ZDNet至顶 软件频道消息：在美国拉斯维加斯召开的Defcon 22黑客大会上，有高手表示，甲骨文大肆宣传的数据库12c的Data redaction（数据校订）功能一攻即破，连找代码漏洞都不用。
12c里Redaction功能的目的是自动保护敏感数据库资料，其做法是完全遮掩或是部分掩盖列里面的数据，例如，在运行美国 会安全 码的搜索查询时，只用最后四位数字。
Litchfield称，“假若甲骨文有个像样的安全开发周期，早就应该有人发现此缺陷了。”
“会一点SQL的人都能发现这些错误。”
Litchfield称只花了不到五分钟研究Redaction，就找到了其编码的严重缺陷。他以前在 上发表过他的调查结果。
他演示了一个不怀好意的员工——或是会远程注入SQL查询的人——只需简单地敲几下键盘就可以获得足够的权限击破数据Redaction的防御，访问数据库中的信息。
甲骨文CEO拉里·埃里森今年1月说过，就他所知二十年来没有人攻破过甲骨文数据库。Litchfield嘲笑埃里森的说法。Litchfield称，2011年黑客攻击索尼PlayStation 络导致PlayStation 络下线近两个月，最后查出是甲骨文数据库的事。
Litchfield表示，作为一名安全研究人员，他发现破绽后总是会向供应商 告。但他对甲骨文的反应速度表示无奈，说甲骨文打补丁速度慢，而且发布的修补程序要么是不工作或是不完整。
Litchfield星期五在Defcon大会上指出，通常情况下甲骨文的工程师只是针对攻击代码发个补丁，而不是修补本质缺陷。这样做不是个好方法，原因是小修小改攻击代码后就可以击败新的保护措施。
Litchfield表示，微软在数据安全方面的做法是可取的。2005年比尔·盖茨发了个安全备忘录，整个SQL 2005开发团队放下手里的工作，全面审查旧代码的安全性。
后来的结果是Microsoft SQL补丁和检测到的Microsoft SQL毛病急剧减少，IIS和Exchange的代码安全性也得到了很大提高。Litchfield建议甲骨文在安全方面抄一抄微软的功课，他说客户也应该要求甲骨文做出改变。
Litchfield最后说道，“如果你运行的是甲骨文数据库服务器，你不喜欢他们在安全方面对待你的做法的话，那就要给他们打电话说这事。我们真的有必要搞定这码子事。”
声明：本站部分文章及图片源自用户投稿，如本站任何资料有侵权请您尽早请联系jinwei@zod.com.cn进行处理,非常感谢！