1月15日消息，據(jù)外媒報(bào)道，兩名美國(guó)聯(lián)邦高級(jí)網(wǎng)絡(luò)安全官員證實(shí)，美國(guó)國(guó)家安全局(NSA)最近向微軟公司通報(bào)了一個(gè)Windows 10的重大安全漏洞，微軟最新版本的操作系統(tǒng)目前在企業(yè)內(nèi)部和消費(fèi)者中被廣泛使用。

據(jù)悉，最新發(fā)現(xiàn)的漏洞影響了用于驗(yàn)證內(nèi)容(包括軟件或文件)的數(shù)字簽名的加密。如果被利用，該漏洞可能會(huì)讓犯罪分子發(fā)送帶有虛假簽名的惡意內(nèi)容，使其看起來(lái)很安全。

網(wǎng)絡(luò)安全公司Tenable高級(jí)研究工程師薩特南·納朗(Satnam Narang)表示：“一般來(lái)說(shuō)，像這樣的補(bǔ)丁應(yīng)該總是很重要的，但事實(shí)上，是NSA向微軟披露了這個(gè)漏洞，這讓它顯得更加重要。”

納朗還稱，攻擊者經(jīng)常會(huì)竊取安全證書(shū)，以便向受害者發(fā)送看似值得信任的惡意文件，但有了這個(gè)漏洞，攻擊者就可以簡(jiǎn)單地偽造微軟證書(shū)，使這一過(guò)程變得容易得多。

目前還不清楚NSA在向微軟通報(bào)之前，已經(jīng)發(fā)現(xiàn)該漏洞多長(zhǎng)時(shí)間。然而，NSA和微軟的這次合作與過(guò)去的互動(dòng)有所不同。過(guò)去，該機(jī)構(gòu)通常會(huì)將這類重要漏洞保密，以便將它們用作美國(guó)技術(shù)庫(kù)的一部分。

NSA的網(wǎng)絡(luò)安全部門(mén)主管安妮·紐伯格(Anne Neuberger)說(shuō)：““這是方法上的改變，以此作為建立信任的一部分。NSA的工作是努力向前看，然后努力真正分享數(shù)據(jù)，這是建立信任的一部分。”

網(wǎng)絡(luò)安全專業(yè)人士對(duì)此表示歡迎。計(jì)算機(jī)安全專家德米特里·阿爾佩羅維奇(Dmitri Alperovitch)在推文中說(shuō)：“NSA自愿向微軟披露安全信息，這是非常值得稱贊的。我相信，這種漏洞是該機(jī)構(gòu)黑客以前最樂(lè)于利用的類型。”

微軟周二發(fā)布了修復(fù)該漏洞的補(bǔ)丁，該公司在聲明中拒絕證實(shí)或提供更多細(xì)節(jié)。聲明中稱：“我們遵循協(xié)調(diào)漏洞披露的原則，將其作為保護(hù)我們的客戶免受安全漏洞影響的行業(yè)最佳實(shí)踐。為了防止給客戶帶來(lái)不必要的風(fēng)險(xiǎn)，安全研究人員和供應(yīng)商在更新可用之前不會(huì)討論報(bào)告中的漏洞細(xì)節(jié)。”

微軟高級(jí)主管杰夫·瓊斯(Jeff Jones)發(fā)表聲明說(shuō)：“安全更新已于2020年1月14日發(fā)布，已經(jīng)應(yīng)用更新或啟用自動(dòng)更新的客戶已經(jīng)受到保護(hù)。我們一如既往地鼓勵(lì)客戶盡快安裝所有安全更新。”不過(guò)微軟表示，該公司沒(méi)有看到任何利用該漏洞的跡象。

網(wǎng)絡(luò)安全公司Tenable的工程師納朗說(shuō)：“我想強(qiáng)調(diào)的是，這個(gè)信息是在過(guò)去1個(gè)小時(shí)里剛剛發(fā)布，現(xiàn)在還相當(dāng)新鮮。從大局來(lái)看，這只是攻擊者工具箱里的另一個(gè)工具。”（騰訊科技審校/金鹿）