开放源代码项目吸引黑客注意力

一位Linux的专家警告说，开放源代码项目正在日益吸引其原本不希望的更多黑客注意力。同时，一家新公司也打算通过更快速的推出可用补丁，从而停止那些“零日攻击”。

详细情况
Linux专家Alan Cox在伦敦LinuxWorld大会上警告与会者说，黑客们正在花费大量的时间和金钱，试图破解Linux以及其他开源项目。为Red Hat工作的Cox，特别批判那些无知媒体所谓开源项目更加安全可靠的说法。虽然一些著名的开源项目非常安全，但是这不代表所有的项目都安全，尤其是那些很少有人知道的项目。

开发老手们也在注意欧盟委员会资助的开源软件质量测试项目（SQO-OSS，Software Quality Observatory for Open Source Software的简写）。这个新启动的项目主要面向监控开源项目开发的质量。它会在BSD许可下发布核心代码。

几个观察员说SQO-OSS（提供了247万欧元预算）在质量和安全方面瞄错了方向，特别是像通常做法一样，仅仅计算全部的Bug数。SQO-OSS的整体目标是通过证明欧盟软件开发项目的安全性，提升它的接受度和竞争力。

零日攻击
通过不断增加对那些被忽视所遭受的攻击，直到攻击演变成广泛流行，而受到企业的关注，安全专家们发现了一种新的攻击类型——“零日攻击”。所谓“零日攻击”，就是一种在原始漏洞公布之后，在相关补丁/反病毒软件/安全软件发布之前，所进行的攻击。

但在干等“官方”制造商发布可用补丁之前，一个新的在线公司——零日紧急救援队（ZERT，Zeroday Emergency Response Team，网页是http://isotf.org/zert/）——正致力于发布可靠的“非官方紧急补丁”，以第一时间阻止漏洞形成严重的攻击风潮。对许多用户来说，他们特别感兴趣的是该组织为Windows提供零日补丁的结构——最低支持Windows 95！你大概知道，这个范围涵盖了许多微软公司已不再支持的操作系统平台。

虽然ZERT和许多安全工具制造商合作，但是该组织和任何特定制造商之间并无直接联系。要想了解相比官方的微软补丁，ZERT如何发布零日威胁紧急补丁，你可以看一下ZERT这份关于修补最近CVE-2006-4868漏洞的分析文档（PDF格式，http://isotf.org/zert/papers/vml-details-20061004.pdf）。

结语
显然，伴随着许多企业和政府组织越来越多的采用Linux，意味着大量的商业黑客会将他们的注意力集中到他们所能发现及利用的漏洞上。不管怎样，这同样也需要大量负责任的Linux开发者切实的注意到这一点。

当然，明显来说，也不是说在没有官方补丁发布之前，任何利用漏洞的攻击都是极其危险的。不幸的是，许多网络管理员尚未对此现象给予足够的重视——哪怕他们的网络其实已经处于极度的危险之下。我喜欢ZERT的想法，但这个项目毕竟还在襁褓之中。只有时间才能证明，ZERT是否真的能解决问题。

（责任编辑:陈毅东）

查看本文的国际来源