谷歌工程师公布Sophos反病毒软件缺陷

谷歌安全工程师塔维斯·奥曼迪(Tavis Ormandy)上周四在拉斯维加斯举行的黑帽安全大会上宣布，在对反病毒公司Sophos的企业安全产品进行研究后，他发现该产品的签名和加密系统存在缺陷，有可能会破坏这款杀毒软件的完整性，从而帮助恶意软件绕过该产品的扫描或产生不真实的结果。

他说：“反病毒企业的营销材料都很虚伪。他们虚构了好莱坞式的名称，但根本没有多少技术含量。所以我才发布Sohpos在技术方面的一些不足。”

虽然奥曼迪是谷歌的安全工程师，但他仅以个人身份参加本次会议。他还表示，他的研究也完全是利用私人时间完成的，并没有借助谷歌的帮助。

奥曼迪表示，Sophos的签名认证系统较弱。该公司使用了一种专有机制来验证签名的真实性，但奥曼迪发现这一系统很容易被欺骗。

除此之外，奥曼迪还表示，Sophos在产品中使用的加密系统同样比较糟糕。在很多情况下，加密密钥与数据本身被存储在同一个地方，使得黑客可以轻而易举地找到密钥。奥曼迪表示，这些漏洞可以被用于访问受保护的数据，并破坏程序的完整性，从而导致系统无法扫描恶意软件。

奥曼迪还对Sophos的漏洞挖掘缓解(exploitation mitigation)系统进行了研究。这一系统可以在第一时间阻止恶意软件的安装，而不必等到安装后再去清理。但奥曼迪发现，Sophos只会对一小部分恶意代码的漏洞挖掘行为进行检查，效果“非常差”。

Sophos研究员凡贾·斯瓦吉瑟(Vanja Svajcer)表示，奥曼迪已经与该公司取得了联系，并且接受了他的批评。Sophos计划对部分安全措施进行升级。

斯瓦吉瑟说，Sophos尚未发现有黑客利用这一漏洞。但奥曼迪称，这是因为恶意软件编写者希望开发具有普遍攻击能力的软件，但Sophos目前在企业市场的占有率仅为10%，因此没有必要针对该软件编写代码。

奥曼迪与Sophos之间早有过结。在奥曼迪公布了微软的几个新漏洞后，Sophos研究员格雷翰姆·克鲁利(Graham Cluley)就曾经批评奥曼迪急于公布漏洞会导致用户被黑客攻击。但奥曼迪随后表示，他早已将此事通知微软。奥曼迪还特意强调，本次公布Sophos的缺陷并非出于个人恩怨。