中国人即黑客，代码即规则
8月12日晚上，keet，一个号称p2p的隐私聊天软件，中文官方群发生了一件值得琢磨的事。
大致原因是中文群进了一名爱国华人，连续几天鼓吹隐私聊天要接入中国的银行卡支付，遭到群内成员的反感，互相辱骂起来。
然后，后续群里所有人发言均被不明人物举报而被自动模糊发言。keet有个机制，只要有1-2人举报，发言就会自动模糊，只有管理员可以决定是否撤回举报。
问题出来了，管理员不知道是谁举报的。也就是说，只要有一个恶意份子，举报谁谁就被在当前群被自动封号，而且谁也不能把恶意举报者揪出来，毫无疑问，这个群完蛋了。
举报本身是正常的，去中心化从来没有否认审核，也必须审核。
但是一个很关键的问题是如何平衡隐私和滥用。人性的恶，必须用代码来处理，从机制和规则上约束，而不是指望人人按照共识行事。
去中心设计，需要隐私，但是设计者没有搞懂什么叫隐私。
隐私聊天，没有实名注册，但必须实用户名参与。
一个账号匿名举报就能让所有人发言被ban，是不可想象，不能理解的，严重的安全缺陷。
keet的匿名举报规则，明显有严重的缺陷。
nostr 当初设计的时候，没有考虑spam，Daums和Amethyst上线仅仅三天就被中国人污染成公厕，全是广告和黑产垃圾信息。最后nostr中继只能清库，删除某个时间段的所有历史记录。
Apple产品的换货规则同样遭到中国人的滥用，苹果公司最后只能修改规则。
这些都是设计之初对人性的不了解导致。
一个软件和生态，没有经历中国人的铁拳，就不能算一个健全的软件。
很多人讨厌黑客，认为黑客不讲武德，散布cve和威胁，让软件厂商和用户被迫忙碌和认真起来。但是，没有黑客的公开漏洞，这个软件就安全吗？
看起来是安全了，但是地下黑产和灰产并不会放过这个软件，别有用心的少数人也不会放过。
发现代码漏洞的叫黑客，发现规则漏洞的中国人被称为黑客也未尝不可。
利用漏洞的人很讨厌，但是如果你不能在设计初从规则上阻止，那么只能眼看着崩溃而束手无策。
期望用户遵守道德是最无能的梦呓，代码上的严防死守才是唯一可靠的规则。
8月12日晚上，keet，一个号称p2p的隐私聊天软件，中文官方群发生了一件值得琢磨的事。
大致原因是中文群进了一名爱国华人，连续几天鼓吹隐私聊天要接入中国的银行卡支付，遭到群内成员的反感，互相辱骂起来。
然后，后续群里所有人发言均被不明人物举报而被自动模糊发言。keet有个机制，只要有1-2人举报，发言就会自动模糊，只有管理员可以决定是否撤回举报。
问题出来了，管理员不知道是谁举报的。也就是说，只要有一个恶意份子，举报谁谁就被在当前群被自动封号，而且谁也不能把恶意举报者揪出来，毫无疑问，这个群完蛋了。
举报本身是正常的，去中心化从来没有否认审核，也必须审核。
但是一个很关键的问题是如何平衡隐私和滥用。人性的恶，必须用代码来处理，从机制和规则上约束，而不是指望人人按照共识行事。
去中心设计，需要隐私，但是设计者没有搞懂什么叫隐私。
隐私聊天，没有实名注册，但必须实用户名参与。
一个账号匿名举报就能让所有人发言被ban，是不可想象，不能理解的，严重的安全缺陷。
keet的匿名举报规则，明显有严重的缺陷。
nostr 当初设计的时候，没有考虑spam，Daums和Amethyst上线仅仅三天就被中国人污染成公厕，全是广告和黑产垃圾信息。最后nostr中继只能清库，删除某个时间段的所有历史记录。
Apple产品的换货规则同样遭到中国人的滥用，苹果公司最后只能修改规则。
这些都是设计之初对人性的不了解导致。
一个软件和生态，没有经历中国人的铁拳，就不能算一个健全的软件。
很多人讨厌黑客，认为黑客不讲武德，散布cve和威胁，让软件厂商和用户被迫忙碌和认真起来。但是，没有黑客的公开漏洞，这个软件就安全吗？
看起来是安全了，但是地下黑产和灰产并不会放过这个软件，别有用心的少数人也不会放过。
发现代码漏洞的叫黑客，发现规则漏洞的中国人被称为黑客也未尝不可。
利用漏洞的人很讨厌，但是如果你不能在设计初从规则上阻止，那么只能眼看着崩溃而束手无策。
期望用户遵守道德是最无能的梦呓，代码上的严防死守才是唯一可靠的规则。
