软件保护正逐渐成为主流

由于传统的外围防御和基于硬件的保护措施往往存在很大的局限性且成本太高，软件安全正面临新的挑战。

对于当前的应用系统，最重要的安全挑战是什么？事实上，安全是正在移动的目标！通过设备消费的数字内容以及其它先进的基于互联网的技术和无线技术正渗透到生活的方方面面。但随着部署到许多现实生活和现代服务器-客户端交付系统上的内容与服务的价值不断增长，对攻击者的吸引力也随之增加。现代安全面临新的挑战，针对中间人攻击（MITM）的传统外围防御措施已不足以防御众多攻击者青睐的终端白盒攻击。

越来越多的企业依赖安全技术来保护其商业模式和资产，而用户则期待自己的资产持续得到保护。因此，必须动态地开发、部署、维护并更新应用安全系统。除了安全敏捷、快速地部署，并且采用动态、灵活可更新的保护技术之外，我们别无选择。软件防御更可能满足这些需求。与硬件一样，软件防御必须实现两大目标：抵制那些能提供给攻击者渴望得到的信息或功能的结果，同时阻止防御措施被禁用。在硬件世界，这种防御包括带有特定保护措施以阻止信息泄露的逻辑门，以及在检测下能够自毁的芯片。在软件的世界里，防御包括：编译工具和运行在模糊数据之上来防止数据被采集的工具库，二者之间存在微妙的依存关系，为攻击者创造混乱、无用的结果。

但是在数据内容依赖软件进行创建、存储、发布和消费的瞬息万变的世界中，我们不能期待任何固定防御措施来提供持续的安全性。即使是在采用硬件加强防御的情况下，也是如此。因此，它成为我们通过在其关联软件中不断升级防御措施而保护数字资产的基本需求。如果合法开发受困于移动的安全目标，我们必须确保黑帽也面临移动的攻击目标。

有了足够的时间，敌人就能同时攻击硬件和软件。对于消费电子设备来说，硬件保护技术不能做到即便宜又能提供足够全面的强大保护。智能卡、智能手机及其它便携式设备从来都不是不可攻克的堡垒。软件具有击败学习曲线所需的弱点：敌人可直接访问实施，在其生命周期中了解更多信息，并拥有大量解析这些信息的各种工具。硬件拥有更高的学习曲线，但它必须一开始就旨在获得全面、长久的安全性，并具有难以应对瞬息万变的现实情况。当今硬件的生命周期可能会很长，而软件在其开发和部署阶段会更加敏捷灵活。因此，即使通过不断安全升级，从经济角度也主张涵盖软件防御技术，而不是只采用硬件技术。对于前者来说，一个构造，或一套补丁，就能以电子方式传送，以造福所有互连设备，但是对于后者来说，每个硬件增强功能都会为每台设备增加成本，每次重大升级都需要相当繁重的物理部署工作。

新的现实就是：要想通过软件介的行为来有效保护内容交付系统，我们必须考虑整个安全生命周期，而不只是最初的攻击防御。我们的交付系统必须在部署过程中提供主动防御、监控、缓解和漏洞响应。在安全领域，快速检测并处理漏洞至关重要。为了降低广泛破坏的可能性，我们必须让系统在前端呈现多样化，软件差异化比硬件差异化便宜和简单。我们对漏洞的即时回应必须在以相同的方式阻止下一个漏洞时完成，通常是通过以不可预期的方式修改当前系统以挫败自动攻击来实现的。长期响应包括不断更新作为主动防御措施的多样化和设备个性化，从而最大限度减少一次具体漏洞所影响到的设备数量，并支撑任何新的弱点。

如果软件和硬件安全专家能够比现在更好地合作，在未来，就能更好地实现商品内容交付设备的安全。一些措施最好在硬件中提供（特定的设备行为是难以关闭或颠覆的），另一些则通过硬件/软件联合设计提供。需要进一步研究，来确定我们的安全追求如何能够以最佳方式将软件的敏捷性和电子通讯与目标硬件可提供的不断增长的吞吐量和可靠设备个性化相结合。现在，硬件和软件保护技术没有得到很好的整合。当硬件和软件设计师合作时，我们能多大程度地提高内容安全？只有尝试之后才能知道。