對于科技新聞界來說，重大問題已經(jīng)相當(dāng)多了，這也是意料之中的事情;但我想討論的是一個似乎沒有被任何人注意的話題。如果我的看法是正確的話，它將是一個巨大的潛在威脅。

通常情況下，當(dāng)計(jì)算機(jī)應(yīng)用程序配置為自動更新的時間，人們會很高興，并不再那么擔(dān)心了。但現(xiàn)在，這種情況可能會有所改變。如果攻擊者可以劫持更新請求，并下載惡意軟件來代替更新的話，會發(fā)生什么樣的情況呢?

來見識一下Ippon

我想向你介紹由Radware的安全團(tuán)隊(duì)主管伊奇克·科特勒和安全研究員托夫勒·比頓共同開發(fā)的一種叫做Ippon(日語“完蛋了”的意思)的攻擊軟件。Ippon采用的就是一種非常獨(dú)特的創(chuàng)意，我相信大部分人都不會想到這中情況。

Ippon的工作原理

Ippon可以尋找計(jì)算機(jī)發(fā)出的更新請求并嘗試?yán)脨阂廛浖枰源妗ppon受到關(guān)注的一個重要原因是，大多數(shù)應(yīng)用程序都設(shè)置為自動檢查更新。科特勒和比頓成功地實(shí)現(xiàn)了在開放的無線網(wǎng)絡(luò)上對通過超文本傳輸協(xié)議(HTTP)傳輸?shù)母抡埱罅髁窟M(jìn)行搜索。當(dāng)流量被發(fā)現(xiàn)，Ippon可以制造出堵塞的情況，看看是否可以讓惡意軟件比更新服務(wù)器更快地進(jìn)行響應(yīng)。

如果Ippon成功了，一條信息將會被發(fā)送到應(yīng)用程序那里，通知它存在可用的更新，盡管實(shí)際情況并非如此。為了避免使自已遭到質(zhì)疑，科特勒和比頓建立了一個參考環(huán)境，讓Ippon可以象現(xiàn)實(shí)環(huán)境一樣進(jìn)行響應(yīng)。一旦連接建立完成，惡意軟件就會被從攻擊者的服務(wù)器上下載，一切就都完蛋了。

脆弱的更新進(jìn)程

在一次通過Ippon進(jìn)行的非正式測試中，科特勒和比頓確定了有大約超過一百個應(yīng)用都很容易受到攻擊，不過他們并沒有提到這些應(yīng)用的具體情況。值得慶幸的是其中沒有包含微軟的應(yīng)用。所有的微軟更新都包含了數(shù)字簽名，因此并不能被欺騙。實(shí)際上，這已經(jīng)指出了應(yīng)用程序防范來自Ippon攻擊的辦法。

預(yù)防措施

一些解決方案看上去也是比較明顯的。舉例來說，不使用開放的無線網(wǎng)絡(luò)。或者，在連接到開放的無線網(wǎng)絡(luò)上時，不進(jìn)行系統(tǒng)更新。對于所有人來說，這些解決方案都是顯而易見的。

但對于在后臺自動更新的應(yīng)用程序，我們應(yīng)該怎么辦?通常情況下，只有更新完成了，我們才會得到提示。從技術(shù)角度考慮，使用開放的無線網(wǎng)絡(luò)時，避免來自Ippon的攻擊的唯一方法就是選擇使用一條安全的VPN通道。

一位朋友建議我提一下使用Secunia PSI進(jìn)行主動更新。我認(rèn)為即使Ippon不存在的話，這也是個好主意。不過，我還是要破除虛假的安全感，不要忽視定期自動更新帶來的安全問題。

最后的思考

在我撰寫這篇文章的時間，Ippon已經(jīng)發(fā)布了，所以現(xiàn)在僅僅是個時間問題了。我向包括奧多比在內(nèi)的幾家主要應(yīng)用軟件開發(fā)商發(fā)送了電子郵件，并留下了語音信息。當(dāng)了解到它們的更新是否使用了數(shù)字簽名后，我將根據(jù)實(shí)際情況對本文進(jìn)行更新。

還有最后一個問題。科特勒和比頓選擇無線網(wǎng)絡(luò)，是因?yàn)樗鼘儆谧詈唵蔚墓糨d體。如果Ippon可以支持有線網(wǎng)絡(luò)的話，情況會變成什么樣子?

【編輯推薦】

1. 5月12日外電頭條：自動更新是不是做過頭了？
2. 360安全衛(wèi)士：打漏洞補(bǔ)丁防止微軟“黑屏”
3. 需要關(guān)注的十大安全技巧之：如何為軟件打補(bǔ)丁