微软宣布"安全未来计划"，提高产品安全性

微软近日宣布了 "安全未来计划"（Secure Future Initiative），这是一项广泛的内部工作，旨在提高其产品的安全性。

该项目的首要目标是降低代码漏洞进入该公司软件产品的几率。此外，如果安全漏洞确实进入了产品，微软还会努力加快修复速度。微软还计划加强网络安全运营的一些其他部分，例如其管理客户登录请求的方式。

这一行动是在微软遭遇了两起备受瞩目的网络安全事件之后推出的。安全未来计划的首要任务是减少微软产品中安全漏洞的出现。为此，公司将让开发人员更多地使用内存安全编程语言，如Java、C#和Python。用这些语言编写的代码不太容易受到某些类型漏洞的影响，而这些漏洞会被黑客用来窃取数据。

应用程序保存数据的RAM被划分为许多称为缓冲区（buffer）的小段。内存安全语言会自动管理数据在缓冲区之间的移动。因此，开发人员不必手动编写内存管理代码，这意味着出现漏洞的机会更少。

微软还计划以其他方式增强其产品的安全性。该公司的开发人员将更广泛地采用由GitHub开发的开源工具CodeQL，它可以自动扫描代码查找漏洞。此外，微软还将简化威胁建模的方式，即在内部系统中搜索安全漏洞的流程。

除了减少进入生产阶段的漏洞数量，微软还希望能更快地修复开发人员在发布前没有发现的漏洞。公司设定的目标是将云服务漏洞的修复速度提高一倍。

作为这项工作的一部分，微软正在推出一种新的、被称为dSDL的修复方法。它依靠CI/CD（即持续集成和持续交付）软件来促进安全补丁的快速发布。CI/CD工具可以将部署软件工作中很多原来耗时费力的手工任务自动化，让开发人员能够每天推出多达数次的应用程序更新。

微软安全执行副总裁Charlie Bell在一篇博文中写道：“我们将采用持续集成和持续交付（CI/CD）的概念，在编码、测试、部署和运行过程中不断集成针对新兴模式的保护措施。”

微软的安全未来计划还有其他内容。该公司计划为客户推出更安全的默认设置，并增加对微软身份验证库（Microsoft Authentication Library）等身份验证库的使用。这些软件工具可以让黑客更难以使用窃取或伪造的登录凭证登录客户账户。

最后，微软将把用于支持其部分身份识别功能的加密密钥转移到“集成、加固的 Azure HSM”。HSM（即硬件安全模块）是一种耐高温芯片或服务器，专门用于存储敏感数据。微软表示，系统中的加密密钥会经常刷新，以进一步提高安全性。

Bell详细介绍说：“签名密钥不仅在静态和传输过程中加密，在计算过程中也会加密。”“密钥的轮换也将是自动化的，允许高频更换密钥，完全不存在人为访问的可能性。”