Symbian承认防止恶意软件入侵系统程序需改进

在某个木马程序成功通过防护测试后，Symbian基金会承认，用来防止恶意软件入侵Symbian移动操作系统的程序需要改进。

Symbian首席安全技术员Craig Heath上周四表示，以构建僵尸网络为目的的木马程序”Sexy Space”，通过了该组织的数字签名验证程序。Heath说基金会正在改善其安全审核程序。

他表示：“对于提交的软件，我们确实会过滤掉不好的部分。提交给我们的应用程序，都会经过（安全）扫瞄。我们正在研究如何改善扫瞄程序。”

开发者为Symbian操作系统设计的移动应用程序，都必须通过Symbian基金会的审核。提交的软件获通过后，会加入 Symbian的数字签名。这个数位签名是加密的安全防卫功能，等於向使用者担保该软体是出自可信任的来源。

Symbian签名程序的第一个阶段，杀毒扫瞄，是采用一个杀毒引擎自动执行。当应用程序完成提交和扫瞄之后，会随机挑出一部份，供人力审核。低风险的Sexy Space木马程序，是伪装成一个合法的应用程序ACSServer.exe。Heath表示，该程序尚未送交人力审核。

Heath表示，Symbian基金会在两周前发现Sexy Space是一个木马程序，便立即撤销其签名。然而，Symbian服务器的一项错误，却让该程序直到上周还开放下载。

根据Symbian Signed网站的资料，该组织的杀毒扫瞄供应商是芬兰公司F-Secure。该公司首席安全官Mikko Hyppnen表示，这个恶意程序的作者可能特别针对F-Secure的杀毒引擎作过测试，才能回避他们的防卫机制。Hyppnen说：病毒作者扫瞄他们的恶意软件，并且不断修改，直到能通过过滤器为止。

根据Hypponen的说法，Symbian对移动应用程序采分级签名程序。Sexy Space是通过专门为免费软件所设快速签名程序，Hypponen说：这显示快速签名程序并非安全无虞，但还是远比那些完全没有签名验证的软件好。

Heath表示，Symbian正在升级其自动扫瞄程序，人力审核程序也将有所改善。不过，人力审核的规模可能不会扩大，因为这部分耗费较多成本和时间，容易延误整个程序。

Symbian也希望加强应用程序发行工作的自动化。该组织发表新的Symbian Horizon计划时在官方博客写道：目前，（Symbian）大部分的工作程序都有赖人力。我们近期的目标，是开发一套能自动化这项工作的系统，让我们将计划扩大，尽可能纳入更多应用程序。

Symbian Horizon计划是要挑选开发者提交的应用程序，然后支持他们完成开发和申请，最后放上移动应用程序商店。Symbian表示，Horizon的主要目标之一，是尽量将应用程序的发行工作自动化。