Web 20安全系列报道之三：微软桌面软件的教训

　　尽管蓝帽大会已经成为一年两次的活动，但这种会议仍然会成为微软员工勇气尽失的一种体验，前来做客的黑客们会时不时的在开发它们的人面前攻破微软的产品。但是，研究这些模拟的攻击（又称“威胁模拟”流程）能够为这些开发人员提供宝贵的程序攻击以及安全方面的课程。

　　微软MSN及Windows Live安全部门高级主管Boden说：“通常，我们发现开发人员会象程序员或者用户一样的思考问题。”

　　那是微软正在面临的挑战。许多公司开发人员以及官员认为，确保网络程序的安全与确保PC桌面软件的安全没有什么分别，但是，微软必须承认，安全步伐及其规模的巨大不同正在给他们带来前所未有的安全挑战。

　　尽管它相当的成功，微软已经逐渐对行业巨变反应迟缓，或已经低估了这些变革的影响力。比如，90年代中期，微软错误的判断了互联网以及网络计算的重要性，尽管比尔·盖茨后来纠正了这一点，并让网景公司销声匿迹，但它确实是互联网历史上的经典案例。

　　最近，盖茨和CEO史蒂夫·鲍尔默承认，微软低估了网络搜索以及数字音乐的价值，从而让微软在这两个领域落后于Google与苹果一大截。

　　因此，不难理解为什么微软下决心再不要在网络安全的潮流中处于落后。微软内部一些人以及外部专家们认为，网络安全的关键是，不要将网络安全与桌面安全同日而语。

　　Boden说：“使用的法则相同。它不是一门新的科学，它只是适用于相同科学的一种不同环境而已。”然而，他又强调说：“我们需要很小心的避免去说，我们了解网络安全问题，因为这一问题将在我们眼皮底下发生改变。”

　　这位在微软供职18年的老员工明白，为什么微软的很多人会坚持认为网络与桌面安全本质上是相同的。尽管威胁的形式改变了，但Boden说，桌面与服务器安全方面的经验教训在网络程序安全方面也同样适用。

　　他说：“有一些不同之处，但基本的原理，比如用什么攻破，如何攻破，攻破的影响，我们如何保护，如何响应这些东西在本质上是相同的。”

　　最大的不同在速度与规模。正如Boden指出的那样，确保网络程序安全的关键在于灵活性，假如安全缺乏灵活性，那么数据就存在危险。

　　一年前，微软的数字中心里面有大约3万台服务器支持其网络服务。今年，这一数字增加到了8万台，未来还会增长。

　　Boden说：“这方面的业务量是巨大的。如果我们，或者任何人在网络安全领域失去了用户的信任，那么我们将从根本上会被淘汰出局的。”

　　学血泪教训假如微软的老兵们有时候说的话会如出一辙，那么原因就是，他们都曾经从血泪中获得了教训。

　　五年前，微软的客户开始抱怨其产品的安全性。盖茨于是推出了“可信赖计算”计划，他将安全性列为了公司的发展重点。行业分析师们对此赞誉有加，尽管当时微软的产品当中还存在着大量的漏洞。

　　在MSN与Windows Live部门，墙上的标语仍然在提醒着员工们安全的重要性，微软有一种“安全记分卡”来评估产品的安全性，并且将其和员工的评价进行挂钩。

　　一般员工并不总是欢迎这种评估。和人力资源部门，IT部门的人一样，一家公司的安全部门的人员往往被人视为是企业当中的-他们拿钱就是来盯着你的。MSN和Windows Live安全部门的55名成员负责制定安全条例，评估风险，对安全事故进行响应。

　　Boden说：“在公司去年的宣传材料当中，我们的形象是一张机器人的脸，它非常严厉，对其他人冰冷无情。我们已经改变了这点，因为我们希望与开发团队的人建立更好的关系。”

　　现在的情况好多了。Boden的部门已经参与到了微软内部正在进行的宣传活动中了，比如用当地酒，饼干以及salsa拉丁舞来举办快乐时光聚合。

　　尽管肩负着自己的独特使命，Boden的团队的年龄跨度很大。部门成员各式各样，即有直接从中学招聘而来的17岁年轻人，也有拥有计算机科学博士学位的经验人士。

　　Boden的背景相当的多姿多彩。他是出生在美国的英国人，在英格兰的南港长大，又在美国的费城念中学。一台Tandy TRS-80电脑激发了他对电脑的兴趣。

　　在加入微软之前，他曾在德勤咨询公司任职，在德勤，他管理过台式机，服务器，后又负责Windows 2000的安全项目工作。

　　网络当中的漏洞包括跨站脚本漏洞，另外一种常见的问题是“SQL注入”的问题，前者可以将用户帐号暴露给黑客，或者引起数据丢失或让黑客在一家受用户信任的网站当中植入恶意代码，后者会让攻击者取得数据库的控制权。

　　此外，随着网络的发展，还出现了别的威胁，这包括微软与合作伙伴的业务交往中出现的危险。比如，在2005年，MSN韩国的合作伙伴沦为网络犯罪分子的牺牲品，这些人制造了一种恶意程序，专门记录登录到MSN韩国游戏网用户的帐户信息。

　　同年，微软推出了它的网络发展计划，“live时代”软件计划。微软当时宣布将Office与Windows当中的一些要件网络化。最近，微软又公布了新版的Hotmail。

　　“live”战略是微软适应网络程序热潮的一个赌注。在Ajax等新型开发工具的帮助下，网络程序已经大大提高了网站的能力，使得网络程序更象传统的桌面程序了。这同时也给安全带来了新的机遇。

　　Boden说：“网络化给我们的程序带来了压力，但我们已经成功的创建了一种安全模式，它能够给企业带来真正的安全。”

　　在整个公司共同分担安全责任方面，微软面对的处境和它的竞争对手一样。随着“共享、重组、再造”（mashups）逐渐在开发中得到普遍应用，安全合作已经成为联系多个网络程序的关键。

　　首先，Boden-和对手公司的安全人员一样-说，关键在于，要在脑海当中明白，为什么安全性如此重要。随着人们继续将自己的信息保存在网络当中，网络正在变得和人们的私人档案柜一样的重要。

　　他说：“我们的数据都在网络当中。因此，如果它的安全性得不到保障，那我本人以及自己的专业就是失败的。”