正如我的措辞所暗示的，使用晦涩难懂的应用程序是一种通过 obscurity 实现的安全形式。这种推理是错误的，只会导致错误的安全感。默默无闻不是安全。

不要根据它的受欢迎程度来选择您的安全关键软件；根据对软件的分析量、供应商修补安全问题的速度以及他们提供的可证明的安全措施来选择它。

@Polynomial 在“通过默默无闻的安全性”方面提出了很好的观点，您绝对不应该基于“默默无闻”来保护自己，因为它已被证明不起作用。但是，我认为您的问题的答案并不那么简单-我认为您的问题更像是“降低风险”的问题，但可能是错误的。

在安全社区中，我们常常简单地说“不”。选择一些东西，因为它不“受欢迎”或没有那么大的市场份额，但是，并不是一个简单的“不”恕我直言。从你的问题，恕我直言，我不相信你是在暗示“安全通过默默无闻”的政策。

我已经看到人们使用“不那么流行”的软件采用成功策略的例子。重要的是要注意，它通常是一个短期的解决方案，而不是一个长期的事情。

我很确定绝大多数攻击者将针对大多数人使用的技术，这通常是 Windows、Internet Explorer、Adobe Acrobat 都成为目标的原因（以及一些事实的代码很差）。从安全的角度来看，后来的 Windows 和 IE（IE9 更安全）版本比它们的前辈有了显着的改进，这既是因为它们受到了攻击者和安全社区的打击，也失去了市场份额（可能更有害） ）。然而，尽管有这些安全改进，Microsoft 仍然是目标，Patch Tuesday 仍然经常是“巨大的”，这是因为他们拥有庞大的用户群（一个大目标）。

例如，我知道有人从 Windows 迁移到 Mac，因为它的市场份额较小并且被认为“更安全”，记住Apple 的活动. 随着苹果变得越来越流行，它们的目标越来越多，现在有更多专门针对 MAC 的恶意软件，当时它不那么流行，所以肯定会证实你的建议，是的，当它不是时它更安全没有那么受欢迎。不是底层基础设施让它变得更加不安全，而是苹果添加的所有优秀应用程序，它添加这些应用程序是为了取悦用户，主要是技术不如原始用户群的新用户。这并不是说在史蒂夫乔布斯接管世界之前他们“更”安全，但我相信可以肯定地说，在 6 到 8 年前使用 Mac 受到攻击的“风险”比今天要小。

我知道人们现在从 Mac 迁移到 Linux 以将自己从 Mac“攻击面”中移除。Linux 是否会在桌面上变得像 Mac 一样流行是另一个问题，但使用 Linux 作为桌面安全的原因有很多（这里太多了），尤其是因为使用 Linux 的人很可能精通技术并意识到风险) 但“不太受欢迎/目标较少”可能是其中之一。

与 Adob​​e 类似，他们的软件受到攻击是因为成功利用可能会破坏的巨大目标群 - 其他 PDF 软件中存在漏洞，但它们没有受到相同程度的攻击（是吗？）。他们仍然受到攻击，因为它是读取/写入 PDF 和漏洞的主要解决方案，尽管他们的软件得到了更多保护（例如他们的沙盒技术）

我知道很多人使用 Opera 或不太流行的浏览器来浏览某些重要网站，因为虽然该软件中也存在漏洞（就像所有软件中一样），但它们并不广为人知或针对性不强。您更有可能收到一封电子邮件，其中包含指向网站的链接，其中包含利用 Firefox、IE 或 Chrome 漏洞的有效负载。

@Pepe 还提出了一个很好的观点，即确保您使用的软件得到维护和定期修补（Opera 当然是）。我还要补充一点，确保它是一个有信誉的项目，在 Internet 上进行一些挖掘以检查软件背后的社区/人 - Sourceforge 很棒，但至少可以说它确实托管了一些“有趣”的东西。如有疑问，请咨询 Security Stackexchange :)

总而言之，我认为它不一定会让你更安全，但如果你的头被拧紧，意识到风险等等，那么我相信这样的理念可以用来成功降低你的风险，如果作为一部分正确使用整体纵深防御战略，您并不完全依赖它。

这取决于。如果所有功能合理的替代方案基本上都容易出现编程错误，就像浏览器一样，那么使用不那么流行的替代方案可能是个好主意。

特别是，如果您的威胁模型不包括专门为您的设置等待、观察和开发攻击的复杂对手，则使用不那么流行的软件将使您免于大量的即兴运行/大规模扫描/蠕虫攻击。我认为这是一种有效的“实用”系统安全策略，即任何较大的行业/家庭设置，其中软件和硬件配置不能从一开始就考虑到安全性来设计/购买/执行。

显然，您也不应该使用几乎没有维护或未维护的软件。仅仅因为它不那么受欢迎并不意味着它是安全的。

FWIW，这里是对 Debian 包的平均安全漏洞率的简单统计分析：https : //freeside.trust.cased.de/apt-sec/hits

请注意：

• 这些指标的可用性有限。也许最有用和最容易理解的是 MTTF，它是特定软件包报告的安全事件之间的平均时间。
• 系统使用 Debian 存储库和建议来推断此信息，但当然 Debian 的 vlc 包中的错误也可能是其他所有人的 vlc 包中的错误。
• 平均错误率 X 并不意味着事件在您的特定平台上以该比率发生。它是一个上限，涵盖了所有可能的组合。如果您运行的是 Windows，很可能 Debian 的许多 vlc 安全建议不适用于您的 Windows vlc。

实际上，如果您可以选择“在雷达下飞行”，则可以获得一定程度的安全性。
我见过数以千计的易于利用的 PHP 应用程序，它们从未受到任何关注，也从未“在野外”被利用，而 Wordpress 或 Joomla 扩展中即使是最轻微的失误也会很快被广泛利用。从统计上讲，如果您的应用程序中的错误没有出现在 Exploit-DB 或 CERT 中，那么它很可能不会被自动扫描机器人利用。如果您是 Internet 上的“无名小卒”，那么自动化机器人的攻击是您最关心的问题。

但作为一个长期解决方案，这是一种冒险的避难所。
只需要一个机会主义者注意到您的应用程序中的错误，从而彻底破坏您的整个策略。流行的应用程序之所以流行，主要是因为它们得到了很好的支持、很好的管理和快速更新。不太受欢迎的软件经常被放弃或很少更新。这种程序中的错误可能永远不会得到更新。并且在未来改变平台可能是一个不可行的选择。如果没有人知道您的应用程序，那么迁移工具就不太可能存在——您将陷入困境并陷入灾难。

此外，可以对某些类别的危险进行通用扫描——
这包括远程包含错误、SQL 注入漏洞和其他一些。攻击者不需要提前知道您正在运行什么软件或者它是否易受攻击。相反，他可以寻找通常伴随可利用组件的某些模式，即使他不知道该组件是什么。

在这种情况下，写得不好的软件会在任何地方咬你，即使你自己写了它，而且除了你之外没有人拥有源代码。

理想情况下，您应该坚持使用受信任、经过审查、维护良好的软件，完全不管受欢迎程度如何。