新一個月再度來臨，又是幾十個需要立即安裝的補丁—這樣的循環似乎永遠沒有終點，這簡直令人感到沮喪。軟件編碼工具在默認情況下應該是以安全方式創建而成。我們擁有“安全”的編程語言。我們的程序員們在開發過程中使用SDL(即安全開發生命周期)編碼工具與技術。我們的操作系統當中包含更多默認安全措施，供應商們也通過種種手段測試甚至攻擊自己的軟件產品以找尋安全漏洞。還有很多企業花費數十億美元只為消除各類軟件漏洞。
軟件漏洞仍在折磨企業的五大緣由
但為什么經過了這一連串努力，軟件漏洞還是層出不窮?為什么就不能通過黑盒與代碼測試把它們提前揪出來?在今天的文章中，我們將共同了解五大理由，看看它們是如何突破上面提到的重重包圍、最終導致漏洞產生的：
1.人類的天性
大多數—即使不是全部—編碼漏洞都源自人為失誤。其中一些可以被歸結于預想不到的意外狀況或者是軟件編碼工具及編譯器造成的奇怪結果，但很大一部分錯誤仍然是由人類程序員們親手犯下。
無論經過多么完善的SDL培訓或者選擇怎樣完美的安全工具，我們仍然只是人類而且有可能在最平淡無奇的地方出現失誤。如果大家想知道為什么我們仍然需要面對計算機軟件漏洞，那么首要理由就是“是人總會犯錯誤”。
也就是說，我們勾勒出的補救體系還不足以抵消人為失誤所帶來的影響。很多程序員根本沒有接受過足夠的(或者任何)SDL培訓，或者是缺少安全激勵計劃的推動。我總是驚訝于，為什么那么多以編寫安全軟件為生的程序員根本不理解如何以安全方式進行編程。我敢打賭，即使是銀行當中所運行的安全軟件也充滿著各式各樣的漏洞，有時候其數量甚至比被保護軟件中的漏洞還多。
不過即使是經過嚴格培訓的編碼人員有時候也會讓漏洞從指尖溜過。舉例來說，很久以前，曾有個壞家伙利用瀏覽器中用于識別顏色的HTML標簽字段創建出緩沖區溢出漏洞。不同于FFFFFh或者類似的狀況，這位黑客能夠介入到瀏覽器所要使用的顏色字段執行代碼當中、進而引發緩沖區溢出。砰!用戶應聲倒地。這種攻擊手段確實很難加以預見。
2.軟件復雜程度持續增加
就自身特性而言，軟件的復雜程度一直在不斷增加，這當然也意味著其代碼行數的持續提升。在編程工作當中，無論大家的水平有那么高超，每一行代碼中總會存在一定數量的漏洞與錯誤(雖然并不總能被惡意人士發現或者利用)。專門負責監管此類事務的管理者聲稱，如果每五十行代碼中出現一個錯誤，開發者就已經算是表現出色了。大多數程序員幾乎每編寫五行或者十五行代碼就會造成一次錯誤。由此想見，像Linux內核這樣擁有超過1500萬行代碼的項目中會有多少漏洞與錯誤……大家不妨算算看。
即使不考慮編碼錯誤，程序員們也很難預見到不同應用程序在互聯網時代下彼此之間的相互作用。大多數程序必須與其它API相交互，保存并檢索文件，同時運行在多種不同類型的設備之上。所有這些變量都會增加惡意人士成功找到安全薄弱環節的可能性。
正義的一方總是處于劣勢。想要寫出邪惡的攻擊指令比較容易，相對而言要抵御這些攻擊活動需要付出更多更艱辛的勞作與心力。我可以用30條匯編語言指令讓對方的計算機變成磚頭，但要想抵御住這一進攻、保護者至少要用50000條匯編語言指令才能做到。
3.漏洞檢查工具的本質仍然是人
最近一段時間以來，漏洞檢查工具被廣泛用于識別軟件當中所存在的安全漏洞。漏洞檢查工具—或者任何其它用于找尋編碼錯誤以及安全漏洞的程序—都是由人所編寫。
這類檢查工具不可能發現得了顏色屬性字段所引發的緩沖區溢出，因為它們在編寫過程中根本沒有考慮過要審視這些角落。當漏洞被惡意人士成功利用之后，漏洞檢查工具會得到更新，現在它們開始對各種類型的字段進行檢查以避免類似的緩沖區溢出狀況。總結來說，漏洞檢查工具只會根據我們的指示進行檢索。
4.供應商責任缺失
很多安全專家認為，如果不能以軟件缺陷為由向供應商提起訴訟、那么安全的明天永遠不會真正到來。我也認為更深層次的問責機制有助于阻扼安全風險，但一味從法律角度出發卻有可能放慢這一發展進度。如果我們將更重的法律責任施加于軟件企業身上，那么如今早已普及的小型移動電話、極度輕薄的音樂播放器乃至在線視頻觀看站點恐怕根本不會出現。
成功是由功能與速度推動的，而非安全性。作為社會的一分子，我們應該把安全性建立在創新性之上并將其作為保障手段。這并不一定是壞事—事實上這種處理思路讓我們發展得更為迅速。但與此同時，我們也需要權衡由此給生活帶來的負面影響。至少到目前為止，我們仍然愿意接受存在風險但卻新奇有趣的事物。
5.缺乏針對黑客的問責機制
現實情況是，上述安全問題在短時間內根本不可能得到有效解決。不過軟件安全漏洞本身并不是導致問題的真正根源。那些利用這些漏洞并進行惡意活動的家伙才是幕后黑手。只要我們繼續讓大部分黑客逍遙法外，猖獗的惡意攻擊與破壞性軟件仍將繼續給用戶帶來困擾。
我仍然堅信終有一天互聯網會迎來全面整改，滲透識別機制將以默認方式廣泛普及，而我們則可以讓那些圖謀不軌并造成實際損失的家伙在真實世界中付出必要的代價。但在此之前，我們不得不繼續像打地鼠一般被動防御并接受循環再循環的軟件補丁安裝流程。
