漏洞多吗

我上个月给一台2015年的漏洞多老笔记本装了个轻量Linux系统，开机速度从三分钟缩到十五秒。漏洞多朋友问我，漏洞多这系统漏洞多吗？漏洞多我说，比Windows少，漏洞多但比你想的漏洞多多得多。

漏洞这事，漏洞多得看你怎么定义。漏洞多如果指CVE数据库里挂着编号的漏洞多公开漏洞，Linux内核每年也要爆出几百个。漏洞多但问题是漏洞多，绝大多数漏洞躺在代码里一辈子都不会被触发——就像你家门口那条路上有个坑，漏洞多理论上每个骑车人都可能摔跤，漏洞多但实际只有下雨天且车速快且不看路的漏洞多人才会中招。

真正的漏洞多差距不在漏洞数量，而在漏洞的“可用性”。Windows的漏洞之所以被盯得紧，是因为它占了全球桌面系统七成以上的份额。黑客写一个针对Windows的 exploit，能打中几亿台机器；写一个针对某个冷门Linux发行版的，可能连一千台都凑不齐。这不是技术问题，是经济学问题。我认识一个做渗透测试的朋友，他接单时最头疼的客户就是那些用着定制化Linux内核的银行系统——不是漏洞少，而是每个漏洞都要单独研究，成本高得吓人。

换个角度说，漏洞多不多，还取决于你拿它跟谁比。拿iOS和安卓比，苹果封闭生态确实把攻击面收窄了，但前几年那个“越狱”漏洞不也照样让苹果连夜发补丁？拿开源和闭源比，开源代码全世界都看得见，理论上漏洞发现得更快，可这也意味着攻击者同样能白嫖代码审计的成果。闭源系统像黑盒子，你以为它安全，其实只是你不知道里面藏了什么。

我自己的感受是，普通用户纠结“哪个系统漏洞少”基本是伪命题。你装个Windows，只要不点奇怪邮件里的链接，不装来路不明的破解软件，中招概率低得可以忽略。反过来，你就算用着号称最安全的Qubes OS，结果自己把root密码设成123456，那跟裸奔也没区别。去年我帮邻居清理一台“中毒”的电脑，查了半天发现是他在某盗版电影网站下载了个“播放器”，那玩意儿本身就是个木马——跟操作系统半毛钱关系都没有。

所以回到开头那台老笔记本。我告诉朋友，它现在跑着最新版内核，补丁打得勤，但真要论绝对安全，我不敢打包票。可话说回来，这台机器连网银都不登，就用来写写文档看看视频，就算真有漏洞被利用了，黑客能偷走啥？我写了一半的散文草稿？还是浏览器里存着的几个菜谱？

漏洞这事，永远是个概率游戏。你唯一能做的，一是别把自己变成那个最容易击中的目标，二是别把“没被攻击”当成“绝对安全”。至于系统本身——反正我选择Linux，不是因为它漏洞少，而是因为它出问题时，至少我知道去哪看日志，而不是对着一个蓝屏发呆。