經濟學 • 資訊安全工程

「資訊時代的巨大財富，掌握在那些建立了專有架構、並擁有大量被鎖定客戶安裝基礎的公司手上。」——Shapiro 與 Varian
「這些年下來我確信兩件事：社會對高保證軟體的需求正在成長，而市場力量永遠不會提供它。」——Earl Boebert
「法律關押那個從公有地偷走鵝的男人或女人，卻放過那個從鵝身上偷走公有地的更大惡棍。」——十七世紀民謠

為什麼安全工程師要懂經濟學#

大約在 2000 年，我們開始意識到許多安全失敗與其說源自技術錯誤，不如說源自錯誤的誘因：如果守護系統的人不是系統失敗時受害的人，那麼你可以預期麻煩。事實上，安全機制常常被刻意設計來轉移責任，而這會導致更糟的麻煩。

經濟學在成本會計這種原始層次上，對工程一向重要：好工程師就是那個在別人用兩千噸混凝土時，能用一千噸安全蓋出一座橋的人。
但在有多個擁有者的複雜系統中出現的扭曲誘因，讓經濟問題對安全工程師既更重要也更微妙。

像網際網路這樣真正全球規模的系統，是由數百萬個利益分歧的獨立主體之行動所產生的；我們希望合理的全球結果能從自利的局部行動中浮現。我們得到的結果通常是市場均衡，而且往往是出奇穩定的均衡。

讓大型複雜系統更安全的嘗試，若不理解這一點通常會失敗。
在宏觀層次上，網路犯罪的模式在整個 2010 年代出奇地穩定——即使技術完全改變了：手機取代筆電、社會遷往社群網路、伺服器搬上雲端。
網路不安全有點像空氣污染或塞車：把不安全的機器接上網際網路的人不承擔其行動的全部後果，而試圖把事情做對的人卻要承受他人粗心的副作用。

一般而言，人們沒有誘因就不會改變行為。如果他們的行動發生在某種市場中，那麼均衡就會落在不同方向的推力與拉力互相抵消之處。但市場會失靈；電腦業從最早的日子起就被壟斷糾纏。這些原因如今已被理解，而它們與安全的互動也開始被理解。

古典經濟學速覽#

現代經濟學是個涵蓋人類行為許多面向的巨大領域。迄今在安全中找到應用的部分，主要來自個體經濟學、賽局理論與行為經濟學。

從亞當斯密到 Arrow-Debreu：均衡與外部性

現代經濟學始於十八世紀，當時成長的貿易改變了世界、導致工業革命，人們想理解發生了什麼事。

1776 年亞當斯密（Adam Smith）的經典《國富論》提供了第一份草稿：他解釋了自由市場中的理性自利如何導致進步。分工帶來生產力提升，因為人們為了在競爭市場中存活而試圖生產別人重視的東西。用他著名的話說：

「我們期待晚餐，不是出於屠夫、釀酒師或麵包師的仁慈，而是出於他們對自身利益的關注。」

十九世紀的經濟學家精煉了這些想法：李嘉圖（David Ricardo）釐清並強化了斯密支持自由貿易的論證，而 Jevons、Walras 與 Menger 建立了詳細的供需模型。

Jevons 與 Menger 的一個洞見是：在競爭市場均衡時，一件商品的價格是其邊際生產成本。
1870 年煤炭每噸九先令，並不表示每個礦坑都以這個價格挖煤，只表示邊際生產者——那些勉強撐住不倒閉的——能以那個價格賣。若價格下跌，這些礦坑就會關閉；若上漲，更多邊際礦坑就會開張。
這也讓我們洞悉為何現今如此多線上服務是免費的：由於複製資訊的邊際成本約為零，許多線上事業無法販售它，只好靠廣告之類的方式賺錢。

到十九世紀末，馬歇爾（Alfred Marshall）把商品、勞動與資本市場的供需模型結合成一個總體的「古典」模型：在均衡時，所有超額利潤都會被競爭掉，而經濟會有效率地運作。1948 年，Arrow 與 Debreu 證明市場在某些條件下會給出有效率的結果，把這放上了嚴謹的數學基礎。那些條件包括：買賣雙方擁有完整的財產權、擁有完整資訊、是理性的，且交易成本可忽略。

經濟學的許多趣味來自這些條件中有一或多個不被滿足的情況。

例如，假設交易有未被既有財產權捕捉的副作用。經濟學家稱之為外部性（externalities），可以是正的或負的：

正外部性的例子是科學研究，一旦發表人人都能受益。結果是研究者無法捕捉自己工作的全部效益，於是我們得到的研究比理想中少（經濟學家估計我們只做了理想量的四分之一）。
負外部性的例子是環境污染：我燒煤火取暖得到正面效果，但我鄰居得到氣味與煤灰的負面效果，而每個人共同承受 CO₂ 排放增加的負面效果。

當一方有足夠力量索取高於市場結清價的價格、或沒有人有力量修正一個共同問題時，光靠市場可能無法把事情理順。
策略就是關於取得權力、或防止他人對你有權力；所以最基本的商業策略就是取得市場力量以榨取額外利潤，同時盡最大可能把自己活動的成本分攤給別人。

壟斷#

教科書案例：大學城的公寓市場

假設有個大學城的公寓市場，學生們收入不同。我們可能有一位富有的學生願意每月付 4000 美元，大約 300 人願意付至少 2000 美元，而（為了湊整數）至少 1000 人願意付至少 1000 美元。

若有 1000 間公寓由許多競爭的房東出租，市場結清價會落在需求曲線與垂直供給曲線的交點，也就是 1000 美元。

但假設市場被操縱了——比方說房東們組了卡特爾，或大學要求學生透過綁定的仲介租屋。壟斷房東檢視需求曲線，注意到如果他只租出 800 間，每間就能拿到每月 1400 美元。而 800 × 1400 = 每月 112 萬美元，多於市場價 1000 美元下的每月一百萬。

這顯然沒有效率。義大利經濟學家帕雷托（Vilfredo Pareto）發明了一個俐落的形式化方式：帕雷托改善是任何能讓某些人變好而不讓任何人變差的改變；一個配置若沒有任何可用的帕雷托改善，就是帕雷托有效率的。

這裡的配置沒有效率，因為壟斷者可以用較低價格把一間空公寓租給任何人，讓他自己與對方都變好。

帕雷托效率是個相當弱的判準：完美共產主義（人人所得相同）與完美獨裁（國王拿走全部）都是帕雷托有效率的——兩者都無法在不讓別人變差的情況下讓任何人變好！然而這裡描述的簡單壟斷，連在這個非常弱的意義上都沒有效率。

那麼壟斷者能做什麼？ 有一種可能——如果他能對每個人收不同的價格，他就能把每位學生的租金訂在他們剛好願意付的水準。我們稱這種房東為價格歧視的壟斷者：他向富學生收剛好 4000 美元，一路到第 1000 位學生收剛好 1000 美元。

同樣的學生租到了公寓，但幾乎所有人都變差了。 那位富學生損失 3000 美元——那是他原本願意付、但先前不必付的錢；經濟學家稱他省下的這筆錢為剩餘（surplus）。價格歧視的壟斷者設法榨取了全部的消費者剩餘。

商人自古就在試圖價格歧視。伊斯坦堡那個期待你殺價的地毯商在玩這個遊戲，賣頭等艙、商務艙與經濟艙座位的航空公司也是。

廠商能對人們收多少不同價格，主要取決於兩個因素：市場力量與資訊不對稱。
市場力量衡量商人離壟斷者有多近。壟斷下商人是價格制定者，完全競爭下他是必須接受市場價的價格接受者。
資訊不對稱能以幾種方式幫他。地毯商對當地地毯價格的資訊比路過的觀光客多得多，而觀光客沒時間去十家店殺價；所以商人可能偏好議價而非標示固定價格。
航空公司略有不同：拜比價網站之賜，乘客對基本價格有良好資訊；但若它為了填滿座位而打折，它可能能用廣告生態系的資訊精準投放。
技術傾向於讓公司更像航空公司、更不像小地毯店：資訊不對稱與其說是「你知不知道平均價格」，不如說是「系統對你知道多少、以及它如何把你鎖住」。

古典的壟斷者可能單純為所有人推高價格，導致消費者剩餘的明顯損失。美國競爭法尋找的正是這類福利損失，它常發生在卡特爾操作價格歧視時。十九世紀末鐵路業者依據客戶獲利能力、貨物易腐程度等因素收取不同運費——基本上是按付款能力敲詐每一個人。這導致了巨大的怨恨與鐵路管制。
同樣地，電信商過去瘋狂價格歧視：簡訊過去比語音貴得多，語音又比數據貴得多，尤其長途。這導致了 Skype 與 WhatsApp 這類用數據服務提供更便宜通話與訊息的服務，也導致若干國家的網路中立性管制。

然而，Google 與 Facebook 這類擁有真實市場力量的公司，把產品免費給多數使用者；Amazon（與 Walmart）則替客戶降價。這挑戰了經濟學家與律師思考壟斷的傳統基礎（至少在美國）。
然而科技業的壟斷力量毫無疑問。 我們也許從 1970 年代的一個主導者（IBM）走到 1990 年代的兩個（微軟與 Intel），再到現在的一小把（Google、Facebook、Amazon、微軟，也許還有 Netflix），但每一個都主宰自己的領域：雖然 Arm 設法與 Intel 競爭，但自 2009 年的 Bing（其市佔正在滑落）之後就沒有新的搜尋新創，自 2011 年的 Instagram（現屬 Facebook）之後也沒有大型社群網路。所以對創新有負面影響，而該怎麼辦正成為熱門政治議題。

資訊經濟學#

資訊與通訊產業在若干方面不同於傳統製造業，其中最引人注目的是這些市場好幾代以來都非常集中。

即使在電腦出現之前，報紙除了在最大的城市外都傾向於是壟斷的。鐵路如此，更早的運河也如此。十九世紀末電動製表設備出現時，它被 NCR 主宰，直到 NCR 曼哈頓業務辦公室分出來的一家叫 IBM 的公司接手。IBM 主宰了 1960、70 年代的電腦業，接著微軟出現並在 90 年代取得領先。此後 Google 與 Facebook 主宰廣告，Apple 與 Google 賣手機作業系統，Arm 與 Intel 做 CPU。
為什麼會這樣？

資訊市場為何不同#

四個結構性特徵：

邊際成本近乎為零。
回想在競爭均衡中，商品價格應等於其邊際生產成本。但對資訊而言那幾乎是零！這就是線上有這麼多免費東西的原因——零就是它的公道價格。
如果兩個以上的供應商競爭提供一個作業系統、一份地圖或一套百科全書，而他們能零成本複製它，他們就會無止境地繼續削價。以百科全書為例：《大英百科》過去 32 卷要 1,600 美元；接著微軟推出 49.95 美元的 Encarta，迫使大英推出便宜的 CD 版；而現在我們有免費的維基百科。
一家又一家公司不得不轉向「商品免費、錢從廣告或某個平行市場來」的商業模式。 而要與免費、或便宜到難以回收啟動所需資本投資的服務競爭，可能很困難。所以其他高固定成本、低邊際成本的產業也傾向集中——例如報紙、航空公司與旅館。
網路外部性：網路的價值以超線性的方式隨使用者數成長。
電話與電子郵件這類網路花了一些時間才起飛，因為一開始只有少數同好可以交談；但一旦在每個社交群體中越過某個門檻，每個人都得加入，網路就迅速成為主流。
2000 年代中期社群媒體再度上演：起初有 40–50 家做社群網路的新創，但一旦 Facebook 開始拉開差距，突然間所有年輕人都得在那裡，因為朋友都在那，而你不在就錯過派對邀請。
這也可以在把兩類使用者聚在一起的雙邊市場中運作。十九世紀地方報紙興起時，商家想在讀者多的報紙上登廣告，讀者想要分類廣告多的報紙好找東西。於是一份報紙一旦起飛，往往成長為地方壟斷，競爭者很難打進來。
網路效應也可以是負的：一旦 Myspace 這類網站開始流失客戶，負回饋能把流失變成潰敗。
供給面規模經濟：領先的資訊服務公司享有各種優勢，從取得無可匹敵數量的使用者資料，到能跑大量 A/B 測試以理解使用者偏好並最佳化系統效能。
互通性（或缺乏互通性）造成的鎖定。
一旦某家軟體公司決定為其產品使用 Windows 或 Oracle 這類平台，要改變可能很貴。這既有技術成分也有人的成分，而後者往往占主導：換工具比重新訓練程式設計師便宜。
對客戶也一樣：若他們不只得買新軟體、轉檔，還得重新訓練員工，就很難成交。這些轉換成本嚇阻了遷移。

若使用者想與其他使用者（以及軟體這類互補產品的供應商）相容，那麼他們理所當然會向「他們預期會贏得最大市佔的廠商」購買。

鎖定的價值#

有一個有趣的結果，來自 Shapiro 與 Varian：一家軟體公司的價值，等於其所有客戶的總鎖定量（技術鎖定加網路效應）。

算給你看：Office 的價格如何被鎖定成本決定

考慮一家有 100 名員工的公司，每人用 Office，每套付了 150 美元。它可以靠改用 LibreOffice 這類免費程式省下這 15,000 美元。所以如果安裝這個產品、重新訓練員工、轉檔等等的總轉換成本低於 15,000 美元，它就會轉換。但若轉換成本高於 15,000 美元，微軟就會提高價格。

作為鎖定、定價與價值之關聯的例子，看看價格十年間如何改變：

本書第二版中，這個例子裡 Office 的成本是 500 美元。
此後，Google Docs 這類運作起來就像 Office 的雲端服務降低了轉換成本——於是微軟不得不大砍價格。作者 2019 年開始寫這一版時，看到獨立版 Office 的售價在 59.99 美元到 164 英鎊之間。
微軟自 2013 年起的回應，是試圖把客戶移到線上訂閱服務（Office365），對大學而言每個席次數十英鎊，取決於選項與談判能力；而 Google 也試圖把組織從免費服務移到付費的 G Suite 版本，價格差不多。

2020 年修訂本章時，作者看到現在可以用去年獨立產品約兩倍的價格買到「終身金鑰」。而且有了一種新形式的鎖定：雲端供應商現在替你保管所有資料。

它也解釋了為什麼這麼多安全機制的目標是控制相容性。 在這類情況下，可能的攻擊者不是惡意的外人，而是設備的擁有者，或試圖以相容產品挑戰既有者的新公司。這不只損害競爭，也損害創新。

例如 PC 是 IBM 設計來跑試算表的機器；如果他們把它鎖死在這一個應用上，一個巨大的機會就會消失。 事實上，IBM PC 比 Apple Mac 更開放，是它成為主導桌面平台的一個因素。（微軟與 Intel 後來吃掉 IBM 的午餐是另一回事。）

所以許多國家的法律給了公司為相容性而逆向工程競爭者產品的權利。既有者試圖建立生態系，讓自家產品彼此搭配得比與競爭者搭配更好；他們用雲端服務與密碼學這類數位元件把產品鎖死，於是即使競爭者在法律上有權嘗試逆向工程，實務上也未必成功。

資訊不對稱#

除了壟斷與公共財之外，市場失靈的另一種方式是某些主體比其他人知道得更多、或知道得稍早、或能更便宜地查出來。

檸檬市場：為什麼爛的資安產品能主宰某些市場

對資訊不對稱的正式研究，由 1970 年那篇著名的「檸檬市場」論文開啟，Akerlof 因此獲得諾貝爾獎。它提出以下簡單卻深刻的洞見：

假設鎮上有 100 輛二手車待售：50 輛保養良好、各值 2000 美元；50 輛是「檸檬」、各值 1000 美元。賣方知道哪是哪，買方不知道。二手車的市場價格是多少？

你可能以為是 1500 美元；但在那個價格下不會有好車被拿出來賣。所以市場價會接近 1000 美元。 這就是為什麼你買一輛新車、開出經銷商停車場的那一秒，大概 20% 的價格就蒸發了。

1990 年代防毒軟體市場起飛時，人們會買 10 美元的產品而非 20 美元的。（如今買防毒的理由少得多，因為惡意程式作者會在釋出前對所有可得產品測試自己的程式碼——你該把重點放在修補系統上。而人們仍在買大量防毒軟體，正是資訊不對稱的又一個例子。）

還可以進一步區分隱藏資訊與隱藏行動：

Volvo 以造出能幫助乘員在事故中生還的安全車聞名，然而 Volvo 駕駛的事故較多。這是因為知道自己是爛駕駛的人買 Volvo 好讓自己較不容易被撞死，還是因為開 Volvo 的人相信自己較安全所以開得更快？

前者是隱藏資訊，也稱為逆選擇（adverse selection）；
後者是隱藏行動，也稱為道德風險（moral hazard）。

兩種效應在安全中都很重要，而且在特定案例中可能結合。（就駕駛的情況而言，人們會調整駕駛行為，把自己的風險暴露維持在感覺舒服的水準。這也解釋了為何強制安全帶法規往往並未整體救到命，只是把死亡從車內乘員移到行人與自行車騎士。）

資訊不對稱解釋了現實世界中許多市場失靈，從二手車市場的低價到網路風險保險的高價（知道自己偷工減料的公司可能買更多保險，讓謹慎的公司買不起）。
在資訊安全的世界裡，情況因多數利害關係人沒有說實話的動機而更糟：警方與情報機關、以及資安廠商，試圖把威脅講大，而軟體廠商、電商網站與銀行則把它們講小。

公共財#

正外部性的一個有趣情況，是每個人都得到相同數量的某種財貨，不論想不想要。經典例子是空氣品質、國防與科學研究。經濟學家稱之為公共財（public goods），正式定義是：非競爭性（我用了不代表你能用的變少）與非排他性（沒有實際方法阻止人們消費它）。

公共財可能由政府直接供應（如國防），或用專利與著作權法這類間接機制，藉由給予暫時壟斷來鼓勵人們生產發明、書籍與音樂。很多時候，公共財由公私混合行動提供。

安全的許多面向是公共財。 作者屋頂上沒有高射砲；防空威脅來自少數行為者，由政府行動處理最有效率。

答案可能取決於我們關心的壞人是集中的還是分散的。 我們在第 2 章的網路犯罪速覽中提過，許多威脅隨著惡意程式作者、垃圾郵件者等變得商業化而整併了。到 2007 年，嚴重的垃圾郵件者已降到寥寥幾個；到 2020 年，阻斷服務攻擊也一樣——似乎有一個主導的 DoS 代打服務商。
這暗示了較集中的防禦策略：找到壞人並把他們關進監獄。

有人想像過較溫和的政府回應：對發現漏洞的研究者付獎金，經費來自對「軟體含有這些漏洞的公司」課的罰款。某種程度上這已經透過臭蟲賞金與漏洞市場發生了，不需政府介入。
但憤世嫉俗者會指出現實生活中發生的是：漏洞被賣給網路軍火商，他們賣給政府，政府再囤積它們——而產業付出附帶損害的代價，如 NotPetya。
所以正確的類比是空氣污染——還是防空？

賽局理論#

賽局理論包含現代經濟學一些最根本的洞見。它談的是我們何時合作、何時打架。

如果你無法自己找到或製造你想要的東西，真的只有兩種方式取得它：做出有用的東西去交易；或用武力、選票箱或其他方式把你需要的拿走。 合作與衝突之間的選擇，每天都在各種層次上被人與動物做出。

我們用來研究與分析它們的主要工具是賽局理論——研究獨立決策者之間合作與衝突問題的學問。

基本詞彙：優勢策略均衡與納許均衡

考慮校園裡的「配銅板」遊戲：Alice 與 Bob 擲硬幣並同時揭示，若不同 Alice 拿走 Bob 的銅板，若相同 Bob 拿走 Alice 的。

	Bob: H	Bob: T
Alice: H	−1, 1	1, −1
Alice: T	1, −1	−1, 1

每格先顯示 Alice 的結果、再顯示 Bob 的。這是零和賽局的例子：Alice 的所得就是 Bob 的損失。

優勢策略均衡：

	Bob: 左	Bob: 右
Alice: 上	1, 2	0, 1
Alice: 下	2, 1	1, 0

在賽局理論中，策略就是接受賽局狀態並輸出一步棋的演算法。在這個賽局中，不論 Bob 出什麼，Alice 打「下」都較好；不論 Alice 出什麼，Bob 打「左」都較好。每位玩家都有優勢策略——不論對方怎麼做都最佳的選擇。 我們稱這為優勢策略均衡。

納許均衡：

	Bob: 左	Bob: 右
Alice: 上	2, 1	0, 0
Alice: 下	0, 0	1, 2

這裡每位玩家的最佳策略取決於他們認為對方會怎麼做。當 Alice 的選擇在給定 Bob 選擇下是最佳的、反之亦然時，我們說兩個策略處於納許均衡。 這裡有兩個對稱的納許均衡（左上與右下）。

你可以把納許均衡想成局部最優，而優勢策略均衡是全域最優。

囚犯困境#

現在我們可以看一個著名問題，它適用於從國際貿易談判、狩獵動物間的合作，到「構成網際網路的自治系統是否有效合作以保護其基礎設施」等許多情況。

它最早由蘭德公司的科學家在 1950 年於美蘇國防支出的脈絡中研究——蘭德受託思考核戰中可能的策略。但他們用以下簡單例子呈現它。

兩名囚犯因涉嫌計畫搶銀行被捕。警方分別偵訊他們，告訴每人：「如果你們都不認罪，你們各得一年（無照攜帶槍械）。如果只有一人認罪，他無罪釋放，另一人得六年（共謀搶劫）。如果你們都認罪，你們各得三年。」

	Benjy: 認罪	Benjy: 否認
Alfie: 認罪	−3, −3	0, −6
Alfie: 否認	−6, 0	−1, −1

Alfie 會這樣推理：「如果 Benjy 要認罪，我也該認，因為那樣我得三年而非六年；而如果他要否認，我還是該認，因為我可以走人而不必坐一年。」Benjy 也一樣推理。兩人都認罪，各得三年。
這不只是納許均衡，還是優勢策略均衡——不論對方怎麼做，每位囚犯都該認罪。

事實上（否認, 否認）這個策略是帕雷托有效率的，而優勢策略均衡不是。（這正是為什麼有「帕雷托有效率」與「優勢策略均衡」這類概念，比只爭論什麼是「最好」有用。）

那麼解法是什麼？ 只要這場賽局只玩一次、而且這是唯一的一場，就沒有解法。兩位囚犯都會認罪並得三年。

你可能覺得這很公平，罪有應得。然而囚犯困境可以用來建模各式各樣「我們決定要不要合作」的互動：國際貿易、核武軍控、漁業保護、CO₂ 排放削減、政治論述的文明程度。甚至肥胖與成癮這類自制問題，也可以看成與未來的自己合作失敗。
在這些應用中，我們真的想要合作以得到好結果，但單次賽局的結構讓合作真的很難達成。我們只能靠改變賽局本身來改變這件事——可以有從國際貿易條約到黑幫緘默律（omertà）的各種法律。實務上，囚犯困境賽局是靠改變規則或脈絡，把它變成另一個均衡更有效率的賽局。

重複賽局與演化賽局#

假設賽局被重複進行——比方說 Alfie 與 Benjy 是職業罪犯，預期會一次又一次打交道。那麼當然可能有誘因讓他們合作。至少有兩種建模方式：

一、Axelrod 的錦標賽：1970 年代 Bob Axelrod 開始思考人們會如何玩多輪的囚犯困境。他辦了一系列競賽，人們可以提交程式，這些程式在錦標賽中反覆對戰。

他發現整體最好的策略之一是「以牙還牙（tit-for-tat）」：你在第一輪合作，之後每一輪都對對手做他上一輪對你做的事。
人們開始意識到策略演化能解釋很多事。例如在有雜訊的情況下，只要一方的合作行為被另一方誤讀為背叛，玩家就傾向被鎖進（背叛, 背叛）。所以此時「不時原諒對方」是有幫助的。

二、鷹鴿賽局（Maynard Smith 與 Price）：考慮混合了攻擊性與溫馴個體（「鷹」與「鴿」）的族群——鴿合作；鷹從鴿手中奪食；鷹與鷹相鬥，有死亡風險。設每次互動中食物價值為 v、鷹鬥中每次遭遇的死亡風險為 c：

	鷹	鴿
鷹	(v−c)/2, (v−c)/2	v, 0
鴿	0, v	v/2, v/2

若 v > c，整個族群都會變成鷹，因為那是優勢策略。但若 c > v（打架太貴），則存在一個均衡，鳥是鷹的機率 p 使鷹的報酬與鴿的報酬相等，解為 p = v/c。
換言之，攻擊性與溫馴的個體能在族群中共存，而攻擊性個體的比例是攻擊成本的函數：打架越危險，好鬥的個體就越少。

演化賽局的更多應用：從復仇本能到電信業的默契勾結

當然，成本會隨時間改變，而多樣性在演化上可能是好事——一個有些硬漢的社會，在戰爭爆發時可能佔優勢。但一個社會要走到均衡需要好幾代。也許我們目前偏高的攻擊性反映的是前國家社會的條件；人類學家相信部落戰爭在那類社會中曾是地方病，考古紀錄顯示在國家出現之前，四分之一到三分之一的男性與男孩死於他殺。也許我們文明化的時間還不夠久，演化還沒跟上。

這類洞見連同 Axelrod 的模擬方法論，讓從道德哲學家到動物行為研究者的許多人對演化賽局理論產生興趣：

許多靈長類有內建的公平感，並懲罰被視為作弊的個體——復仇本能是強制社會性的機制之一。
公平能在不同層次上以不同方式運作。例如鴿子若能互相辨識並優先互動，就能對鷹取得更好的結果——這給了「某些社會運動、甚至某些宗教如何確立自身」的模型。
eBay 開創、如今被 Uber 與 AirBnB 等公司使用的線上信譽系統，執行類似功能：它們把互動變成重複賽局，幫助鴿子避開鷹。

以牙還牙的基本想法可以回溯很久。舊約有「以眼還眼」、新約有「你們願意人怎樣待你們，你們也要怎樣待人」——後者的表述更能容錯——而類似說法也見於亞里斯多德、孔子與別處。
更晚近，霍布斯（Thomas Hobbes）在十七世紀用類似論證主張國家的存在不需要君權神授，為十八世紀的革命、共和與憲法鋪路。

演化賽局也解釋了為何卡特爾式的行為會出現在甚至沒有秘密協議的產業中。

例如英國的網路服務涉及一個受管制的本地迴路壟斷，以及競相把網路服務賣給家戶的零售公司。如果本地迴路每月成本 6 英鎊，為什麼 ISP 全都收約 30 英鎊？
因為若有一家削價競爭，其他家會以削自己的價來報復，懲罰背叛者。這與三家航空公司經營一條有利可圖的航線、其中一家降價搶量時看到的行為完全一樣：其他家常會更激烈地降價來懲罰它、讓該航線無利可圖。而正如航空公司提供各種優惠與里程來混淆客戶，電信商也提供自己的混淆定價。
默契勾結能在兩個產業中發生，而公司主管不必真的坐下來協議固定價格（那是違法的）。
隨著定價變得更演算法化，律師與經濟學家可能都需要更懂電腦科學；而電腦科學家需要理解賽局理論與拍賣理論這類經濟分析工具。

拍賣理論#

拍賣理論對理解網際網路服務如何運作、以及會出什麼錯，至關重要。許多線上活動由 Google 與 Facebook 這類公司經營的廣告拍賣資助，而許多電商網站本身就以拍賣形式運作。

五種傳統拍賣類型：

類型	機制	典型用途
英式（升價）	拍賣官從底價開始抬價，直到只剩一名出價者	藝術品與古董
荷蘭式（降價）	拍賣官從高價開始逐步降價，直到有人出價	賣花
首價密封投標	每人一次出價，開標後最高者得	電視轉播權、政府合約（最低價得標）
次價密封投標（Vickrey 拍賣）	密封出價、最高者得，但支付第二高的價格	eBay、線上廣告拍賣；源自稀有郵票交易，最早已知的使用是歌德在十八世紀賣手稿給出版商
全付拍賣	每位出價者每輪都付錢，直到只剩一人	戰爭、訴訟、或數家科技新創之間贏者全拿的市場競賽；也用於慈善募款

兩個關鍵概念：

策略等價：荷蘭式拍賣與首價密封投標給出相同結果——最高出價者以其保留價得標。同樣地，英式拍賣與 Vickrey 拍賣給出相同結果（差一個出價增額）。但這兩對彼此並不策略等價：荷蘭式拍賣中，若你相信自己的估值遠高於他人，你該出低價；而在次價拍賣中最好誠實出價。
收益等價：這是較弱的概念，關心的不是誰會贏，而是拍賣預期能募到多少錢。
所以當你設計拍賣時，你必須聚焦於「條件在哪些方面不理想」。

拍賣會出的錯：從圍標到郵遞區號信號

圍標（bidding rings）：所有買家勾結壓低拍賣價。這裡首價拍賣最好，因為只要一個背叛者就能破壞陣線，而不需要兩個。
進場偵測：英國某次電視轉播權拍賣中，出價者必須提交詳盡的節目表，這涉及與製作公司談話，於是業界人人都知道誰在出價，只有一個出價者的特許權就賤價賣出了。
進場嚇阻：企業併購中的出價者常宣稱他們會超過任何其他出價。
風險趨避：如果你偏好確定的 1 美元利潤勝過 50% 機率的 2 美元，你在首價拍賣中會出更高的價。
信號賽局：美國頻譜拍賣中，有些出價者把郵遞區號放進出價金額的最低有效位數以打破匿名，藉此傳達自己準備爭取哪些地區組合，並嚇阻競爭者在那裡開戰。
預算限制：若出價者現金有限，全付拍賣更有利可圖。

廣告拍賣如何運作、又如何走向極端#

廣告拍賣是大生意：2019 年 Google、Facebook 與 Amazon 分別賺約 500 億、300 億與 100 億美元，其餘業者約 400 億。

Google 開創的廣告拍賣機制是為最佳化收益而調整過的次價拍賣：

出價者出價 bᵢ；
平台依廣告相關性與點擊率估計其廣告品質 eᵢ；
計算廣告排名 aᵢ = bᵢ · eᵢ。

想法是：如果我的廣告被點擊的可能性是你的五倍，那我出 10 分錢就跟你出 50 分錢一樣好。
所以這是依 aᵢ（而非 bᵢ）排序的次價拍賣。若我的廣告品質是你的五倍，我出 10 分、你出 40 分，那我拿到廣告位並付 8 分錢。可以證明在合理假設下，這能最大化平台收益。

一個後果是：在 2016 年美國總統大選中，希拉蕊為每則廣告付的錢比川普多得多。
拍賣理論與實證資料都顯示，最佳化平台收益的驅動力可能導致內容越來越極端：除了拍賣步驟的病毒性效應，Facebook 的投放演算法還把廣告放在最可能點擊它們的人面前，強化了過濾泡泡的效果——而這並非全都出於使用者行動。
有些人認為這種「投放最佳化」應該被選舉法禁止。事實上在英國，選舉廣告與菸草等類別一樣不准上電視。作者認為在這類司法管轄區，最乾淨的解法是在線上也比照菸草禁止它們。

如前 Google 員工 Tristan Harris 所解釋，平台的推薦演算法被最佳化以最大化人們待在站上的時間，這不只意味著提供無底的滾動動態、讓使用者累積追蹤者，也意味著偏向焦慮與義憤。在 YouTube，這類演算法在 2016 年給出的推薦大幅偏向川普。
更甚者，廣告投放可能因性別與種族而偏斜，因為廣告主競逐更「有價值」的人口統計群體；也可能因廣告標題或圖像的吸引力而產生內容效應。這可以是刻意的、也可以是意外的，並可能影響包括就業與住房在內的廣泛廣告類別。

安全與可靠度的經濟學#

經濟學家過去把經濟與安全的互動看得很簡單：較富的國家能負擔較大的軍隊。但 1945 年後，核武被認為把國家存亡與經濟力量脫鉤了，經濟學與戰略研究兩個領域於是漸行漸遠。重新建立這個連結的工作，落到了資訊安全界身上。

資安經濟學是怎麼誕生的

約在 2000 年，我們有些人注意到持續發生的安全失敗，乍看之下不理性，但當我們更仔細看各行為者面對的誘因時就開始理解了。

作者觀察到銀行在資訊安全措施上奇怪的投資模式；Hal Varian 探究了為何人們沒有花到防毒廠商所期望那麼多錢買防毒軟體。當兩人在 2001 年討論這些案例時，他們突然意識到這裡有個有趣且重要的研究題目，於是聯繫其他有類似興趣的人，並在隔年辦了一場工作坊。

作者當時正在寫本書第一版，發現把許多問題描述成誘因問題，讓解釋有說服力得多；於是他把從本書最終編輯中學到的東西，蒸餾成一篇論文〈為什麼資訊安全很難——一個經濟學觀點〉。這篇論文加上本書第一版，讓人們開始談論它。 它們出版時 911 攻擊剛發生，人們正在尋找看待安全的新視角。

我們迅速發現許多其他與制度誘因相關的安全失敗案例，例如由醫務主任與行政人員採購、支持他們自身利益卻不保護病人隱私的醫院系統。（後來我們發現病人安全的失敗也常有類似根源。）

所有這些想法在 2002 年 6 月柏克萊的資訊安全經濟學工作坊上匯聚，啟動了資安經濟學這個新研究領域。

開始浮現的圖像是：系統安全之所以失敗，是因為守護系統的人不是承擔失敗成本的人。
有時安全機制被用來把風險傾倒給別人；而如果你就是那些「別人」之一，你其實用不安全的系統還比較好。
換句話說：安全往往是一種權力關係；在特定系統中控制「安全意味著什麼」的主體，往往用它來推進自身利益。

為什麼 Windows 這麼不安全#

2002 年資安經濟學起步時的熱門話題是這個：儘管微軟有主導的市場地位，為什麼 Windows 這麼不安全？ 寫出好得多的軟體是可能的，而在國防與醫療這類領域，人們確實認真努力生產可靠的系統。為什麼在商品平台上看不到可比的努力，尤其微軟根本沒有真正的競爭者？

到那時我們已理解資訊經濟學的基本原理：高固定成本與低邊際成本、網路效應與技術鎖定的組合，讓平台市場特別可能被單一廠商主宰，而贏得市場主導權競賽的人可以獲得龐大財富。
在這樣一場競賽中，微軟 1990 年代的哲學——「星期二出貨，到第 3 版再弄對」——是完全理性的行為。

在這樣的競賽中，平台廠商不只要吸引使用者，也要吸引互補者——那些決定要為它的平台還是別人的平台寫應用的軟體公司。而安全會妨礙應用，而且它本來就傾向是個檸檬市場。

所以，一個投入平台主導權競賽的理性廠商，會讓所有應用都能在他的平台上以 root 執行，直到他的地位穩固為止。然後他可能加入更多安全性——但會忍不住把它設計成能最大化客戶鎖定，或吸引數位媒體這類新市場中的互補者。

同樣的模式也見於其他平台產品，從舊的 IBM 大型主機作業系統、電話交換機，到早期的 Symbian 手機作業系統。產品起初不安全，雖然隨時間改善，但許多新的安全功能是為廠商的利益、而非使用者的利益。

而這正是我們在微軟產品線上看到的：DOS 完全沒有保護、開啟了惡意程式市場；Windows 3 與 Windows 95 很糟；Windows 98 只略好；安全問題最終惹惱客戶到 2003 年比爾蓋茲決定暫停開發，直到所有工程師都上過安全編碼課。此後投資在更好的測試、靜態分析工具與定期修補上。可利用漏洞的數量與壽命在後續版本中持續下降。

從應用開發者的角度，基於鎖定的標準競賽市場也有點像這樣：起初為它們寫程式非常容易；後來，一旦你已投入，就有多得多的關卡要過。
從可憐的消費者角度，這可以被描述為「先是爛安全，然後是別人的安全」。

同樣的模式也見於從安全管理成本到產業集體採取的基礎設施決策的外部性。

當競逐主導地位時，廠商會忍不住把產品設計成把大部分安全管理成本傾倒給使用者。
經典例子是 SSL/TLS 加密。它在 1990 年代中被採用，當時微軟與 Netscape 正爭奪瀏覽器市場的主導權。如第 5 章所述，SSL 讓使用者自行評估網站提供的憑證並決定是否信任它——而這導致了各種釣魚與其他攻擊。
然而當時把合規成本傾倒給使用者完全合理：SET 這類競爭協定會讓銀行背上「為每位想線上購物的客戶簽發憑證」的成本，那實在太貴了。世界最終得到一個不安全的網路信用卡支付系統，而多數利害關係人都試圖把責任推給別人，方式還會阻礙走向更好方案的進展。

這個模式在 2010 年代智慧手機接管世界時複製了自己：由於 Android 取代 Windows 成為世界最流行的作業系統，我們開始看到大量壞的 Android app，而為 iPhone 多付錢的人得到較好的安全性，但選擇較少。

管理修補週期#

資安經濟學的第二場大辯論是關於如何管理修補週期。

如果你發現一個漏洞，你該直接公布嗎——那可能迫使廠商修補，但也可能讓人們暴露數月直到他們修好？還是該私下回報給廠商——冒著收到律師信威脅昂貴訴訟、要你別告訴任何人，然後廠商就懶得修的風險？

這場辯論由來已久。如前言所述，維多利亞時代的人苦惱過出版關於開鎖的書是否符合社會責任，最終結論是符合。 更晚近人們擔心過美國陸軍《臨時軍需品手冊》的線上可得性是否幫了恐怖分子；在有些國家，持有一份是犯罪。

從理論模型到現行的「協同揭露」共識

資安經濟學為此提供了理論與量化框架。我們 2002 年從簡單模型出發，其中臭蟲是獨立同分布、隨機被發現的；這些模型有很好的統計性質，因為攻擊者與防守者立足點相同，而系統的可靠度只是初始程式碼品質與測試總時間的函數。

但真實世界真的是那樣嗎？ 還是它被相關的臭蟲、或廠商的內部知識扭曲了？這導致了一場大政策辯論：

Eric Rescorla 主張軟體夠接近理想模型，以致移除一個臭蟲對「攻擊者稍後找到另一個」的可能性影響不大，所以除非同樣的漏洞很可能被重新發現，否則頻繁揭露與修補是不必要的花費。
Ashish Arora 等人以資料回應：公開揭露讓廠商更快修臭蟲；攻擊起初增加，但通報的漏洞隨時間下降。
2006 年 Andy Ozment 與 Stuart Schechter 發現，OpenBSD 核心作業系統獨特漏洞被揭露的速率，在六年間下降了。

簡言之，在適當的情況下，軟體可以更像酒而非牛奶——它隨年份改善。

若干進一步的制度因素，讓辯論倒向「負責任揭露」（也稱協同揭露）：

第一次密碼戰爭結束時的政治安排：臭蟲會被回報給 CERT，而 CERT 在修補過程中與 NSA 分享。這讓政府上了船。
商業漏洞市場的出現（如 iDefense 與 TippingPoint 設立的），安全研究者可在此賣臭蟲；這些公司接著負責任地向廠商揭露每個臭蟲，也算出可賣給經營防火牆或入侵偵測服務之公司的入侵指標。
聰明的軟體公司開始自己的臭蟲賞金計畫，讓安全研究者能直接賣臭蟲，切掉 CERT 與 iDefense 這類中間人。

Stuxnet 之後這個市場急遽變化，因為它驅使政府囤積漏洞。我們看到 Zerodium 這類買臭蟲並賣給國家行為者、以及賣給也賣給國家之網路武器供應商的公司出現；iPhone 這類平台的零時差 exploit 現在可以賣到一百萬美元以上。

早在 2010 年，Sam Ransbotham 就證明：雖然開源與專有軟體在理想模型中同樣安全，但臭蟲在開源世界被轉成 exploit 的速度更快，所以攻擊者更常鎖定它。

2014 年 Abdullah Algarni 與 Yashwant Malaiya 調查漏洞市場並訪談了一些較多產的研究者：好奇心與經濟誘因的組合吸引了許多有能力的年輕男性，其中許多來自較不已開發的國家。 有些負責任地揭露，有些用漏洞市場同時取得金錢與認可，另一些則為了更多錢賣給黑帽。有些人會把臭蟲提供給廠商，但如果沒被好好對待，就會轉而提供給壞人。

廠商以可比的報價回應：2019 年 Black Hat 上，Apple 宣布了一個最高達 100 萬美元的臭蟲賞金級距（針對能在 iOS 上零點擊遠端執行指令的 exploit）。喔，而且許多獵蟲者在幾年後就退休了。

漏洞的生命週期現在不只涉及它的發現，還可能包括情報機關或其他黑帽行為者的隱密使用；接著是重新發現（也許被其他黑帽，但最終被白帽）；修補的發布；然後是對未套用修補之使用者的進一步利用。
廠商與客戶之間對修補發布的頻率與時機有張力，與互補者及次級使用者之間對信任也有張力。Linux 中的一個漏洞影響的不只是你實驗室的伺服器與你孩子的樹莓派；Linux 被嵌在所有地方：你的空調、你的智慧電視，甚至你的車。
這正是「負責任揭露」被改稱為「協同揭露」的原因——使用某個平台的公司可能實在太多，核心開發者無法信任他們全部。

攻防的結構模型#

衝突理論的創始者、已故的 Jack Hirshleifer 講過**阿納基亞（Anarchia）**的故事：一座島嶼的防洪工事由各個家族各自維護一段防洪牆。該島的防洪因此取決於最弱的一環，也就是最懶的那個家族。
他把它與一座「飛彈攻擊防禦取決於單一最佳射手」的城市比較。**最佳射（best-shot）**的另一個例子是中世紀戰爭中兩軍勇士的單挑。

中世紀威尼斯因洪水風險而是最弱環節防禦的最佳例子，它有強大的中央政府——商人家族選出對防洪擁有近乎獨裁權力的總督（Doge）。
而在中世紀晚期歐洲的其他地方，國王或首領率領自己的軍隊殺敵奪地；最強的國王建起最大的帝國，而這導致了一套最佳化「武裝人數」的封建制度。

Hal Varian 把這個模型延伸到資訊系統的可靠度——效能可能取決於最弱環節、最佳努力，或努力總和：

模式	意義	效率
努力總和（sum-of-efforts）	現代戰爭模型：我們納稅、政府僱兵	最有效率
最佳射（best-shot）	多數人會躲在英雄背後搭便車	次之
最弱環節（weakest-link）	每個人都因最懶者而脆弱	最差

程式正確性可能取決於最弱環節（最粗心的程式設計師引入一個漏洞）；
軟體漏洞測試可能取決於每個人努力的總和；
安全也可能取決於最佳努力——某位安全架構師這類個別冠軍所採取的行動。
隨著加入更多行為者，努力總和的情況中系統變得更可靠，最弱環節的情況中則變得更不可靠。 所以隨著軟體公司變大，它們最終僱用更多測試者與更少（但更有能力）的程式設計師；微軟在 2000 年代初發現自己的測試工程師比軟體工程師還多。

更多攻防模型：社會網路、斬首攻擊與唾手可得的果實

其他攻防模型包括：

惡意程式散播的流行病模型：在電腦病毒靠磁片在機器間傳播的年代很重要，但如今可蠕蟲化的 exploit 相對少見，興趣也就低了。
取決於時機的安全賽局模型，尤其是 Rivest 等人的 FlipIt 賽局；事實上有一整場會議（Gamesec）專門討論賽局理論與資訊安全。
社會網路模型：多數社會網路的連通性歸功於相對少數、與其他節點連結相對多的節點。
征服者威廉在 1066 年後靠殺掉盎格魯－撒克遜貴族並代之以諾曼人來鞏固英格蘭；史達林殺掉較富的農民。美英部隊在伊拉克戰爭的反叛亂行動中同樣鎖定高度連結的人——而蘇尼派地區因此產生的社會崩解，助長了伊斯蘭國的出現。
這類模型也暗示：叛亂者組成細胞，是對反覆斬首攻擊自然且最有效的回應。
George Danezis 與作者證明：在需要團結才能防禦的地方，較小且較同質的群體會更有效。
Rainer Böhme 與 Tyler Moore 研究了不需要團結時會發生什麼：如果人們使用只帶來私人利益的防禦機制，最弱環節模型就變成「唾手可得的果實」模型。 例子包括「單純猜出足夠多弱密碼以補充自己被攻陷郵件帳號存量」的垃圾郵件者，以及某些類型的無卡詐欺。

Tyler Moore、Allan Friedman 與 Ariel Procaccia 研究過：一個同時有防禦與攻擊任務的國家機構（如 NSA），會揭露漏洞讓它們被修好，還是囤積它們？他們的結論是：如果它可以忽略落在別人身上的社會成本，它就會囤積。

鎖定、搭售與 DRM 的經濟學#

技術鎖定是導致主導廠商市場的因素之一，而軟體公司三十多年來花了數十億在「讓客戶難以離開、讓競爭者易於背叛」的機制上。

從檔案格式戰到雲端生態系鎖定

1980 年代：檔案格式戰，公司試圖阻止任何人存取自家軟體產生的文書處理或試算表檔案。
1990 年代：戰場轉到網路相容性，微軟試圖把其他作業系統排除在區網之外，直到 SAMBA 創造了與 Apple 的互通性。在 1993 年一樁反托拉斯訴訟之後，微軟克制了自己、沒有用 Windows 合約去阻擋它。對抗性互通（adversarial interoperability）作為一種對抗網路效應的柔道出現。
類似機制被用來控制鄰接或互補的商品與服務市場，例子是把墨水匣搭售到印表機，以及把音樂與影片鎖到特定機器或機器族的 DRM 系統。Hal Varian 在 2002 年一篇早期資安經濟學論文中指出，它們不受約束的使用會損害競爭。

2003 年，微軟、Intel 等推出「可信計算」倡議，把權利管理延伸到其他類型的檔案，而 Windows Server 2003 提供了資訊權利管理（IRM）：我可以寄給你一份 Word 文件，你只能在螢幕上讀、不能列印，而且只能讀到月底。

想想前面 100 人公司的例子：他們付給微軟的 15,000 美元大致等於轉換到 LibreOffice 的總成本。然而如果檔案的控制權移到它的數千個客戶手上，而公司現在必須聯絡每個客戶、請求數位憑證才能遷移檔案，那轉換成本顯然增加了——於是你可以預期 Office 的價格也會上漲。

IRM 當時沒有起飛：美國企業界很快理解那是鎖定手法，歐洲各國政府反對「可信計算倡議把小公司排除在外」，而微軟也無法讓那些機制在 Vista 上正常運作。（但如今郵件已搬上雲端，微軟與 Google 都在提供正是 2003 年被提出、被反對的那種受限郵件服務。）

另一個面向是 DRM 與音樂。

1990 年代末到 2000 年代初，好萊塢與音樂業大力遊說要求消費電子設備強制內建 DRM，而我們至今仍以各種方式付出代價（例如當你把簡報從 VGA 轉接頭切到 HDMI 時聲音就沒了）。

好萊塢「未授權的 P2P 檔案分享會摧毀創意產業」的說法一向站不住腳：2004 年一項研究顯示下載整體上並未損害音樂業營收，後來的研究還顯示下載者其實買了更多 CD。

內容業嗤之以鼻，但到那年年底，音樂出版商就在抗議 Apple 從線上音樂銷售拿走太大一份現金了。
供應鏈中的權力從音樂巨頭移到平台，於是平台（現在是 Apple、Google、Amazon 與 Spotify）拿走大部分的錢，而音樂業中剩餘的權力從巨頭移到獨立廠牌——正如航空業解除管制有利於飛機製造商與廉價航空。
這是經濟分析預測力的驚人展示：唱片業藉由對抗一個不存在的威脅，讓電腦業吃掉了自己的午餐。

如果你選了 Google 生態系，你大概不只用 Gmail 與 Google Docs，還用 Google 日曆、地圖與其他許多東西。雖然你隨時能下載自己所有資料，但把它重新裝到另一個平台上會很麻煩，所以你大概只會咬牙在免費額度用完時付更多儲存費。
同樣地，如果你在一家 IT 公司開始使用 Slack 或 Splunk 這類工具，你最終會以各種方式客製化它們，使遷移變得困難。
現在每個人都在玩鎖定遊戲，誘使客戶購買或建造互補資產、甚至外包整個職能：Salesforce 接管了許多公司的銷售行政、Palantir 鎖定了許多美國警力，而大型學術出版商正在篡奪大學圖書館的職能。
微軟在公部門 IT 的鎖定之深，由慕尼黑市勇敢的脫離嘗試所說明：在 15 年、比爾蓋茲數次造訪與一位新市長之後，這個「在公共行政中使用 Linux」的計畫最終被逆轉了。

反托拉斯法與競爭政策#

整個生態系被卡特爾控制並不新鮮。

Tim Wu 提醒我們：英國內戰與美國革命都是從反抗王室壟斷開始的，而美國反托拉斯法的靈感來自 Louis Brandeis 對抗 J.P. Morgan 鐵路帝國的行動，其歐洲對應物則來自德國壟斷者對希特勒崛起的幫助。
Joshua Specht 講述了 Cargill 與 Armour 這類大型食品公司如何抓住鐵路開啟的雙邊市場控制權、藉由買下穀倉這類基礎設施鞏固權力、把氣候風險傾倒給小農、把工會組織者趕出城，甚至讓政客通過把動物權運動定義為恐怖主義的「ag-gag」法。
大型 IT 服務公司建立其市場力量的方式與此有共鳴：控制從廣告生態系、作業系統到資料中心的一切，並試圖邊緣化其批評者。

事實上，整個全球經濟在二十一世紀頭二十年變得更壟斷，而 IT 似乎佔了產業集中度成長的大部分。

一個新世代的競爭法學者，如哈佛的 Lina Khan，主張美國法律需要對競爭濫用採取遠比消費者剩餘更廣的觀點——正如歐洲一向所做的。

歐巴馬總統的反托拉斯經濟學家 Carl Shapiro 主張，反托拉斯法不適合處理大公司行使的政治權力，所以救濟應該針對特定傷害。但他確實承認：美國反托拉斯法在過去 40 年被最高法院過度窄化、消費者福利檢驗不足、主導廠商的排他行為與勞動市場作為都需要被處理，而美國需要更好地控制水平合併。

歐洲競爭法多年來禁止公司利用在一個市場的主導地位在另一個市場建立主導地位，而我們已看到歐洲法院對大型科技公司的一連串判決。監理機關被設計成更獨立，因為沒有任何成員國想冒著它被另一國俘獲的風險。

2019 年一份給歐盟執委會競爭總署的報告，不只凸顯科技巨頭的網路外部性與極端規模報酬，也凸顯了它們因為轉向線上服務與雲端運算而控制越來越多資料的事實。
結果是它們有範疇經濟：在一項業務中成功會讓在另一項業務中成功更容易。
報告結論是：歐盟競爭法框架基本健全但需要調校——監理機關必須同時保護「為市場而競爭」與「在市場中競爭」（例如在主導平台上，這些平台有不扭曲該處競爭的責任）。在這種環境中，監理機關必須注意多重歸屬、轉換、互通性、資料可攜性與對售後市場的影響。

若你用安全機制把產品綁在一起，就可能產生非常具體的政策議題。這與計畫性汰舊的法律相連——當廠商限制軟體更新的可得期間時，帶數位元件的商品在這方面被強化了。
歐盟新的《商品銷售指令》（2019/771）自 2022 年 1 月起，要求銷售帶數位元件商品（不論是嵌入式軟體、雲端服務或相關手機 app）的公司，在商品售出後至少維護這些軟體兩年；若這是客戶的合理期待則更久（對汽車與白色家電可能意味著十年）。

動機被扭曲的守衛#

「沒有人比不願看見的人更瞎。」——蘇格蘭古諺

安全工程提供了大量例子：

警方對網路犯罪幾乎不行動，因為他們發現嚇阻人們通報更簡單。如第 2 章所述，這讓他們能多年宣稱犯罪在下降，即使犯罪只是像其他一切一樣搬到線上。
政府對銀行課以偵測洗錢的義務（尤其 911 之後）。然而沒有銀行家真的想知道自己的某位客戶是黑手黨。 所以銀行遊說要把風險降低形式化為「盡職調查」；他們施壓要求詳細的法規，規定開新戶需要哪些形式的 ID，以及要做哪些處理來識別可疑交易。
詐欺方面：發現一個罕見的銀行詐欺模式，意味著支付服務商現在應該承擔損失，而不能只告訴客戶她一定是搞錯了或在說謊。所以他們會忍不住等著從業界或學界知道新的詐欺類型，而不是自己做認真的研究。
點擊詐欺類似：發現一個來自殭屍網路的「非有機點擊」模式，意味著你不能再向廣告主收那些點擊的錢。你必須做點事來緩解最嚴重的部分，但如果你有主導的市場地位，你越努力打擊點擊詐欺，賺的錢就越少。
在自己的程式碼中找臭蟲是另一個例子。當然你必須調整那些讓它跑不動的明顯臭蟲，但那些能被攻擊者利用的更微妙的臭蟲呢？你花越多時間找它們，就得花越多時間修它們。 你隨時可以去買靜態分析工具，但那樣你會找到數千個臭蟲，出貨日就要延後好幾個月。

過去很難跟董事會談內部人威脅，因為董事多半偏好相信公司最好的一面；所以典型的安全經理會做關於「邪惡駭客」的駭人簡報，好取得建立內部控制的預算。
如今許多公司的資安政策空間已被四大會計師事務所俘獲，而他們對內部控制的共識與其治理方面的「思想領導」綁在一起——憤世嫉俗者會說，那被最佳化的不是其表面客戶（股東）的福利，而是其真正客戶（執行長）的福利。
高層詐欺很少被發現，除非它們把公司搞垮；心力反而花在惱人又不相關的事情上，例如每月改密碼與堅持要紙本正本收據。

隱私的經濟學#

隱私悖論是：人們說他們重視隱私，行為卻相反。

如果你在街上攔人問他們的看法，大約三分之一會說自己是隱私基本教義派、絕不會把個人資訊交給行銷者或任何人；約三分之一說不在乎；約三分之一在中間，說會務實地看待任何揭露的風險與效益。
然而他們的購物行為（線上與線下）相當不同：絕大多數人幾乎不注意隱私，會為了微小的好處交出最敏感的資訊。各種增進隱私的技術被廠商推出販售，多數在市場上失敗了。

隱私經濟學的思想史與三個複合因素

隱私是資訊安全中在 2000 年之前就讓經濟學家感興趣的一個面向：

1978 年，Richard Posner 用保密來定義隱私，隔年延伸到隔離。
1980 年，Jack Hirshleifer 發表了一篇開創性論文，主張隱私與其說是退出社會，不如說是組織社會的手段，源自演化出來的領域行為；內化的財產尊重支撐了自主性。
1996 年，Hal Varian 從資訊市場分析隱私：消費者不想被不相關的行銷電話煩擾，行銷者也不想浪費力氣；然而因為搜尋成本、外部性與其他因素，雙方都受挫。Varian 建議給消費者關於自身資訊的權利，讓契約去理順它。

然而如我們所見，資訊產業容易發生導致壟斷的市場失靈，而資訊密集商業模式的擴散要求不同的取徑。
Andrew Odlyzko 在 2003 年主張，這些壟斷同時提高了價格歧視的誘因與機會：公司從線上互動中挖掘揭露個人付款意願的資料；而雖然我們在許多市場看到的差別定價（從航空公司的收益管理系統到電信定價）可能在經濟上有效率，它越來越引起怨恨。

Peter Swire 主張我們該量測隱私侵擾的外部性：

如果一個電話行銷員打給 100 個潛在客戶、賣出三份保險、惹惱 80 個，那麼傳統經濟分析只考慮那三個人與保險公司的效益。
但持續的騷擾導致數百萬人選擇不登錄電話簿、用答錄機篩選來電，或乾脆不裝市話。機器人來電的長期社會成本可能相當可觀。

隱私悖論由至少三個因素複合而成：

隱私傷害有許多不同類型：從就業、信貸與保險上的歧視，經過表現為支付詐欺的網路犯罪，到跟蹤與未經同意之私密影像這類針對個人的犯罪。
行為因素扮演重大角色。 Leslie John 等人用一個俐落的實驗展示了脈絡的力量：她設計了一個「隱私計」，形式是一串令人尷尬的問題，分數就是受試者在退縮前願意回答幾題。她對三組學生施測：
- 控制組：中性的大學環境；
- 隱私處理組：被給予強力保證，說他們的資料會被加密、IP 位址不會被儲存等等；
- 玩家處理組：被帶到一個外部網站（howbadareyou.com，標誌是一個微笑的惡魔）。
你可能以為隱私處理組會揭露更多，但事實上他們揭露得更少——因為隱私已被弄得對他們很突顯。 至於玩家組，他們愉快地揭露了控制組兩倍的資訊。
業界理解這一點，並不遺餘力地讓隱私風險較不突顯。 隱私政策通常不在首頁，但關切的使用者容易找到；政策通常以無害的文字開頭、把不愉快的東西留到最後，這樣不會嚇到隨意瀏覽者，但警覺的少數能很快找到不用該站的理由——所以它們也不會阻止其他使用者去點廣告。

2000 年代與 2010 年代初有證據顯示大眾正逐漸學到我們工程師已經理解的風險（例如選擇用隱私控制去收窄 Facebook 極開放預設值的使用者比例穩定上升）。
但 2015 年（史諾登揭露近兩年後）Pew Research 的兩項調查揭露了美國大眾中日益增長的「習得無助」：
93% 的成人說「能控制誰能取得關於自己的資訊」很重要；
90% 說「控制關於自己蒐集了什麼資訊」很重要；
88% 說「沒有人在未經許可下觀看或聆聽自己」很重要。
然而只有 6% 的成人說自己「非常有信心」政府機關能保持其紀錄的私密與安全，另有 25% 說「有點有信心」。電話公司與信用卡公司的數字類似，而廣告主、社群媒體與搜尋引擎的數字則明顯更差。
然而少有受訪者做過任何重要的事，除了偶爾清除瀏覽記錄或拒絕特別不恰當的個資要求。

組織與人類行為#

組織常以看似不理性的方式行動。 我們經常看到公司甚至政府變得如此自滿，以致在威脅變成危機之前無法反應，然後陷入恐慌。

另一個例子是：似乎總是有一家電話公司、一家銀行正被壞人挑上。低詐欺率讓人自滿，直到壞人注意到。上升的濫用浪潮被忽視、或盡可能長久地歸咎於客戶。然後它上了新聞，高層恐慌。錢在一兩年間大把花下去，東西被修好，然後壞人轉往下一個受害者。

作者的個人觀察（他在銀行、大小科技公司與大學部門都工作過）是：競爭比「企業是公有還是私有」更重要。
大學教授彼此激烈競爭；我們的客戶不是校長，而是諾貝爾獎委員會或其對等物。但由於大學行政人員在以校長為頂的層級中工作，他們面對的誘因與公務員相同，也展現許多相同的優缺點。 同時，有些私人公司的市場力量大到內部行為就像政府（不過頂層薪水好得多）。

網路犯罪的經濟學#

如果你要保護系統免於攻擊，知道攻擊者是誰、有多少、來自哪裡、如何學會他們的工作、以及如何被激勵，是個好主意。

從芝加哥學派到犯罪學：理解網路犯罪的多重視角

一種取徑是 Gary Becker 這類芝加哥學派經濟學家的，他在 1968 年用獎懲來分析犯罪。這給出許多有價值的洞見，但不是全部的故事：

為什麼犯罪集中在壞社區？
為什麼那些社區的某些孩子成為多產且持續的犯罪者？

傳統犯罪學家研究這類問題，並找到對犯罪預防有價值的解釋：最嚴重的犯罪者往往遭受多重剝奪、父母教養不佳、有藥物與酒精濫用，並被拉進犯罪循環。他們在十幾歲時開始得越早，放棄前持續的時間就越長。

批判犯罪學家指出，法律是由有權者制定的，他們藉由壓迫窮人維持權力，而壞社區比有錢白人住的好郊區更可能被過度警政與汙名化。

再往下挖三層：

環境設計：自 1960 年代起就有大量研究用環境設計壓制犯罪，起初在低成本住宅，然後擴及各處。例如中庭比公園好，因為住戶更可能識別並質問入侵者；許多這類「情境犯罪預防」的想法從犯罪學橫渡到系統設計。
心理：心理正常的人不喜歡傷害別人；那些傷害別人的人往往同理心低（也許因為童年受虐），或者（更常見地）有把自己行為正當化的最小化策略。
銀行搶匪把銀行家看成真正的剝削者；士兵把敵人非人化為「阿兵」或「恐怖分子」；而多數普通殺人犯把自己的罪行看成榮譽問題。「她背叛我」與「他不尊重我」是典型的觸發點。
這些機制橫渡到線上與電子詐欺的世界。 站在法律錯誤一邊的駭客往往覺得自己的行動本來就正當：駭客行動主義者本來就是政治行動者，而網路罪犯用各種最小化策略避免感到愧疚。有些俄羅斯網路罪犯的看法是：美國在 1989 年後坑了俄羅斯，所以他們只是討回來（而他們自己政府的態度與政策也支持這種看法）。
至於把詐欺風險傾倒給客戶的銀行家，他們內部談的是若承認安全漏洞就會面對的「詐欺性詐欺風險的雪崩」。
通往犯罪的路徑、幫派組織與技能擴散：Steve Levitt 研究了芝加哥犯罪幫派的組織與財務，發現街頭層級的毒販賺得比最低工資還少。他們願意站在雨中被開槍，是為了有機會升到上一層——那裡的社區老大開著 BMW、身邊有三個女孩。
這些想法也橫渡過來。 許多網路罪犯一開始是玩家，然後在遊戲中作弊，然後買賣遊戲外掛，然後學會寫遊戲外掛的程式碼，幾年之內較有才華的就成了惡意程式開發者。
所以一種政策介入是試著阻止孩子跨過「合法與非法遊戲作弊」之間的那條線。如第 3 章所述，英國國家犯罪局買了 Google 廣告，警告在英國搜尋 DDoS 代打服務的人使用這類服務是違法的。 Ben Collier 等人用劍橋網路犯罪中心的資料證明，這遏止了英國 DDoS 攻擊的成長，相對於美國的持續成長。

我們在第 2 章討論過網路犯罪的整體成本，並指出這個生態系在過去十年出奇地穩定，儘管技術已經改變：我們現在從手機而非筆電上網、使用社群網路、把一切放在雲端。
多數的獲取型犯罪現在都在線上：2019 年估計約有一百萬英國家戶遭竊盜或汽車失竊，而超過兩百萬遭受詐欺或詐騙，且幾乎總是在線上。然而政策回應幾乎在各地都落後。

網路犯罪的效應也可透過外洩揭露的效應來研究。Alessandro Acquisti 等人研究過通報安全或隱私外洩對公司股價的影響：單一次外洩傾向造成一週左右就消散的小幅下跌，但兩次外洩可能長期損害投資人信心。
外洩揭露法讓外洩成為可保險的事件。

小結#

許多系統失敗是因為誘因錯了，而不是因為某個技術設計錯誤。 結果是安全工程師除了密碼學、協定、存取控制與心理學的基本功外，還必須理解基本的經濟學。

研究問題#

迄今被探索過其與安全之相關性的經濟學領域有三個：個體經濟學、賽局理論與行為經濟學。但經濟學是個廣大的學科，它還能給我們什麼別的想法？

作者在關於資安經濟學起源的歷史論文中，建議新的研究生用以下啟發式來選研究題目：

想「安全與 X」，對經濟學的其他子領域 X。
想「Y 的資安經濟學」，對不同的應用 Y。已經有些論文談支付、色情、遊戲與審查等主題，但那不是電腦被拿來做的唯一事情。
哪裡挖到金子就繼續挖（例如行為隱私）。

此後作者還會補上：

資料驅動的研究有很大空間，現在我們開始（透過劍橋網路犯罪中心）把大型資料集提供給學者，而許多學生熱衷發展資料科學技能。
一個相關問題是：如何蒐集更多可能有助於探索其他領域的資料，從個別安全人員的生產力到安全在制度（尤其是政府與醫療系統這類大型複雜制度）中如何運作。
有沒有什麼好方法可以量測安全文化的品質？
既然我們開始把軟體與線上連線放進汽車與醫療器材這類耐久且攸關安全的東西，我們需要對安全與 safety 之間的互動知道得多得多，也需要知道如何讓這類系統維持修補與運轉數十年。這開啟了可靠度與可持續性方面的各種新題目。