Linux真的比Windows安全?

任何操作系统都会存在漏洞，Linux、Windows、Unix或是FreeBSD，无一例外。不过，现在争论得最热闹的就是Linux与Windows。Linux的舆论形象一直比较“阳光”、“健康”，与微软的Windows相比，它以开放和安全赢得了众多的支持者。即使偶尔有负面消息，也往往被认为是来自微软的攻击。因此用户们在潜移默化中已经接受了“Linux更安全”这一说法。

　　Linux的拥护者认为Linux比Windows更安全，因为它开放源代码，全世界的程序员都可以随时更新。不过，全世界的程序员是为Windows服务的多还是为Linux服务的多？况且，开放源代码对普通用户很有用吗？

　　安全不安全，比比漏洞看

　　最近，由微软所赞助的一项研究指出，以Linux所运作的网站会比Windows面对更多的风险。当然了，谁赞助了研究，研究者写报告的时候对东家难免会照顾一点。但是研究方法的设计是量化而可重复的，所有人都可以自己去动手验证。

　　先解释一个名词：风险日(Days of Risk)，它是指在漏洞公开之后及软件开发者修补好漏洞期间的风险日总数。这是一种衡量已知而未修补漏洞的方法。在这份研究报告中，微软网络服务器的风险日比开放原始码的竞争对手要少很多。研究人员计算了2004年里每个网络服务器修补完成的已公布漏洞，其中使用Red Hat Enterprise Linux ES 3的服务器风险日超过了1.2万天，而微软则大约为1600天；漏洞方面，搭配Apache Web Server、MySQL数据库以及PHP Scripting Language的红帽网络服务器的出厂设定要处理174个漏洞，而微软Server 2003、Inte.net Information Server 6、SQL Server 2000及ASP.Net的出厂设定则有52个漏洞。研究人员还研究了两者的最小化设定，也就是把一些与网页伺服无关的应用拿掉之后再做比较。在此情况下，微软是52个漏洞，而红帽子Linux是132个漏洞。

　　看到这里是不是有点怕？不过Linux阵营也有自己的话要说。红帽子Linux方面认为：“不管是以微软或者是红帽子的严格标准来分，Red Hat Enterprise Linux 3只有8个漏洞属危险等级。而这些漏洞里，有四分之三在一天内就能修补好，一般则都是要八天。”虽然风险日和漏洞的计算都不能当做衡量安全的真正方式，但等待漏洞的时间总数是一个相当合理的计算方法。

　　当我们比较主流平台的漏洞数量和严重性时总是想真正地进行危险级别区分。但是实际情况并非如此。真正的评估底线是如果一个漏洞导致了网络入侵，那么它就是问题，而不管这个漏洞是个“高”风险还是个“低”风险。当事故发生时，用户只在意处理这个问题时花费了多少时间和金钱。

　　很多Mac用户都认为苹果电脑比Windows系统的PC更为安全，但是Symantec公司最近的分析报告指出，前者绝对不比后者安全多少。Symantec在Mac OS系统中发现37处高危隐患，而苹果公司也对此报告表示认可。Mac OS目前保持较高安全性的主要原因便是较低的普及率和有限的使用范围。然而，随着iPod等苹果产品的日益流行，苹果电脑开始逐步吸引着攻击者的目光。

　　安全之道，存乎一心

　　实际上，即使是专门为安全而设计的防火墙，也允许电子邮件和网络询问通过。而入侵检测系统虽然可以抵挡一些进攻，但对新型攻击方法也无计可施。没有什么操作系统是可以绝对保证安全的。

　　一个好几个月都不浏览安全技术站点、不知道如何升级防火墙、不知道如何给系统打补丁的管理员几乎比比皆是。笔者通常开机之后第一件事就是去安全相关网站溜达一圈，这习惯是让人逼出来的。早年在电脑城“练摊儿”的时候，社会交往多，晚上家里的电话吵个不停，一半是求救电话，不是网络瘫痪了，就是被“黑”了或是中毒了。有的孩子问老师：“互联网是什么啊？能不能捕鱼捉鸟呢？”有个计算机管理员问我：“我昨天杀了一次病毒，怎么还有？杀毒软件还要天天升级？”这问题与“互联网能不能捕鱼捉鸟”有异曲同工之妙，每次都能把笔者气得不行。一顿饭就能买出好几套正版杀毒软件，却用着上个世纪的软件自以为高枕无忧。迷信杀毒软件、木马克星，就不知道去操作系统开发提供商的网站上“Update”(升级)一下？

　　从技术上来说，软件当中的隐性后门表面上根本看不出来，只有制造者懂得如何利用它，就算是安全专家也未必能通过阅读源代码把它找出来。这条法则不仅对微软的软件适用，同样也对开放源代码软件适用。

　　对于有能力的管理员来说，无论是Linux、Unix、FreeBSD或者Windows，都相当安全，安全程度大多还是要靠管理员的业务水平。所以，安全之道，存乎一心。安全，起码要有这份意识，否则，用任何“先进”的操作系统也只是赶时髦而已。