微软总比黑客慢半拍

Windows WMF漏洞将微软一直推行的可信赖计算（Trustworthy Computing）理念变成了一纸空文。微软长期以来对代码安全性的检查以及不断清除系统bug的工作好像都成为了人们的笑柄，而要真正彻底检查代码安全性并清除bug，意味着微软要重新编写代码并进行测试，这对于一个拥有众多软件产品的公司来说，简直是无法想象的。

WMF漏洞首先是被微软自己公布出来的。微软报告提到，通过打开一个精心设计的WMF文件，可以引发系统的一个漏洞。但是由于还没有接到任何客户关于这个漏洞而出现问题的报告，因此微软并没有对这个漏洞给与足够的重视。然而，还没有接到系统遭到攻击的报告并不等于这个漏洞永远不会给用户的系统带来问题。实际上，就在微软公布这个漏洞几天后，网络上就开始流传专门针对这个漏洞开发的恶意攻击代码了，这也促使微软在针对WMF漏洞的态度上，与刚开始的时候有了180度的大转弯，迅速的提供了WMF漏洞补丁。

很明显，除非微软能够比第三方更早的发现并解决漏洞，否则很难真正有效的提高Windows的安全性。WMF漏洞案例就说明了这一点。另外，这个案例还表明，微软之前对代码进行的全面检查很大程度上都是走过场，或者说这个漏洞是早就该被发现并且修补好的。

这也引出了一个关键问题，微软是如何发现这些漏洞的，以及微软的方法会不会被其他人利用？黑客们通常是根据一个已知的漏洞，顺藤摸瓜的找到其他漏洞。比如当一个Web服务器出现了HTTP 超长代码漏洞，那么黑客们就会根据这个方法去尝试其他服务器对HTTP超长代码的反应，从而发现新的漏洞并进行攻击。

我想，很多人肯定都看到过更早出现的TIF，GIF以及JPEG文件漏洞，并意识到也许其他格式的图片文件中也存在着类似的漏洞。

另一个问题是，微软公司里到底有多少员工，是在全天侯的探寻系统漏洞。除非这些分析人员的数量明显超过外界的黑客以及第三方安全公司的分析员数量，否则还会有很多漏洞在补丁出现前就被公开化甚至被黑客利用。

在过去一两年中，我曾经多次向微软的安全专家们提出过这个问题，但是没有人能给我一个满意的答案。虽然关于问题的答案，我还要继续等下去，但是面对这么多潜在安全问题，如果足够努力的话，我觉得微软肯定会给大家一个明白的交待。

（责任编辑：陈毅东）