确衡量贡献的多少及质量，这个模型还挺难建立的，但这个大方向是不错的。

相关阅读 | Related Reading

大咖访谈 | 开源社区里各种奇怪的现状——夜天之书陈梓立tison

重磅！中国开源地图正式启动，诚挚邀请所有开源社区加入共创～

程序员搞开源，读什么书最合适？

开源社简介

开源社成立于 2014 年，是由志愿贡献于开源事业的个人成员，依 “贡献、共识、共治” 原则所组成，始终维持厂商中立、公益、非营利的特点，是最早以 “开源治理、国际接轨、社区发展、开源项目” 为使命的开源社区联合体。开源社积极与支持开源的社区、企业以及政府相关单位紧密合作，以 “立足中国、贡献全球” 为愿景，旨在共创健康可持续发展的开源生态，推动中国开源社区成为全球开源体系的积极参与及贡献者。

2017 年，开源社转型为完全由个人成员组成，参照 ASF 等国际顶级开源基金会的治理模式运作。近七年来，链接了数万名开源人，集聚了上千名社区成员及志愿者、海内外数百位讲师，合作了近百家赞助、媒体、社区伙伴。