據(jù)資訊網(wǎng)站Computerworld報(bào)道，本周，進(jìn)行的一項(xiàng)測(cè)試顯示中有1800處需要重新編寫代碼。
據(jù)公司安全測(cè)試部門主管湯姆·加拉格爾透露，微軟此次采用的測(cè)試方式是建立一個(gè)類似于僵尸網(wǎng)絡(luò)的龐大測(cè)試體系，大約有1200萬(wàn)臺(tái)測(cè)試主機(jī)。研究人員只需將測(cè)試代碼輸入其中的一部電腦后，無(wú)需太多操作，即可搜集到海量反饋信息。由于可以節(jié)省大量人力，所以被用作分析軟件安全性的重要測(cè)試手段。
該方法需要軟件開發(fā)人員和安全研究人員共同配合，在軟件的被測(cè)部分植入格式分析器查看程序的運(yùn)行情況。
值得注意的是，加拉格爾強(qiáng)調(diào)，雖然在測(cè)試中發(fā)現(xiàn)并修補(bǔ)了1800個(gè)Bugs，但這并不能代表Office 2010存在相同的安全問(wèn)題。他堅(jiān)持不應(yīng)該使用“vulnerabilities”來(lái)形容上述缺陷，因?yàn)锽ugs中很大一部分與安全問(wèn)題無(wú)關(guān)且危害性很小，微軟將通過(guò)服務(wù)包Server Package或升級(jí)補(bǔ)丁完成修復(fù)工作。
在上周進(jìn)行的Pwn2Own大賽中，三屆MacOS終結(jié)者查理·米勒正是通過(guò)五部電腦和一些常見的Fuzzer發(fā)現(xiàn)了Safari中的數(shù)十個(gè)安全漏洞。
新版Office 2010中添加的安全功能包括更加靈活的文件攔截機(jī)制(曾在Office 2007中出現(xiàn))、獨(dú)立沙盒系統(tǒng)用于測(cè)試可疑文檔等，目前Office 2010已經(jīng)開放給公眾下載使用。
fuzzing是一種高度軟件檢測(cè)技術(shù)。提供受測(cè)試軟對(duì)于許多人而言，加密一詞會(huì)讓人到間諜，暗中操作和二次世界大戰(zhàn)中的情報(bào)破譯者。事實(shí)上，加密是任何都可以用來(lái)保護(hù)敏感信息的無(wú)價(jià)之寶。
遺憾的是，許多企業(yè)都沒(méi)能有效地利用加密技術(shù)，害怕這一技術(shù)太復(fù)雜以至于不能在日常操作中對(duì)其加以使用。其實(shí)，加密重要數(shù)據(jù)并不比掃描，數(shù)據(jù)備份等程序難多少。下面我們就對(duì)此進(jìn)行介紹。
基本原理
有兩種基本方法可用來(lái)加密數(shù)據(jù)。一種是使用不對(duì)稱PKI(公共密鑰架構(gòu))加密。PKI密碼術(shù)基于一對(duì)密鑰：其中一個(gè)僅供私人使用，且只有用戶知道;另一個(gè)是公共密鑰，是交易中供對(duì)方使用的。
PKI技術(shù)為隱私，訪問(wèn)控制，文件傳輸證明以及文件存檔和檢索等提供了支持。雖然目前大多數(shù)安全廠商都將某些PKI技術(shù)融入到自己的軟件中，但是其設(shè)計(jì)與部署上的差異有礙于產(chǎn)品間實(shí)現(xiàn)互用性。
其他加密數(shù)據(jù)的方法有對(duì)稱密鑰保護(hù)法，也可稱之為密鑰加密。通常，這種方法操作起來(lái)比PKI的速度要快，但是其安全性卻遜色一籌。對(duì)稱加密在加密和解密信息時(shí)使用相同的密鑰。當(dāng)密鑰分布被嚴(yán)格控制在受信任用戶的有限數(shù)字之內(nèi)時(shí)，對(duì)稱加密最有效。由于對(duì)稱加密非常容易被破譯，因此，基本上，此技術(shù)主要用于保護(hù)相對(duì)而言不重要，且只需保存較短時(shí)間的信息或材料。
、
應(yīng)用加密
使用加密技術(shù)最簡(jiǎn)單的方法是購(gòu)買融合了某些加密形式的商業(yè)應(yīng)用或是硬件產(chǎn)品。以微軟 Outlook Express郵件客戶端為例，該應(yīng)用提供了嵌入式加密支持。同時(shí)，希捷和日立等供應(yīng)商已開始將加密技術(shù)整合到硬驅(qū)上。
由于大多數(shù)軟件應(yīng)用和硬件產(chǎn)品沒(méi)有在其內(nèi)部添加加密技術(shù)，所以公司的管理人員要尋求單獨(dú)的加密產(chǎn)品。這樣一來(lái)，加密過(guò)程就顯得有些令人費(fèi)解，因?yàn)橐凑丈虡I(yè)安全需求確定的尋找符合要求的加密產(chǎn)品。
微軟Vista企業(yè)版和旗艦版用戶可以使用BitLocker驅(qū)動(dòng)加密。這是一個(gè)能提供1024位加密的工具。另一個(gè)Windows產(chǎn)品是EFS(加密文件系統(tǒng))，該產(chǎn)品試用對(duì)稱PKI技術(shù)提供文件加密。
其他領(lǐng)先的加密技術(shù)廠商和產(chǎn)品包括：PGP, 開源TrueCrypt，DESlock+，Namo FileLock和T3 Basic Security。
為哪些數(shù)據(jù)加密?
要為哪些數(shù)據(jù)進(jìn)行加密呢?請(qǐng)看下列建議：
硬驅(qū)：公司或許會(huì)選擇加密整個(gè)硬驅(qū)并將其作為一種減少或消除數(shù)據(jù)泄漏的方式。
個(gè)別用戶的文件：在某些案例中，滿磁盤加密的性能過(guò)于強(qiáng)大，文件到文件的加密為我們提供了按需加密的便利。許多領(lǐng)先的加密產(chǎn)品都提供拖拽加密功能。
筆記本：和辦公室系統(tǒng)不同，筆記本很容易丟失，而且容易被盜取信息。通過(guò)確保系統(tǒng)數(shù)據(jù)的內(nèi)容無(wú)法被讀取，公司能防止從筆記本這一途徑丟失信息。越來(lái)越多的政府管理者和保險(xiǎn)公司都要求公司對(duì)所有數(shù)據(jù)都加密。
便攜式設(shè)備：記憶棒，拇指驅(qū)動(dòng)和類似的便攜式存儲(chǔ)技術(shù)可能為數(shù)據(jù)丟失或盜竊提供便利。和筆記本一樣，加密可以保護(hù)企業(yè)的數(shù)據(jù)，防止器從設(shè)備本身泄漏出去。許多的便攜式存儲(chǔ)設(shè)備都帶有內(nèi)置加密支持。
文件轉(zhuǎn)換器：通過(guò)不安全的有線或鏈接發(fā)送文件可能將敏感信息暴露給數(shù)據(jù)盜竊者。數(shù)據(jù)加密為這些數(shù)據(jù)提供了額外的安全層，即便用戶使用的是安全網(wǎng)絡(luò)。
郵件：加密的郵件在傳輸過(guò)程中是安全的。
即時(shí)通信：越來(lái)越多的企業(yè)都在使用即時(shí)通信應(yīng)用交換企業(yè)的機(jī)密信息。加密有助于保護(hù)這些關(guān)鍵數(shù)據(jù)的傳輸。
加密的局限性
和其他技術(shù)一樣，加密軟件并非完美無(wú)缺。即便是最好的加密產(chǎn)品，同樣要消耗速度和存儲(chǔ)空間。用戶也可能丟失或遺忘密碼，從而造成系統(tǒng)永久性地鎖死。
在購(gòu)買加密工具前，仔細(xì)研究該產(chǎn)品。確保它能滿足你的需求，能與系統(tǒng)兼容，并且確保它在可靠性和支持性能等方面具備良好的記錄。有可能的話，與你的朋友或同事一起進(jìn)行檢查，在挑選工具的過(guò)程中可聽取他們的建議。
件隨機(jī)產(chǎn)生的資料，借此觀察軟件是否因此發(fā)生故障(如當(dāng)機(jī))，可以提供全面性的檢測(cè);缺點(diǎn)是智能化程度不夠，效率偏低。