随着本周早些时候Google托管应用程序包的发布和微软Office Live beta测试的进行，在线应用程序已经做好了挑战19世纪80年代以来一直处于主导地位的桌面计算模式的准备。
但是与传统桌面环境相似，网络应用程序也具有安全问题。根据SANS研究院最新的@RISK风险公告，上周有超过60个新的网络应用程序安全隐患被发现。相比之下，上周在Windows中发现的安全隐患有2个，Mac OS为2个，Linux有3个，IE有2个，第三方Windows应用程序有9个，跨平台应用程序中有16个。
SANS研究院的计算机安全组织研究主任Alan Paller说："与其它应用程序相比，网络应用程序代码很容易不够严谨。"但是他评价说Google的代码检查过程可能比其它在线应用的平均水平更加严格。在上面的风险公告所列的程序中并没有Google的应用程序。
Google的副总工程师Douglas Merrill承认，网络应用程序的编写方法不如桌面程序的编程模式成熟。他说："每次你掌握一项新的技术，都会伴随着更多的问题。"
但是Merrill说，SANS研究院的数字并不能准确地表示同类间的比较结果，因为它们并没有考虑这些软件已经发布后的时间。他解释说："某种软件已经出现了一段时间就意味着你应该不会再找出和新软件同样多的漏洞，因为你已经发现了所有早期的漏洞。"
Merrill强调，为了保护它的用户和保证它的知识产权与内部系统（Google的"秘方"）的安全，Google对安全问题非常重视。与由一个集中的安全小组在代码发布前进行检查不同，Google所使用的是Merrill描述的一种分布式系统，它鼓励每一位工程师都参与到使程序更加安全的工作中来。这意味着对每一位软件工程师和问答工程师进行培训以使他们寻找潜在的安全问题并实践安全的代码编写，以及使用可以避免一般安全问题的公共库。这还意味着一段代码不管在何时被登记都会有另一位工程师进行检查，而在设计、实现和发布的时候都还会有更多轮次的检查。
Merrill说："公司中的每一个人都感觉有责任构建安全的产品，因为每天我们的用户才是最重要的，为用户提供良好的安全保证是值得的。"很多公司也作出了类似的阐述。但是与其它很多网络程序不同，Google有实践它所宣传内容的实力。
微软公司也具有相当的实力，并且在2002年后已经开始致力于提高它的应用程序的安全性能。微软公司近期招募了许多与安全领域有关的雇员。本月早些时候，它任命McAfee的原病毒研究者Vincent Gullotto为微软的安全研究与应对部门总经理。
当然，商业人士对于安全问题的担心并不比软件商小。Google的企业产品领导Matt Glotzbach说，他所在的组内人们定期与商业客户讨论安全问题。
一些公司的IT执行官似乎已经了解到Google所说的在线应用程序并不一定不如桌面程序安全。Burlington Coat工厂的IT零售副经理Brad Friedman在超过360个零售点使用的是Star/Open Office，他说尽管降低风险的方法有所不同，基于网络的应用程序的安全问题与桌面程序是相似的。
"我考虑使用一个类似Google Writely的网络应用程序和使用微软Word的可能是一样的，"Friedman在e-mail中写道。"关键的是它们都需要一定的外围安全保护层次以使得该应用程序不易受到攻击。"
作为例子，Friedman说，在桌面环境中微软的Word可以执行宏。"作为安全措施你可以把宏关闭，但是更为谨慎的做法则是使用桌面端的防病毒软件。"他写道，"如果病毒越过了桌面端，那么企业级的防护则是应该执行的下一个层次。对于基于网络的应用程序，情形是一样的，变化只可能是它具有不同级别的暴露程度，这是我们应该考虑到的。"
像Priceline.com企业系统主管Kevin Jaffe等的其它人尽管承认软件作为服务的模式代表了未来的发展趋向，却仍采用了更为谨慎的态度。他说："我们的文化从一开始就是先让别人第一个尝试。"
对于网络应用程序，Jaffe说："每个人受危险的影响程度是不同的，我们并不很关心一些微软应用程序中可能存在的某些易受攻击的问题，因为我们的公司有三到四个层次的安全保障体系，这一安全体系是很难被突破的。"
[1] [2]
Jaffe还相信，网络应用程序可能更易受到攻击，因为这并不需要专业的、专门针对某一程序的知识。他说："当你开始与基于网络的应用程序打交道时，你已经降低了一般黑客的标准。"
尽管没有绝对安全的东西，公司必须自己决定在线应用程序可能带来的好处是否超过了它们的危险。
"网络应用程序的好处是对它们打补丁容易得多，"Merril说，"当一个问题被发现的时候，试着去修复它从不是小事。但是对一个服务器打补丁比给分布在各个网络中的大量客户打补丁要简单得多。"
Paller对此表示同意。"一个非常大的好处是，补丁过程是实时进行的，"他说，"而我们中的大多数却并没有这样做。"由于打补丁是非常繁重的工作，他相信很多组织将考虑完全抛弃PC桌面而转向通过小型客户端执行的应用程序。他以Citrix System的网络应用程序发送平台为例说："安全工作者们似乎很支持它。"
Jaffe承认，在线补丁管理的易操作性对于像他所在的已经有合适的补丁管理系统的公司而言并不那样重要。尽管如此，他还是相信在线应用程序代表了未来的发展趋势。"我们认为该方向一定会作为一个产业继续发展，因为对它进行技术支持更加容易。"他说，"在性能方面，很多业内人士都在致力于将其恢复到桌面上的终端类型安装。"
这可能解释了为何上周微软与Citrix进一步发展了它们现有的合作伙伴关系并公布了一项新的联合市场与发展计划。
这并不是说在线应用程序是安全计算的保证。随着软件作为服务的模式的流行，也会产生很多问题。Paller预计与利用这些应用程序本身的漏洞相比，试图利用在线应用程序协议对网络应用程序进行的攻击将会增加，这样的攻击通过监视从网络应用程序向基于浏览器的客户端传输的数据实现。
但是，由于桌面应用模式相比之下确实并不具有优势而相反在某些方面可能更糟糕，Paller预计企业将最终克服它们对于托管软件所持的保留态度。他说："对安全的追求将促使人们转向集中化的应用程序。"
============================================================
原文链接：http://www.informationweek.com/hardware/showArticle.jHtml？articleID=192500179&subSection=Servers
原文作者：Thomas Claburn
（出处：http://www.sheup.com）
============================================================
原文链接：http://www.informationweek.com/hardware/showArticle.jhtml？articleID=192500179&subSection=Servers
原文作者：Thomas Claburn
（出处：http://www.sheup.com/）