顯示具有 Linux 標籤的文章。 顯示所有文章
顯示具有 Linux 標籤的文章。 顯示所有文章

2014年4月23日 星期三

回顧昇陽

    初識SUN,是在13年前2001年的時候,那時tsmc正忙著整合分散於各部門的相關訂單及製造系統,並全面導入ESCM專案(Enterprise Supply Chain Management);在那段期間,一排排藍底印著白字SUN標誌、看來厚實又帶著優雅造型的機櫃陸續進駐機房,在黑暗中閃爍著冰冷藍色、偶爾會傳來著幾聲不太明顯的低沈嘶吼;昇陽的技術人員來來去去,男的專業,女的幹練,我看著他們將筆電接上,透過筆電螢幕敲打著神秘的指令(老天,這些伺服器連顯卡也沒有),後來也有幾人長駐下來,直到最後專案結束;那時的我,還活在微軟的世界裏,看到這些陌生的事物就像是外星來的移民一樣,懷著崇拜又敬畏的心情,才知道SUN的主機正主宰著UNIX工作站領域,Solaris成了UNIX操作介面的標準,也是IT管理人員必備的專業認證之一。

    14年後呢?四月二十一日是Oracle併購Sun滿四週年的日子,當初Sun創始人Scott McNealy 曾拿這句話諷刺夙敵微軟:「世界上只有兩種行業會稱自己的客戶為”使用者”,一個是毒品販子,一個是軟體。」,個性夙來偏激固執的他,把賣軟體與賣毒品相提並論,他的意思是指人們需要不斷地購買並升級微軟軟體的版本,這會讓人們漸漸地陷入誘惑 而不能自拔,但諷刺的是,SUN最終還是被軟體公司所併購,而且是另一家繼Microsoft之後,全球收入第二多的軟體公司。

    由於一開始就以硬體及技術起家,因此Sun非常執著於研發的投入,即使在景氣不好的時候,Sun依然擲下18億美元的研發經費,超過公司13%的銷售額,這個比例遠高出IBM的6%及HP的3%、Dell的2% ;但對於如何推銷及利用,Sun一直就像個門外漢,雖然曾經滿手王牌,擁有很多直至目前仍影響深遠的產品,最終卻只是惠及他人,而無法轉換成利潤。

  從台積電、宏陽到創新,或是分佈在全球其它不同行業的企業,都還擁有為數不少的昇陽機器,它們維持著一貫Sun低調厚實的藍色風格,持續安靜沈穩地座落在機房一角,或許隨著時光消逝,Sun的標誌會逐漸斑駁而被淡忘,然而Java、NIS、NFS、Vi、Grid Engine、OpenOffice、mySQL等曾經代表著Sun的創新及技術,卻將持續應用在每項IT技術領域,綻放著它們的光采。

    下面我以一些歷史性的圖片,綜合網路上搜集到的資料,記念並回顧這家曾經興盛一時、但以坎坷作終的昇陽一生。

SUN的代表人物

1982 – SUN的誔生
http://www.infoworld.com/sites/infoworld.com/files/imagecache/slideshow_slide/media/image/sun1_groupshot.jpg
  SUN,名稱的由來是Stanford University Network三個字母首字縮寫,由當初還是史丹福大學電腦工程博士生的Andy Bechtolsheim(右邊第二人)和Vinod Khosla(最左邊,史丹福MBA)所創立,Khosla稍後再找來了同為史丹福大學MBA的同伴Scott McNealy(最右側)於1982年二月成立昇陽,推出了第一台工作站SUN-I。


http://photo19.hexun.com.tw/p/2010/0202/383855/b_vip_E9D0451324B183C5D46FAA546F951FE0.jpg
但由於SUN-I所搭配的UNIX在使用上並不是很順暢,造成效能的瓶頸,因此他們後來找來Sun的第四位創始員工,一位曾經參與開發Unix BSD的加州伯克來博士生Bill Joy(左側第二位),他對UNIX非常在行,在他的調教下,第二代的SUN-II迅速推出,而且廣受歡迎。

SUN-I 第一代工作站
SUN第一位CEO: Khoslahttp://t0.gstatic.com/images?q=tbn:ANd9GcR0bT1uhb8ZdV_aFqPrWpQJrIGn87NZYfBrx8Kmbd-vlgj575xf9w
 
SUN第一位CEO是由Khosla 擔任,他是印度人,當年Stanford MBA畢業後曾經參與了一家新公司的創建,他負責CAD相關工作;由於CAD需要效能優越的工作站,因此他嗅到了此類的商機並打算以此創業,他回到母校Stanford尋找可以協助他的幫手,結果與一位電腦硬體高手Andy Bechtolsheim聯繫上了,兩人一拍即合,共同成立了SUN。

  但1984年即兩年後,Khosla就退出一手創立的Sun管理層交給McNealy,他當年才30歲,理由是覺得已經完成創立世界一流公司的大業,完全可以選擇退休,做自己想做的事情。後來也的確如他所願,1995年,Khosla和幾個合作夥伴攜手支持創立網景,16個月後該公司上市,股價迅速上揚,大大刺激了後來被稱為"互聯網泡沫"的上市狂潮。此後,Khosla亦曾投資網站Excite、@Home、Amazon等公司。投資的公司都在短期內贏得響噹噹的名聲,股價連續翻番,帶來巨大回報。

SUN的第二位創始員工: Andy Bechtolsheim

http://upload.wikimedia.org/wikipedia/commons/7/7e/Andreas_bechtolsheim.jpg
  Andy Bechtolsheim是德國人,當時還是Stanford博士生,正負責Stanford校園的網路管理工作,他與Khosla一談即合,很快的便提出一份六頁的創業計劃,從創投業者獲得了28.4萬美元的創業資金,便開始了籌備Sun的創業事宜。

  左圖為Andy Bechtolsheim的近照,他後來將事業重心轉向創業投資,慧眼視英雄的眼光無人能敵,業界流傳最廣的故事是,在1998年時,他曾寫下一張 $10 萬美元的支票,開給當時尚未登記公司的Larry與Sergey,隔月,他們兩人便以Google的名稱創立公司並開立銀行帳戶,兌現 Andy Bechtolsheim 所寫下的支票。
Sun在位最久的CEO: Scott McNealy
  自1984年起,Scott McNealy就開始擔任Sun公司董事長和CEO之職,是Sun在位最久的CEO,這段長達二十年的歲月裏,他將公司帶上了歷史的巔峰,亦讓公司墜入痛苦的深淵,他的評價兩極,但對於他的個性見解倒是一致的:執著、固執、堅持理想、義無反顧,他曾經有句名言:「人云亦云並不是大智慧」,輿論與媒體皆認為從這句話開始,他逐漸變成一個無法被說服的人,並為此付出代價。http://www.emergingprairie.com/wp-content/uploads/2013/08/mcnealy.jpg


  離開Sun之後,Scott McNealy於2012年創辦了Wayin,一家專精於社交網路的行銷公司。




Sun的首席科學家: Bill Joy

  1982年,Bill Joy加入了Sun成為第四位聯合創始人,並且一直擔任首席科學家直到2003年,在Sun期間,他協助設計了Sparc微處理器,並將之前自己領導開發的BSD繼續發展成為Solaris作業系統。另外,他引人注目的貢獻還包括TCP/IP、vi、NFS和C shell,如今這些軟體都已經廣泛的使用在Solaris、BSD、GNU/Linux等作業系統中,而且開放原始程式碼給其他人無償使用、改進,為自由軟體的發展作出了極大的貢獻。http://upload.wikimedia.org/wikipedia/commons/e/e2/Bill_joy.jpg

  2003年,Bill Joy退出了自己工作了20多年的Sun,其實在此之前,Sun已經在走下坡了,他的離開更對於Sun更是一個沉重的打擊。

SUN的歷史回顧

1983年 The network is the computer


Sun的著名口號網路就是電腦其實並不是McNealy創造的,它是1984年由Sun的第五位員工John Gage提出,一直到今天的Internet時代,這句話依然影響深遠。當初主要的想法,是透過網路讓所有的主機連結到伺服器,這些主機指的是沒有硬碟的電腦,也就是低價桌上型電腦,屬於一種thin-client。http://www.infoworld.com/sites/infoworld.com/files/imagecache/slideshow_slide/media/image/sun3_JohnGage.jpg

  這部影片https://www.youtube.com/watch?v=kWNtaUaDxZw 是當年SUN的宣傳廣告,很難想像這是20多年前的影片,裏面的場景與現今的網路世界相差無幾。

1986年納斯達克掛牌上市


https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiHuW6BzBEnEgKMuZr4oYEMX45E4j4WcueIHt0_uyRkvOQVAypWD81i-dYhBzehI9mLK3mqVHyQT5gExOmaDam3xv_vBVl1GXIZl4CdxnDGGEpxCeZZ3BpexuC3i1Ytl4u27Y8Dpndr2EpI/s400/sun_microsystems.jpg
  Sun公司在納斯達克掛牌上市,當時的股票代號是SUNW,即太陽工作站的縮寫。


1989年籌組"SPARC聯盟"

  橫掃工作站領域的Sun,開始計畫涉足個人電腦,為了打破Intel對微處理器市場壟斷的格局,Sun公司效仿Intel當年成功的經驗,以全新的SPARC晶片為招牌、UNIX操作系統為後盾,聯手多家著名的半導體公司如日本的東芝公司、富士通公司以及美國德州儀器公司等共同籌組了"SPARC聯盟",力圖搶占英特爾公司的微處理器市場。http://www.infoworld.com/sites/infoworld.com/files/imagecache/slideshow_slide/media/image/sun4_sparcChip.jpg

  但最終,此開放性的聯盟架構終以解體告終,原因之一是因為SPARC晶片雖然開放,但與硬體搭配的Solaris操作系統卻未開放,造成整體的競爭力不足。

1995年Java正式對外發佈

  Sun公司的Java正式對外發佈,CEO Scott McNealy四處奔走,簽署了一個又一個Java授權合同,網景、Oracle和IBM等公司都表態支持Java。Sun希望靠著免費授權的Java,夠帶動硬體的需求及營收。
 http://www.infoworld.com/sites/infoworld.com/files/imagecache/slideshow_slide/media/image/sun6_goslingJava.jpg


  的確,Java為Sun帶來了榮耀,也帶動了Sun的伺服器和作業系統的銷售,但SUN仍抱持著利用軟體來賣硬體的觀念,未能創建有利可圖的Java工具與中介軟體業務,結果反而是Java帶給IBM、HP、微軟等廠商的利益更大。

1997年Sun控告微軟

(由左至右: Bill Gates, Scott McNealy, 網景總裁Jim Barksdale)
  微軟的口號是:「讓每個桌面都運行我們的軟件」,而Sun則堅信「網路就是計算機」的理念,致力於生產和開發價格低廉的網路電腦和網路相關技術,讓用戶最終擺脫微軟作業系統的束縛。Bill Gates with Sun Microsystems president Scott McNealy and Netscape Communications Corporation president Jim Barksdale as they testify before the U.S. Senate judiciary committee on anticompetitive issues and technology in March 1998. Reproduced by permission of AP/Wide World Photos.
  為了削弱Java在跨平臺技術的影響力,微軟設計出只能在Windows作業系統下運行的Java版本,造成Sun對微軟閹割Java技術的行為不滿,因為Java本質上即是作為一種可相容各種操作系統的跨平台技術。為此,Sun於 1997年10月將微軟告上法庭,並要求微軟支付3500萬美元違約賠償金,兩家公司各不相讓,官司久拖不決。直到三年後2000年1月23日,微軟同意支付 2000萬美元,以便能在現有的產品中繼續使用Java,此長達3年的官司終於在庭外實現了和解。

1999年我們是.com前面的那一點

   Sun攫取了.com泡沫帶來的巨大利潤,其市值一度膨脹為2000億美元;但這是商業史上的一個不正常的燒錢時期,.com公司不按商業規律的瘋狂燒錢,大量的.com公司無暇考慮性價比,從Sun那裡購買大批的伺服器建構一幅幅未來的願景,造成Sun的市值一度攀升到2000億美元的最高峰,股價高達每股247美元。
  Scott McNealy領導下的Sun則對此很陶醉,志滿意得的Scott McNealy稱:「我們是.com前面的那一點」,而未注意到這種現象只是曇花一現。http://www.infoworld.com/sites/infoworld.com/files/imagecache/slideshow_slide/media/image/sun8_stockChart.jpg
   企業需要長遠的規劃,時運好的時候賺錢容易,但在時運不好的時候仍然能夠熬過難關,才是基業長青公司的生存秘訣。


2001年堅持研發之路

  2001年網路泡沫破滅,許多科技大廠紛紛裁員,大砍研發預算,轉型低成本產品,以Sun來說,在網路泡沫化後的短短三年內,Sun的銷售大幅下滑48%,佔有率也掉了1∕3。http://www.infoworld.com/sites/infoworld.com/files/imagecache/slideshow_slide/media/image/sun9_technologyArray.jpg

  但Scott McNealy還是拒絕跟進其它公司的縮衣節食措施;Sun是矽谷大公司裡,最後一個開始裁員的,在2001年3月思科大砍18%員工之後的半年,Sun才第一次開始裁員3900人,不到當時人數 的10%,而當對手HP、IBM相繼大砍研發預算,Dell也只花利潤的2%做研發時,Scott McNealy卻堅持一定要17%。

2002年推出低價伺服器

  儘管似乎有些為時過晚,Sun還是推出了自己的低價伺服器,這是一種基於Intel晶片但使用Sun自己Solaris作業系統的設備。http://regmedia.co.uk/2007/01/25/sintelslide.jpg

  推出這種低價伺服器是冒著很大風險,它侵蝕了長久以來Sun公司建立起的品牌形象,原本為銷售高端伺服器所建立起來的商業模式因此變得混亂,而且這種低價伺服器需要更大的銷量來確保利潤,而這正是Sun所不擅長的;另外由於和微軟之間長期的爭鬥,儘管採納了Intel晶片,但Sun並不打算推出採用Windows作業系統的伺服器,還是堅持使用自己的專有作業系統Solaris。

  跨入低價伺服器領域,雖然延長了Sun存活的時間,但終究還是抵擋不住Linux更為低價興開放的架構,讓後來Scott McNealy自己也懊悔的說,「如果我們當初早點讓Solaris裝進Intel盒子裡,跑在x86的平臺上,就不會有今天的Linux。」

2004年與微軟和解

(圖左側為Scott McNealy,右側為當時的微軟CEO Steve Ballmer)

https://www.microsoft.com/global/en-us/news/publishingimages/images/press/2004/04-02sunmicrosoft85BAC6DB_Print.jpg
  微軟在擊垮了網景的流覽器之後,成功地進入了互聯網時代,其主要對手已轉換為Google、Oracle,它已不太把Sun放在心上了。微軟想了斷這場恩怨,因此在2004年4月,微軟向Sun支付19.5億美元,解決Sun對微軟違反Java語言授權合約的指控。
  由於與微軟的鬥爭,讓Scott McNealy長期以來,一直保持著對微軟的「敵意」,但這次Sun董事會卻計畫與微軟、IBM、英特爾和解,這使得Scott McNealy很痛苦,讓他萌生了離職的念頭。

2005年Niagara伺服器上市

  當前幾年Intel和AMD在多核、低功耗上爭得塵囂甚上時,人們誤以為這些先進的處理器理念就來自於它們,但大家都錯了;早在1995年(19年前),那時產業界還執著於提升單個處理器運算速度,Sun的技術天才Marc Tremblay就已經前瞻地發現,這一技術策略有個致命缺陷:處理器運算越快、散熱越大,當達到一定極限時,處理器將因為無法解決散熱問題而停滯在某個速度上,因此,他提出多核理念,讓每個核心的運算頻率降低,讓多核同時工作,亦可使得運算效率提升,但解決散熱的問題,與此同時,他還另外提出一個讓單核運行多個應用,以提高處理器的運算能力的概念(類似Intel後來的multi-thread技術),這樣,就可以研發出低功耗的高效能處理器,這些理念比英特爾和AMD都要早。http://www.golem.de/0511/41597-niagara.jpg
   當年,Sun雖決定投入此技術的開發,但遲至2005年才有名為Niagara的伺服器產品推出,這段長達10年的漫長研發週期已經讓Sun失去了主宰市場的機會,為什麼要這麼久?因為,在這10年的前6年中(1995-2001),Sun一直沉迷於網路泡沫帶來的蜜罐中,如果Niagara能夠早5年上市(英特爾一個新產品從研發到上市的週期),伺服器市場的格局將不會是現在這樣。


2006年Jonathan Schwartz接任CEO

  2006年Scott McNealy終於交棒給他欽點的41歲接班人史瓦茲(Jonathan Schwartz),結束了長達20對Sun的掌控;這位喜歡綁著馬尾的執行長,在交棒的前兩年被任命為總裁兼營運長,曾經讓許多人跌破眼鏡。http://trialx.com/g/Jonathan_Schwartz-5.jpg
       《BusinessWeek》形容當時才38歲的Jonathan Schwartz心思敏銳,但是缺乏經驗;高傲、與人有距離感,也讓當時內部有些反彈。
       Jonathan Schwartz上台後,在砍預算及裁員方面並不手軟,上任一年內,將原本8.64億的虧損,一度轉為4.73億盈餘。
     美國《BusinessWeek》形容,「如果Jonathan Schwartz成功,將是矽谷網路泡沫以來,最戲劇化的敗部復活。」只可惜這件事並沒有發生。 原因是史瓦茲剛接手的昇陽,營運狀況並不理想,而他採行的軟體開源化策略,最後也未能及時帶領公司轉型成功。
  後來Jonathan Schwartz和提攜他的Scott McNealy為了Sun最終該情歸IBM還是Oracle而開始意見不合,最後,2012年4月,在一場Oracle指控Google Android使用Java API的一場聽證會上,Jonathan Schwartz和Scott McNealy兩人公開決裂,Scott McNealy力挺他的好友Larry Ellison對於Google的指控,Google濫用的Java API並不屬於免授權的開源碼範疇之一,而Jonathan Schwartz則在會中告訴主審官及12位陪審團,他認為Google使用的Java API屬於開源碼,不需要取得授權。

2007年Nasdaq代號改成JAVA

  2007年,被形容已病入膏肓的Sun決定將那斯達克(NASDAQ)的代號由SUNW改成JAVA,企圖改造昇陽的品牌。http://www.tasgall.com/web/2007/08/sunw.jpg
  Java是昇陽的重要資產,全球擁有上億個用戶,多年來,昇陽持續投資了數百億研發Java,但卻無法為公司賺錢。根據統計,直到2009年,Java其所占公司的利潤,只有2%,因為Java的利潤主要來自授權金,Sun所研發這種程式語言,可以在任何硬體環境執行,但卻不一定需要使用昇陽本身的機器。     

2008年購買MySQL資料庫

  當時日子已不太好過的Sun,仍花了10億美元購買MySQL這個開源資料庫廠商。https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEioJKkYiMP2MLKoDZdDgLeqRoa8ZcnssD3iQU7gYX2tc0825HWjY48iDUx4U_2ggItw9V_QZWac3osl5eDERHO6JUFVLTGFyy-k8tzDRUIgwfJcSWalxBZ327KWaJFOTeNYJa6JEUkem2E/s320/sun_mysql.jpg
  Sun對開源有兩個設想:首先,軟體開源後可以吸引更多的客戶使用,從而有可能讓更多的客戶選擇購買Sun的硬體產品;其次,將開源軟體交與社區,讓全球無數愛好 者加入到軟體的開發上去,這樣可降低軟體發展成本。


2009年IBM還是Oracle?

  最早有意收購Sun的是IBM,但在與IBM進行了將近兩個月的拉鋸戰式談判後,Sun拒絕了收購要約。http://www.technologyreview.com/sites/default/files/legacy/sunibm_red_x220.jpg
  新CEO Jonathan Schwartz出身自軟體業,並不屬於硬體文化,但他2004年他接手的Sun是一個十足的爛攤子。引介他進來的Scott McNealy一直被他尊奉為IT教父,謙和的Jonathan Schwartz很少與之衝突,雖然直至他收官之時,忍不住還是與Scott McNealy發生了意見不和。
  Jonathan Schwartz懂得,IBM相對於Oracle是更好的Java的接受和發揚者,主張將公司賣給IBM,但是長期以來一直與IBM爭鬥、對IBM一向抱有成見的Scott McNealy卻更願意賣給私人朋友Larry Ellison,此時,占上風的決策選擇是「唯親」而非「唯賢」。
  

2009/4/21 Oracle收購Sun。

  在外界一片意外聲中,全球大型商業軟體商Oracle終於如願的跨入硬體事業,於2009/4/21宣佈以74億美元買下在矽谷的鄰居Sun。

http://tctechcrunch2011.files.wordpress.com/2009/04/oracle-sun.png
    左側為Scott McNealy,右側為Oracle CEO Larry Ellison





目前



http://photo16.hexun.com.tw/p/2009/0315/305822/b_vip_926E12C2671E5A4B791C6F0179DFE370.jpg
http://photo16.hexun.com.tw/p/2009/0315/305822/b_vip_9E4E71D07CA9920B4EF8D50E9109F39F.jpg
Sun總部的核心部位鐘樓(Clock Tower),旗桿上飄揚的是美國國旗和加州州旗。

當年佔地廣大的辦公室已由Facebook在2011買下,成為Facebook總部;過去每位昇陽工程師都有自己的專屬辦公室,不可一世,如今變成當下最流行的「開放空間」,一覽無遺的工作環境便於工程師們溝通討論。

http://www.twdeco.com.tw/Twdeco/emag/space/space-img/0603-02.jpg



    就在Sun即將被正式併購的前一天,2010年1月26日,Scott McNealy發了一封標題為"Thanks for a great 28 years"的 final goodbye memo給全公司員工,作為Sun任職最久的CEO(長達20年),他的心情想必是非常的複雜,文中除了感謝員工,也為併入Oracle辯解 "While it was never the primary vision to be acquired by Oracle, it was always an interesting option,",McNealy也為自已作了解脫 "To be honest, this is not a note this founder wants to write,"他在Memo中提到 "Sun in my mind should have been the great and surviving consolidator. But I love the market economy and capitalism more than I love my company."

    以下是memo全文,也作為本文的結尾:

Subject: Thanks for a great 28 years
Date: Tue, 26 Jan 2010
From: Scott McNealy
To: [all Sun employees]

Gang,

   When I interviewed many of you for employment at Sun over the years, one commitment often made was that things will change above, below, and around you faster than any place you have ever been. Looks like this was one area we exceeded plan for 28 years. While it was never the primary vision to be acquired by Oracle, it was always an interesting option. And this huge event is upon us now. Let's all embrace it with all of the enthusiasm and class and talent that we have to offer.

   This combination has the potential to put Sun, its people, and its technology at the center of yet another industry and game-changing inflection point. The opportunity is well-documented and articulated by Larry and the Oracle folks. Not much I can add on this score. This is a very powerful merger. And way better than some of the alternatives we were facing.

   So what do I say to all of you, now this is happening?

   It turns out that one simple message to the large and diverse Sun community is actually quite hard to craft. Even for a big mouth who is always ready with a clever quip. The community includes our resellers and customers, our current and former employees, their friends and families who supported our employees on their mission to change the industry, our investors, our supply and service partners, students and educators, and even our competitors with whom we often collaborated.

   But let me try. Though nothing I could write comes close to matching the unbelievably strong and positive emotions I have for you all. See, I never was able to master dispassion. I truly loved starting, running, and living Sun. And the last four years have not been without serious withdrawal. And the EU approval rocked me more than it should have.

   So, to be honest, this is not a note this founder wants to write. Sun, in my mind, should have been the great and surviving consolidator. But I love the market economy and capitalism more than I love my company.

   And I sure "hope" America regains its love affair with capitalism. And except for the auto industry, financial industry, health care, and some other places (I digress), the invisible hand is doing its thing quite efficiently. So I am more than willing to accept this outcome.

   And my hat is off to one of the greatest capitalists I have ever met, Larry Ellison. He will do well with the assets that Sun brings to Oracle.

   What we did right and wrong at Sun over the years might make for interesting reading. However, I am not a book writer. I am a husband, father of four, and a builder and leader of people who want to make a difference.

   But spare me a bit of nostalgia. Not of the mistakes we made, and lord knows I made a ton. But of the things we did right and well.

   First and foremost, Sun innovated like crazy. We took it to the limit (see Eagles). And though we did not monetize our inventions as well as we could have, few companies have the track record in R&D that we had over the last 28 years. This made working at Sun really cool. Thanks to all of you inventors and risk takers who changed how we live.

   Sun cared about its customers. Even more than we cared about our own company at times. We looked at our customer's mission as more important than ours. Maybe we should have asked for more revenue in return, but our employees were always ready to help first. I love this about Sun, which I guess makes me a good capitalist, if not a great capitalist.

   Sun did not cheat, lie, or break the rule of law or decency. While we enjoyed breaking the rules of conventional wisdom and archaic business practice, and for sure loved to win in the market, we did so with a solid reputation for integrity. Nearly three decades of competing without a notable incident of our folks going off course morally or legally. Not all executives and big companies are bad. Really. There are good companies out there. Special thanks to all of my employees for this. I never had to hide the newspaper in shame from my children.

   Sun was a financial success. We paid billions in taxes, salaries, purchases, leases, training, and even lawyers and accountants for devastatingly cumbersome SOX and legal compliance (oops, more classic digression). Long-term and smart investors made billions in SUNW. And our customers generated revenue and savings using our equipment in countless ways. Many employees started families, bought homes, and put them through school while working at Sun. Our revenues over 28 years exceeded $200B. Few companies make it to the F200. We did. Nice.

   Sun employees had way more fun than any other company. By far. From our dress code ("You must!") to beer busts to our April Fools' pranks to SunRise to our quiet enjoyment at night of a long, hard, well-done day of work, no company enjoyed "work" more than Sun. Thanks to all of our employees past and present for making Sun such a blast.

   I could go on for a long time reminiscing about the good and great stuff we did at Sun, but just allow me one last one. We shared. Not the greatest attribute for a capitalist. But one I could not change and was not willing to change about Sun while I was in charge. We shared in the success of Sun with our resellers. With our employees through stock options, SunShare, beer busts, and the like (for as long as Congress would allow) and through our efforts to keep as many of them on board for as long as possible during the inevitable down cycles. With our partners through the Java Community Process, through our open-source collaborations, and licensing strategies. With our customers through our commitments to low barriers to exit. Sun was never just about us. It was about we. And that may be a bit of the reason we are where we are today.

   But I have few regrets (see Sinatra's "My Way") and will always look back at Sun and its gang with only pride. Enormous pride. You are the best this industry ever had, though few outside of Sun recognized it.

   And what we are about will live on in Sparc, Solaris, Java, our products, and our spirit. Well past everyone's recollections of what we did together. I will never forget, though.

   Oracle is getting a crown jewel of the technology industry. They will do great things with Sun. Do your best to support them, and keep the Sun spirit alive and well in the industry. Our children will be better for it.

   Thanks for the off-the-charts support to everyone who ever carried a Sun badge, used our products, or helped our company through the years.

   And thanks to my wonderful wife, Susan, who gave this desperado (see Eagles) a chance to choose the Queen of Hearts before it was too late.

   Someday, hopefully, you will all get to see or meet her and my other life's works named Maverick, Dakota, Colt, and Scout. If you do, perhaps you will understand why I stepped back from the CEO role four years ago. And why I feel like the luckiest guy in the whole world.

   My best to all of you, and remember:

   Kick butt and have fun!

   Scott


http://i671.photobucket.com/albums/vv77/ZINOVSKY/bye-sun.jpg

2014年4月16日 星期三

HeartBleed

http://o.aolcdn.com/hss/storage/midas/9e9126401a8067322599f1e3a2f36e59/200018786/018.jpg
    最近在資安業界沸沸揚揚的一個話題,就是全球普遍使用的OpenSSL加密技術,出現了一個重大的人為疏忽;這個被命名為「HeartBleed」的漏洞,原本是一個很單純的程式思慮不週錯誤,在二年前由一位德國軟體開發工程師Robin Seggelmann針對openSSL所作的一系列功能更新中被上傳,而隨後openSSL的例行檢查人員也沒有注意到這個問題,因此該bug就隨著更新版本而散發出去了;依據「時代」以及「Time」等雜誌報導統計,全球預估有近三分之二的網站伺服器都有使用OpenSSL協議,因此「HeartBleed」影響範圍之大,被外媒形容為「最危險的網路安全漏洞」。

關於SSL

SSL是Secure Socket Layer的縮寫,最早由Netscape公司所提出,可在Internet上提供兩個端點之間的加密性傳輸,目前已廣泛的應用在HTTP連線上,例如,當我們以「https://」方式連上網站,如果瀏覽器的右下角或網址列旁有一個鑰匙,即代表該網站有支援SSL。


SSL不僅使用於網站的加密,也大量應用於各項網路服務中,例如企業界常用的VPN傳輸的加密(SSL VPN),以及各項應用程式、手機APP網路傳輸的加密等等;而這次的主角openSSL屬於開放原始碼的SSL套件,不單是各種Linux版本的預設安裝套件,也廣泛應用於不同的商業、或非商業性質的軟體及服務中,因此,當消息傳出時,各家大型的網路業者及知名的IT巨頭們都列名其中,成了受害者之一。

影響與修復

    據瞭解,受影響的版本是2012年三月所發行的1.01版,最近剛剛於2014/4/7 release的1.0.1g版本看來則是針對該bug予以修復,所以不受影響;但1.01版至今已經兩年多了,累積已有眾多的服務與Linux版本皆是使用該版本,看來影響的範圍的確不容小覰。

    幸好這次的問題,只要透過升級openSSL或安裝hotfix便可解決,且截至目前尚未有正式的災情傳出,因此受影響網站及伺服器皆很快於短時間內便可修復或升級(註一及註二),但最大的問題在於,從漏洞產生至今已兩年了,這段時間會不會有駭客已透過該漏洞竊取了眾多的機密資訊?美國政府是不是如謡傳般早已利用該漏洞進行長期的監控工作?另外根據報導指出,知情人士表示 NSA(U.S. National Security Agency) 早在兩年前就已經知道此漏洞,並且利用這個漏洞竊取許多網站的機敏資料?這些個人及組織機密資訊的外流,恐怕是後續最另人擔心的問題所在。
   

凌陽創新的伺服器有沒有受影響?

    令人慶幸的,平時病毒與駭客們的最愛「微軟」系統這次置身事外暫無影響(影響列表請參考註三),這是由於IIS使用的是SSPI (Security Support Provider Interface)而非SSL,微軟利用這個API來進行跟openSSL類似的相關認證動作;創新對外的網站與服務,大部份架設於微軟系統的主機(Webmail、VPN、DNS、WEB server、eOrder等),其它的Linux主機,則不使用SSL服務(例如HAVP、SQUID等)。

    而除了微軟,蘋果的系統Mac OS與iOS同樣也沒有受到影響,因為最新版的Mac OS系統使用的仍是0.9.8版本openSSL,而iOS則根本沒有openSSL;但所謂的沒有影響指的僅僅是提供服務的主機這端,對於系統業者來說,他們大可宣稱他們的系統是安全的,但對於使用者來說,由於曾經或目前正在使用的服務來自不同的廠商與系統,因此,對於消費者來說,無法保證目前存放於網路的資料是絕對安全的。

「HeartBleed」這個漏洞是如何造成的?

    這個造成全球恐慌的漏洞是如何造成的呢?它是如何讓個人資訊透過這個漏洞洩漏出去的?Eric Limer在他的個人網站(http://gizmodo.com/how-heartbleed-works-the-code-behind-the-internets-se-1561341209)上作了詳細而且清楚的解釋,顯示出這麼一小段人為的疏忽所造成的漏洞,有多麼容易讓有心人士竊取資料,雖然目前並無證顯示有駭客曾利用此漏洞發動攻擊,但若非openSSL自行主動地公告,否則Yahoo、Google、Flickr以及Imgur等等知名的網路公司,兩年多來一直曝露在脆弱的資安環境下可能還不自知,眾多的資安團隊形同虛設。
但幸運的是,openSSL這個開源的程式碼,就公開的攤在陽光下讓我們去檢視,無所遁藏,我們可以深入的瞭解這個問題是如何的發生,如何的被修復,也值得我們去探討與省思:免費的開源程式,最引以為傲的就是它面向每位開發者,所有的程式碼開放給任何人下載檢視,理應是最安全的,但就是在這樣眾目睽睽的情況下,兩年多的時間,甚至於是有經驗的程式專家,都沒有人注意到這段程式碼的問題。



關於SSL heartbeat的程式碼問題

當兩台主機準備好要進行加密的溝通之前,會先開始一個稱為「心跳heartbeat」的動作以確認雙方有持續的保持連線,這個動作,也是這個漏洞的源頭,所謂「HeartBleed」名稱的由來。
兩台主機定時的傳送接收並回覆給對方資訊,以確認彼此都還存活而沒有斷線,這就是heartbeat動作;現在假設client端(你的PC)傳送了一個heartbeat位元到server端(假設是銀行主機),理應銀行主機會立即的回應heartbeat(在SSL為回傳client所傳送的內容),這是一個很自然的確認過程,就好像一個舊式的錄音帶有兩個齒輪的轉軸,兩個不是一起運轉,就是同時停止,若發生了一個轉軸卡住了,另一個也會無法動彈。
這制式的過程,每日都會發生在全球數百萬計的主機上,但就是下面這麼一段簡單的程式碼,把它給搞砸了:
    memcpy(bp, pl, payload);


說明:
    memcpy是一個拷貝資料的指令,它需要傳入三個參數:bp、pl、 payload

    bp:要拷貝資料的目的地,所在的最後一個記憶體位址
    pl:要拷貝的資料的記憶體區段
    payload:數字,定義所要拷貝資料的大小

    程式設計師在程式中操控記憶體以執行資料的拷貝,要顧慮到相當多的因素,其中一項是「空的記憶體」;在上述三個變數中,bp是拷貝的資料所要放置的目的地位址,而在這個定義好的記憶體區段內,並不是空的,而是一直都有資料被放置其間,但他們可以被其它新的資料覆蓋、取出、再覆蓋,所以電腦(或者程式設計師)會將要使用的記憶體區段視為空的可使用的。

    現在,理想的情況下,memcpy指令從pl取出了資料並依據payload指定的資料大小,放到指定的記憶體區段bp,資料放過去之後,原先該區段下payload大小的舊資料便會被新資料給覆蓋取代,沒有意外的話,所指定記憶體區段下的舊資料會被新資料覆蓋,並持續進行這個步驟。

    但,如果payload這個值在說謊,或者說,給了一個錯誤的payload值,會發生什麼情況?假設現在payload的值定義pl有64KB大小,但實際上pl的內容卻是空的,memcpy指令還是會依據payload的值騰出64KB的記憶體空間給pl,但實際上卻因pl內容是空的不會有任何資料被覆蓋,造成64K區段的舊資料還留在原處,這段原本要被覆蓋的資料內容,有可能是無用的垃圾訊息,也有可能是銀行帳號、密碼等,但無論如何,這段程式碼發生了原先沒有想到的狀況:原先的舊資料沒有如意料中的被覆蓋。

    例如下方是主機所回傳的內容,這些訊息就位於原本該被新內容覆蓋的區域,但主機卻誤信payload的長度而回傳。
https://pbs.twimg.com/media/BksqeV-IEAAl4i2.png

    如果還不是瞭解上述的程序,Eric Limer另外用了一個有趣的例子來說明這個意外的狀況:
    假設你有很多的相片,你打算去隔壁商店買一個盒子將它們裝進去,但是那家商店的夥計有個特點,他很笨,而且不會算數。
    現在你帶著100張相片走進這家店,將相片放在櫃檯上並且說:「我有100張相片!」,顧店的夥計看了看,說:「我這邊剛好有可以放100張相片的盒子」,他彎下腰來從下方取出了一個盒子,「就是這個,以前有人把這個裝100張相片的盒子放在這裏,但是現在沒有人會需要這個盒子了。」
    說完,夥計從盒子裏取出了一張相片,燒掉它,然後把你的一張相片放進去,繼續著一直重複作這個動作,直到將你所有的100張相片都放進去為止,最後盒子裏放滿了你的相片,而舊的相片都已經燒掉了,這個盒子裏面都是屬於你的相片。
    但是,如果將時光倒回去,你跟夥計說「我有100張相片!」,但你卻在桌上只放了一張相片,那個不會算數的夥計依然取出了一個100張相片的盒子,從裏面取出一張相片,燒掉,然後放入一張你的相片,但是就這麼一張,因為桌上沒有任何相片了;夥計相信你的話盡責的完成了他的工作,而你也帶著99張不屬於你的相片回家,可能的話,你也可以跟他說你有100相片,但卻沒有給他任何相片,而那個愚笨的夥計會直接把裝了別人的100張相片盒子給你。
    將場景推回實際的Heartbleed中,那些需要燒掉的相片就是記憶體區段中需被覆蓋的資料,可能是其它人的email address、password、帳號等等;主機所回應的64KB記憶體區段可能是隨機的,因此你每次得到的資料可能不同、或是某個片段的資料,但是,你可以重複的進行這樣的行為,以拼湊出有用的資料,只要你像例子中持續的向夥計要盒子一般,持續的向主機送出heartbeat資訊,一次又一次就可以了。

我們學到了什麼?

    目前openSSL已修復了該段程式碼,就是要在執行拷貝動作之前,先檢查heartbeat傳送的資訊,是否為空資料,若有值,則再檢查資料的數量是否與宣稱的相符合,通過後才執行指令。
    其實這種程式錯誤相當的普遍,我們經常聽見的「buffer overflow bug」就是這類的情況;一個有經驗的程式設計師都應先驗証對方所提供的資料是否有誤,從基本的資料長度檢查到資料的內容,都些是必要不能省略的基本步驟。
    這次事件,也給予了認為Linux比Windwos安全的人們一個震撼教育,雖然這次是在尚未發生嚴重災害前即由官方立即公開並修復,但沒有人能夠擔保下次會不會有相同的情況發生,還能不能夠這麼幸運尚未成重大災情!開源程式碼是否依然安全的議題,也開始在眾多使用開源的網民與企業間投下陰影,開源碼組織所依賴的「peer-reviewed」(同儕檢視)方式是否能防止疏忽或任何有意的程式漏洞,還是需要另外成立一個主動的驗證機制?我們真的需要感謝這次的HeartBleed事件,它讓問題突顯出來並等待我們去正視改進。


註一:網站
Qualys 分析
官方回應「心在淌血」處理進度











.
Google
通過
已修正,但建議使用者變更密碼
.
Facebook
通過
已修正,但建議使用者變更密碼
.
YouTube
通過
已修正,但建議使用者變更密碼
.
Yahoo!
通過
已修正,但建議使用者變更密碼
.
Amazon
通過
已修正,但建議使用者變更密碼
.
Wikipedia
通過
已修正,但建議使用者變更密碼
.
LinkedIn
通過
未受影響
.
eBay
通過
未受影響
.
Twitter
通過
未受影響
.
Craigslist
通過
尚未回應
.
Bing
通過
已修正,但建議使用者變更密碼
.
Pinterest
通過
已修正,但建議使用者變更密碼
.
Blogspot
通過
已修正,但建議使用者變更密碼
.
CNN
仍須注意
尚未回應
.
Live
通過
未受影響
.
PayPal
通過
未受影響
.
Instagram
通過
已修正,但建議使用者變更密碼
.
Tumblr
通過
已修正,但建議使用者變更密碼
.
通過
已修正,但建議使用者變更密碼
.
Wordpress
通過
尚未回應
.
Imgur
通過
尚未回應
.
Huffington Post
仍須注意
尚未回應
.
Reddit
通過
已修正,但建議使用者變更密碼
.
MSN
通過
未受影響
.
Netflix
通過
已修正,但建議使用者變更密碼
.
仍須注意
尚未回應
.
IMDb
仍須注意
尚未回應
.
Yelp
通過
已修正,但建議使用者變更密碼
.
Apple
通過
未受影響
.
AOL
通過
未受影響
.
Microsoft
通過
未受影響
.
NYTimes
通過
尚未回應
.
Bank of America
通過
未受影響
.
Ask
仍須注意
尚未回應
.
Fox News
通過
未受影響
.
Chase
通過
未受影響
.
GoDaddy
通過
已修正,但建議使用者變更密碼
.
About
通過
未受影響
.
BuzzFeed
通過
尚未回應
.
Zillow
通過
未受影響
.
Wells Fargo
通過
未受影響
.
Etsy
通過
已修正,但建議使用者變更密碼
.
XVideos
仍須注意
尚未回應
.
Walmart
通過
未受影響
.
CNET
通過
未受影響
.
Pandora
通過
未受影響
.
xHamster
通過
尚未回應
.
PornHub
通過
尚未回應
.
Comcast
通過
尚未回應
.
Stack Overflow
通過
尚未回應
.
Salesforce
通過
未受影響
.
Daily Mail
仍須注意
尚未回應
.
Vimeo
通過
已修正,但建議使用者變更密碼
.
Conduit
通過
尚未回應
.
Flickr
通過
已修正,但建議使用者變更密碼
.
Zedo
無數據
未受影響
.
Forbes
仍須注意
尚未回應
.
LiveJasmin
仍須注意
尚未回應
.
USPS
通過
尚未回應
.
Indeed
通過
尚未回應
.
Hulu
通過
未受影響
.
Answers
通過
未受影響
.
HootSuite
通過
未受影響
.
Amazon Web Services
通過
尚未回應
.
Adobe
通過
尚未回應
.
Blogger
通過
已修正,但建議使用者變更密碼
.
Dropbox
通過
已修正,但建議使用者變更密碼
.
無數據
未受影響
.
AWeber
通過
未受影響
.
UPS
通過
未受影響
.
Intuit
通過
尚未回應
.
NBC News
通過
尚未回應
.
USA Today
通過
尚未回應
.
Outbrain
通過
已修正,但建議使用者變更密碼
.
The Pirate Bay
通過
尚未回應
.
The Wall Street Journal
通過
尚未回應
.
Bleacher Report
通過
尚未回應
.
Constant Contact
通過
尚未回應
.
Wikia
通過
尚未回應
.
CBSSports
通過
未受影響
.
Publishers Clearing House
通過
尚未回應
.
通過
已修正,但建議使用者變更密碼
.
Groupon
通過
未受影響
.
Best Buy
通過
尚未回應
.
Feedbin
通過
已修正,但建議使用者變更密碼
.
Pinboard
通過
已修正,但建議使用者變更密碼
.
GetPocket
通過
已修正,但建議使用者變更密碼
.
IFTTT
通過
已修正,但建議使用者變更密碼
.
PayScale
通過
未受影響





註二:受影響的Linux版本
   Debian Wheezy (stable), OpenSSL 1.0.1e-2+deb7u4
   Ubuntu 12.04.4 LTS, OpenSSL 1.0.1-4ubuntu5.11
   CentOS 6.5, OpenSSL 1.0.1e-15
   Fedora 18, OpenSSL 1.0.1e-4
   OpenBSD 5.3 (OpenSSL 1.0.1c 10 May 2012) and 5.4 (OpenSSL 1.0.1c 10 May 2012)
   FreeBSD 10.0 - OpenSSL 1.0.1e 11 Feb 2013
   NetBSD 5.0.2 (OpenSSL 1.0.1e)
   OpenSUSE 12.2 (OpenSSL 1.0.1c)









註三:影響廠商(資料來源:http://digital.sina.com.hk/news/-7-1509431/1.html

1、行業巨頭
- 蘋果:無影響,iOS、Mac OS X都沒事。
- 亞馬遜:無影響。
- Google:受影響,有補丁,需更改密碼。
——Google說不用改密碼,但仍然建議這麼做。
- 微軟:無影響。
- 雅虎:受影響,有補丁,需更改密碼。

2、社交網絡
- Facebook:受否影響不清楚,但會有補丁,需要改密碼。
- Instagram:受影響,有補丁,需更改密碼。
- LinkedIn:無影響。
- Pinterest:受影響,有補丁,需更改密碼。
- Tumblr:受影響,有補丁,需更改密碼。
- Twitter:受否影響不清楚,但會有補丁,是否需要改密碼不清楚。

3、電子郵件
- Gmail:受影響,有補丁,需更改密碼。
- AOL:無影響。
- Hotmail/Outlook:無影響。
- Yahoo Mail:受影響,有補丁,需更改密碼。

4、網絡購物
- 亞馬遜:無影響。
- 亞馬遜網絡服務:受影響,有補丁,需更改密碼。
- eBay:無影響。
- Etsy:受影響(一小部分),有補丁,需更改密碼。
- GoDaddy:受影響,有補丁,需更改密碼。
- Groupon:無影響。
- Nordstrom:無影響。
- PayPal:無影響。
- Target:無影響。
- 沃爾瑪:無影響。

5、影音遊戲
- Flickr:受影響,有補丁,需更改密碼。
- Hulu:無影響。
- Mincraft:受影響,有補丁,需更改密碼。
- Netflix:受影響,有補丁,需更改密碼。
- SoundCloud:受影響,有補丁,需更改密碼。
- YouTube:受影響,有補丁,需更改密碼。

6、金融服務
- 美國運通:無影響。
- 美國銀行:無影響。
- 巴克萊:無影響。
- 第一資本:無影響。
- 美國大通:無影響。
- 花旗銀行:無影響。
- 億創理財:無影響。
- 富達國際投資:無影響。
- PNC:無影響。
- 嘉信理財:無影響。
- 史考特證券:無影響。
- TD Ameritrade:無影響。
- 道明銀行:無影響。
- T. Rowe Price:無影響。
- 美國合眾銀行:無影響。
- Vanguard:無影響。
- 富國銀行:無影響。

7、其他
- Box:受影響,有補丁,需更改密碼。
- Dropbox:受影響,有補丁,需更改密碼。
- Evernote:無影響。
- GitHub:受影響,有補丁,需更改密碼。
- IFTTT:受影響,有補丁,需更改密碼。
- OKcupid:受影響,有補丁,需更改密碼。
- Spark Networks:無影響。
- SpiderOak:無影響。
- 維基百科:受影響,有補丁,需更改密碼。
- Wordpress:不詳。
- Wunderlist:受影響,有補丁,需更改密碼。

8、密碼管理
- 1Password:無影響。
- Dashlane:受影響,有補丁,需更改密碼。
    - LastPass:無影響。



註四:參考資料