普林斯顿大学的两名研究员在最近的一次报告中说，像美国在线（AOL）和Adobe这样的大公司开发出的软件应该足够安全，而事实并非如此。 普林斯顿的这个研究小组从Windows访问控制系统入手进行研究，该系统决定用户和应用程序可以在给定的PC上做哪种类型的事。他们得出的结论是这样的：很多程序要求太多的权限，以至于为潜在的攻击者打开了大门。 一位普林斯顿的博士生，也是那篇论文的一位作者，Sudhakar Govindavajhala说：“厂商在为Windows写程序的时候，他们同时在犯着错误。想想你的系统会在安装新程序的时候变得不安全，真是一件可怕的事。” Govindavajhala说，要利用论文中所讲到的那些漏洞，攻击者首先必须获得对计算机上一个本地账号的访问权。这些攻击不可以通过英特网进行，但是，如果某人可以获得对你的机器的访问权，那么他可以做的事就太多了。 据SANS（一个针对计算机安全专业人员的培训机构）所言，经过多年对Windows本身的关注之后，攻击者越来越多地转向攻击运行于该操作系统上的软件。SANS列出即时消息应用程序、媒体播放器和备份软件，说这是新型安全漏洞最易发生的领域（请参看http://www.sans.org/top20/）。 普林斯顿大学另一位对这篇论文很熟悉的计算机科学家说，论文中的研究结果仅仅表明这些“权限上升”问题有多么普遍。Ed Felten，一个计算机科学及公共事务教授，他说：“对于普通用户来讲，这里只是提醒注意，软件应用程序可以打开安全漏洞，而厂商确实犯了些可能代给用户危险的错。但是，没有什么应用程序是绝对安全的。” Felten说，最近发现，索尼BMG音乐娱乐所使用的MediaMax拷贝防护软件也存在有这种问题。紧接着，MediaMax的生产厂家SunnComm技术公司马上就修补了这个问题。 Govindavajhala和其合作作者Andrew Appel所发现的安全漏洞在AIM客户端和Adobe的产品中已经得到了解决（详细内容请见http://www.frsirt.com/english/advisories/2006/0431），但是，仍有许多其它的程序中存在同样的问题。 Govindavajhala说他并不想指出未打补丁的产品的确切名称，因为这样做可能会被黑客所利用。 关键词：Photoshop、AIM、AIM权限、系统安全性、flash卷轴制作 |
