谷歌Chrome沙盒技術(shù)成瀏覽器安全標(biāo)準(zhǔn)
著名的安全專(zhuān)家Dino Dai Zovi稱(chēng)，所有的瀏覽器開(kāi)發(fā)商都應(yīng)當(dāng)借鑒Google Chrome的安全標(biāo)準(zhǔn)，隔離來(lái)自其他操作系統(tǒng)的不可信任數(shù)據(jù)。
Dino Dai Zovi，一位著名的安全專(zhuān)家，流行讀物《黑客老兄的手冊(cè)》的合著者，認(rèn)為未來(lái)的安全必定會(huì)依賴(lài)于"沙盒"，將應(yīng)用進(jìn)程同其他的應(yīng)用、操作系統(tǒng)和用戶(hù)數(shù)據(jù)庫(kù)分離的實(shí)踐技術(shù)。
在卡巴斯基周三的威脅發(fā)布博客上Dai Zovi將沙盒描述成和"權(quán)限降低"同等的較少的技術(shù)，可以將不信任數(shù)據(jù)從用戶(hù)數(shù)據(jù)轉(zhuǎn)移到它所屬于的地方。
沙盒技術(shù)的設(shè)計(jì)理念是加大惡意軟件入侵電腦的難度。即使攻擊者能夠利用瀏覽器漏洞執(zhí)行惡意軟件，仍然需要利用沙盒技術(shù)的其他漏洞來(lái)侵入操作系統(tǒng)，才可能獲得用戶(hù)的數(shù)據(jù)。
"沙盒技術(shù)顯著加大黑客入侵的障礙，攻擊者將不得不改變其攻擊方式，例如流氓殺毒軟件。"Dai Zovi在一個(gè)電話采訪中表示。
Dai Zovi認(rèn)為網(wǎng)絡(luò)攻擊愈演愈烈要求瀏覽器采用沙盒技術(shù)。"它是至關(guān)重要，因?yàn)樵谖铱磥?lái)，瀏覽器將來(lái)會(huì)變成了操作系統(tǒng)。谷歌是第一個(gè)意識(shí)到瀏覽器能成為操作系統(tǒng)，Chrome實(shí)現(xiàn)了這種構(gòu)想，改寫(xiě)瀏覽器歷史。"
自2008年9月Chrome首次露面即公布了沙盒技術(shù)。而Dai Zovi認(rèn)為沙盒非常容易成為瀏覽器安全的領(lǐng)導(dǎo)技術(shù)是因?yàn)槠渌臑g覽器已經(jīng)或者將要嘗試降低瀏覽器用戶(hù)風(fēng)險(xiǎn)。
例如，Vista和Windows 7系統(tǒng)的IE7和IE8都有一個(gè)被稱(chēng)為"保護(hù)模式"的安全功能，降低應(yīng)用程序的權(quán)限，攻擊者因此很難編寫(xiě)、篡改和破壞計(jì)算機(jī)中的用戶(hù)數(shù)據(jù)，或者安裝惡意軟件。但是，"保護(hù)模式"并不是真正的沙盒設(shè)計(jì)。
目前，Mozilla的Firefox，蘋(píng)果的Safari和Opera都不具備沙盒技術(shù)和降低權(quán)限安全功能。Dai Zovi說(shuō)："蘋(píng)果已經(jīng)在雪豹系統(tǒng)中融入了一些沙盒技術(shù)，安全專(zhuān)家們希望蘋(píng)果在Safari瀏覽器中使用這項(xiàng)技術(shù)，但是目前還沒(méi)有采用。"
Mozilla正在開(kāi)發(fā)類(lèi)似Chrome沙盒的Firefox安全功能，該功能被稱(chēng)為"Electrolysis"。 Mozilla預(yù)計(jì)在Firefox 4.0中加入這項(xiàng)新的功能，但Firefox 4.0預(yù)計(jì)在2010年底或2011年初才能發(fā)布。
Dai Zovi認(rèn)為沙盒技術(shù)是把用戶(hù)從瀏覽器攻擊洪流中拯救出來(lái)的方舟。盡管這項(xiàng)技術(shù)不能堪稱(chēng)完美，但這是我們應(yīng)該努力的方向。漏洞補(bǔ)丁方法顯然已經(jīng)不適用。我們永遠(yuǎn)都無(wú)法贏得這種無(wú)休止的補(bǔ)丁競(jìng)賽。沙盒技術(shù)，至少能夠?yàn)g覽器影響操作系統(tǒng)的能力，增加了更多的深度防范，可以去阻止大多數(shù)的攻擊。
【編輯推薦】
