中国信息安全专家称发现Vista重大安全漏洞

我国一位安全专家发现Windows Vista系统存在重大安全漏洞，通过这一漏洞，恶意程序可以很方便地控制用户的计算机，这时我国信息安全领域首次发现Vista存在重大安全漏洞:

为彻底解决这一问题，微软新开发的Vista系统采用了用户账户控制（UAC）安全新机制。UAC要求：除用户明确要求采用“管理员权限”账户操作外，所有用户均采用权限较小的“一般用户”账户操作，不能对关键系统设置进行修改。因此，即使有恶意程序或病毒侵入，也不会对系统造成太大威胁，从而极大地提高了系统的安全性。

但是，Vista在这套新机制的技术实现时，出现了重大安全漏洞。刘旭通过演示指出，Vista存在可仿冒“访问令牌”的重大安全漏洞。利用这个漏洞，当操作者以管理员、一般用户甚至权限更低的访客用户登录系统时，恶意程

序可以通过伪造的访问令牌，将操作者的权限自动提升为具有绝对控制权的超级管理员权限，从而完全绕过了ＵＡＣ。"

但MS官方否认这是安全漏洞:

"微软（中国）有限公司战略安全顾问裔云天在接受记者采访时表示：微软１月１２日就收到了东方微点公司关于Windows Vista系统存在安全漏洞问题的电子邮件。经微软与东方微点的沟通，微软认为恶意程序若要利用系统存在的这一问题对计算机进行攻击必须同时具备这样两个条件：一是需要操作者可以物理接触到安装Vista系统的机器，二是操作者要以系统管理员的身份本地登录，安装一个恶意软件来篡改Vista系统。这样当使用者以普通用户身份登录后，就可以拥有系统管理员的权限。

而业界对系统漏洞的普遍理解是，如果在普通用户权限下能够安装软件来篡改系统使得普通用户获得系统管理员的权限，将说明存在系统漏洞，而东方微点的演示并没有表明攻击者可以这样做。因此，Windows Vista操作系统存在的这个问题还不能说就是操作系统的漏洞。"