Pwn2Own黑客大賽帶來的兩大安全警示
原創【51CTO.com獨家翻譯】本周CanSecWest安全大會在溫哥華如期開幕，其中該盛會的內容包括年度Pwn2Own黑客大賽，安全研究人士將紛紛展示自己的黑客技能，來實現入侵安裝了最新補丁的系統。從往年的經歷來看，這些安全人士往往有驚人之舉。通過分析今年的黑客大賽，安全專家托尼•布拉德利(Tony Bradley)對用戶提出了兩大安全警示。
在今年的黑客大賽中，兩名安全專家已經成功在數秒內實現了對全補丁版iPhone 3GS的入侵，這是iPhone 2.0首次被入侵。在過去兩年中因攻破蘋果筆記本而成名的查理•米勒(Charlie Miller)，再次完成了該任務。另一名安全專家則繞過了ASLR和DEP等微軟安全控制，攻破了64位Windows 7系統。
通過今年的黑客大賽，企業至少可以得到兩個安全警示。首先，使用蘋果的硬件和軟件并非安全的免死金牌。盡管人們通常認為Mac OS X操作系統天生比Windows更安全，但Mac系統不被攻擊的真正主要原因是，對于惡意軟件開發者來說，在選擇攻擊目標時，擁有92%市場份額的平臺，顯然要比擁有5%市場份額的平臺更具“投資回報率”。
具有諷刺意味的是，盡管Mac OS X平臺上確實沒有真正的惡意軟件威脅，這使得Mac用戶把自己的系統當作不受威脅的避風港，從而面臨著其它方式的安全威脅。許多Mac用戶非常確信自己的系統不會被攻破，因此對安全防護問題完全無視。不幸的是，釣魚攻擊和身份信息盜竊更像是一門社會工程學功能而非安全技術，缺乏安全意識讓Mac用戶身處險境。
來自Pwn2Own黑客大賽的第二個警示是：瀏覽器已經成為安全的新“阿喀琉斯之踵”，這和硬件或軟件平臺無關。安全專家利用Safari手機瀏覽器中一個未知的漏洞攻破了iPhone。米勒也是通過Safari瀏覽器控制了操作系統。而64位Windows 7操作系統被攻破的罪魁禍首則是IE8。
雖然有人曾呼吁用戶放棄IE瀏覽器轉向更安全的網絡瀏覽器，但最近的一項研究卻證明，在防范社會工程學攻擊方面，IE8的表現明顯要好于其它瀏覽器。運行瀏覽器的操作系統也對瀏覽器的安全具有重大影響。
今年黑客大賽得出的第一個警示并非說明哪一個平臺更安全，或者哪一個瀏覽器會被更快速的攻破。重要的是，對于一個具有專注精神病掌握了足夠資源的攻擊者來說，所有平臺和瀏覽器都是不安全的。
今年早些時候在中國發生了“極光行動”(Operation Aurora)攻擊事件，多數人存在一種誤解，認為如果被攻擊者當時不是使用IE瀏覽器，或許可以避免黑客的入侵。
這種誤解認為，攻擊者發現了IE瀏覽器中的一個安全漏洞，然后對其利用它對那些使用IE作為默認瀏覽器的用戶進行了攻擊和入侵。這種邏輯看似合理，畢竟它或多或少符合惡意攻擊的傳統模式。
但是，一次有針對目標的攻擊則是另外一種情況，攻擊者確定目標后，研究其使用的操作系統、應用程序和網絡瀏覽器，找出其安全漏洞從而有針對性的制定出攻擊方法。
因此，即使他們使用的是Mac OS X系統而非Windows 7，或者使用的是谷歌Chrome瀏覽器而非微軟IE，也無法避免一個專注黑客發起攻擊。
當然，這并非說用戶毫無應對良策而簡單的放棄安全防護，而是需要牢記，不要把任何事物當作安全的“尚方寶劍”，它不是選擇合適的操作系統，也不是選擇合適的網絡瀏覽器。
無論你選擇哪一個操作系統和瀏覽器，安全意識依然是保證你安全的決定性因素。在今年的黑客大賽上，iPhone和蘋果筆記本的被入侵，都是借助于誘惑用戶訪問一個惡意網頁，然后實現攻擊。如果用戶意識到安全風險，不去點擊未知或可疑的鏈接，此類攻擊或許不會那么容易得手。
不過，蘋果或許應該同意Opera迷你網絡瀏覽器進入iPhone，這樣用戶在選擇瀏覽器時，能夠擁有另外一個可能更安全的選擇。
【51CTO.COM 獨家翻譯，轉載請注明出處及作者！】
