Google Chrome OS安全到不需要安全措施了吗？

一个著名安全研究员警告说，Google对于所新发布的Chrome OS，可能正在犯Apple所曾经犯过的安全上的错误。

Google Chrome OS是一个基于Linux的操作系统，这是一个只和Web应用交互的系统。装有这种操作系统的Chrome Netbooks将在六月（译者注：博文发表时间是五月）发布出来，进行发布的公司是Google的合作伙伴Samsung和Acer。在一个声明中，Google 吹嘘说它可以终结需要打补丁和安装反病毒更新的困境。

Chromebooks有很多内置的安全层，所以不需要再去买反病毒软件，也不需要维护它们。更重要的是，你不再需要花好几个小时来重新配置你的电脑以便保持电脑保持在最新的状态。

Rik Ferguson，趋势科技（Trend Micro）的一个安全顾问，说这只不过是Google的营销说辞。他警告说，Google正在冒重复苹果的安全失误的风险。Chrome OS的安全特性包括进程沙箱（process sandboxing）（所以系统上的任何应用都不能干扰系统上的其他应用），自动更新，最后正常状态的快照（可以通过该快照恢复系统）。这最后一个特性之所以可行是因为用户文件保存在云中（加密形式），只有系统文件保存本地。

此外，Chrome OS的所有应用都在浏览器中运行，只有（沙箱）浏览器插件在本地运行。

然而，这种没有病毒存在的环境不可能持久，至少在Google创建了一个Software Development Kit之后，这个Software Development Kit可以创建Chrome的“本地应用”。据Ferguson预测，这将对病毒开放大门。

沙箱技术本来应该能阻止任何恶意应用试图跨越它们运行范围的行为，但Ferguson警告说，沙箱技术并非解决安全困境的灵丹妙药。

“针对IE、Java、Google Android的攻破沙箱的的Exploits已经出现了，对于Chrome 浏览器当然也一样。尽管Google的沙箱十分有效，但它也并非不可攻破的，所以依赖它来达到百分百安全是一种短视的行为。”他说。

Ferguson进一步指出，重启笔记本并且将数据存储到云中只不过是将攻击目标位置改变了而已。攻击者的兴趣将不再放在从一个已被攻击的设备上偷取数据，而是获取认证密钥。“如果我可以在某次会话中感染你并获得你的密钥，那接下来当我在云中的时候，我就能获得我想要的任何东西，并不断从云中读取你的数据；反正我已经得到了你的密钥，我就用不着得到你的电脑了。” Ferguson写到。

Ferguson对Google所做出的开创性工作表示了赞赏，但对于Google将操作系统视为解决安全困境的妙法，Ferguson表示质疑。他将Google的声明与Apple在过去所作的一个不再需要反病毒软件的类似声明做了比较。

我所说的并非陈辞滥调……

“Apple还要重复多少次MacOS对病毒是绝对免疫的口号直到用户相信这句口号，尽管它现在已经在MacOS中装上了基本的反病毒软件。” Ferguson写到。

“犯罪活动已经远远超过了基于文件的威胁，包括社会工程，钓鱼，社交网络和电子邮件传播的威胁。受威胁的领域是不断扩大，攻击技术也在不断发展。仅仅靠转换操作系统去保证客户安全，让他们不必处理在线网络犯罪（online cybercrime）是很愚蠢的。”他总结说。

我们将Ferguson的观点与Google进行探讨，Google却给了我们一些文件说Chrome网络的安全不依赖于任何一个组件（如沙箱），而是依赖于“深度防御（defence in depth）”，据说这比任何现存的模型都要好。

Chromebooks在设计它的第一个操作系统的时候始终考虑了威胁模型。它使用了"深度防御（defense in depth）"原则来提供多层次的保护，所以如果有任何一个安全层次被攻破，其他的安全层次仍然能起作用。所以尽管你仍然需要采取谨慎措施去保护你的数据，但Chromebooks总算可以让你稍微轻松那么一点儿了。

看来，Google也继承了苹果公司对自身安全的自大态度，也许更胜一筹。

尽管Google对安全架构的重新描述很受欢迎，但随着这个操作系统获得更广泛的使用，安全问题绝不会改变，更不用说消失了。Google的Chrome浏览器相对于Firefox，以其超强的稳定性和安全性在安全界获得了喝彩。但是，最近木马感染Android设备带来了批评。Eugene Kaspersky,甚至批评说Android就是新的Windows。

在安全性方面，Chrome OS到底是更多代表着与它同名的浏览器还是Android，将在很大程度上决定未来几年的整体安全形势。

关于Chrome OS的安全分析可以在这里看到。Ferguson的分析在这里。

原文链接：Google Chrome OS: Too secure to need security?

请大家在关注CSDN的同时，关注我们的新浪微博 @WebAppTrend，欢迎加入我们的QQ群：193775364