2007年11月1日消息，據(jù)外電報(bào)道，Matasano安全公司研究人員Thomas Ptacek自從上周五蘋(píng)果發(fā)布Leopard操作系統(tǒng)以來(lái)就馬上進(jìn)行了測(cè)試。他在本周一發(fā)表了一篇對(duì)Leopard進(jìn)行評(píng)估的詳細(xì)報(bào)告。他說(shuō)，Leopard為Mac計(jì)算機(jī)增加了許多重要的安全功能。但是，這些安全功能經(jīng)常執(zhí)行得不徹底，使用戶容易受到攻擊。

Ptacek稱(chēng)，蘋(píng)果的兩項(xiàng)關(guān)鍵的安全增強(qiáng)功能“Sandboxing”（沙箱）和“Library Randomization”（庫(kù)隨機(jī)化）是極好的想法。但是，這兩個(gè)功能在Leopard操作系統(tǒng)中沒(méi)有很好地應(yīng)用。

以“Library Randomization”為例，這個(gè)新功能旨在阻止緩存溢出等常見(jiàn)的計(jì)算機(jī)攻擊。在緩存溢出攻擊中，攻擊者利用軟件中的漏洞把代碼放到計(jì)算機(jī)內(nèi)存的某個(gè)地方來(lái)達(dá)到攻擊的目的。攻擊者知道代碼在那個(gè)地方能夠運(yùn)行�！癓ibrary Randomization”技術(shù)能夠讓攻擊者不知道把代碼放在什么地方，從而減少攻擊的危險(xiǎn)。

Ptacek稱(chēng)，現(xiàn)在的問(wèn)題是蘋(píng)果沒(méi)有對(duì)操作系統(tǒng)中所有應(yīng)該進(jìn)行隨機(jī)化處理的部分進(jìn)行隨機(jī)化。特別是蘋(píng)果一直沒(méi)有對(duì)動(dòng)態(tài)鏈接庫(kù)進(jìn)行隨機(jī)化。

安全研究人員Dino Dai Zovi稱(chēng)，他在過(guò)去幾年編寫(xiě)利用Mac計(jì)算機(jī)安全漏洞代碼的時(shí)候都在利用這個(gè)庫(kù)。他就是利用了動(dòng)態(tài)鏈接庫(kù)沒(méi)有進(jìn)行隨機(jī)化。他同意Ptacek對(duì)這項(xiàng)功能的評(píng)估結(jié)果。如果Leopard操作系統(tǒng)正確使用這個(gè)功能會(huì)給攻擊者帶來(lái)更多的困難。

“Sandboxing”是最終使Mac OS X操作系統(tǒng)更安全的一種功能。這個(gè)功能可以限制軟件在Mac OS X操作系統(tǒng)上運(yùn)行。即使黑客攻破這個(gè)系統(tǒng)也不能向系統(tǒng)增加新的軟件。這個(gè)問(wèn)題是蘋(píng)果沒(méi)有使用沙箱技術(shù)保護(hù)最經(jīng)常受到攻擊的應(yīng)用程序，如瀏覽器、電子郵件客戶端軟件或者即時(shí)消息軟件。

獨(dú)立安全顧問(wèn)Rich Mogull表示，他認(rèn)為最大的問(wèn)題是Leopard防火墻。這個(gè)防火墻的界面讓他感到困惑。他說(shuō)，防火墻界面太復(fù)雜，很難進(jìn)行正確的設(shè)置。

蘋(píng)果不愿意對(duì)這些新安全功能的細(xì)節(jié)發(fā)表評(píng)論。蘋(píng)果發(fā)言人Anuj Nayar稱(chēng)，蘋(píng)果對(duì)待安全問(wèn)題是非常認(rèn)真的。蘋(píng)果要在安全漏洞影響到用戶之前解決這些問(wèn)題。蘋(píng)果在這方面有很好的記錄。

標(biāo)簽： 安全 代碼 電子郵件 防火墻 漏洞 問(wèn)題 用戶

版權(quán)申明：本站文章部分自網(wǎng)絡(luò)，如有侵權(quán)，請(qǐng)聯(lián)系：west999com@outlook.com
特別注意：本站所有轉(zhuǎn)載文章言論不代表本站觀點(diǎn)！
本站所提供的圖片等素材，版權(quán)歸原作者所有，如需使用，請(qǐng)與原作者聯(lián)系。