评估IE 9的安全性：史上最安全的浏览器？

2010年9月，微软委托了一项研究，试图发现Web浏览器能如何有效地保护其用户免受社会工程恶意软件和恶意网站。这些网站看起来无害，但会诱骗用户下载并执行恶意软件。 NSS实验室使用真实出现过的威胁对六个浏览器进行了测试，得出的结果表明微软Internet Explorer 9（IE 9）的测试版在防护真实的恶意软件上比其他浏览器做得更好。

事实上，在发现潜在危险后警告用户这一项上，IE 9的得分比其最接近的对手，Mozilla的Firefox浏览器高5倍。根据NSS实验室对636个网站的测试数据，IE 9能够屏蔽99%的恶意软件分派网站，而IE 8的这一数据为90%，其他浏览器如Firefox 3.6版本仅为19%，Safari 5、Chrome 6 和Opera 10分别为11%、3%和0%。

那么，为什么Internet Explorer 9的表现会如此好呢？仅仅是因为这项测试是专门为IE 9和微软设定的，或者这些结果是真实的吗？现在，IE 9已于3月14日正式发布，是不是每个人都应该转向IE 9？这些都是本文将要讨论的问题。

NSS实验室把IE 9取得的高分数归功于一个叫做SmartScreen应用程序信誉度（SmartScreen application reputation）的新功能。在某个可疑应用程序准备要下载危险内容时，该功能就会对用户发出警告。它会检查该文件的哈希值（hash）和数字证书（如果存在的话），从而确定该文件是否为一个已知的有信誉的文件。如果该算法按照下载流量、下载历史、过去的防病毒结果以及URL信誉这些标准将该文件被评级为未知的，那么它会对用户运行或者保存该软件的行为发出警告。这种评级方法背后的思想是，当一个程序被认为是高风险的时候，尽量减少用户看到的普通警告的数目，并提供相关度更高的警告。

IE 9的这个功能严格来讲不是应用程序白名单，因此用户仍然可以忽略警告，但是如果加入一个禁止忽略警告的安全策略，则可以大大减少恶意下载所带来的感染程度。该功能还提供了对新出现的恶意软件变种的防护，而不是在它们被发现并被添加到反病毒更新库后才采取行动。

不幸的是，SmartScreen应用程序信誉度还存在一些不足。例如，有大量完全合规的应用软件没有数字证书，就会在这个评级标准中取得很低的分数。此外，该功能只对应用程序进行检查，并不包括被篡改过的、包含攻击代码的PDF文件和图片，因为这种情况实在是太多了。最后，它能否发挥作用取决于用户选择听从其发出的警告还是忽略。

IE 9其他一些主要的保护技术还有SmartScreen URL过滤，这在IE 8就引入了，而FireFox、Safari和Chrome使用谷歌提供的类似的SafeBrowsing来替代。这些基于信誉的系统会在互联网上搜索恶意网站，并对其内容进行标注。IE浏览器会对用户请求的每一个网站提出检查其信誉的请求，一旦发现其内容被标注为潜在危险时就会发出警告。

NSS的研究结果对微软和IE浏览器的用户而言是个好消息，但它并没有评估浏览器插件的漏洞或者浏览器本身的安全。

Secunia的安全情况报道是评估一个浏览器容易受到攻击程序的优质信息资源。回顾2010年第四季度安全情况报道中的Firefox 3.6（.PDF）和IE 8（.PDF）部分（没有IE 9的说明书，因为当时它还只是测试版），你会看到IE 8存在51个漏洞，而Firefox存在88个。该文中还提供了11条建议，这一数目约等同于已发生安全事件数或管理操作所需操作数的总和。IE 8有8个标记为“高”或者“极高”的漏洞，而Firefox有10个。这两家公司都拥有在漏洞被公布的30天内提供补丁的良好记录。

当然，这些统计资料显示微软已经在浏览器安全问题上和Firefox缩小了差距，这对一直为谁是最安全的浏览器争论不休的人来说是个好消息。所有的浏览器都有漏洞，因此问题集中于选择一个能够在提供补丁的问题上不断给用户以信心的厂商。正如你从事实和数字看到那样，微软不仅在提高浏览器整体安全和维护上做出了很大改进，同时还强化了在上网冲浪时能对用户提供的保护。

随着针对用户的攻击越来越复杂化，由浏览器提供的保护层正在成为一个越来越重要的功能，目前看来微软似乎已经在这方面取得了领先。对于没有安装Internet Explorer的公司而言，投入IE 9的怀抱是一件很值得考虑的事情，尤其是现在运行着Windows 7的那些公司。这样，意味着公司可以少同一家厂商的补丁以及插件打交道，而且根据现有的情况看，这将提供一个更安全的上网体验。