Symbian承認防止惡意軟件入侵系統程序需改進
在某個木馬程序成功通過防護測試后,Symbian基金會承認,用來防止惡意軟件入侵Symbian移動操作系統的程序需要改進。
Symbian首席安全技術員Craig Heath上周四表示,以構建僵尸網絡為目的的木馬程序"Sexy Space",通過了該組織的數字簽名驗證程序。Heath說基金會正在改善其安全審核程序。
他表示:“對于提交的軟件,我們確實會過濾掉不好的部分。提交給我們的應用程序,都會經過(安全)掃瞄。我們正在研究如何改善掃瞄程序。”
開發者為Symbian操作系統設計的移動應用程序,都必須通過Symbian基金會的審核。提交的軟件獲通過后,會加入 Symbian的數字簽名。這個數位簽名是加密的安全防衛功能,等於向使用者擔保該軟體是出自可信任的來源。
Symbian簽名程序的第一個階段,殺毒掃瞄,是采用一個殺毒引擎自動執行。當應用程序完成提交和掃瞄之后,會隨機挑出一部份,供人力審核。低風險的Sexy Space木馬程序,是偽裝成一個合法的應用程序ACSServer.exe。Heath表示,該程序尚未送交人力審核。
Heath表示,Symbian基金會在兩周前發現Sexy Space是一個木馬程序,便立即撤銷其簽名。然而,Symbian服務器的一項錯誤,卻讓該程序直到上周還開放下載。
根據Symbian Signed網站的資料,該組織的殺毒掃瞄供應商是芬蘭公司F-Secure。該公司首席安全官Mikko Hyppnen表示,這個惡意程序的作者可能特別針對F-Secure的殺毒引擎作過測試,才能回避他們的防衛機制。Hyppnen說:病毒作者掃瞄他們的惡意軟件,并且不斷修改,直到能通過過濾器為止。
根據Hypponen的說法,Symbian對移動應用程序采分級簽名程序。Sexy Space是通過專門為免費軟件所設快速簽名程序,Hypponen說:這顯示快速簽名程序并非安全無虞,但還是遠比那些完全沒有簽名驗證的軟件好。
Heath表示,Symbian正在升級其自動掃瞄程序,人力審核程序也將有所改善。不過,人力審核的規模可能不會擴大,因為這部分耗費較多成本和時間,容易延誤整個程序。
Symbian也希望加強應用程序發行工作的自動化。該組織發表新的Symbian Horizon計劃時在官方博客寫道:目前,(Symbian)大部分的工作程序都有賴人力。我們近期的目標,是開發一套能自動化這項工作的系統,讓我們將計劃擴大,盡可能納入更多應用程序。
Symbian Horizon計劃是要挑選開發者提交的應用程序,然后支持他們完成開發和申請,最后放上移動應用程序商店。Symbian表示,Horizon的主要目標之一,是盡量將應用程序的發行工作自動化。