19日-25日要闻回顾 微软Xbox被盗号LA推身份识别新标准

【51CTO.com 独家特稿】本周（0319至0325）安全业界值得关注的新闻集中在家用机在线娱乐安全、安全加密和身份识别技术方面，其中，各大媒体从周二开始报道的Xbox Live在线游戏服务的欺诈活动最为引人注目；而身份识别技术联盟Liberty Alliance 推出的Advanced Client标准、CeBIT展会上DigiSafe公司创新的数据加密产品等新闻也相当有参考价值。
家用游戏机在线娱乐：不再是安全的乐土
新闻：周二，Microsoft的Xbox家用游戏机部门向媒体承认，Microsoft正在调查发生在Xbox Live在线游戏服务上的欺诈活动。有用户报告说，在使用Xbox Live在线游戏服务时，出现用户账号被盗用和信用卡被盗用来购买Xbox Live的虚拟货币“Microsoft Point”的情况。用户还对Microsoft在该安全事件上的响应速度和效率深表怀疑，在发现账户和信用卡盗用时，用户通过Microsoft的Xbox服务部门的热线电话和Xbox.com的在线论坛反映往往得不到及时有效的答复。
看点：使用家用游戏机进行在线游戏正为越来越多的用户所接受，Microsoft 的Xbox Live在线游戏服务现在已经有超过600万用户，而其他家用主机商的在线用户数也在迅速发展中，但当前的在线游戏安全技术显然远远落后用户的增长速度。家用机在线游戏安全，还是一个比较新的概念，是随着各家用主机商在近几年纷纷推出家用机在线游戏服务才开始出现的。作为相对封闭的系统，家用主机和个人计算机在软件构架上有很多不同之处，因此个人计算机用户经常面对的病毒、木马等安全威胁对家用机用户来说是比较陌生的。但这并不能说明，家用游戏机用户就可以高枕无忧，去年中研究人员在Xbox较早版本中发现的权限提升问题，就足以使一个联网的Xbox游戏机变成蠕虫传播的目标。这次在Xbox Live中所发现的欺诈行为则更多是使用了社会工程学的技巧，攻击者通过在在线游戏中和受害者的交流、或者使用欺诈邮件，获取用户的信息，进而进行欺诈活动。这次的事件还显示出用户和厂商都尚未对家用游戏机的在线游戏安全有足够的认识，Microsoft的迟缓反应很大程度上说明了这个问题，用户和厂商的责任不清、缺乏沟通，服务商没有对用户提供足够的安全指引，是业界应该从这次事件中吸取的教训，当然，家用机在线游戏安全也需要厂商开发出相应的技术和解决方案。
身份识别技术：通过设备识别用户
新闻：周四，身份识别技术联盟Liberty Alliance推出一系列用于设备的身份识别标准，这套称为Advanced Client的技术标准，允许用户将自己的个人识别信息存储在数码相机、掌上电脑、打印机和电视等设备上，在设备接入网络时即可完成用户身份的识别，用户即可获得相应的服务，用户还可以自行管理存储在设备上的个人识别信息。这套标准的推出，将使相应的设备获得Single Sign on、Web Service、加密验证等技术支持。
看点：使用特定服务时需要进行身份识别、要输入密码等操作，对个人计算机用户来说并不陌生，但对于数码设备等用户来说，似乎是一件相当遥远的事情，因为体积和成本限制，通过数码设备和服务机构进行身份识别的交互是相当困难的事情。Liberty Alliance这套身份识别标准的推出，将能很好的解决这个问题，预计市面上不久就将出现支持这套标准的数码设备。这套标准将使数码用户不需要和服务机构进行身份识别信息的交互便可获得相应的服务，身份识别的过程已经通过数码设备自动完成。这套标准离进入产品化的阶段还有相当的距离，但可以预见的是，在支持身份识别技术的设备产品进入市场之后，相关的服务行业、第三方的信任提供服务、设备安全服务将会有不错的前景。
数据加密：附加设备提供的附加安全
新闻：周五，本周在汉诺威举行的CeBIT展会上，数据加密公司DigiSafe推出了一系列创新的数据加密产品，这套产品包括结合输入键盘和智能卡的DiskCrypt和使用USB存储棒的KeyCrypt。DiskCrypt支持所有2.5英寸的硬盘，使用时必须插入对应的智能卡，并在DiskCrypt附带的小键盘上输入正确的密码。之后DiskCrypt便能使用64位DES、128位和192位3DES加密算法对整个硬盘的数据进行高速透明的加解密操作。而KeyCrypt则只包含一个写有加密信息的USB存储棒，用户需要插入USB存储棒、并输入正确的密码之后才能启动机器的操作系统。
看点：这两套产品都有使用密码和硬件设备共同提供数据加密的特点，适用于需要对计算机上存储的设备进行高安全度加密的商业、政府用户。随着用户对移动数据安全和数据存储安全的要求越来越高，同时使用物理和逻辑方式来进行用户验证的产品将越来越多。但该类产品的成本和操作复杂性限制了这类产品在市场上的表现。对于国内市场来说，类似上述的KeyCrypt的使用USB存储棒的加密产品更适合市场和用户的需要，成本也能控制在中高端用户能接受的范围之内。而且这类使用USB存储棒的产品还能集成访问控制和身份识别的功能、部署起来要比其他的物理访问控制方案要容易。但目前国内市场上尚未出现这种基于USB存储棒、使用物理和逻辑方法提供附加数据加密的产品，安全厂商应投入必要的关注。

【相关回顾】

• 12日-18日安全要闻回顾 IE7现惊人漏洞微软紧急调查

• 更多要闻回顾