作者theory (真男人˙希尔瑞)
看板MAC
标题Re: 卡巴斯基: Apple的安全性落後微软十几年
时间Fri Apr 27 23:41:59 2012
转贴 shiming 网友的专业见解
(原文出处
http://www.oikos.com.tw/v4/viewtopic.php?id=72792 )
==============
这个指责其实是在为他们自己炒新闻，Flashback与其他几个这两年开始流传的恶意软体
，跟Windows病毒的传染途径根本不同。
1. 感染途径：
A. Windows病毒可以从诸如Office档案(非执行档)感染电脑，或是只要一个档案被感染
後，会开始自我复制，搜寻，修改其他本机甚至网路上的执行档。
B. Mac的恶意软体是由使用者自行下载，然後点选安装，还要点选确认去执行，换句话
说，系统的保护措施都还在，并未被绕过，只是使用者确认执行的这个软体的功能并不是
他会想要的，一旦执行後，系统的其他软体也不会被修改，或蔓延到其他电脑。
2. 及时修正缺陷?
A. Windows，每个月发布的安全更新，实际上你根本不知道这个安全问题存在多久了，
Microsoft其实用利诱(签约合作)，恐吓(你在我修好前公布我就告你)与安全专家建立关
系。
B. Mac，你点进安全更新的说明，是哪个问题，以提报的编号去查其实查的到发现时间
的，卡巴斯基会这麽讲，大概就是Apple不肯用MS的"利诱"方式堵他们的口而已。
再者，这次被质疑的Flashback用的Java漏洞的修复速度，其实对Apple而言并不公平，像
是：
http://news.networkmagazine.com.tw/classification/security/2012/04/18/39103/
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
这项揭露肯定更加深了外界对苹果公司在建立与释出Java相关更新速度上的疑问，举例来
说，根据彭博社新闻的报导，这个Java漏洞最早是由荷兰软体工程师Jeroen Frijters在
2011年7月所发现，同时他也将问题立即回报给甲骨文。但是据传当甲骨文密切与微软合
作为Windows撰写修补程式时，苹果公司却倾向自行撰写修正更新，这同时也延长了漏洞
修补程序的时间。
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
像是类似的说法，其实根本搞错了问题的所在，你可以发现这个问题从发现到被解决，
Oracle用了8个月(2月中旬修好的)，MS或其他公司过去面对问题修正的时间常常也在半年
左右(Adobe最夸张，安全问题的修复可以用年来记录，甚至公布了也不在意)。Apple并不
是要自行撰写修正的更新，而是Oracle自行开发Windows/Linux/Solaris版的Java
runtime，而偏偏独漏身为第二大平台的Mac OS，让Apple必须等Oracle修正完後，才能就
Oracle公布的原始码去修改自家的分支，一个半月，含修正及测试，其实并不是离谱的事
。
这也是为什麽去年Apple宣布不再自行移植新版的Java runtime，把维护Java runtime的
问题丢回给Oracle的原因，想要推Java，就请认真面对Apple已经不是昔日可以忽略的平
台，没有理由要Apple投入额外资源替Oracle做这件事。把球丢回Oracle，这样未来的问
题修正才可以即时。
嗯 .. 话说 Apple 很早以前就想跟 JAVA 分手了，可是它太重要 ....
最後才改以 "不内建，要用请自行下载" 的方式处理
其实近年来 Mac OSX 的漏洞几乎都是第三方 (大厂) 软体造成的
它们修得慢，但被骂的是 Apple ....
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 119.77.193.81
1F：推 eric7425:专业推 04/27 23:56
2F：推 dosomethnig:推 04/27 23:59
3F：推 superpai:专业 04/28 00:01
4F：→ Jason0813:所以只要不装新软体或更新软体就安全了 那还好 04/28 00:03
5F：→ eric7425:Java如果不是沿用多年换不掉，早就该淘汰掉了 04/28 00:13
6F：推 ducksteven:特别推後半段 04/28 00:17
7F：推 Hollowcorpse:专业推 04/28 00:52
8F：→ jameschen1:其实说穿了就是mac的病毒都是使用者自己安装上去的 04/28 01:16
9F：推 jamie08012:不装新软体不更新...那乾脆说拔掉网路封掉usb就不中毒 04/28 02:27
10F：推 icycandle:推 04/28 03:21
11F：推 SunMoonLake:JAVA写的木马似乎趋势有抓到在mac上可动作的 XD 04/28 06:21
12F：→ SunMoonLake:印象中我看到的程式码会寄居在/tmp里面 04/28 06:22
13F：推 SunMoonLake:只能说这就看/tmp的档案权限设定了 04/28 06:31
14F：推 yutsao:推。很多第三方的软体真的是漏洞来源啊。 04/28 08:15
15F：推 johnko1987:推专业！ 04/28 09:01
16F：推 syant:请问要怎麽关safari的java和flash啊, 有谁可以教一下 04/28 10:56
17F：→ eric7425:Java在工具里如果你没装就是没有(10.7) 04/28 11:39
18F：→ eric7425:Safari的Adobe Flash没装就是没有 Chrome内建Flash 04/28 11:40
19F：→ eric7425:没装的结果就是网页上部分需要外挂的东西都变成missing 04/28 11:41
20F：→ eric7425:不过Youtube现在有html5和WebM 还是可以用 04/28 11:42
21F：→ eric7425:Flash可以移除 Java如果装了把Enable 的选项关掉 04/28 11:46
22F：→ eric7425:如果这样使用会造成你的不便 不要看防毒广告就好 XD 04/28 11:50
23F：→ timsb:我都没装所以连fb影片也开不了呵呵 04/28 16:28
24F：推 turtleknight:卡巴斯基: mac市场够大了，我想卖防毒软体了 04/28 18:08
25F：推 ueiyow:我相信你了，专业推！ 04/28 18:56
26F：推 jcal:专业推！ 04/28 20:00
27F：→ theory:其实 ... Youtube 的 HTML5 版本很烂，还是需要 flash.. 04/29 22:27
28F：推 TuChinJui:万恶Flash，只有需要时会用Chrome开。 04/29 23:35