2009年07月《安全天下事之安全并不孤立》

安全并不孤立

 

（2009年07月）文/江海客

      当中国电信的网络崩盘于一个DNSPod遭到DDoS-〉暴风影音客户端DNS解析失败->重复查询导致DNS失去响应的时候，我们不得不反思，经历了从90年代末至今的10多年大规模的基础投入，整个的网络体系依然十分脆弱。
      而同时，当我们怀着习惯性的思维，把安全审视依旧放置于操作系统等底层环节的时候，却发现，随着互联网的发展，日益崛起的大装机量的互联网客户端和传统的主流安全软件，都相映成趣，给我们带来越来越大的安全麻烦，以及大规模事件的隐患。
      当然没有理由放宽对微软的关注度，本月，微软发布了31个补丁，同样创下了历史纪录，但我一直认为，任何软件厂商都是没有资格在这个问题上嘲笑微软的，至少微软拥有高质量的程序员队伍和成熟的测试体系，至少已经形成了一个快速应对和补丁制度。而这一点，其实恰恰是大多数新兴厂商都尚未具备的。对类似暴风影音这样规模的软件来来说，可能少了一行教科书中都会讲得sleep语句，就会带来蝴蝶效应。由此,我们同样需要更严格审视的是腾迅、迅雷、快车，需要审视的是支付宝和大量的网银客户端，包括大量的格式解析和阅读播放插件。至少根据目前的统计，对浏览器动态防护机制穿透次数最多的，不是IE本身的漏洞，而是Flash溢出。
      同理，我们也对绿坝的安全漏洞高度敏感，内容过滤产品开发商由于没有经过攻防洗礼，需要补课的地方太多了。而其核心隐患恰恰在当前攻防频度最高的浏览器上，让我想起了我经常使用的一个比喻，物业担心小偷给1楼窗户装上了栅栏，没想到却成为小偷爬2楼的梯子。软件厂商背负的责任是被装机量放大器放大的，不要抱怨那些放大镜般的审视，至少把黄色站点的域名经过粗糙的加密原样放在那里，而被破解出来的结局难以让人同情。因为从商用产品的水准，相关规则用Hash来存储才是合理的，就像Google提供的黑名单地址一样。
      对于代码中的漏洞，其实我可以容忍，让我不能容忍的是其在软件中直接使用了境外的规则文件，竞争对手间相互的逆向和学习是合理的，但直接采用第三方规则，是可怕的，因为采用第三方规则的本身就证明团队自身缺乏规则的建立和审计能力，一旦对方在规则升级中作一个小的手脚，完全可能给跟进者造成巨大的麻烦。装机量是一种责任。这句话绝不只属于我们这些传统安全厂商。
      想起此前一度由蠕虫或ARP欺骗带来的大量的网络瘫痪事件中，瘫痪的多数是基层网关和Switch，而问题往往在于，并非设备不能承载相应的广播风暴以及连接数，而是按照传统产品思想，设备厂商优先要确保设备在网络正常时获得设备性能的最大化，然后到达用户应用中，却发现非正常状况的频度有可能要高的多。
      安全并不孤立，而且他的枝枝蔓蔓深刻渗透在每一个应用场景，而在巨大的价值链条的扯动和大量关注的或者贪婪的目光窥视之下，无数个千里之堤，溃于蚁穴的故事必将反复上演，或者我们托起一个自由连通、但充满保障的世界，或者让每一台PC都回归孤岛。