安全威脅:Linux和Windows在啟動(dòng)時(shí)的差別
關(guān)于什么是“安全”的操作系統(tǒng)，已經(jīng)有過(guò)很多次的討論。特別當(dāng)人們對(duì)三大家庭桌面操作系統(tǒng)：微軟Windows、蘋(píng)果MacOS X和Linux系列操作系統(tǒng)進(jìn)行比較的時(shí)間，討論往往會(huì)變得非常激烈。我曾寫(xiě)過(guò)一篇文章，題目為《Linux是最安全的操作系統(tǒng)么?》。真正的答案是無(wú)法確定，很難得出這樣的明確結(jié)論，任何特定的操作系統(tǒng)比另外的操作系統(tǒng)“更安全”。
OpenBSD引以為自豪的是，在其穩(wěn)定版本的歷史記錄上，只出現(xiàn)過(guò)兩個(gè)在默認(rèn)配置下可以被遠(yuǎn)程連接利用的系統(tǒng)漏洞，但即使這樣也不能說(shuō)明該操作系統(tǒng)是“最安全”的，畢竟在評(píng)估安全效果的時(shí)間，我們要考慮到從一種系統(tǒng)遷移到另一種系統(tǒng)時(shí)，需求方面發(fā)生的變化。
歸根結(jié)底，任何廣泛使用的通用操作系統(tǒng)在理論上都可能存在缺陷。最近開(kāi)始流行的虛擬機(jī)技術(shù)，可以容許在單一物理硬件平臺(tái)上同時(shí)運(yùn)行多臺(tái)虛擬電腦，就可能導(dǎo)致一種特殊的潛在風(fēng)險(xiǎn)，讓操作系統(tǒng)在受到控制的環(huán)境之外的虛擬電腦上運(yùn)行：只要在系統(tǒng)啟動(dòng)的時(shí)間調(diào)整操作系統(tǒng)的鏡象就可以實(shí)現(xiàn)這樣的操作。對(duì)于虛擬機(jī)用戶來(lái)說(shuō)，這種風(fēng)險(xiǎn)變得越來(lái)越現(xiàn)實(shí)，他們擔(dān)心惡意軟件有可能擺脫虛擬機(jī)的限制，通過(guò)安裝在“裸機(jī)”上的操作系統(tǒng)影響正常的工作。
但是，從理論上來(lái)說(shuō)，只要惡意工具在機(jī)器啟動(dòng)過(guò)程中可以找到進(jìn)入的方法，并沒(méi)有具體的方法可以限制其控制虛擬機(jī)環(huán)境中的系統(tǒng)運(yùn)行。盡管在遠(yuǎn)程環(huán)境下，這樣做是相當(dāng)困難的，但在這個(gè)時(shí)間，至少有一種情況是更讓人擔(dān)心的，安全破壞者可能直接通過(guò)物理方法連接電腦。
對(duì)于Windows和某些Linux發(fā)行版本來(lái)說(shuō)，這種情況不僅僅是在理論上存在可能，而且也是一個(gè)非?，F(xiàn)實(shí)的威脅。彼得亞雷·巴尼亞已經(jīng)建立了一個(gè)可以證明這種情況可行性的概念模型，一種啟動(dòng)工具Kon-Boot(忘記登入密碼，一樣可以直接進(jìn)入系統(tǒng))在測(cè)試中，已經(jīng)確認(rèn)了在四種Linux發(fā)行版本和一系列Windows版本中的有效性。
該工具可以用于合法的目的，從安全研究到輕松恢復(fù)管理員密碼已經(jīng)遺失的系統(tǒng)都可以是它發(fā)揮作用的領(lǐng)域。至少，該工具的作者是這么認(rèn)為的：
它可以在沒(méi)有輸入正確密碼的情況下，讓你以“root”用戶的身份登陸到Linux系統(tǒng)中，或者從當(dāng)前的用戶權(quán)限提升到“root”用戶擁有的權(quán)限。而對(duì)于Windows系統(tǒng)來(lái)說(shuō)，它可以讓你在沒(méi)有密碼的情況下進(jìn)入所有受到密碼保護(hù)的帳戶。
如果你希望電腦免于遭受來(lái)自物理連接的任何啟動(dòng)破壞的話，就應(yīng)該關(guān)閉所有CD、DVD和軟盤(pán)啟動(dòng)的功能，找出除了內(nèi)部硬盤(pán)驅(qū)動(dòng)器以外所有可以用于引導(dǎo)系統(tǒng)的外部設(shè)備端口，并予以鎖定。
除了進(jìn)行鎖定外，或許選擇沒(méi)有被該工具支持的操作系統(tǒng)也是一種方法，舉例來(lái)說(shuō)，MacOS X或者象FreeBSD一樣的BSD Unix操作系統(tǒng)。盡管，其它操作系統(tǒng)受到類似的攻擊也是必然的，只是時(shí)間早晚的問(wèn)題，但至少在目前，你可以放心，系統(tǒng)是安全的。
【編輯推薦】
