插件、签名控件与系统安全
为防止特洛依木马程序访问系统，浏览器对一些小应用程序如
JavaApplet的使用进行严格监控。然而，如果使用者允许使用插件
(plug-in)或签名控件（signed control），这些安全措施就可能完
全失效。尽管这些带着签名的应用程序表面上看起来清白安全，在它
们无害的伪装下面，可能隐藏着灾难性内容。
一般浏览器运行的外来应用程序或控件都是基于“沙箱(sandbox)
”安全模式的。它能提供一个虚拟并与外界程序隔绝的的执行环境，
以此保证应用程序不损伤用户的个人数据，然而这样会阻止某些应用
程序发挥其最有效的功能。为防止这种情况的出现，来自Internet的
代码程序，例如Java小应用程序或ActiveX控件可以通过一种叫做“代
码签名”（code signature）的方式取得更大的执行优先权。系统的
安全措施通过给这些程序一个身份证（也称作“证明书”）来实现。
在代码被执行之前，浏览器先显示上述的证明书，然后由使用者根据
开发者用数字签名提供的担保，决定是否接受并执行这个程序。
尽管这个验证乍看来十分有效，实际却不能尽如人意。因为使用
者在接受证明书的时候通常很少留意。出于习惯，他们通常会允许所
有的ACTIVE控件和插件的运用，而忽略下载的这类程序可能进行的任
何恶性操作。
即使控件或插件已被加上数字签名也不意味着它是良性的，因为
任何人都可以开发此类程序并加上自己的签名。实际上，这种自制的
程序可能藏有会导致数丢失有害代码，或在系统中安装一个特洛依木
马程序等。因此我们建议你密切注意你授权的信任程序，检查签名的
来源，不要相信那些非指明厂商开发的控件或插件。某些最新的杀毒
软件已经开始加入这方面的防火墙功能，并提供完全的监视，使任何
此类Internet小程序的一举一动尽在你的掌握。
--
我是[回合策略]版副，[宗教信仰]斑竹，欢迎大家常来坐坐。
* * * * *
无挂碍故无有恐怖
----DOS----
※ 来源:．网易虚拟社区北京站 http://bj.netease.com．[FROM: 202.99.50.88]
|
|