2010年五大安全主题

network

2000年的第一个十年在经济动荡中落幕了。许多公司都紧缩了IT预算，迫使一些安全公司处境艰难；其他还有一些公司甚至被迫关门。过去的一年中还发生了历史上最大的数据泄漏事件以及对社交网站的大量攻击。2009年中专家们并没有发布重要的安全革新，而是对云计算的不安全因素进行了探讨并强调了专注安全基础的重要性。2010年将会更注重实际行动。所有的迹象都预示支付行业将会进行更多安全改进，出现锁定社交网站的更好的方式和大量的针对账户信用证书和其他敏感数据的盗窃事件。以下对这个十年初始阶段将会出现的五个安全主题的展望：

　　支付行业中的端-端加密：在奥巴马发表他的总统宣言的当天，Heartland Payment Systems公司对外通告了它的数据安全漏洞，Heartland的CEO Bob Carr也发表了他的宣言。Carr宣称他将推动这一行业的革新。大约10个月之后，Heartland和Voltage Security公司合作生产了E3系统，这是一种端-端加密系统，这一系统可以从客户通过支付处理器系统的存储器刷信用卡开始保护卡数据。之后还出现了其他的支付处理器。（RBS Worldpay 和VeriFone Inc.; First Data Corp.以及RSA.）支付卡安全标准委员会成立了一个特别兴趣小组来研究这一问题，这可能对2010年的这一标准提出改进意见。

　　社交网站和云安全：在过去的两年中一些商业团体对社交网站很不满，但这阻挡不了大量涌向它们的投资。Facebook、Twitter等网站纷纷紧缩了它们的商业模式并正寻找赚钱的方式，但对他们的模式来说，也许最大的威胁就在于日益高涨的网络钓鱼攻击、恶意软件以及其他可能赶走用户的方式。反病毒厂商Kaspersky实验室的专家提醒大家警惕对社交网站的信任侵蚀。为了限制责任并继续建立用户信任，一些社交网站可能会在2010年和大型安全厂商合作，并在其框架下建立起支持云安全的模式。

　　DNSSEC部署动向：用户在域名系统DNS方面的知识最为匮乏，而正是这一技术将他们连接到他们最喜欢的网站上，虽然他们不是必须知道这一技术。（谷歌2009年的录像发现许多人甚至不知道如何定义网络浏览器。）Twitter在12月份发生的域劫持事件暴露出DNS技术上固有的一些弱点。幸运的是顶级域正部署DNSSEC，下一代的DNS支持加密。这一部署到目前为止还很慢。DNS的数字签名请求和响应已被.gov和.org所支持，而且一些大学也正在部署。.us空间在12月份被签署。最大的域名空间——.com直到2011年才会签署，但是有专家说域可能会发展得越来越快，在今年给DNSSEC带来更多的影响。

　　智能手机和steroids tablet：谷歌计划发布它的新型手机，它是基于其流行的Android操作系统和最为普遍的苹果手机。但2010年苹果公司的iSlate设备带来了一股更为强大的、便携的tablet，这可能给网络罪犯带来另类的攻击渠道。操作系统漏洞不会成为必然的攻击主目标。一些安全专家预计第三方的智能手机和tablet应用中包含了网络罪犯入侵的切入点。随着越来越多的人使用他们的设备来访问银行账户并使用网上购物，网络钓鱼还将成为一个问题。2009年Ikee蠕虫找到了入侵越狱iPhone手机的方式。2010年那些使用授权的设备可能不会免疫于恶意软件的侵袭。

　　认证的改进：2009年需要吸取的教训是密码管理。高级Twitter账户被劫持，一些Facebook用户发现无法登录他们的账户并被垃圾邮件贩子所利用。2010年， OpenID认证的广泛应用将帮助捆绑常用网站并使得用户的密码管理更加轻松。密码令牌和生物识别将网络犯罪控制在了许多公司的安全中心之外，EMC的安全部RSA董事长Art Coviello预见了基于知识认证的未来，用户在这种认证中会需要回答一些个人特征和喜好的问题，这些答案只有他们自己知道。基于知识的认证和其它的验证技术将帮助减少账户信用数据被网络罪犯窃取。