著名女黑客大贊微軟在安全方面的進步
安全咨詢公司Recursion Ventures的首席黑客克麗絲-佩吉特是拉斯維加斯Black Hat和Defcon大會上鼎鼎有名的人物，她在去年現場演示了攔截手機電話的全過程。在今年大會發言時，她說她不喜歡微軟操作系統的局限性，自己家里只 有兩臺搭載Windows操作系統的設備。在5年前，她被微軟聘為滲透測試員，負責在Windows Vista發布前對它進行安全測試。她與微軟簽訂了保密協議，該協議直到她今年在Black Hat大會上發言的前一天才到期。
Vista遭到了批評家嚴厲的批評，他們認為該系統速度慢，很多地方的設計存在缺陷。但是，佩吉特說，她對微軟全面測試該系統安全性的做法感到印象深刻。 “微軟在安全方面獲得了相當大的進步。”佩吉特說，“安全是一個過程，而不是一個產品。它是不斷發展的。微軟在安全方面的名聲素來極差，這其實有點冤屈 它。”
你也許會認為，佩吉特拿著微軟的薪水，不可能真正保持獨立性。而且，微軟還是Black Hat大會的贊助商，而且每年都在會議期間舉行大型派對活動。但是，今年大會上的發言稿必須事先通過獨立評審委員會的審核。Black Hat大會創始人、著名安全專家杰夫-莫斯（Jeff Moss）說，在大會上絕對“不允許為供應商唱贊歌”。而且，佩吉特現在已沒有為微軟工作了。
佩吉特總結說，微軟對待Vista的安全問題非常認真，它希望該系統比Windows XP更加安全。Windows XP的安全性能也飽受批評，而且它的漏洞經常遭到利用。在三個月的測試活動中，她和一個由其他外部滲透測試員組成的團隊，受邀從安全的角度對 Windows Vista的所有新功能進行了調查研究。他們審核了源代碼、記錄了漏洞，采訪了一些程序員，并在名為《最終安全評估》（final security review）的報告中記錄了他們的調查結果。“微軟在很多很多事情上的做法是正確的。”佩吉特說，微軟在安全方面也是“世界領先”的。
此次調查工作發現了很多不得不修復的嚴重漏洞，因而導致Vista推遲發布。但是，微軟總結說，它花費了25萬美元來解決被發現的每一個重大漏洞，這筆 投資也得到了不錯的回報。微軟的程序員在規定的時間內修復了最危險的漏洞，并盡可能多地解決了漏洞名單中的其他漏洞。如果漏洞非常嚴重，安全顧問有權警告 相關責任人，如果這些漏洞不得到修復，他們負責的功能模塊就不會被推出。“我們被一位內部員工稱為‘強奸團伙’。”佩吉特說，因為安全顧問都是鐵面無情 的。
佩吉特說，有一次，她一激動就公開宣稱一項危險的功能為“零日”漏洞，也就是說在發布漏洞信息的同時尚沒有修復該漏洞的辦法。她非 常害怕微軟會起訴她，該功能模塊的程序員也非常害怕被微軟解雇。但是，這項功能最終被修復了。“你能看到微軟讓我們來進行測試是有巨大風險的。”佩吉特 說，“沒有什么是絕對安全的。但是，Vista朝這個方向邁出了很大的一步。”現在五年過去了，而Vista早已被Windows 7取代。但是，在那個時候，黑客攻擊是一個日益猖獗的問題。佩吉特沒有統計到底有多少漏洞得到了修復，但是她對整個過程感到印象深刻。
微軟安全應對中心（Microsoft Security Response Center）負責人邁克-里維（Mike Reavey）在一次采訪中說，微軟一直在穩步增加安全方面的投資。里維也聽過佩吉特的發言，他說，“很高興有人講述微軟的故事。”里維說，Vista是 微軟全面改善安全措施的開始。微軟稱，它銷售的每一款產品都包含有安全開發周期（Security Development Lifecycle）這個過程。微軟在最新報告中稱，它的軟件中的漏洞比以前更難被利用了。
在今年早些時候發布的一份報告中，微軟對安 全問題的自我評估結果顯示，就漏洞被利用的程度而言，它的安全性已經得到了相當大的改善。在從2010年7月到2011年5月期間發布的256個可利用指 數（Exploitability Index）類別中，有97個問題在最新版本中已不復存在，或比舊版本的風險更低。這意味著，就安全性而言，被發現的漏洞現在的危害性比以前更小了。
安全咨詢公司iSec Partners的代表在發言時也盛贊微軟的安全措施，稱微軟目前的網絡安全性可媲美蘋果。而且，微軟還宣布，對于那些想辦法提高微軟軟件安全性能的安全 研究員，它將會提供25萬美元的獎金。這項獎勵計劃名為Blue Hat，旨在激勵黑客為微軟軟件創造安全保護措施，而不僅僅是找出它的漏洞。
【編輯推薦】
