China's Video Sharing SitesLivid | 29 Sep 2007

独立的游戏用户登陆认证云风的 BLOG » Che, Dong's shared items in Google Reader

网易的所有产品都使用网易通行证系统做用户身份认证，包括游戏产品。

这是降低新产品用户门槛的好方法。几乎所有的网络服务提供商都弄了个自己的统一用户认证系统，网易通行证也是干的这挡子事，内部我们把这套系统简称为 URS。公司在 URS 系统上投入了很多人力和资源，但是其表现总是跟不上我们的需求。我个人从 03 年开始就不断的在提一些安全方面的改进建议。但是由于这些系统涉及面太广，想做出些实质性的改变举步维艰。

不断的写建议书，不断的参与北京 URS 部门的技术会议，让我充分理解了他们的困难，和其中许多非技术难点的难处。

但是，国内糟糕的网络安全环境，日益严重的游戏帐号失窃问题，让我不得不时常关注这方面的问题。最近，又想了个改进方案，希望可以有所改善安全问题。

缘起：

我们办公室最近搬入了一个新部门。没想到第一天我们就发现了 ARP 欺骗。不得不说 Windows 在这方面防护意识实在是太差了，装 Windows 的电脑一个上午都没发现这个问题。好在我们有几台 Freebsd 的桌面在用。很快的就发现了 console 上的警告，网关的 Mac 地址被更换了。

事故只持续了三四个小时，被木马感染的机器迅速被定位，果然是新部门同事进入带来的新机器被感染。我们也立刻让所有同事修改了在事发的那个上午用过的任何网络服务的密码。

这件事情再次警示我们，在今天的网络环境中，只保证自己的机器干净还是不足够安全的。

我们游戏目前的用户认证方案：

如果用户不选择额外的安全产品：例如将军令，电话密保等等这些的话，我们对最常规的键盘密码的网络数据通讯所做的保护极其有限。

在游戏中，仅仅只是用私有加密算法对通讯做了加密。除去本身机器中木马的危险之外，只能防止最基本的网络数据监听。即，监听网络包的窃贼不能简单的查看数据流而得到用户输入的密码罢了。

但是，理论上，任何人只要得到所有的数据流，就有获取用户密码的可能性。他唯一缺少的只是私有的加密算法而已。而加密算法可以通过对 client 程序的逆向工程得到。

并非我们的技术人员知道这样做是极不安全的。只是，游戏系统跟 URS 有千丝万缕的联系。我们不能放弃 URS 而做一个独立的用户认证系统；而 URS 系统由于种种原因，一直没能增加我们需要的更安全的基于挑战策略的更为安全的认证方案。

ps. 关于用户认证的安全性讨论，可见云风以前的一篇旧文：多服务器的用户身份认证方案

曾经不只一次的提过，游戏系统应该适当的和 URS 分离。URS 在降低新用户门槛方面有巨大的作用。但是，它带来更多的木桶短板效应。很多只是基于网页的服务，无法做到更高的安全级，极为容易丢失密码。为了安全起见，我们又同时向用户宣传，不要在论坛等地方使用和游戏帐号相同的通行证。这还真是莫大的讽刺啊。

将军令等安全系统的加入，并鼓励用户使用，从另一方面又提高了用户门槛。而且这些安全产品，被一个个或是拍脑子，或是精心策划，或是作为应急方案想出来，不断的加入 URS ，形成了极大的历史负担。更重要的是，大多数并没有遭遇帐号失窃的用户，并不会采取额外的保护措施，他们钟情的依旧是最为便捷的键盘密码。

我曾经百般取笑过早年的一些诸如帐号安全码等临时安全方案，后来都理解了。这是一个复杂的问题，没有理想的解决方案的。

OK 。我现在知道我们不可能放弃 URS 独立做一套全新的密码认证系统，那么做一些改动怎样？

游戏新注册用户可以直接用通行证帐号密码，注册游戏新帐号。
注册游戏帐号后，强制要求修改密码（必须和通行证不同）。
玩家游戏密码丢失后，可以在通行证里申请重置，但 48 小时后生效。48 小时期间，一旦玩家正常登陆游戏，重置指令自动撤消，并在游戏中通知用户。
任何通行证密码的修改，都通知游戏用户（注：不需要修改 URS 的实现）。游戏服务器将 cache 通行证密码，在玩家登陆时自动重新验证。如果通行证密码被修改，玩家必须重新在游戏中核对通行证的身份，才能再次进入游戏。
游戏中每次登陆都通告用户最近几次的登陆时间/IP列表。以及暴力猜测密码企图的尝试记录。强制用户在密码不安全的时候修改密码。

这样的改进方案重点在于，不在已有的 URS 系统上做任何修改，也不必增加新的接口；但游戏用户采用独立的认证系统。游戏认证系统必须和 URS 系统同时工作，用户才能够登陆游戏。但是 URS 系统验证不由最终用户主动操作。最用户体验方面，不增加任何用户负担。

对于游戏系统，两套系统相互牵制，用时间做为中间缓冲。

游戏帐户本质上依旧归属 URS 帐户，帐户冲值记费等依旧划归 URS 管辖。

6个关键的web 2.0市场驱动力译言-技术与创业 » Che, Dong's shared items in Google Reader

原文作者：john musser
原文链接：Market Drivers of Web 2.0
译者：odin

6个关键的web 2.0市场驱动力

翻译自John Musser

Web 2.0 Principles and Best Practices web 2.0的原则和最佳实践节选

译者：odin , 通联传媒（iMEDIA）新媒体分析师New Media Analyst

多样化的人口状况，技术，经济发展推动了web 2.0的发展。在这些因素背后是人们急迫要求接触外界，沟通，参与的动机，网络给人们带来了不可思议的便利，这在以前是无法想象的。
➊全球性的客户群：全球有10亿人使用互联网

截至2005年底，全世界有超过10亿人使用互联网，其中有8.45亿人是经常性使用。这种互联网用户的整体转变，意味着美国不再占据着市场份额的主导优势，美国现在网民数低于总数的25 ％（见图1 ）。中国互联网发展越来越迅速，在过去的三年里面，宽带增长率到了79%。世界上人气最高的博客，就是中国徐静蕾的博客。
在所有国家中，一个关键的推动web 2.0的人口因素是30岁以下的"数字土著"。在美国，这个"数字土著"群体有88 ％的人经常使用网络，51 ％为互联网贡献内容。

在互联网出现以前，很多人不知道这个世界是什么样的，互联网这种媒体带给他们的轻松和舒适极大的影响了web 2.0的演变。

      影响：客户的网上联机应用的规模已经大大的超过五年前。由于有很多消费者的关注，网络的重要性持续提升。世界正变得越来越相互关联，而且现在实际（可能）已连接了全球所有的小众市场，年轻人的市场了显示我们到达的地方。
      ➋用户常常在线：宽带使用率接近50%
     我们正在从"窄带时代"进入到"宽带时代"，截至2006年3月，42 ％的美国人利用高速，持续的宽带连接网络（见图2 ），仅在过去一年，就有40 ％增幅。

      影响：永远在线，使上网成为人们的日常生活的基本结构（在拥有宽带后，53 ％的人在网上花更多时间）。高速的网络连接促使用户在网上产生更多的内容（在网络上发布内容的人中，有73 ％高速网络用户，快速的上传和下载速度，使得图片，视频和音频内容发布更方便，也让亿万媒体的消费者成为媒体内容发布者。
     ➌消费者以各种形式登陆网络： 2亿移动设备
   截至2006年第一季度，全球移动电话用户有20亿，是通过个人电脑登陆互联网的人口的2倍。估计28 ％的人使用移动电话登陆网络，从他们的移动装置（见图3），更多先进的设备的快速面试加快了这一趋势。使用新一代的多媒体手机的拥护，有超过50 ％会使用网络。

影响：各种方式接入互联网大大扩展到了网络的边界。人们越来越需要一个独立平台应用策略。其他需要解决的议题包括在任何地方的数据存取和数据同步，还有很多新形式的移动定位服务。
➍消费者不仅相互联接，而且热情参与： 近50 ％的美国成年人都在为网络贡献内容
今天，更多常常使用互联网的人把在网络上创造和发布内容当作一件惬意的事情。

这些内容包括图片，视频，音频，社区评论，产品评论，个人及专业博客等。截至2006年4月，有5000多万博客，过去3年来中，每六个月博客数量就翻一番，现在每天会有17.5万多个新博客产生。

当然不只是博客数在爆炸般增加。仅在2006年4月，占全球互联网用户45 ％的网民访问了排名前十的社交网站。myspace.com每天有28万个新注册用户，视频共享网站youtube提供1亿段视频，craigslist.org的用户每个月提供了600万个新的分类。平均每天500多万美国人在网络上通过博客或其他手段创建内容， 400万份享音乐档案在点对点（点对点）网络共享，300万人使用互联网评价一个人，产品，或者服务。

影响：网络正在成为一个真正的双向的，可读写的平台。大众媒体正在受到UGC的质疑，这些新的分散性的参与和沟通的手段扰乱了现在的传媒产业。
➎企业成本已大幅度下降：在过去的六年中，资讯科技基础建设成本下降了72 ％

2005年，成功的企业家，也是excite.com的创始人乔克劳斯说， "企业家以前从来没有这样好的机会，因为创立一个企业的成本是前所未有的低“。这里的一个例子。excite.com从确定想法到公司建立只花了300万美元，JotSpot”他的新公司“成立花了100万元。" 他把这个归结为4个因素：硬件更便宜，建立在开源基础上免费软件基础架构，全球化劳动力市场，以及搜索引擎营销允许以低成本达到全球市场范围里的利基市场。

Web1.0时代的高端产品，如sun, solaris,oracle的产品已经可以被普通型的电脑和开源性的软件所代替。开发商现在可以在台式机上运行应用程序，但同样的服务可以通过数据中心提供给数百万用户。

影响：更快投资回报和新的机遇正在产生。产品进入市场的壁垒越来越少。随着商业模式的灵活性的增加，风险资本对初创企业的要求更少。
➏新的创收机会：美国2006年网络广告增幅达到37%
在2006前六个月，美国的互联网广告比去年同期增增长37 ％，现在超过了商业杂志广告支出，
并有望在今年超过消费性杂志的广告开支。

影响：由于有更广泛的收入渠道，更低的资本门槛，更快的投资回收，企业风险正在降低

现在广告支持配送模式可以支持各种类型的网上产品和服务。

转载文章请注名：iMEDIA通联传媒新媒体分析师刘明君译，谢谢！

iMEDIA通联传媒：领先的数字媒体运营商

联系作者请mail: odinle@sina.com.cn,欢迎到个人博客深度交流

添加评论

相关文章：

雅虎的“花生酱宣言”

网络平台底层-通过API可以获得什么

Mozilla宣言及其对主要Web巨头的影响

收藏到QQ书签

09:00 写在BlogBus.com改版之后 » It Talks-魏武挥的blog

关于这次Blogbus改版，网站论坛里有不少意见和建议。其实，这次是延续年头BlogBus改版的继续。2007年年初，BlogBus的用户后台发生了巨大的变化，一直到今天，我们才动手把前台修改完毕。不过，BlogBus从初创期就不是一个以技术领先为特征的网站，经常会出现一些技术上的问题，包括这次改版，我也不得不承认，技术上并不十分优秀。所幸，BlogBus已经请到了一个极牛的技术人才，不日就会来BlogBus上班。相信在他的带领下，BlogBus的技术一般的面貌会有非常大的改观。

BlogBus的CEO老横同学在他的blog上，对于这次改版造成的缺陷表示了歉意，同时，BlogBus也已经着手修复产生的问题。到目前为止，差不多大部分问题已经被解决，还有一小部分问题，应该在国庆节就能全部修复完毕。

我这篇日志谈的不是技术问题，虽然我承认技术上有一些缺陷。我谈的是另外一个话题：web2.0网站的改版问题。

我在web1.0的网站中干过两年，那是2000年到2002年，在一家以证券为主的财经网站。两年中，这家网站也经过几次改版。事实上，我们内部还有一个共识：改版，是网站永恒的主题。

然而，BlogBus几乎每次改版，都会遭来一些抱怨。在承认技术不是那么出色的前提下，我还进行了更多的思考。难道，这些抱怨仅仅是因为技术问题吗？

我个人的结论是：不，那是文化问题。

web1.0网站的内容发布在网站，用户大部分的情况下是以浏览为主（少部分产生内容，比如BBS里写帖子）。即使是写帖子，由于BBS里没有太强的个人风格，每张帖子长得都是一样的，用户也不会有太强的“我的帖子”的感觉。web1.0的网站折腾，最多是让用户感觉视觉上不好看，至于内容，他们该看什么还是看什么。换而言之，网站和用户之间的connection不是那么强烈，网站怎么改，基本上都是网站自己的事情。

web2.0就大不一样了。以UGC为主的网站，用户post内容。离开用户的post，整个网站就是个空壳。用户的“我的blog”的感觉也非常强烈，可以强烈到“我的领地”的地步。任何一次大规模的改动，都相当得投鼠忌器。这也正是Blogbus前后两次大的改动，都保留了原来的界面的缘故：年头保留了老后台，这次保留了老模板系统。

这次改动的主要矛盾点在于：模板系统。

BlogBus原有的模板系统是相当开放的，开放到用户可以完全摧毁已有的blog界面，建立一个全新的网站。比如说这个blog。

如此开放的blog模板系统，其实是很难进行操作的，对用户要求很高。就好象汇编语言可能是最强悍的语言，但它的操作难度很大。我不认为这种模板系统是易用的，至少，它连模块拖拉都无法做到。

于是，我们修改了模板系统，对于每个模块，进行了进一步封装而形成“真正的模块”。这种系统是可以支持拖拉的，比如说，你可以很简单地把评论列表拖拉到最新日志列表上面去，也可以把自定义html（即blog侧边栏插件）拉到侧边栏最上方。这种操作在过去不是不可以完成，而是要进行代码的书写，而现在，只要会用鼠标就可以了。

我个人以为，这种系统可能更易用一些，但很不幸，以blogbus将近五年的历史，全开放模板系统已经形成了一种文化，对于那批老用户而言，半开放的模板系统是不可容忍的，论坛里对于老模板系统的保留要求极高。换而言之，全开放模板系统算是BlogBus的特色之一了罢，的确，很少用BSP这么干的。

这是文化的撞击之一，借用跨文化传播的术语：culture shock。

第二个更有一些麻烦，blog究竟是写文化，还是读文化？

我历来保有blog是写作平台的观点，blog不是一个适宜的浏览平台。比如我这个blog，除了首页上五条日志，后面的日志很少有人看（除非搜索引擎半途插入）。通常的阅读平台是新浪式的，即页面上布满了链接，而不是正文。在一个我感兴趣的网站上，我可以东点西点，花上半个小时之久，但在blog上，一般不会超过五分钟。加上RSS订阅，全文显示的blog就彻底蜕变为一个纯文本，哪里来什么互动。

对于BSP而言，写是赚不了多少钱的，因为愿意就写而付钱的人很少。BSP只好向读拓展。读的文化可以使得BSP媒体化，从而获得广告的注入。这是相当无奈的事实。既然要进行读文化的演进，在Blog里，就要尽可能地展现出容易阅读的架构。于是，就有用户会说：花哨。

我不得不承认，一针见血。

但我也不得不说，除非大部分的Blogger愿意为写而埋单，读文化不可避免地会进一步拓展。只是，以BlogBus的立场和历史，不会做得那么唐突和过份罢了。

人生，就是一场妥协。成功的企业，都是把看似矛盾的事情统一起来。运营一个BSP，就是运营一个多种文化并存的网站，那么，绝对不是几行代码的事情。

	九月 2007
一	二	三	四	五	六	日
					1	2
3	4	5	6	7	8	9
10	11	12	13	14	15	16
17	18	19	20	21	22	23
24	25	26	27	28	29	30