9月5消息，谷歌新的Chrome瀏覽器有許多與安全有關(guān)的新功能：

　　·防御惡意軟件和釣魚攻擊的網(wǎng)站黑名單

　　·隱私瀏覽模式(Incognito)，可消除用戶活動的痕跡

　　·全面的消除瀏覽數(shù)據(jù)對話框

　　但是，Chrome瀏覽器中真正創(chuàng)新的功能是谷歌建在這個瀏覽器中的在一個沙箱中運行的渲染引擎。每一個瀏覽器的標簽都是一個以有限的功能運行的一個獨立的處理過程。這就意味著如果一個惡意應(yīng)用程序要運行，它不會破壞、干擾或者阻止在其它標簽上運行的其它應(yīng)用程序。它還意味著這個應(yīng)用程序不能做事情，如向文件系統(tǒng)寫入數(shù)據(jù)。向文件系統(tǒng)寫入數(shù)據(jù)能夠讓惡意程序存在下去。

　　這是一個很好的目標。但是，遺憾的是這個沙箱已經(jīng)存在一個漏洞。例如，有人已經(jīng)演示了Chrome瀏覽器存在與蘋果Safari瀏覽器“地毯式轟炸”安全漏洞相同的漏洞。這種新版本的攻擊是把文件投放到Chrome的下載文件夾中，必須要采用社會工程學(xué)的方法才能勸說用戶運行這些文件。這種攻擊也許可行，也許不可行。但是，這個沙箱確實是失敗了。

　　為什么會失��？因為Chrome瀏覽器是在包括蘋果的WebKit在內(nèi)的其它平臺的源代碼的基礎(chǔ)之上制作的。谷歌使用的是在修復(fù)“地毯式轟炸”安全漏洞之前的那個版本的WebKit軟件。一些開源軟件項目就是這樣。(天虹)