正如微軟在Vista的宣傳中所說,Vista是目前為止微軟推出的最安全的操作系統,但是對於用戶特別是那些對安全很敏感的用戶而言,這種安全性是否足夠則是另外一個問題.微軟在Vista的宣傳資料中所說,Vista是目前為止微軟推出的最安全的操作系統.微軟承諾說,歷經了5年開Б而成的Vista將讓桌面用戶進入一個可信計算的新世界,在這個世界裡,電腦將更可靠、使用者得到更好的體驗、臭名昭著的惡意軟件將成為過去.
然而,在Vista正式上市4個月以來,圍繞其是否安全的爭論愈演愈烈,反ⅰ毒軟件供應商、黑客以及安全專家等紛紛對微軟在Vista中所采用的安全手段的效果提出質疑.有人甚至認為Vista的新安全模式純屬空架子,沒有任何實質意義.
一直以來,微軟＃常受到批評,特別是當它做出某種承諾之後,更容易成為眾人的靶子.實際上,此前的各種測試已經證明,與過去的Windows操作系統相比,Vista的確在阿全性上有了實質性的改善.但是,這並不意味著Vista可以讓我們從此高枕無憂了.除了部分令IT管理員頭痛的問題可能會少了以外,IT管理員依然必須每天小心謹慎、認真面對.
用戶控制賬戶
Vista中最受微軟贊譽的安全手段恰恰是人們批評最多的.用戶賬戶控制(User Account Control,UAC)是用於解決長期以來困擾Windows系統的用戶權限管理問題的,但反對者認為,由於設計不周影響了UAC的效果,讓它無法提供足夠的保護.
過去,管理員賬戶受到的指責最多.種種實踐表明,用戶只有在完成某項任務必須管理員權限時,比如安裝設備驅動程序或者修改注冊表時,才應該賦予它這一權限.但是,以前的Windows系統沿襲了DOS系統的一些特性,它們本質上都是單用戶系統,所以系統中的用戶默認都是管理員.甚至在Windows XP這個微軟的首個多用戶客戶端操作系統中,用戶登錄時,仍然習慣性地默認它是系統管理員,即使他只需要完成一些最普通的任務.
這種方式讓工作站非常容易管理,但是,對安全而言是一個災難.如果用戶以管理員的身份登錄,蠕蟲、特諾伊木馬等一旦入侵成功,就會擁有最高的權限,從而給用戶帶來很大的破壞.更糟糕的是,微軟對用戶權限管理的疏忽讓軟件開發商們可以很隨意地采用一些不安全的編程方法,兩相結合讓事情變得更復雜了.比如,很多Windows上的應用只有在管理員權限下才能運行,這就意味著,系統運行在一種最不安全的狀態.
UAC試圖對這種不良的習慣進行修正.在UAC模式下,大多數軟件默認運行在低用戶權限的狀態之下,如果某個應用進行的某個操作需要管理員的權限,UAC會彈出一個對話框,要求用戶把應用提升到一個更高級的權限.
不幸的是,Vista中的UAC並不完善,存在一些漏洞可以被利用.比如,與Windows的其他操作系統一樣,在Vista中軟件的安裝者總是具有管理員的權限.此外,賽門鐵克的安全分析師Ollie Whitehouse也指出,Vista中自帶的一些應用程序也可能被利用來破壞UAC的保護作用.
有些安全專家承認微軟在Vista上工作出色,但它們也提醒人們: 不要希望UAC能在一夜間消滅與管理員賬號有關的所有問題.
設計欠周並不是微軟UAC的唯一漏洞,對使用者的某些要求也受到批評.UAC的確認對話框就讓人厭煩,而且在某種程度上還讓人覺得有些莫名其妙.使用者很容易因為厭煩而干脆關掉UAC這項功能,或者根本不去理解UAC報警信息的具體內容,簡單地點擊“OK”按鈕完事.還有更糟糕的,他們很容易被社會工程學(社會工程通常是利用大眾疏於防范的小詭計,讓受害者掉入陷阱.該技巧通常以交談、欺騙、假冒或口語用字等方式,從合法用戶中套取用戶系統的秘密,例如: 用戶名單、用戶密碼及網絡結構.——編者注)誘騙來做一些事情.
“Vista的確提供了很多功能來保護你的系統,但前提是要恰當地使用它.”微軟在Vista的最佳實踐指南中談到UAC時有這樣一段話,“系統到底有多安全取決於使用者的操作,因此在點擊按鈕時最好想一下.”換句話說,把系統的安全完全建立在UAC之上,並不是一個好主意.
實際上,微軟並不鼓勵用戶把UAC當成一個安全的堡壘,因此,微軟也不認為UAC實現上的漏洞是安全漏洞.認識這一點很重要,因為它告訴我們在企業環境中如何看待UAC.
除了UAC外,微軟在
Vista中添加了很多其他功能,其中,不少功能的目的就是為了提高系統的安全性的.不過,如果仔細研究一下這些功能,同時與過去的Windows系統相比,我們會發現,它們實際上對系統的安全性提高非常有限.
Vista新增安全性
自從Windows XP推出SP2以來,Windows系統在安裝時其防火牆功能默認是開啟的.在Vista中,Windows防火牆除了像XP中一樣能阻止外界與電腦的會話,還能阻止電腦與外界的會話.對於日益增加的間諜軟件、網絡釣魚以及拒絕服務攻擊威脅,這是Windows的一個非常重要的改進.然而,不幸的是,Vista安裝時,對向外發送的包進行過濾這一功能默認是關閉的.換句話說,如果不進行手工配置,Vista的防火牆對連接提供的保護與XP SP2相比沒有多大區別.
Vista中還有一個新的應用程序叫Windows Defender,它為系統提供了防間諜軟件的功能.但是根據間諜軟件供應商Webroot的說法,Windows Defender對絕大多數的間諜軟件都不起作用.更糟糕的是,2月份有人發現Windows Defender有可能成為惡意軟件攻擊Vista的跳板.因為微軟的惡意軟件檢測引擎有一個漏洞,可以被惡意者利用來發起對Vista的攻擊.
與前面所說類似,盡管Vista中新增了一個硬盤加密功能,名為Bitlocker,但系統安裝時這項功能默認也是關閉的,而且,它究竟能多大程度上為用戶提供保護也還存在疑問.
最最糟糕的是,Vista中新添的功能有些被證明實際上對總體安全是有害的.今年1月份,有黑客發現,可以通過Vista的語音識別功能訪問遠程系統,執行包括刪除系統中的任意文件等功能.這些聽起來也許過於聳人聽聞,不過的確應該引起重視,否則會給自己造成損失.
應用程序中的Bug
Vista語音識別功能漏洞再次揭示出一個事實,到目前為止,與此前的各種Windows操作系統版本一樣,針對運行Vista系統的電腦的攻擊主要形式不是利用操作系統本身的漏洞,而是利用了運行在操作系統之上的各種應用系統的漏洞發起的.
實際上,為了減少那些應用程序中最常見的漏洞給整個系統帶來危害,Vista已經在這方面做了很多工作,比如,采用內存地址空間的隱藏、對操作系統內核的保護等技術以後,現在黑客要想再利用那些普通的Bug來發起對系統攻擊將非常困難.賽門鐵克進行的初步研究證明,盡管Vista在某些形式的攻擊面前仍然比較脆弱,不過,賽門鐵克還是認為,Vista基本上達到了微軟預先設想的安全目標.
而且,Vista把.Net作為首選的開發模式對未來應用系統的安全也非常有好處..Net開發平台的托管代碼和安全沙漏功能有助於幫助開發人員避免犯一些常見的程序錯誤,這些錯誤很可能成為黑客們利用的漏洞.
不過,盡管.Net開發平台帶來了不少改善,但要從這些技術中真正受益,開發人員必須重寫原來的代碼.而那些以前開發的應用程序則無法從Vista受益,它們仍然還像從前一樣容易被黑客們利用其中的漏洞.這樣的例子已經有了不少,比如CA不久發布補丁的BrightStor備份軟件.
毫無疑問,接下來的幾個月,很多商業的應用軟件會發布針對Vista的補丁,而那些企業自己開發的軟件其安全性則很不確定.除非將以前的軟件統統升級,以充分利用微軟最新的安全技術,否則當它們在Vista中運行時,將無法受到UAC的任何保護.盡管微軟已經在技術上前進了一大步,但是這個最新的操作系統並不是保證運行在它上面的IT環境安全的萬能藥.
“對於Vista我們很自信,它是微軟到目前為止最為安全的操作系統,”微軟的一位負責Vista安全的高級經理說,“不過,有一點大家必須認識到,那就是沒有100%安全的系統,也就是說沒有銀彈.”他說,“Vista對於攻擊沒有免疫力,因此,我們如果對它抱有這樣的希望也是不公平的.”
的確,操作系統在技術上的進步給系統的安全帶來很大幫助,但是,與微軟以前所有版本的操作系統一樣,微軟自己也承認,Vista用戶最好還是同時安裝一些防惡意軟件的軟件以及其他一些安全軟件.
正如微軟所有的操作系統一樣,Vista最大的問題也許出在與舊版本兼容上.到目前為止,Vista中發現的大多數漏洞都出在那些老的應用程序中,因為它們無法從Vista新的安全模式中受益,甚至UAC本身也是一個妥協的產物.
對於企業而言,越早跟上微軟的最新技術,它就越早能從微軟在安全方面的最新研究成果中受益.無論在哪裡,只要有可能,企業都應該盡快把那些自己開發的應用升級到托管代碼和.Net框架,同時對微軟最新的安全API和最佳實踐進行評估.
未來,隨著行業轉向64位的計算平台,將會有越來越多的基於硬件的安全策略出現,到那時,安全形勢也許會好一些.但是,今天我們最好還是小心謹慎為好.微軟已經為那些正在對Vista進行評估、准備在企業網中采用活動目錄(Active Directory)的IT管理員專門制定了一份安全指南.
盡管對一個機構而言,如何進行配置取決於需要的安全級別,但是指導方針非常明確: Vista系統的安全需要各方共同努力,這包括IT人員的認真對待、安全策略的嚴格執行,以及第三方的防惡意軟件和安全管理工具,換句話說,仍然和以前沒有什麼區別.Vista並不意味著與XP相比,安全性有了重大改善,畢竟它仍然是Windows.(博文譯自美國《Infowrold》雜志)
鏈接:UAC的工作機制
在Windows Vista中,默認有兩個級別的用戶組,即標准用戶組和管理員組,其中,標准用戶是計算機Users組的成員; 管理員是計算機Administrators組的成員.微軟在Vista中所做的改進在於,與以前版本的Windows不同,默認情況下標准用戶和管理員都會在標准用戶安全上下文中訪問資源和運行應用程序.用戶登錄後,系統為該用戶創建一個訪問令牌.該訪問令牌包含有關授予給該用戶的訪問權限級別的信息,其中包括特定的安全標識符(SID)和Windows權限.
Bitlocker的加密原理
啟用了Bitlocker以後會生成兩個密鑰: 一個存放於引導分區中; 另外一個存放在主板上的一個名叫TPM的芯片裡,在計算機加電的時候首先是TPM最先加載,它會和引導區中的密鑰進行對比驗證,通過了以後才會加載BOIS完成計算機啟動過程.如果這個過程中任何一個不匹配的話,比如有人對這個TPM芯片做了手腳,或者是把硬盤拆下來放到別的機器中,Windows Vista將會拒絕掉密鑰的釋放,系統將無法啟動.
