【51CTO快譯】Google Chromebook可以說是第一款針對消費者的移動瘦客戶端，這款產品發布后收到的評論也多種多樣。畢竟，我們花費500美元就能買到一臺Windows 7的PC，這就很難理解為什么會有人愿意花同樣的錢買一臺除了一個瀏覽器其他啥都沒的上網本。不過無論如何，Chromebook倒是一個增強移動設備安全的絕佳試驗田。

近日，Google發布了一篇文章介紹Chromebook的安全機制。大多數Chromebook的安全策略集中在運行時環境，通過沙箱、增強的SSL證書驗證、防XSS攻擊等方式保護瀏覽器。這幾項事實上是所有移動瀏覽器都應該具備的。不過更有意思的是Chromebook對于設備本身的防護措施。這些措施都是為了防止對OS內核的篡改——就好像iOS破解者搞越獄那樣的篡改。

Chromebook使用了兩種加密方式，分別針對遠程攻擊（通過互聯網）和本地攻擊（通過物理接觸）。首先，跟很多企業用PC一樣，Chromebook采用了一個信任平臺模塊（Trusted Platform Module）。這個芯片可以安全的創建并儲存加密密鑰（順便說一句，Windows BitLocker用來加密系統卷的技術也是這個）。其次，Chromebook將固件儲存在一個有兩個分區的特制芯片上：一個是固定的只讀卷，另一個是可讀寫分區。固件先在這第二個分區采用了8192字節的RSA密鑰進行加密，然后儲存在第一個只讀分區上。所有的固件都需要通過這兩步才能在系統上啟動。然后，Chromebook還有一個代碼驗證步驟叫做Verified Boot（已驗證啟動），這個步驟確保所有的可執行代碼都來自Chromium OS的源代碼樹，而不是來自一個攻擊者或是別的什么不懷好意的人。所有這些措施都是為了防止系統代碼被攻擊者篡改。

這一系列安全機制將Chromebook上的原始代碼、可信任的Chromium OS代碼和來自非信任域的代碼隔離開。然而，萬一這些機制失效了怎么辦？針對這種情況，Chromebook還有一個恢復模式（recovery mode）。根據Google的介紹，這個模式就是“通過一個插在USB接口的恢復設備來安裝一套全新的系統。即使黑客成功篡改了系統的代碼，植入了什么木馬病毒之類的，用戶仍然可以通過恢復模式來執行清除，將Chromebook恢復到原本的樣子。”（51CTO編輯注：由于Chromebook數據都是在Google服務器上同步的，重裝系統自然也不會牽扯到什么數據清空的問題）話說回來，蘋果最新的Lion也有一個類似的互聯網恢復模式。再加上Chrome的自動更新特性，可以說Chromebook無論在怎樣惡劣的情況下都可以輕松的恢復系統。

這對于其他移動設備有什么啟發？首先要說，通過將app放在沙箱中運行其實不是啥好主意，還不如學蘋果那樣將整個開發平臺生態系統嚴格把控來的好。不過，通過一個只讀的固件卷，以及僅從信任源進行固件和系統更新的設定實在是非常贊。再加上對用戶文件系統進行了各種牢固的硬件加密，大大增加了入侵的難度。當然這個防護不是完美的，密鑰仍然可以從內存中被抽取出來，不過畢竟給攻擊者設置了一到門檻。

無論Chromebook的市場表現如何，它在安全方面的嘗試將對未來移動設備的設計產生一定的影響。

原文：What Can Chromebook Teach Us About Mobile Security?

【編輯推薦】

1. Chromebook的“九宗罪”
2. 三星Series 5 Chromebook筆記本評測
3. Google Chromebook筆記本放棄Atom 升級Core i