提高互聯網安全 谷歌黑客團欲扼殺零日攻擊缺陷
責編：admin ｜2014-07-17 18:58:19Google提高互聯網安全性的最新舉措不是發布Android或Chrome的安全補丁軟件，而是一個名為Project Zero的項目，在“零日攻擊缺陷”被黑客利用前發現、封殺它們。
Google安全工程師克里斯 埃文斯(Chris Evans)當地時間周二在公布Project Zero的博文中表示，零日攻擊缺陷一直被用來攻擊人權保護機構、從事工業間諜活動，也被用來監聽通信、竊取消費者的信用卡信息以及大大小小的網站用來存儲用戶信息的數據庫。
Project Zero雙管齊下，對零日攻擊缺陷進行“圍追堵截”。根據Project Zero，Google創建了一個由安全研究人員組成的團隊，發現軟件中的缺陷。埃文斯向CNET表示，Project Zero不同于其他廠商打擊零日攻擊的項目，例如惠普的Zero-Day Initiative，因為它為“世界上最好的安全研究人員”提供全職崗位。
埃文斯說，“Project Zero研究人員將發現和修正軟件中的零日攻擊缺陷，但他們的工作不局限于此。研究人員還將調查他們認為有助于提高安全性的任何防護或分析技術。”
Project Zero項目還將創建一個零日攻擊缺陷公共數據庫，零日攻擊缺陷將被首先報告給軟件廠商。埃文斯說，Project Zero希望“盡可能早地”向軟件廠商通報零日攻擊缺陷，并與它們合作開發補丁軟件。軟件廠商發布補丁軟件后Google才會對外披露缺陷，這在安全界被稱作“負責任的披露”。
埃文斯指出，“我們的目標是大幅減少受到攻擊影響的用戶數量。我們聘請了最棒的安全研究人員，他們將全職提高整個互聯網的安全性。”
埃文斯說，Project Zero起源于Google員工的業余安全研究項目。Project Zero已經幫助蘋果發現了一處安全缺陷。他說，“Project Zero尚處于早期階段，我們預計年底時Project Zero數據庫將包含有更多得到修正的安全缺陷。”
埃文斯稱，Project Zero還旨在解決缺陷跟蹤方面長期以來一直存在的難題。安全研究人員可以利用Project Zero數據庫監測廠商修正缺陷所使用的時間、跟蹤利用缺陷發動攻擊的討論、研究歷史上的安全攻擊、跟蹤宕機事件。
Project Zero并非科技產業解決零日攻擊缺陷問題的首次嘗試。自2005年以來，惠普Zero-Day Initiative一直對被證實的零日攻擊缺陷提供獎金。
惠普Zero-Day Initiative項目經理布賴恩 戈倫茨(Brian Gorenc)說，“Google涉足缺陷研究領域提高了這類研究的重要性。”Zero-Day Initiative項目覆蓋約3000名獨立研究人員，過去近10年時間發現逾1700個零日攻擊缺陷。