太像作恶者的360,和太像受害者的B站

太像作恶者的360,和太像受害者的B站

  文/脑极体

  360又摊上事了,而且这次惹到了可能是中国互联网上最不好惹的一群人。

  总结了各方说法,目前事态大概如下:

  大量B站用户发现自己在B站上传的视频被“搬运”到了360旗下的视频网站“快视频”,包括复制了部分用户的用户名、个人简介、头像等,以及部分视频的播放量、发布日期、评论(弹幕)。被复制搬运的包括了“共青团中央”、“西安交通大学”、“迪士尼中国”等组织、企业为主体的账户。

  对此,快视频方面的解释为:部分用户侵权了B站用户的作品并冒用了他们的身份,已经开始下线处理。

  部分B站用户发现在快视频上输入自己注册B站的登录信息(邮箱/手机号)可以直接登录从未注册过的快视频,并且快视频上还能找到过去已经删除掉的视频作品。同时很多用户提到了2016年这个年份,用16年的用户名密码可以登录、现在已经被删除的16年的作品被搬运等等。

  对此,B站发布声明通过技术手段没有重现出此情况,能直接用B站密码登录快视频。

  可能为用相同密码注册过的360产品。

  快视频发布声明称没有做出任何盗取用户信息及隐私的行为。

  双方均没有对“2016年”作出解释。

  对2233娘这样那样,真的…可以吗?

  在这里我们可以单纯的从技术角度探讨一下,如果360或者其他组织真的盗取了B站资源,可能是怎么做到的?

  想批量搬运信息、资源至少有两种方法,爬虫和盗取数据库。

  关注机器学习的人一定对爬虫非常熟悉,某种程度来讲爬虫是一种更高效的搜索引擎,通过自动提取网页的程序按照规则获取数据。有了海量数据,我们可以做到很多事:比如喂给算法训练模型,又比如获取售房网站上某一城市的平均房价,做出关于房产的大数据报告。在做这些事情时,爬虫可以成为一种高效且无害的数据挖掘手段。

  但爬虫可以通过的方法自动爬取视频、图片网站中的文件数据,包括那些需要加载广告、付费观看下载的数据。我们可以很轻松的找到一款名为“You-Get”的开源爬虫程序,用来下载视频、音频网站中的文件,也包括B站A站的弹幕。

  如果360想依靠爬虫手段批量获得其他视频网站的文件,相信一定会比开源的You-Get更加高效。但是这种方式是绝对不能获取用户密码的,完全无法实现目前出现的B站用户名密码登录快视频的状况。

太像作恶者的360,和太像受害者的B站

  但如果攻击数据库,就可以实现。最简单的可以利用一种名为撞库的手段,获取用户在某一网站上的用户名密码,再用同样的用户名密码不断尝试其他网站。进入之后再进行拖库,获取该网站的数据库,其中就包括了大量的用户个人信息以及文件。

  只是侵权?是什么让B站和360达成共识

  看到这里,一定很多人都心里一惊,为了方便好记忆,很多人都会在多个网站上使用同样的用户名和密码,这样一来岂不是很危险?

  我们大可放心,对于拖库撞库这种普遍切低端的黑客手段,大多数网站都会有所防范。像我们每次登陆时都会输入的验证码就是防范方法之一,通过各种验证手段阻碍黑客用脚本反复试验用户名密码尝试登陆,每一次都设置不同的“路障”,以防止自动化攻击。还有一些网站会实时监控用户行为,如果用户行为出现异常,像多次尝试密码错误,同一IP进入登陆页面多次,点击浏览速度过快等等,一旦发现用户出现了这种类似机器脚本的行为时,就会利用各种方式进行阻拦。

  有了这些防范措施,不但可以阻碍数据库共计,也可以在一定程度上防止爬虫。如果防范者是BAT,而攻击者是一些不知名的黑客,我们一定会相信邪不压正,黑客无法获取到我们任何敏感信息。

  可把两者的身份放到360和哔哩哔哩身上,恐怕会给人们留下完全不一样的印象。

  360出身于网络安全业务,这也意味着360掌握着相当高阶的攻击与反攻击技术,同时360旗下有大量移动端/PC端产品,其中包括可以获取各种权限的360手机卫士和可以记录用户名密码的360浏览器。

  至于哔哩哔哩呢,全身贴满了二次元标签、处于互联网企业中的三-四线,这就注定了B站在技术人才的食物链中处于下游。而且还在在2016年还闹出了一桩给技术大牛开5000月薪的新闻,据称当时造成了大量技术人员人心浮动,甚至还有网友贴出了B站在Github上的招聘启事,称B站技术部门大换血。

太像作恶者的360,和太像受害者的B站

  值得注意的是,很多网友对哔哩哔哩对安卓开发人员的招聘要求提出了质疑,尤其是招聘中提到了一条了解“编译原理”,这一条要求不仅和B站企业体量不匹配,而且在实际开发中用处不大。

太像作恶者的360,和太像受害者的B站

  但鉴于此条招聘启事发布在较为专业的技术论坛Github上,应该不会出现HR部分代技术部分撰写招聘启事所以出现专业性错误的问题。结合当时的技术大牛离职传闻,反而给人一种“B站技术部门遭办公室政治,血洗大牛,当前技术人员专业度不够,无法提出准确招聘要求”的不靠谱观感。

  两者结合,在此次快视频事件中,我们很容易想象成360对哔哩哔哩为所欲为,而哔哩哔哩毫无还手之力……

  而哔哩哔哩目前极力否认用户信息泄露、只谈侵权,也很容易被联想成掩盖自己在安全技术上的不足。毕竟哔哩哔哩在去年刚刚按照规定进行了实名制认证,UP主们上传了自己手持身份证的照片。如果这些信息和用户名密码一起泄露,后果将非常可怕。不仅仅会被拿去注册各种P2P产品薅羊毛,如果被拿去注册了其他内容网站,并发布一些反党反社会、邪教等等违规内容……简直让人不敢想象。

  这一系列后果,对于最近刚刚透露赴美IPO消息的哔哩哔哩来说几乎是无法承受的。

  现在事情还处于调查状态,我们当然希望这只是一次以个人行为为主的单纯的内容侵权事件,只是360和哔哩哔哩看起来都太像作恶者和受害者了。

  如果真的只是侵权……

  在最后,我们想简单谈谈视频内容侵权这件事。

  包括音频、文字和图片在内,视频内容是最容易被侵权的内容形式之一。这里指的不仅仅是可以依靠爬虫程序下载视频重新上传或避开广告,而是对于平台来说,检索视频的重复度非常困难。

  文字、图片都可以用低成本、快速的方法检索重复度和相似度来避免侵权,但视频文件却很难做到。目前有一种技术叫“视频指纹”,即通过运动状态、帧间差异等方式提取视频文件中独一无二的特征,再通过比对来分辨是否重复。可这种方式依然需要耗费大量算力,对于视频网站来说,实施起来恐怕是个不小的负担。更何况,这种方式只适用于同一数据库中的数据检索,如果像快视频这样用户盗用其他平台上的内容,官方平台是很难发现的。

  目前各个视频网站实行的水印、反爬虫等等方式,大部分时候是防君子不防小人,对于B站UP主这样个人为主体,没什么精力和能力进行维权的内容创作者来说,盗取他们作品的成本实在太低了。B站对于UP主们的支持,也只能是在情况严重时替UP主们发布一份律师函。可这种事情不仅仅发生在哔哩哔哩和快视频之间,甚至在哔哩哔哩、快手等平台上,也会有UP主“无授权转载”国外视频平台上的内容。到最后,我们竟然会发现连受害者都不是完全无辜的。

太像作恶者的360,和太像受害者的B站
(快手上的搬运工们)

  如果是以往,我们会从技术角度寻找一些可能的解决方法。但这一次,我们呼吁先从人的角度做起,只有当每个人都开始明白别人的劳动成果不能随意分享时,才能截止这条无尽的“加害链”。