微软正在用自己的方式构筑“帝国大厦”，而安全无疑是“大厦”的基石，微软今后势必义无反顾地加大安全投入。
几个黑客，想要把他们的恶意软件放到一个企业当中。他们发现这个机构的物理安全是非常严格的，他们又想进入到互联网连接当中，但发现互联网的安全也是非常严格的。怎么办呢？
他们买了三个64兆的USB闪存盘，将写满了恶意代码的软件放在USB当中，然后他们到办公大楼，将USB闪存盘扔在停车场。大家会想象，如果说你停车，你路过，你看见地上有一个USB闪存盘，你会怎么做呢？
很可能，你会低下头把它捡起来，带到办公室，然后打开电脑。你在喝咖啡之前，将USB闪存盘插在电脑上。
事实上真的有人这样做了，结果是不言而喻的。
6 月28日，以“构筑互信网络、打造安全世界”为主题的“2006微软信息安全高峰会” 首次在京举行。头发、身材和脸型与贝克汉姆颇有几分相似的微软信息安全战略专家Steve Riley，面对1500多名来自不同行业的IT技术经理，做了一个像世界杯解说员一样充满激情的主题演讲。在演讲中他讲了很多类似前面所说的安全方面的小故事。
Steve Riley是在安全领域有着八年经验的工程师[D1]。他此行的目的除了参加这一次安全峰会，还会听取用户对微软的意见，并对用户进行一些技术上的培训。
用他的话来说就是：“我在微软的工作，就是帮助用户了解怎么能够安全地使用我们的产品。”
“每一个马桶都能上网”
在Steve Riley演讲之前，微软播了一个广告短片：
小女孩走进教学大楼，教学大楼的门瞬间变成了用线条勾勒成的图书；小男孩敲击着桌子，桌子瞬间演变成一台用线条勾勒成的钢琴；空旷的厂房内瞬间变成了用线条勾勒成的一条繁忙的流水线；病人面对的医生瞬间从一个变成多个……
自从2004年开始，这个主题为“在我眼里……”的系列广告就一直不断地延伸着不同的形式，涉及的领域也越来越宽泛，诉求的对象也从专业人士向普通大众过渡。
微软用童话般的画面和具有亲和力的语言传达着一个主张：通过开发软件，能够成就更多，一切想象都可以变成现实。
不久前，比尔·盖茨在给微软用户的一封信中写道，在过去的20年中，我们经历了令人难以置信的漫长技术创新道路。技术简直太重要了，我们享受到了技术所带来的惊人益处。
似乎很容易理解，微软正在用自己的方式在普通的生活和工作场景中，勾画用户的未来。
Steve Riley在演讲时说，“我们1992年设计了一个操作系统。1992年的时候有互联网吗？没有。所以在1992年设计的东西，用起来很安全。”
“今天是什么情况呢？如果今天你有一台电脑，如果不能上网的话是没有用的。我想将来有一天每一个饭店的每一个卫生间，每一个马桶都能上网。”
Steve Riley在激情扬溢地演讲
大会现场
李志霄博士在演讲中
“我常夜不能眠”
越来越多的设备会联到互联网上，也就意味着越来越多的设备上有软件，这会产生很多安全方面的问题。Steve Riley提醒说，“大家都明白，只要有软件存在，你就必须考虑到它的安全性。”
公安部公共信息网络安全监察局许剑卓在大会上指出，目前显著增加的网络犯罪的案件有几种。
第一种是通过利用客户端漏洞，传播恶意代码。
第二种是利用WEB服务脚本漏洞入侵。
第三种类型，是通过网络钓鱼实施身份盗窃。
有数据显示，目前美国每年由于网络安全问题而遭受的经济损失超过170亿美元，德国、英国也均在数十亿美元以上。
“无论我到哪里去演讲，我最少要和三四个客户做面对面的交流，真正了解他们所遇到的困难。” Steve Riley说，“客户提出微软必须做得更好、更加安全，这常使我夜不能眠。”
“四年前我很难入眠的原因是由于代码质量不好，用户希望使用更加方便。”
“目前我们所担心的问题和四年前是不一样的。现在攻击手段越来越高明了，他们不仅仅要进攻电脑，同时也进攻使用电脑的人。”
实现“安全计算随时获取”
为了让数据更加安全，2002年初，比尔·盖茨正式提出“高信度计算”概念。
所谓高信度计算，其实是说软件会变得越来越好，错误越来越少。在微软的蓝图中，高信度计算将是一种“可以随时获取的安全计算”，人们的计算体验最终会像电力、电话应用一般自由、可靠。
Steve Riley说，“这彻底革新了微软的产品观—— 过去员工都认为自己的工作是做三件事。第一，把最好的科技、最多的功能放到产品里面去；第二，降低产品里面的BUG，尽量不要有问题；第三，帮公司挣钱，希望更多人使用这个软件。”
“这三个目标目前都完成得不错。但需要强调的是，这三个目标是其次的，重要的是要做出安全的软件，软件能够防黑客的袭击，避免后面有漏洞，或者是病毒造成用户的不便……总之，每个人的心中，都要把对用户负责，做高信度、最安全、最可靠的软件，作为第一宗旨。”
但是不幸的是，有些人认为高信度计算根本不可行，之所以这么说是因为他们认为现在还有很多的漏洞。
赛门铁克（Symantec）CEO约翰·汤普森（John Thompson）曾公开表示，长期以来业界流行的“Linux更安全”的观念其实是一种“迷思”。他指出，Windows之所以给人留下不安全的印象，皆因其是主流操作系统——他还做了一个形象的类比：涂鸦者总是不会选择穷乡僻壤去搞破坏，他们总是更喜欢去光顾“横穿市中心行驶的列车”。
微软一直在努力让自己的“列车”更安全——权威机构发布的数据显示，在微软把高信度计算作为产品研发目标之后，2003年，微软操作系统的BUG呈递减的趋势，与此同时，市场上其它操作系统发现的BUG却呈上升趋势。
微软认为，软件缺陷是整个软件产业的问题，因此，所有的软件供应商都必须意识到并担负起他们的职责，如此才能缔造出产品与产业的高信度未来。正如图灵奖得主姚期智所言，高信度计算需要动用难以想象的海量资源，需要业界共同努力。
不过，现在看来，今后3～5年内，全球IT业界必将面对更严峻的安全形势。“涂鸦者”正在向“破坏者”的方向演化。未来，令软件企业及其客户为之头痛的，将是那些受利益驱使、拥有专家级技能的“正规军”，而这些“破坏者”也会将目标转向支撑企业运营，存储敏感信息的应用程序系统——单从这一点来说，高信度计算也是任重而道远。
Steve Riley说，“这不仅仅是靠微软一家努力就够的，尽管我们在领导这个行业来生产出更多的软件。但是，这不是唾手可得的过程，比尔·盖茨先生几年前开始谈高信度计算的时候，他当时预测软件行业需要花十年的时间，完成一个基本开发软件的方法，我想他讲的是对的。”
“四重门”提高安全系数
“如何让软件可信度更高,微软从四个领域着手帮助业界来实现这一点。”
首先是驱动程序的认证。
“我们发现，几乎所有的蓝屏或者操作系统突然停滞，大部分都是因为驱动程序的问题。这些质量不高的驱动程序会导致Windows操作系统不稳定。” Steve Riley说，“所以，微软就要求设备供应商提高这些硬件驱动程序的质量。”
微软决定，所有运行在64位版本微软操作系统上的驱动程序，都必须通过微软的数字签名。这就意味着，那些要销售这些设备的厂商，如果想要客户使用他们的产品在64位的Windows操作系统上，就必须把驱动程序递交给微软进行认证。”
在会后的采访中，Steve Riley向记者证实，这一举措得到了硬件厂商的拥护。
其次是网络接入保护功能。
Steve Riley说，“有的时候，你会遇到这种问题，你们的网络有很多台电脑，但是这些电脑做什么你根本不清楚。有的时候这些电脑做的事情会非常危险，所以微软需要去进行网络的保护。”
第三是数字证书。
微软在这个行业合作去开发出这种比较高保障度的SSL的数字证书，这些数字证书要通过第三方的验证，去验证确实是属于它所宣称的公司或者组织。
微软还在改善开发软件的机制。
这个机制叫做安全开发生命周期（SDL）。基本上从需求到设计，到执行、到认证、到发布、到反馈都有一个非常严谨的一些手段。
比尔·盖茨决定首先要在微软内部解决这个问题。所以，微软花了几个月的时间去培训微软的六万名开发人员，有关安全方面的问题。这些在安全方面的开发培训确实是奏效的。比如说微软公布的漏洞，Windows Server 2000是55个，而Windows Server 2003是17个。
“统计数据是显而易见的，证明我们在安全生命周期管理方面取得了很大的进步。” Steve Riley说。
世界的安全，微软的机会
在中国，用户的信息安全意识薄弱。许剑卓在会上也指出，这是中国网络犯罪增加的一个很重要的原因。
微软（中国）有限公司首席技术执行官李志霄博士说，“互联网经过十多年的发展，已经进入了第二个浪潮。但是同时，WEB2.0的网站同时也成为黑客攻击的目标，所以微软提出了纵深安全策略。”
“最简单是物理加锁，加监听，如果说用户什么都不能做的话，就把锁做好，把监视做好，然后是边界的防火墙，然后是网络分段，然后网络入侵检测系统，然后是操作系统，再来应用加强防病毒，然后文档的加密，访问者的名单控制，这是我们提出的安全纵深策略。” 李志霄说。
微软甚至在思考如何应对针对人的安全攻击。
“在座有没有人丢过笔记本？假如你的笔记本电脑被偷了，小偷不知道你的密码，所以他进不去，他把你的硬盘拆下来，装到自己的笔记本上，想开启硬盘。微软可以通过卷加密来保护数据，让小偷开启不了。当然不同的数据可能从不同的层面解决问题，在Vista中有很好的体现。”李志霄说。“我们可以让系统有这个功能。防火墙跟安全有关的默认值直接打开，其它不跟安全有关的自动配置，自动更新。”
即使是世界上最好的技术，如果不为人知或人们不会使用，那么也无法发挥作用。
“自从2005年以来，微软在北京、上海等34个城市举办了一百多场‘信息安全’系列活动，与三万七千多名与会者分享了微软的安全成果。” 李志霄介绍。
微软大中华区首席安全顾问艾立克表示，“微软目前在中国已经成立大概20家微软技术中心，但是我特地强调，微软不占任何股份，微软只是提供创办基金，还有培训和技术转移。技术中心跟当地政府有非常好的关系，他们主要的任务，除了一般的应用之外，就是安全的培训，还有安全的部署。”
赛迪顾问计算机与软件咨询事业部研究员张曦在接受记者采访时表示:“安全是一个永久的话题，仅凭微软一家公司是很难做到安全的，微软与多方合作将会帮助微软发现漏洞，而微软提出的高信度计算理念无疑会使软件的安全度大幅度提高。”
有关人士认为，微软正在用自己的方式构筑“帝国大厦”，而安全无疑是“大厦”的基石，微软今后势必义无反顾地加大安全投入。