劉旭公布Vista安全隱患
2018-06-11 來(lái)源：
1月22日下午，國(guó)內(nèi)知名信息安全專家劉旭宣布發(fā)現(xiàn)Vista存在可偽造用戶令牌(Access Token)的安全隱患，他稱，用戶利用該漏洞，可以自動(dòng)成為超級(jí)管理員，從而繞過(guò)了UAC(用戶帳號(hào)控制)。
據(jù)介紹，在Windows中用戶在登陸系統(tǒng)時(shí)，系統(tǒng)為用戶生成一個(gè)訪問(wèn)令牌，令牌包含了用戶的權(quán)限信息。Windows XP提供創(chuàng)建非管理員帳戶，但用戶使用起來(lái)不方便。多數(shù)用戶習(xí)慣使用具有絕對(duì)控制權(quán)的管理員帳戶，這給惡意程序與病毒的入侵留下了縫隙。
為提高系統(tǒng)安全性，微軟在其新一代操作系統(tǒng)Vista中引入U(xiǎn)AC新技術(shù)，它就像在系統(tǒng)與惡意程序之間建立了一個(gè)隔離，從而提高系統(tǒng)安全性。
不過(guò)劉旭發(fā)現(xiàn)，Vista在這套新機(jī)制的技術(shù)實(shí)現(xiàn)時(shí)，出現(xiàn)了安全隱患。他通過(guò)演示指出，Vista存在可仿冒“訪問(wèn)令牌”的安全漏洞。利用該漏洞，惡意程序可通過(guò)偽造的訪問(wèn)令牌替換系統(tǒng)生成的令牌，所有用戶可自動(dòng)成為超級(jí)管理員，從而繞過(guò)了UAC。
據(jù)劉旭稱，該漏洞主要帶來(lái)兩方面危害：一是新采取的安全措施UAC失效；二是導(dǎo)致一般用戶包括遠(yuǎn)程登陸的用戶，直接獲得超級(jí)管理員權(quán)限。東方微點(diǎn)公司方面透露，1月12日，他們?cè)驮摪踩[患與微軟進(jìn)行過(guò)溝通。
1月19日，劉旭所在的公司東方微點(diǎn)已經(jīng)放出消息稱要于22日下午就Vista“安全隱患”召開(kāi)媒體溝通會(huì)。當(dāng)時(shí)微軟曾對(duì)新浪科技表示，“Vista已經(jīng)在安全方面做出了突出改進(jìn)，但是即使再安全的操作系統(tǒng)，黑客和病毒也會(huì)不斷地對(duì)系統(tǒng)進(jìn)行攻擊，安全問(wèn)題也會(huì)一直存在�！�
當(dāng)時(shí)微軟并不知道劉旭今天所要向媒體發(fā)布的信息的具體內(nèi)容。
劉旭在22日下午公布Vista“安全隱患”后，微軟針對(duì)Vista漏洞事件作出二次回應(yīng)，稱東方微點(diǎn)公司發(fā)現(xiàn)的問(wèn)題“不是一個(gè)操作系統(tǒng)的漏洞”。
以下是微軟針對(duì)Vista漏洞事件的最新回應(yīng)：
微軟(中國(guó))有限公司非常感謝東方微點(diǎn)公司對(duì)于Windows Vista產(chǎn)品和安全性的關(guān)注并提出意見(jiàn)和建議。
我們于2007年1月12日收到了來(lái)自東方微點(diǎn)公司的電子郵件，并隨即通過(guò)電子郵件進(jìn)行了溝通。按照彼此的溝通, 該問(wèn)題需要用戶可以物理接觸到安裝vista系統(tǒng)的機(jī)器, 并以系統(tǒng)管理員的身份本地登陸，安裝一個(gè)惡意軟件來(lái)篡改Vista系統(tǒng)，這樣當(dāng)使用者以普通用戶身份登陸后，他/她可以擁有系統(tǒng)管理員的權(quán)限。業(yè)界對(duì)系統(tǒng)漏洞的普遍理解是, 如果在普通用戶權(quán)限下能夠安裝軟件來(lái)篡改系統(tǒng)使得普通用戶獲得系統(tǒng)管理員的權(quán)限，將說(shuō)明存在系統(tǒng)漏洞，而演示并沒(méi)有表明可以這樣，并且在和該公司的所有溝通過(guò)程也沒(méi)有表明可以從遠(yuǎn)程來(lái)對(duì)系統(tǒng)進(jìn)行攻擊, 因此綜上所述, 這個(gè)問(wèn)題不是一個(gè)操作系統(tǒng)的漏洞。
作為下一代操作系統(tǒng)，Windows Vista實(shí)現(xiàn)了技術(shù)與應(yīng)用的創(chuàng)新，在安全可靠、簡(jiǎn)單清晰、互聯(lián)互通，以及多媒體方面體現(xiàn)出了全新的構(gòu)想。其中最為突出的一點(diǎn)就是Windows Vista在安全方面的改進(jìn)。在Windows Vista設(shè)計(jì)和開(kāi)發(fā)的過(guò)程中，微軟采用了全面改進(jìn)安全的方法，使其成為微軟實(shí)現(xiàn)其打造“可信賴計(jì)算”理念的一個(gè)重要里程碑。用戶可以更好、更容易的保護(hù)個(gè)人電腦，免受病毒、蠕蟲(chóng)或間諜軟件的攻擊, 通過(guò)Windows Vista享受到更加完備、更加安全的上網(wǎng)體驗(yàn)。
在Windows Vista的開(kāi)發(fā)過(guò)程中，安全被提到了一個(gè)前所未有的重視高度。但是軟件產(chǎn)品的特點(diǎn)決定了軟件產(chǎn)品的安全性不能達(dá)到百分之百。即使再安全的操作系統(tǒng)，安全問(wèn)題也會(huì)一直存在，黑客和病毒將會(huì)不斷地對(duì)系統(tǒng)進(jìn)行攻擊，這也是為什么微軟加大安全力度，保護(hù)用戶免受惡意軟件的侵襲。同時(shí)，微軟也希望業(yè)界伙伴和其他相關(guān)人士能夠與微軟公司一道，采取負(fù)責(zé)任的步驟和態(tài)度，共同保護(hù)用戶免受侵襲。
作為微軟在中國(guó)的獨(dú)資子公司，微軟中國(guó)將一如既往地與國(guó)內(nèi)業(yè)界合作伙伴一起，為中國(guó)用戶提供更加安全的計(jì)算環(huán)境而進(jìn)行持續(xù)的努力。
據(jù)介紹，在Windows中用戶在登陸系統(tǒng)時(shí)，系統(tǒng)為用戶生成一個(gè)訪問(wèn)令牌，令牌包含了用戶的權(quán)限信息。Windows XP提供創(chuàng)建非管理員帳戶，但用戶使用起來(lái)不方便。多數(shù)用戶習(xí)慣使用具有絕對(duì)控制權(quán)的管理員帳戶，這給惡意程序與病毒的入侵留下了縫隙。
為提高系統(tǒng)安全性，微軟在其新一代操作系統(tǒng)Vista中引入U(xiǎn)AC新技術(shù)，它就像在系統(tǒng)與惡意程序之間建立了一個(gè)隔離，從而提高系統(tǒng)安全性。
不過(guò)劉旭發(fā)現(xiàn)，Vista在這套新機(jī)制的技術(shù)實(shí)現(xiàn)時(shí)，出現(xiàn)了安全隱患。他通過(guò)演示指出，Vista存在可仿冒“訪問(wèn)令牌”的安全漏洞。利用該漏洞，惡意程序可通過(guò)偽造的訪問(wèn)令牌替換系統(tǒng)生成的令牌，所有用戶可自動(dòng)成為超級(jí)管理員，從而繞過(guò)了UAC。
據(jù)劉旭稱，該漏洞主要帶來(lái)兩方面危害：一是新采取的安全措施UAC失效；二是導(dǎo)致一般用戶包括遠(yuǎn)程登陸的用戶，直接獲得超級(jí)管理員權(quán)限。東方微點(diǎn)公司方面透露，1月12日，他們?cè)驮摪踩[患與微軟進(jìn)行過(guò)溝通。
1月19日，劉旭所在的公司東方微點(diǎn)已經(jīng)放出消息稱要于22日下午就Vista“安全隱患”召開(kāi)媒體溝通會(huì)。當(dāng)時(shí)微軟曾對(duì)新浪科技表示，“Vista已經(jīng)在安全方面做出了突出改進(jìn)，但是即使再安全的操作系統(tǒng)，黑客和病毒也會(huì)不斷地對(duì)系統(tǒng)進(jìn)行攻擊，安全問(wèn)題也會(huì)一直存在�！�
當(dāng)時(shí)微軟并不知道劉旭今天所要向媒體發(fā)布的信息的具體內(nèi)容。
劉旭在22日下午公布Vista“安全隱患”后，微軟針對(duì)Vista漏洞事件作出二次回應(yīng)，稱東方微點(diǎn)公司發(fā)現(xiàn)的問(wèn)題“不是一個(gè)操作系統(tǒng)的漏洞”。
以下是微軟針對(duì)Vista漏洞事件的最新回應(yīng)：
微軟(中國(guó))有限公司非常感謝東方微點(diǎn)公司對(duì)于Windows Vista產(chǎn)品和安全性的關(guān)注并提出意見(jiàn)和建議。
我們于2007年1月12日收到了來(lái)自東方微點(diǎn)公司的電子郵件，并隨即通過(guò)電子郵件進(jìn)行了溝通。按照彼此的溝通, 該問(wèn)題需要用戶可以物理接觸到安裝vista系統(tǒng)的機(jī)器, 并以系統(tǒng)管理員的身份本地登陸，安裝一個(gè)惡意軟件來(lái)篡改Vista系統(tǒng)，這樣當(dāng)使用者以普通用戶身份登陸后，他/她可以擁有系統(tǒng)管理員的權(quán)限。業(yè)界對(duì)系統(tǒng)漏洞的普遍理解是, 如果在普通用戶權(quán)限下能夠安裝軟件來(lái)篡改系統(tǒng)使得普通用戶獲得系統(tǒng)管理員的權(quán)限，將說(shuō)明存在系統(tǒng)漏洞，而演示并沒(méi)有表明可以這樣，并且在和該公司的所有溝通過(guò)程也沒(méi)有表明可以從遠(yuǎn)程來(lái)對(duì)系統(tǒng)進(jìn)行攻擊, 因此綜上所述, 這個(gè)問(wèn)題不是一個(gè)操作系統(tǒng)的漏洞。
作為下一代操作系統(tǒng)，Windows Vista實(shí)現(xiàn)了技術(shù)與應(yīng)用的創(chuàng)新，在安全可靠、簡(jiǎn)單清晰、互聯(lián)互通，以及多媒體方面體現(xiàn)出了全新的構(gòu)想。其中最為突出的一點(diǎn)就是Windows Vista在安全方面的改進(jìn)。在Windows Vista設(shè)計(jì)和開(kāi)發(fā)的過(guò)程中，微軟采用了全面改進(jìn)安全的方法，使其成為微軟實(shí)現(xiàn)其打造“可信賴計(jì)算”理念的一個(gè)重要里程碑。用戶可以更好、更容易的保護(hù)個(gè)人電腦，免受病毒、蠕蟲(chóng)或間諜軟件的攻擊, 通過(guò)Windows Vista享受到更加完備、更加安全的上網(wǎng)體驗(yàn)。
在Windows Vista的開(kāi)發(fā)過(guò)程中，安全被提到了一個(gè)前所未有的重視高度。但是軟件產(chǎn)品的特點(diǎn)決定了軟件產(chǎn)品的安全性不能達(dá)到百分之百。即使再安全的操作系統(tǒng)，安全問(wèn)題也會(huì)一直存在，黑客和病毒將會(huì)不斷地對(duì)系統(tǒng)進(jìn)行攻擊，這也是為什么微軟加大安全力度，保護(hù)用戶免受惡意軟件的侵襲。同時(shí)，微軟也希望業(yè)界伙伴和其他相關(guān)人士能夠與微軟公司一道，采取負(fù)責(zé)任的步驟和態(tài)度，共同保護(hù)用戶免受侵襲。
作為微軟在中國(guó)的獨(dú)資子公司，微軟中國(guó)將一如既往地與國(guó)內(nèi)業(yè)界合作伙伴一起，為中國(guó)用戶提供更加安全的計(jì)算環(huán)境而進(jìn)行持續(xù)的努力。
標(biāo)簽： 安全 電子郵件 漏洞 媒體 權(quán)限 問(wèn)題 信息安全 用戶
版權(quán)申明：本站文章部分自網(wǎng)絡(luò)，如有侵權(quán)，請(qǐng)聯(lián)系：west999com@outlook.com
特別注意：本站所有轉(zhuǎn)載文章言論不代表本站觀點(diǎn)！
本站所提供的圖片等素材，版權(quán)歸原作者所有，如需使用，請(qǐng)與原作者聯(lián)系。
最新資訊
熱門推薦