“美就是美，真即美”，這是我們所有人在世上所知道的和需要知道的。

——《希臘古甕頌》，約翰 濟慈

從上世紀90年代的DOS模式下殺毒軟件簡單實用的命令參數模式，到今天從終端到應用的五花八門各種安全軟件。安全軟件的產品設計，對許多程序員和廣大計算機愛好者來說，似乎不是一個特別熱門的話題，絕對不會有手機安全或者一個智能汽車安全性缺陷討論來的熱烈。

回顧自己進入信息安全行業20年的短暫生涯，安全軟件的產品設計的深入研究也是從2006后隨著終端安全和“安全***一公里”的提法的熱潮興起才進入自己的視野。而在此之前關注的，除了功能就是性能，畢竟，安全如刀劍，殺傷和防御能力是***元素。以往的安全產品評測中，似乎也很少見到提及此方面的評測案例。

但是360的興起和其對國內安全產業和互聯網市場的攻城略地，的確讓我開始換位思考其中引發的諸多問題和背后的原因，拋開老生常談的江湖恩怨，開始關注其中的安全產品設計要素。我也希望現有安全產品廠商，包括未來的潛在安全新秀，應該開始重視此方面的問題，而不是僅僅將其看為軟件的界面和美工。

在我的職業生涯中，這樣的觀念改變還出現在對國內木馬工具的分析上。許多用于黑產的產品工具技術上談不上多大的突破，但在產品設計中卻是相當的***，以致如今國外也有不少“愛好者”非常喜歡國內做的小工具。

安全產品的設計，在今天這個用戶體驗***，得屌絲者得天下的時代，隨著“泛安全”的興起，安全產品的使用者和體驗者早已超出了專業用戶的范疇，“互聯網入口”的商業模式的駕輕就熟，以及黑色產業鏈的持續擴張和離散式的復雜化，使得各大互聯網巨頭和新興力量如今誰也不敢輕易忽視安全體驗帶給他們的沖擊。

在我看來，安全產品的設計，特別是面向最終用戶的設計，首先必須將冷冰冰的功能表現方式變得輕松而簡單，將其與現實世界的安全體驗更直接的聯動起來并充分借鑒，類似“體檢”、“診斷”的表達去替代安全掃描就是這樣的轉變。如同今天你面對智能家電，絕不會向一個DIY發燒友或者傳統硬件極客一樣，攤開一堆電路板和連接線，讓其充分享受加工才能使用的過程。而是如同越來越智能化的汽車，就像《2012世界末日》黑老大對著飛機里的豪車那樣輕聲說：啟動，千萬不要將之鄙視為傻瓜化的思維，千方百計找出其可能存在的缺陷，用苛刻挑剔的安全風險辨證觀點去左右產品本身的設計。正如黑客總是無數次刷掉蘋果的系統，甚至比賽快速地突破IPhone5S的指紋識別，但實際并改變不了其忠實的粉絲更新換代的欲望，只會增加其產品在媒體和傳播中的曝光率。

安全產品的設計，還在于對安全流程的簡化或者重新組合交互方式，增加對最終用戶的直接交互，減少中間環節。傳統的安全產品，比如令我印象深刻的是早期接觸CheckPoint的防火墻產品，在90年代后期的感覺是為之驚艷，這個評價來自其復雜專業的策略配置，純粹的軟件方式。但其特別復雜的授權方式，比如必須上網通過其網站輸入一些如用戶IP的信息激活形成序列號的方式，迅速被國內外代理商充分發揮而造假，欺騙用戶提供信息而將一個產品利用checkpoint網站管理中心(一般只有代理商才有權限而不會向用戶移交產品賬號)改IP的方式重復銷售謀取暴利和灰色收入。直到大約2004年后隨著互聯網經濟的熱潮與普及，用戶安全動手能力的提高才開始被許多用戶開始發覺而減少，但此時，JUNNIPER等國內外硬件防火墻的快速成長迅速擠占分享了CheckPoint的先發優勢，CheckPoint在中國市場當時取名“查克炮”，一個偉大的安全產品被一群利欲熏心不懂技術的商人玩弄于股掌，以致在渠道內成了調侃的笑料。 

[[88142]]

圖：俄羅斯黑客大會上“破解門鎖”的體驗展臺上，俄羅斯美女都不禁心有戚戚

安全產品的設計，結果的呈現同樣重要，許多安全產品的宣傳頁絞盡心智歸納總結，總能包裝出各種安全概念，比如“防水墻”、智能網關、UTM、網閘。但實際的結果呈現中，在過去對于非專業用戶來說，總是一大堆帶著專業術語的各種日志。雖然現實里，根本沒有足夠好、足夠快、足夠廉價或者足夠安全的概念。但是用戶如果花錢請個保鏢，保鏢只會告訴將自己的裝備和手段拆成攤開成一堆螺絲和指標參數，請用戶自行裁量決策，哪個用戶不會抓狂?當然我不是鼓勵安全產品設計者因此就要胡編亂照采用忽悠小白的做法來瞞天過海，但的確要考慮什么樣的結果呈現有利于用戶認識產品的優勢和取得的效果，的確絕對是非常非常關鍵的要素，這其中唯有的標準是簡單簡介是***視覺，當然你可以同時提供復雜的證據來輔助這簡單后的強大數據。

安全產品的設計，同樣不要忘記用戶本身，雖然安全產品不同于娛樂或消費型產品特別需要用戶注冊和用戶活躍數據。但隨著互聯網經濟的邊界模糊化，有在用戶電腦或手機上表現的機會為什么不想辦法在產品設計上考慮讓你更加了解自己的用戶到底是誰，能否讓用戶更多與產品后面的設計者與開發者互動一定是有利于產品的成長發展以及商業模式以及邊際效益的***化。許多安全產品，包括一些準安全產品(比如家用路由器里也有安全模塊)，非常不在乎用戶的注冊登記和之后的交互，寧愿投入巨大人力物力開通400電話以及猛撲線下渠道代理而不是努力讓自己印刷的三包證書和用戶注冊登記卡不要成為廢紙。我幾乎測試過市面上所有的家用路由器產品，許多產品的登陸入口千年一面，用戶注冊后最多去到一個無人搭理如同政府網站留言板的BBS?？谂诤爸脩?**的設計與營銷居然在互聯網時代***成本與客戶交互的時代下成為空談，***產品死都不知道用戶方面死的原因。當然，筆者堅決反對借助安全入口和產品權限優勢而偷窺用戶信息變相操縱用戶的任何行為和與之相關的設計，那是安全之恥。

安全產品的設計，還要特別細心于升級方式的設計。許多安全產品升級的設計，還是DOS時代的，甚至不如DOS時代。比如許多安全產品升級的設計，還是采用將一堆文件做成壓縮包讓用戶下載替換的方式，雖然提供了MD5的校驗值，但其實有多少用戶會真的去校驗?為什么不在升級程序中直接增加校驗按鈕將之嵌套在升級過程，是否也有對應的回退機制而減少因升級帶來的各種計劃外故障而減少用戶與產品廠商自己的維護成本?

“美就是美，真即美”，這是我們所有人在世上所知道的和需要知道的。但是什么是真，對于安全產品來說，安全之美在于其細致周到地彌補用戶的專業缺乏，其真在于用強大的幕后支撐和前臺的簡單的表現來體現產品的嚴謹和認真。如同專業的保鏢，整潔形酷，墨鏡西服在你身邊一站就讓你倍兒精神，他不需要夸張地伸胳膊踢腿聲嘶力竭的吼叫，也能不怒自威地帶給雇主和客戶以尊嚴。簡而言之，安全之美并不是一個獨立標榜的標志。安全產品的設計如果有了美的基因，則同樣對于可靠性、可用性以及有效性來言也就不是空談。一個拙劣的安全產品設計，其價值和一個普通的榔頭沒什么區別，從地上撿起一塊頑石和磚頭都可以替代。而貫穿于產品生命周期的安全之美，則可讓整個產品的系統設計、開發和部署都趨向***。推薦做安全產品設計的程序員和產品經理，學習比較AK47和日本刀的制作工藝的差異和不同的安全美學奧秘。