新的 Google Chrome 作業系統讓 IT 系統管理員對更安全的運算體驗燃起了一絲希望。許多系統管理員、IT 總監、資訊安全長 (CSO) 對日復一日的系統與軟體修補更新都已感到厭倦。Google Chrome 是否真能提供這樣的安全性,是個很難回答的問題。我們正在進行一場大規模的網路大戰,其中大多數威脅的主要目標都是竊盜。網路犯罪者正從惡意程式、破解入侵以及其他惡意活動當中獲取龐大利潤。
而網路犯罪者所利用的,就是桌上型電腦由 Microsoft 作業系統壟斷的情勢。對於專門攻擊 Microsoft 平台的駭客來說,他們有源源不絕的電腦讓他們賺取足夠的利潤。這完全是單純的經濟規模效應。隨著其他作業系統 (例如 Mac OS) 開始受到歡迎並且取得更大的市場佔有率,專門鎖定這些系統的攻擊數量就會自然增加,如同本文稍早所說。
不過 Google Chrome 是一個非常小而且開放原始碼的作業系統,其資料和應用程式都儲存在雲端。這表示,由於程式碼減少,軟體錯誤 (俗稱的臭蟲) 也應該會減少。此外,由於作業系統較小,而且不像現在這麼強大,所以,目前這種安裝在本機的多用途惡意程式很可能就無法生存。
儘管如此,大家都知道網路犯罪者非常容易適應,而且非常靈活,他們的攻擊技巧高明,經常改變策略,善於掌握最新的技術趨勢。所以,某些攻擊策略或許還是可行:
• 掌控到雲端的連線。網路犯罪者只要對作業系統動一點手腳,稍微修改一下 DNS 記錄, 就能讓使用者在連上網頁應用程式時,先轉往地下惡意網站,然後才到達自己的網頁應用程式頁面。只要是無法完全封鎖通訊管道,使用者的資料就可能完全曝光。即使有 IPv6、加密、憑證等保護措施,這還是一個可能的攻擊方式。
• 攻擊雲端本身。如果雲端式應用程式以及雲端式作業系統成為主流,那麼 99.99% 的可用性就是絕對必要。一部無法存取主機資訊和應用程式的電腦就等於廢物。攻擊者有可能利用標準的殭屍網路/傀儡網路 Botnet (未來十年之內應該還會看到採用多用途標準作業系統的殭屍網路/傀儡網路 Botnet感染電腦) 來讓雲端基礎架構上的主機超載而癱瘓。或者,駭客也可能「要求」業者必須給予小額「樂捐」才能讓已經癱瘓的雲端主機恢復營運。這些對網路犯罪者來說,想必是利潤豐厚的生意。
這類攻擊手法事實上已經出現,只是規模不大而已,但是,一旦駭客目前的手法 (先讓桌上型電腦感染惡意程式然後再用於非法用途) 經濟誘因不再 (無法再找到足夠的受害者),自然會有另外一種取而代之的方法出現。
(閱讀全文)