不管你是IT明星還是犄角旮旯的甲蟲，“流氓”的封號(hào)一視同仁。最近筆者發(fā)現(xiàn)號(hào)稱以“信任”作為產(chǎn)品與服務(wù)核心，以安全、誠信贏得了用戶和業(yè)界的一致好評(píng)的支付寶，居然也耍起流氓來了，這不得不說是一種諷刺。在“流氓”漸漸泛濫如網(wǎng)海黑潮的今天，我們還應(yīng)該信任誰?作為弱勢(shì)群體的網(wǎng)民，憤怒還可以壓抑多久?

    何謂流氓軟件?查一下WIKI對(duì)流氓軟件的解釋：流氓軟件是中國對(duì)網(wǎng)絡(luò)上散播的符合如下條件(主要是第一條)的軟件的一種稱呼：

1、采用多種社會(huì)和技術(shù)手段，強(qiáng)行或者秘密安裝，并抵制卸載;

2、強(qiáng)行修改用戶軟件設(shè)置，如瀏覽器主頁，軟件自動(dòng)啟動(dòng)選項(xiàng)，安全選項(xiàng); 強(qiáng)行彈出廣告，或者其他干擾用戶占用系統(tǒng)資源行為;

3、有侵害用戶信息和財(cái)產(chǎn)安全的潛在因素或者隱患;

4、未經(jīng)用戶許可，或者利用用戶疏忽,或者利用用戶缺乏相關(guān)知識(shí)，秘密收集用戶個(gè)人信息、秘密和隱私。

支付寶到底是如何耍流氓的呢?筆者最近新裝了操作系統(tǒng)和殺毒軟件，卡巴就不停的彈出窗口�？ò�2009一直提示鍵盤記錄器活動(dòng)(alidevice)，一分鐘三次。如下圖：

    那么，alidevice到底是個(gè)什么東西?百度上搜了一下，發(fā)現(xiàn)很多人都有碰見這個(gè)問題。

    簡單的說，alidevice就是支付寶控件，每一個(gè)支付寶用戶的機(jī)器里都100%會(huì)存在這個(gè)控件。再嚴(yán)格一點(diǎn)講，這就是鍵盤記錄Keylogger，它是用來記錄鍵盤活動(dòng)的，也就是說，你的鍵盤活動(dòng)全在它的監(jiān)聽之下，并且隨系統(tǒng)啟動(dòng)(注意：不是隨支付寶啟動(dòng)，是隨系統(tǒng)啟動(dòng)的)，時(shí)時(shí)刻刻都有一個(gè)讓你感覺十分不安全的曾經(jīng)做過流氓軟件大流氓的這么一個(gè)團(tuán)隊(duì)用非常流氓的手段給你的系統(tǒng)裝上了一個(gè)非�？膳伦屇銣喩戆l(fā)毛的Keylogger在記錄你的鍵盤活動(dòng)。并且，最流氓的是“它”不能卸載!!!刪掉Alidevice.sys后，鍵盤鼠標(biāo)就都不能使用了。

    我們看看來自官方的說明“安全控件的作用是防止木馬及病毒盜竊用戶的密碼，因此在代碼和行為特征上容易被殺毒軟件誤報(bào)。”是的，我們是需要保護(hù)，但是我們好像并不需要這種非常中國流氓軟件特色的隨系統(tǒng)啟動(dòng)。一個(gè)網(wǎng)頁上的ActiveX 控件居然私自加載設(shè)備過濾驅(qū)動(dòng)程序。這是什么行為，是什么邏輯?卸載還卸載不掉，刪了你鍵盤鼠標(biāo)就失靈。在安裝控件的時(shí)候，支付寶并沒有告訴我們它會(huì)放一個(gè)Keylogger在我們的系統(tǒng)里，同時(shí)加載設(shè)備過濾程序。

    而且在支付寶社區(qū)論壇上大家詢問，小二的回復(fù)一堆廢話，其中最接近解決問題的方法居然是:

QUOTE:

    將您電腦上安裝的雅虎助手等攔截功能暫時(shí)關(guān)閉，暫時(shí)關(guān)閉防火墻，卸載卡巴斯基、木馬清道夫等。

    對(duì)這個(gè)官方回復(fù)徹底無語

    關(guān)鍵問題在于，在沒有使用支付寶時(shí)，用戶輸入其他網(wǎng)銀密碼等行為的鍵盤行為是否也被其記錄，記錄下來要干什么??

來自網(wǎng)友的反饋：

http://hi.baidu.com/suyuwen1/blog/item/08209350beb23065853524f5.html　

alidevice-淘寶流氓插件

    2009年02月15日 星期日 下午 09:03

    把兩臺(tái)機(jī)器都重裝完畢并且更新完成后，卡巴2009一直提示鍵盤記錄器活動(dòng)(alidevice)，一分鐘三次，為了方便，只好加到信任區(qū)域。(要是不添加到信任區(qū)域，后果有兩個(gè)，第一，系統(tǒng)會(huì)有點(diǎn)卡，一天被監(jiān)聽記錄上萬次，記錄日志里就會(huì)有上萬條，可疑程序提示就不停的冒出來。第二，會(huì)越來越對(duì)支付寶的流氓行為產(chǎn)生憤恨，演變成憤憤不平影響個(gè)人生活得不償失。)

    【電話聯(lián)系了支付寶客服MM，說是支付寶官方發(fā)布的軟件,如果刪掉的話，機(jī)器會(huì)崩潰。但沒有提供技術(shù)細(xì)節(jié)，但是有關(guān)此虛擬設(shè)備驅(qū)動(dòng)的功能是什么?如何安裝上去的?如何卸載? 為什么要以內(nèi)核態(tài)的形式強(qiáng)制安裝運(yùn)行?為什么一旦安裝就不可刪除?如果沒有這些信息，讓人感覺很不放心。為什么要在客戶的機(jī)器上安裝此鍵盤驅(qū)動(dòng)?而且在不登錄支付寶時(shí)，沒運(yùn)行阿里淘寶旺旺任何程序的時(shí)候，也需要運(yùn)行?能否讓用戶能夠自行控制此程序的運(yùn)行或者停止?】

    【我也中招了，感覺很不爽，剛才給支付寶客服投訴了�？吹竭@里的很多網(wǎng)友都覺得無所謂，其實(shí)我要說這是個(gè)很嚴(yán)重的問題，你想想你每天的所有鍵盤輸入都被這個(gè)控件監(jiān)視著，說不定還記錄下來傳回去分析，包括你上過什么網(wǎng)站，搜索過什么內(nèi)容，寫過什么文檔...... 那你的一切隱私不是都曝光出來了嗎? 更加可怕的是，如果你用了網(wǎng)上銀行，訪問過電子郵箱，玩過網(wǎng)絡(luò)游戲--- 那這些帳號(hào)和密碼，支付寶統(tǒng)統(tǒng)都有辦法知道。雖然我相信阿里巴巴還沒有流氓到利用這些信息犯罪的程度，但至少這些信息的外傳會(huì)使你置于極大的風(fēng)險(xiǎn)之中。看了這些，你還認(rèn)為是無所謂嗎? 】

    【在不使用支付寶的情況下，隨系統(tǒng)啟動(dòng)加載，接管客戶的原鍵鼠驅(qū)動(dòng)，隨時(shí)記錄客戶的鍵盤情況這本身就不道德。按裝控件時(shí)聲稱是安全控件，實(shí)際上記錄客戶鍵盤更不安全。尤其是在大多數(shù)時(shí)間電腦根本沒使用支付寶的情況下，其他的網(wǎng)絡(luò)活動(dòng)和鍵盤活動(dòng)一并被記錄了，而這些信息根本與支付寶無關(guān)。隨系統(tǒng)啟動(dòng)加載，并且無法卸載，卸載造成系統(tǒng)崩潰這是典型的流氓軟件行為。說因?yàn)檫@是支付寶的控件就應(yīng)該添加到信任區(qū)域比較奇怪。要我明天取消支付寶戶口不用了怎么辦?這個(gè)控件是不可卸載的....!是不是要一直被記錄下去?】