[谣言]招商银行自毁长城？

招商银行的网上业务据说在业内的口碑还是很好的。 但是，据资深牛人delphij和knx确认，他们最近推出了一个网上银行登陆软件(据说“这个程序会在启动专业版时以控件的形式提示并安装”)，却在安全问题上挑战起了长久以来被实践确认的安全原则。

首先是影响了远程桌面，“一旦有远程桌面登陆，则关闭远程桌面服务，并重启系统”。
其次，这个程序还会安装WinIO（sbmc32.dll）——一个来自Internals.com的软件。这个软件的作用是直接操作硬件接口，换句话说，可以绕过Windows的安全机制直接监视硬件，比如你的键盘输入和鼠标操作，还有内存数据等等。因此，WinIO正是许多木马和键盘记录工具的基础。在delphij向招商银行投诉并被告知安装5.1.3.8版的程序，上述若干dll被改名并隐藏在了用户目录里。
还有，这个程序根本不支持64-bit的Windows（，更不用说Firefox和其他操作系统了）。
最最重要的，这些程序完全没有做数字签名。这种对于安全的藐视对于一个专业的金融服务机构简直是难以想象的。

delphij认为：

• 做这些事情的人，仍然在试图把用户当成白痴。
• 但与此同时，他们仍然忘记了最基本的安全常识——安全不能建立在别人不知道的基础之上。
• 尽管如此，他们却没有忘记在发行的软件中包含一些不该发布的东西。
• 更有甚者，作为一家金融机构，发行的将要完成如此重任的可执行文件，竟然在我三番五次地投诉之后，仍然不做数字签名，这一行为足以让这家金融机构为之蒙羞。

我们不知道这一事件是否是已经造成了恶意攻击和损失，不过这显然不是国内银行第一次犯错。工商银行和建设银行虽然已经在海外上市，但是他们的用户的账户还是在网上被盗。不久以后，外资银行就要开展人民币业务，如果在那之前国产银行还不能保障用户的最最基本的安全，连前门都不上锁的话，客户们可是会用脚投票的！

暂且把这个事件称为“自毁长城”吧，如果国产银行真的垒起来过的话！