美團(tuán)刪照片這件事的真問(wèn)題是什么？

No.0260

Science Partner

Bring you to the side of science

導(dǎo) 讀

大家好，我是恒意。

上周網(wǎng)上的熱搜，想必大家應(yīng)該都刷到了。有位網(wǎng)友發(fā)現(xiàn)，自己手機(jī)提示：美團(tuán)刪除了照片和視頻。剛開始大家都覺得是個(gè)段子，或者截圖是P的。但接下來(lái)兩天，類似的反饋陸續(xù)在各個(gè)平臺(tái)冒出來(lái)。這時(shí)候大家才意識(shí)到這是真的。

輿論一下就炸了。照片這東西對(duì)每個(gè)人都很敏感，誰(shuí)遇到這種事都會(huì)火大。美團(tuán)這波挨罵不冤，畢竟在自家地盤上出了這么大紕漏，沒(méi)啥可說(shuō)的。

但作為愛好科學(xué)的小伙伴，如果你只把這件事當(dāng)成”一家大公司干了件蠢事”，跟著罵完就翻篇了，那可能錯(cuò)過(guò)了一個(gè)更重要的信息。

這件事背后，其實(shí)藏著一個(gè)數(shù)字時(shí)代非常普遍、但大多數(shù)人沒(méi)意識(shí)到的規(guī)律。弄懂這個(gè)規(guī)律，比單純罵兩句更有用。

走，跟伙伴君來(lái)！

今日主筆 | 恒意

美團(tuán)刪照片這件事的真問(wèn)題是什么？

01. 先問(wèn)一個(gè)最基本的問(wèn)題

美團(tuán)為什么要?jiǎng)h你的照片？

這個(gè)問(wèn)題聽起來(lái)是廢話，但其實(shí)是整件事最重要的起點(diǎn)。刪用戶私人照片，對(duì)美團(tuán)來(lái)說(shuō)意味著什么？用戶憤怒、媒體曝光、品牌受損。一家每天靠幾千萬(wàn)用戶信任來(lái)完成交易的平臺(tái)，這是瘋了嗎？

所以，在搞清楚“怎么發(fā)生的”之前，“為什么要這么做”這個(gè)問(wèn)題的答案幾乎是確定的：非主觀意愿。

既然排除了“有人故意使壞”，那剩下的唯一解釋，就是一個(gè)在工程層面上沒(méi)兜住底的系統(tǒng)性技術(shù)問(wèn)題了。也是恒意覺得整件事里最值得被每一位小伙伴看懂的部分。

02. 要看懂這個(gè)，咱們得先講一個(gè)互聯(lián)網(wǎng)圈出名的案子

2021年6月的某個(gè)普通工作日，全球互聯(lián)網(wǎng)集體宕機(jī)了將近一小時(shí)?！都~約時(shí)報(bào)》、BBC、Reddit、亞馬遜、Twitch，同時(shí)打不開。數(shù)億用戶刷新網(wǎng)頁(yè)，得到的只有報(bào)錯(cuò)界面。

造成這一切的，是一家叫Fastly的CDN公司，全球頂級(jí)的基礎(chǔ)設(shè)施供應(yīng)商，工程師水平放全世界都是第一梯隊(duì)。事故原因？一個(gè)在代碼里安靜潛伏了整整兩年的bug，被一個(gè)用戶的完全正常的操作，在某個(gè)沒(méi)有人預(yù)料到的條件組合下觸發(fā)了。

兩年里，無(wú)數(shù)次測(cè)試，無(wú)數(shù)次版本迭代，沒(méi)有任何一次把它翻出來(lái)。

工程世界里有一類bug，有個(gè)專門的名字叫Heisenbugs，得名于量子力學(xué)的海森堡測(cè)不準(zhǔn)原理。它的特點(diǎn)是：你單獨(dú)觀測(cè)它，一切正常；但當(dāng)某些特定變量同時(shí)出現(xiàn)，它就爆炸，而且?guī)缀醪豢赡茉诒ㄖ氨话l(fā)現(xiàn)。這不是工程師偷懶，這是復(fù)雜系統(tǒng)的基本屬性，變量足夠多、模塊交互足夠復(fù)雜的時(shí)候，總會(huì)存在一些只有極端條件才能引爆的隱患。軟件工程發(fā)展幾十年了，這件事從沒(méi)被徹底解決過(guò)，包括在硅谷。

Fastly事后發(fā)了一份非常坦誠(chéng)的技術(shù)復(fù)盤，整個(gè)行業(yè)看完之后的反應(yīng)不是Fastly真壞，而是“這種事，可能發(fā)生在任何人身上”。

03. 美團(tuán)這次，踩的是同一類坑

美團(tuán)給的解釋是：第三方插件在部分安卓系統(tǒng)版本上運(yùn)行沖突，緩存清理異常，誤刪了用戶文件。

聽起來(lái)像在甩鍋，但這個(gè)機(jī)制從技術(shù)上還確實(shí)是成立的，值得花一分鐘講清楚。

現(xiàn)代大型App，本質(zhì)上是個(gè)“聯(lián)合國(guó)”。推送通知、數(shù)據(jù)分析、廣告投放、圖片處理，往往各用一個(gè)第三方SDK，來(lái)自不同公司，被集成在同一個(gè)App里，共享同一套系統(tǒng)權(quán)限，在你手機(jī)上同時(shí)運(yùn)行。平時(shí)各跑各的，沒(méi)有問(wèn)題。但在某個(gè)特定的安卓版本、某個(gè)特定的廠商定制層、某個(gè)特定的SDK版本組合下，兩段代碼同時(shí)去操作同一個(gè)資源。

于是，指令打架了。

緩存清理模塊本來(lái)應(yīng)該清理App自己沙箱里的臨時(shí)文件。但在那個(gè)特定條件組合下，路徑判斷出了錯(cuò)，走到了一個(gè)它永遠(yuǎn)不該走到的地方。

這就是這次事故的物理過(guò)程。沒(méi)有人打開后臺(tái)盯著你的相冊(cè)挑著刪，一段走錯(cuò)路的代碼，在它不該出現(xiàn)的地方，做了一件沒(méi)有人授權(quán)它做的事。

04. 責(zé)任是真實(shí)的，性質(zhì)也必須要說(shuō)清楚

2017年，亞馬遜AWS就出過(guò)一次影響深遠(yuǎn)的宕機(jī)事故。一個(gè)工程師在執(zhí)行例行運(yùn)維時(shí)，操作自動(dòng)化工具多輸了一個(gè)錯(cuò)誤參數(shù)，觸發(fā)了遠(yuǎn)超預(yù)期規(guī)模的服務(wù)器下線，Slack、蘋果App Store、數(shù)百家企業(yè)服務(wù)同時(shí)中斷。AWS的事后復(fù)盤直接承認(rèn)：自動(dòng)化工具對(duì)非預(yù)期輸入缺乏邊界防護(hù)，是系統(tǒng)設(shè)計(jì)上真實(shí)存在的疏漏。工程師沒(méi)有主觀惡意，但漏洞客觀存在，損失真實(shí)發(fā)生。

從現(xiàn)在掌握的信息看，美團(tuán)這次在結(jié)構(gòu)上高度相似。

OWASP的移動(dòng)應(yīng)用安全驗(yàn)證標(biāo)準(zhǔn)MASVS，是目前全球移動(dòng)安全領(lǐng)域被引用最廣泛的工程規(guī)范。它在本地存儲(chǔ)這一章里寫得很清楚App 對(duì)本地文件系統(tǒng)必須遵循最小權(quán)限原則，本地文件操作必須做嚴(yán)格路徑隔離，第三方SDK在沒(méi)有明確邊界約束的情況下，不得訪問(wèn)用戶私有文件目錄。

對(duì)照這個(gè)標(biāo)準(zhǔn)，美團(tuán)這次暴露的問(wèn)題是清晰的：對(duì)引入的第三方SDK缺乏精細(xì)的權(quán)限邊界管理，極端系統(tǒng)環(huán)境組合下的測(cè)試覆蓋不足，本地文件操作缺少獨(dú)立的路徑合法性校驗(yàn)。這不是一個(gè)bug能解釋的，是工程體系在這個(gè)具體環(huán)節(jié)上系統(tǒng)性的疏忽。

責(zé)任在，損失真實(shí)，用戶憤怒完全合理，大家罵也理所當(dāng)然。但如果你硬要把它當(dāng)成一家公司在后臺(tái)偷偷刪你照片，那就有點(diǎn)找錯(cuò)靶子了。找錯(cuò)靶子的結(jié)果就是：罵完之后，你以為自己安全了，其實(shí)真正坑你的那個(gè)東西，還在你手機(jī)里。

這才是罵聲蓋住的那個(gè)問(wèn)題。

05. 真問(wèn)題是，不可替代的東西別放一個(gè)籃里

這次事故里有一個(gè)細(xì)節(jié)值得認(rèn)真想一想：很多受害者說(shuō)，那些照片是他們唯一的副本。

沒(méi)有備份。

我們正生活在一個(gè)把越來(lái)越多不可替代的東西塞進(jìn)手機(jī)的時(shí)代。孩子的成長(zhǎng)記錄、父母留下的舊照片、多年前的旅行視頻，這些東西一旦丟失就是真正意義上的永久消失。但我們對(duì)它們的保護(hù)方式，大多數(shù)人還停在“放在手機(jī)里應(yīng)該沒(méi)事吧”這個(gè)判斷上。

數(shù)字安全領(lǐng)域有一條被NIST寫進(jìn)數(shù)據(jù)保護(hù)基礎(chǔ)建議里的原則，叫3-2-1備份法則：

三份數(shù)據(jù)副本，存在兩種不同介質(zhì)上，其中一份在異地或云端。這不是什么高深技術(shù)，數(shù)據(jù)安全也被掛在嘴上多年，道理并不復(fù)雜，難的是大家總覺得“應(yīng)該用不上吧”，結(jié)果哐當(dāng)一下就趕上了。

Fastly的bug潛伏了兩年。AWS的工程師多刪了一個(gè)參數(shù)。美團(tuán)的某個(gè)SDK在特定環(huán)境下走錯(cuò)了路。這些故事的共同點(diǎn)，不是某家公司壞，而是，任何一個(gè)足夠復(fù)雜的數(shù)字系統(tǒng)，在足夠極端的條件組合下，都可能做出讓你意想不到的事。這不是世界末日，但這是事實(shí)。

面對(duì)這個(gè)事實(shí)，最理性的應(yīng)對(duì)從來(lái)不只是罵哪一家公司。更重要的問(wèn)題，是認(rèn)真問(wèn)：

手機(jī)里最重要的那些東西，現(xiàn)在在幾個(gè)地方存著？

如果答案是“一個(gè)”，那今天，就是你做備份的最好時(shí)機(jī)。

我是恒意，咱們下期見～

本文 僅作科普分享使用，歡迎小伙伴們點(diǎn)、收藏、關(guān)注，以備不時(shí)之需，當(dāng)然更歡迎您把 介紹給周邊可能需要的更多伙伴們呀。