騰訊科技訊（編譯/小貝）北京時間3月30日消息，據國外媒體報道，在前些天的黑客大賽上，Windows 7環境下的IE和火狐瀏覽器先後被攻破，引發人們對Windows 7操作系統安全性能的懷疑。對此，微軟辯護說，Windows 7的安全防護措施並不能永久阻止所有攻擊，但至少可以給黑客帶來極大困難。
上週在加拿大溫哥華舉行的2010年Pwn2Own全球黑客大賽上，來自荷蘭的研究人員皮特·維萊格登希爾（Peter Vreugdenhil）和一位自稱尼爾斯（Nils）的德國研究人員成功繞過Windows 7操作系統的防護措施DEP（數據執行保護）和ASLR（地址空間隨機加載），在Windows 7環境下分別攻破了IE8瀏覽器和火狐3.6瀏覽器，並各獲得了1萬美元的獎金。其中攻破IE8瀏覽器的維萊格登希爾表示，攻破IE8只需要2分鐘時間。
對此，微軟IE開發團隊的產品經理彼得·勒佩奇（Pete LePage）表示，DEP和ASLR安全防護功能仍然可以有效防禦黑客攻擊。勒佩奇在提到DEP和ASLR以及另外一項IE防護功能“保護模式”（Protected Mode）時表示：“防護措施並不能夠永久阻止所有的黑客攻擊，但可以給黑客利用漏洞造成極大的困難。”
2004年微軟推出Windows XP Service Pack 2時推出了DEP功能，旨在阻止惡意代碼在不該執行的區域運行，以此來防止緩衝區溢出攻擊（buffer overflow attack）。而在三年前隨着Windows Vista操作系統面世的ASLR防護功能旨在通過隨機加載關鍵存儲區的位置，減少攻擊代碼利用瀏覽器編寫、修改或刪除PC其它位置數據的機率，並且使黑客難以預測他們的攻擊代碼是否能夠運行。
與保險箱防火功能做類比
勒佩奇的言論是Pwn2Own黑客大賽結束之後微軟首次就DEP和ASLR防護能力做出正式迴應。在微軟安全博客上，勒佩奇把防火保險箱用來做類比。他表示，Windows系統的安全性能與保險箱防火防熱的能力類似。勒佩奇說：“如果沒有深度防護，防火保險箱只能起到一到兩個小時的防火作用。具備多項深度防護能力的防火保險箱雖然不能保證永久防護，但至少可以延長防護的時間。”
過去，微軟曾表示Windows可以有效阻止攻擊。例如，去年夏天，微軟安全迴應中心的工程師羅伯特·亨森（Robert Hensing）表示：“DEP本身並不能起到很大的防護作用。但DEP和ASLR聯合起來是很難被繞過去的。”
而勒佩奇也持類似觀點。他說：“DEP和ASLR等深度防護功能仍然是非常有效的防護機制。”
而攻擊IE8的荷蘭研究人員維萊格登希爾認爲，這些防護措施並不難攻克。在上週黑客大賽獲勝後接受採訪時，維萊格登希爾說：“想出繞過這些防護措施總共用了我6到7天時間。”不過，根據Pwn2Own大賽的規則，在這些漏洞被修復之前，獲勝者不得泄露相關技術信息。
黑客承認攻擊難度增大
Pwn2Own黑客大賽上在蘋果Snow Leopard操作系統環境下成功攻破Safari瀏覽器的查理·米勒（Charlie Miller）表示，現在的防護措施確實更加出色。他說：“利用漏洞越來越難。過去，我發現20個Bug即可攻破，但在今年，我們必鬚髮現非常特別，非常易於上手的漏洞才能成功。”
米勒表示，攻擊變得更加困難的原因就在於DEP和ASLR防護技術，Windows和Mac OS X操作系統都使用了這些技術。但他也說，儘管DEP和ASLR是有效的防護措施，但與人們的期望還有差距。
事實上，本月早些時候，一位谷歌工程師，也是一位前微軟安全工程師曾發佈了繞過DEP防護的代碼。當時，微軟拒絕發佈安全補丁，稱僅僅繞過DEP並不能攻擊電腦。
其他研究人員認爲，這份代碼的發佈將導致針對DEP的攻擊日益增多。趨勢科技的高級安全研究員大衛·桑卓（David Sancho）表示：“這些代碼可以用於進一步利用漏洞，我預計很快就會出現這種攻擊。”
查理·米勒表示：“儘管安全防護能力有所提升，但研究人員仍然會不斷髮現漏洞。雖然我們所處的安全環境有所改進，但用戶永遠無法確保自己的電腦不會受到攻擊。”