Windows Vista的安全性能: 市场宣传背后真正的优点

Windows Vista中最被经常讨论的性能要与Windows Server Longhorn中发布(目前处于Beta版测试阶段)。网络访问保护（Network Access Protection，NAP）将会确保所有与微软Windows网络相连接的计算机都符合预先设定的安全政策。例如，网络管理员可能决绝对任何不符合系统安全要求的客户端计算机的网络访问。如果客户端计算机没有安装最新的Windows安全补丁，这台计算机将会被隔离直到它完成升级。这是网络安全中一项有趣的发展，尽管它的效果要过一段时间才能看出来，因为Longhorn目前还未发布，即使Longhorn发布，也要等到大部分企业开始将Longhorn和Vista结合使用以后才能看到效果。

用户帐号控制（User Account Control，UAC）是Windows Vista中的一种新机制，允许用户暂时提升权限以进行某些需要更高系统访问权限的活动。也就是说用户在使用较低权限用户帐号时，可以在必要的时候暂时提高权限；例如需要更高权限才能进行新硬件设备的安装，系统设置的调整，或者执行未知的ActiveX。目前情况下，如果用户没有执行某个行动的许可，访问会遭到拒绝，而且没有其他可能克服的选择；这项功能能够使用户在完全的管理员模式下进行，使得他们更容易遭受病毒的侵袭。通过让用户选择以将安全模式作为标准模式运行，并将他们的权限提升到所需高度，希望能够减少未授权行为所带来的风险。在Linux和Mac系统中长期以来都有类似的机制。当用户在Windows Xp下以受到限制的权限运行某些合法应用时会碰到其他问题：应用需要更高的权限访问系统注册表或文件，因此无法运行。UAC机制希望能够通过文件和注册表虚拟化来解决这个问题，我将拭目以待。

Windows Vista企业版和终极版中的一项新功能是BitLocker Drive Encryption。要使用BitLocker，硬盘必须分为两个盘，系统盘上安装BitLocker (未经加密),启动盘上安装Windows Vista(经过加密)。一共有三种可能的启动模式：两种需要计算机加装TPM芯片，另外一种则只需要USB密钥。BitLocker的功能局限于对系统盘加密，相信到Windows Server Longhorn上，BitLocker将会扩展到保护数据盘，尽管加密文件系统（Encrypting File System）依然是推荐的数据加密方法。尽管有传言说微软公司将与权威方面合作提供后门迂回卷加密，但是微软给予了否认。

Windows Vista中与其他安全相关的性能还包括IE7的默认“保护模式”，默然情况下会限制ActiveX的使用，以及针对网络钓鱼的过滤机制。在默认情况下还会安装Windows Defender并自行启动。尽管市场宣传中宣称这是突破性的性能，但是由于任何Windows XP用户都可以安装IE7和Windows Defender, 所以实际上他们并不能算是Windows Vista的新功能；他们只是市场宣传的手段。

Windows防火墙依然存在，并得到了升级，现在能够支持对进入和流出的数据流的过滤。可以通过制定规则来通过或者拒绝对某个指定服务网络的访问。

总体来说，尽管Windows Vista的安全性能已经进行了很大的改进，但是绝对说不上是突破性的进步。我担心恶意软件和木马软件的感染依然会普遍存在，会想方设法突破或者迂回饶过这些新的阻碍。

BitLocker加密方法由于其加密范围的受限以及灵活性的缺乏使用户感到失望；NAP在Longhorn发布之前也发挥不了什么作用，恐怕要等上好几年（同时人们也在研究如何突破它）。UAC感觉还不错，早几年就应该采用；希望能够绕过它的恶意软件只能依靠对缺陷的利用以及社会工程技术的发展。