知识大全著名安全专家Litchfield对Oracle开火

Posted 2022-07-15 数据库

篇首语：有山必有路，有水必有渡。本文由小常识网(cha138.com)小编为大家整理，主要介绍了知识大全著名安全专家Litchfield对Oracle开火相关的知识，希望对你有一定的参考价值。

著名安全专家Litchfield对Oracle开火 以下文字资料是由(全榜网网www.cha138.com)小编为大家搜集整理后发布的内容，让我们赶快一起来看一下吧！

　　著名的袭虫猎人Litchfield为自己赋予的使命就是告诉全世界数据库软件并不安全——特别是Oracle的数据库 Litchfield曾经公开批评Oracle 甚至要求Oracle首席安全官Mary Ann Davidson下台 Litchfield认为长期以来 Oracle及其用户在安全领域里一直象鸵鸟一样把头插在沙子中 Oracle采用了错误的方式来解决安全问题

　　英国下一代安全软件的合作创办人Litchfield正在进行一场圣战今年一月他出版了一本Oracle黑客手册手册的封面上说为读者提供了完整的访问和防护Oracle系统的方法在批判Oracle的同时 Litchfield却对微软极力推崇他曾经公开声称微软最新的数据库软件SQL Server 是安全的这种声明一定严重的伤害到了微软的主要竞争对手Oracle Oracle已经眼看着一大块数据库市场划归了华盛顿Redmond的软件巨人

　　在上周召开的Black Hat DC大会上 Litchfield讨论到了一种新的袭击技术使Oracle数据软件的漏洞问题更加严重他向ZDNet澳洲的姐妹网站CNET 解释了揭露漏洞的必要性 问为什么您对数据库安全如此关注？还有其他那么多软件 Litchfield: 数据库安全对于任何组织机构来说就象是王冠上的珠宝这个星球上的每家机构都有数据库而这组织机构存在的活力之源没有什么比从源头进行把握更有效的安全措施我们能够在周边进行安全工作但是如果软件本身带有SQL injection这样的漏洞那么安全措施就前功尽弃了我与Oracle的关系已经有所缓和尽管有防火墙尽管网络服务器已经被锁定但是网络应用中的SQL injection缺陷就能让我们一路畅通的进入数据库服务器的后端如果这个数据库没有采用最低权限或者没有完全打好补丁那么我们就能对数据库进行充分的访问并攫取全部数据

　　数据库必须是安全的问题是在最近以前没有人真正的处理过数据库服务器的后端也就是说过去人们采取的都不过是外围安全措施 最近您对Oracle的数据库相当关注是有什么特别的原因让您对Oracle倾注更多吗? Litchfield: 是的 SQL Server 是安全的因为微软解决了问题 Oracle正在解决问题对于IBM 我研究过DB 和Informix 并为他们指出了从缓存溢出到权限增加等大约个bug IBM安全部门的反应是成熟的

　　最近 Oracle安全部门的反应就没那么成熟他们气势汹汹的与这个家伙在让我们的产品更安全的想法完全相反不过他们的态度现在有所好转 Oracle正在开始理解我和他们站在同一条战线上只是彼此的看法不同

　　当Oracle这样的厂家态度强硬时您就会变得更加强硬？ Litchfield: 是的很遗憾我正是这样行事的但是如果你不得不保护自己那么就保护自己吧我更愿意去工作就象我对微软和IBM那样与他们的安全响应团队一起工作我们与微软和IBM拥有良好的关系有什么比良好的关系好的成事方法呢？我可不想站在浑水中互相指责我与Oracle的关系有所缓解他们理解这并不是一场意志上的对决我努力使他们了解他们数据库所存在的问题因为这些问题对我造成了直接的对影响如果有人闯入数据库服务器然后窃取了我的信息付出代价的是我而不是Oracle/ 有人可能会认为这有点象敲诈 Litchfield: 我可从来没有向Oracle索要过财物如果人们这么想那么他们得到的信息可能有误

　　那么微软也没有雇用你来说SQL Server 是安全的？ Litchfield: 我说微软的产品是安全的但是没有从微软那里得到什么报酬如果任何人在SQL Server 中找到bug 那个人最好是我如果别人找到什么bug 它会破坏我将来判断产品是否安全的能力因此如果在SQL Server 中的确存在bug 我希望是我首先发现我很期待

　　微软过去和现在是否是NGS软件的客户？Litchfield: NGS的确在微软工作但我们并不是受雇来说他们是安全的——我们被雇来使他们的产品更安全对于微软和NGS来说现在以及将来的独立性都很重要否则我们工作的正确性以及微软为使产品更安全所进行的努力就会遭到怀疑这就是NGS 依然在为微软的产品提出安全建议的原因 我听说您曾经担任SQL Server 的安全审计工作是这样吗？Litchfield: 我不能说具体的说到我们所做的项目这样如果有人对SQL Server是否比Oracle安全的问题存在疑问他所要做的就是想想包括那么多顶级研究人员在内的很多人都曾经研究过两个产品寻找过安全漏洞而SQL Server已经很长时间没有被发现问题了我再重复一遍如果有人在SQL Server 中发现严重的漏洞那么我希望那个人是我 Oracle是否曾经是NGS软件的客户？Litchfield: 是的过去我们与Oracle合作过几个项目 NGS软件的主要业务是什么? Litchfield:我们的业务分三个方面我们销售评估安全状况和是否遵从萨班斯奥克斯利法案的工具我们为一些组织机构提供顾问服务而且我们还进行漏洞调研并销售调研报告

　　你们一般调研对象是什么样的机构？ Litchfield: 负责和保护关键性国家基础设施的政府机构我们试着对他们的安全问题提出事前警告我们能够告诉他们某个产品存在缺陷并且提供消除问题的策略甚至没有厂家提供的补丁系统也能得到保护靠无知来保证安全是行不通的因为某个人的无知就是别人的生财之道

cha138/Article/program/Oracle/201311/17974

知识大全 著名安全专家Litchfield对Oracle开火

知识大全著名安全专家Litchfield对Oracle开火