1月22日下午,国内著名反病毒专家刘旭向外界演示了Vista中存在的漏洞。
刘旭称Vista在引进用户账户控制UAC这套新机制的技术实现时出现了重大安全隐患,存在可仿冒“访问令牌”的重大安全漏洞。利用这个漏洞,不论什么类型的用户,是本地登录还是远程登录,都自动成为超级管理员,系统所运行的任何一个程序都自动具有了管理员权限。
而就在刘旭进行演示的数小时前,微软方面向Chinabyte独家透露了这一漏洞的具体情况。
微软安全顾问裔云天向Chinabyte表示,刘旭本人在1月12日曾就Vista存在漏洞一事通过邮件的形式与微软进行过沟通,微软随即召开紧急电话会议进行讨论,并于13日答复刘旭。
裔云天介绍说,刘旭发现的漏洞必须具备以下条件才能成立:用户可以物理接触到安装Vista系统的电脑,并以系统管理员的身份本地登陆,安装一个恶意软件来篡改Vista系统,这样当使用者以普通用户身份登陆后,才可以拥有系统管理员的权限。
裔云天表示,业界对系统漏洞的普遍理解是, 如果在普通用户权限下能够安装软件来篡改系统,使得普通用户获得系统管理员的权限,将说明存在系统漏洞。而演示并没有表明可以这样,并且在和该公司的所有沟通过程也没有表明可以从远程来对系统进行攻击, 因此综上所述, 这个问题不是一个操作系统的漏洞。
“在Windows Vista的开发过程中,安全被提到了一个前所未有的重视高度。但是软件产品的特点决定了软件产品的安全性不能达到百分之百。即使再安全的操作系统,安全问题也会一直存在,黑客和病毒将会不断地对系统进行攻击,这也是为什么微软加大安全力度,保护用户免受恶意软件的侵袭。同时,微软也希望业界伙伴和其他相关人士能够与微软公司一道,采取负责任的步骤和态度,共同保护用户免受侵袭。”裔云天如是说。
最后,裔云天表示,微软方面感谢东方微点公司对于Windows Vista产品和安全性的关注并提出意见和建议。
相关资料:
微软UAC技术
微软在Windows Vista中引进用户账户控制UAC新技术,它依照安全领域普遍遵循的“最小权限”原则,要求所有用户以标准用户模式运行,虽然我们还可以使用管理员账户登录系统,不过,这只是受控的管理员。除非明确行使管理员权限,否则用户运行程序时,程序所得到的权限只相当一般用户权限,不能对关键的系统设置进行修改,因此,即使恶意程序或病毒侵入,也不会对系统造成太大威胁。UAC就像在系统和恶意程序间建立了一个隔离保护墙,从而极大地提高了系统的安全性。
Vista可仿冒“访问令牌”漏洞
当用户以管理员(administrator user) 、一般用户(standard user)甚至权限很低的访客用户(guest user)登陆系统时,恶意程序可通过伪造的访问令牌替换系统生成的令牌,将用户的权限自动提升为具有绝对控制权的超级管理员(full administrator user)权限,即不论什么类型的用户,是本地登录还是远程登录,都自动成为超级管理员,系统所运行的任何一个程序都自动具有了管理员权限,从而完全绕过了Windows Vista中引进用户账户控制UAC新技术,使UAC形同虚设。这时的Vista就同Windows XP一样,用户面临了易遭受病毒、黑客攻击的风险。
|
(责任编辑:韩建光)
|