從Widows Vista看企業個人端的未來

微軟下一代作業系統Vista（原先代號為Longhorn），自2003年提出後，一直備受注目，各式各樣功能規劃也不斷牽動著使用者對下一代作業系統的想像。在幾經更迭下，終於在7月底釋出Vista 第一版測試版，讓使用者可以一窺作業系統的基本雛型。

據微軟目前時間表，Vista正式上市時間將在明年第四季，而目前測試版功能在正式版發佈之前，增刪空間仍然相當大，因此從第一個測試版去作太多細項功能、效能檢測能獲得的意義相當有限。然而，無可諱言的是，以微軟在作業系統的佔有率，正式版推出後將會興起一波企業更換作業系統的動能，因此及早了解Vista會對企業帶來什麼樣的改變，仍有其積極意義。

有鑑於微軟目前作業系統為人所詬病的安全漏洞，Vista宣稱的目標，在提供使用者更安全可靠、更容易部署使用及更高的效能與生產力，對企業而言，作業系統夠在上述的幾個面向提升，顯然能讓企業在個人端的作業更為順暢，降低資訊安全風險與缺口，至於Vista究竟作了哪些改變來實踐目標，達成率如何，我們可以從測試版切入，來看看企業個人端作業系統未來的輪廓。新增使用者帳號防護功能，在便利與安全間取得平衡

在Windows XP的使用經驗中，使用者帳號有管理者（Administrator）和受限帳號（Limited account）二種，在設計立意上希望使用者平常是用受限帳號登入，必要時才使用權限較大的管理者帳號登入。這種二分法與Linux使用root帳號的觀念類似，在今日病毒與惡意軟體猖厥，受限帳號在安裝及寫入登錄檔的功能有所限制，能夠保護系統免於外來侵害。

這種設計理論上似乎可行，但使用者在實際使用經驗中，受限帳號權限實在太小，即使只是改變時區的動作都會受到限制，種種不便導致使用者最後都以管理者帳號登入，以取得最大的執行權限，受限帳號形同虛設，也讓病毒及惡意軟體有機可趁，造成系統安全上的風險。

在Vista中微軟總算正視現實，新增使用者帳護防護（User Account Protection，UAP）新模式，結合受限帳號的安全性考量與安裝便利上的實際需求，使用者不用在二種帳號模式中登出、登入，就能取得較高的安裝權限。

UAP在實作上達成的方法，讓使用者每次需要安裝軟體等牽動檔案系統或登錄檔時，彈跳視窗詢問管理者密碼，輸入正確密碼後才能繼續執行後續動作。擁有管理者權限的使用者，平常只需使用一般權限的帳號以維持安全性，也不用為了安裝軟體而必須在不同帳號間切換。安裝程序的詢問動作也能提高使用者警覺，降低惡意軟體侵害的機會。

在測試版中，UAP功能預設是關閉的，使用者必須從開始功能表執行開啟後才能使用，一旦啟用後，不只一般權限的帳號會被詢問密碼，就連原有管理者帳號都一樣，因此它的保護是涵蓋一般權限的帳號及管理者。不過從另一個角度來看，當使用者需要頻繁安裝軟體時，密碼不斷詢問也會造成困擾，這時如將UAP關閉會較為方便。

針對企業內的電腦，Vista也可以讓系統管理員對一般使用者權限進行管制。使用者平時用一般權限帳號執行，遇到有安裝需求時，可由系統管理員輸入單次許可（one-time permission）密碼，或者利用遠端模式存取使用者電腦，為其輸入密碼。對於企業而言，使用者安裝程式機會較小，透過這種方式相對而言能提高企業系統的安全性。

除了UAP，Vista在安裝程序上也導入了虛擬化的作法，某些較老舊應用程式欲寫入Program files資料夾或系統登錄檔，系統會將資料轉向名為Virtual Store的資料夾，避免安裝程序修改底層或重要程式。加強網路安全防護，多重安全設計

網際網路是企業環境中，外來侵害的主要管道，病毒和惡意軟體甚至駭客都是由此進出，新一代作業系統必須能在這個環結通過考驗才能讓企業安心使用。Vista測試版中能見到的功能還是十分有限，但可看出日後發展的方向。

針對目前垃圾郵件泛濫，Vista在Outlook Express中新增了一個垃圾郵件資料夾，透過自動分析郵件，判定疑似垃圾郵件即會丟入這個資料夾。不過，這個設計十分陽春，沒有提供進階的介面進行設定，例如黑、白名單等。另外，Vista新增雙向防火牆的設計，除了過濾外來的攻擊外，對於企業內部如有不正常對外連線也能加以阻擋。目前並沒有提供使用者介面調整防火牆設定，不過如果要了解設定的細節，可以在命令提示視窗中輸入「netsh firewall show config」檢視。Vista在防火牆的設計上沒有內建安全程式資料庫，因此對於連線程式的設定必須個別調整允許或封鎖。

Vista在網路安全性的一個重大焦點，落在IE 7瀏覽器身上。自從IE 6安全性漏洞頻傳與Firefox不斷蠶食市場佔有率的情況下，Windows如何一改過去缺陷，發展新一代瀏覽器以迎戰其他對手，廣泛受到關注。IE 7除了程式核心安全性提升外，就功能面來說，大致上有外掛停用模式（Add-On Disabled Mode）、防護釣魚（Anti-phishing）過濾器。外掛停用模式允許在關閉所有瀏覽器外掛下運行，能夠降低造訪網站時由外掛程式造成的安全性問題。Vista防護釣魚功能尚未在IE 7中啟用，不過可以透過XP版本的IE 7中略知一二。防護釣魚詐騙的功能，主要是透過遠端資料庫的資訊，在使用者造訪網站時標示出該網站的安全性，已知的詐騙網站則會封鎖它的存取行動。如果網站是介於安全和已知詐騙網站的灰色地帶，IE 7則會分析是否有將使用者帶往與網站不合的網站，或連往某個IP位址而非網域名稱之類的可疑特徵，並回報給使用者。目前常見的瀏覽器中，只有Netscape瀏覽器提供釣魚防護功能，因此IE 7雖然不算創舉，但比起其他產品在安全防線上更為完整。

IE 7還有所謂的低權限（Low-Rights）模式，在這個模式下使用者可以瀏覽網頁或下載檔案。如果有惡意軟體想利用IE弱點攻擊系統，會因為低權限而沒有將資料寫入檔案或修改登錄檔的能力。目前Vista尚未在測試版本中納入這個功能。

IE 7在管理上提供瀏覽記錄刪除工具保護隱私，除了能夠消除瀏覽記錄外，還能同時消除cookies和密碼、web表單資料及暫存檔等。過去在IE 6 的版本上，要同時完成這些工作必須透過許多步驟才能完成，IE 7則將這些動作予以整合。虛擬資料夾增加資料管理的自動化

若要從Vista測試版中挑選幾個最富特色的功能，虛擬資料夾（Virtul folders）必然名列其中，它對於企業個人端的作業方式將有明顯改變。資料夾在使用上有分類歸檔作用，將同一專案或是同一屬性的資料歸成一類，方便日後查詢使用。這種歸檔作業往往需要人工歸檔，而當有些檔案可以歸類到二個以上的資料夾，要不是只擇一儲存，就是得在每個資料夾複製一份，前者在日後可能找不到檔案，後者則增加使用者作業上的麻煩。虛擬資料夾則可以解決上述的問題。

虛擬資料夾外觀與傳統意義的資料夾看來相似，但其實它是XML檔，檔案中記錄它匯集檔案的定義與記錄。產生虛擬資料夾最典型的方法，是利用搜尋功能產生，例如我們想將電腦中有關Vista的資料匯集，一開始先在搜尋列中輸入「Vista」，它便會將系統內檔名或關鍵字全部搜尋出，找出的資料能依據日期、關鍵字、名稱、大小等條件配合布林法則進行過濾，挑選出自己想要的資料，最後選擇儲存，形成一個虛擬資料夾。日後新製作出的檔案，只要符合這些條件，都會被自動歸到這個虛擬資料夾中。由於虛擬資料夾只是定義檔案屬性的匯集，因此並不包含實體檔案，所以即使刪去資料夾，也不會影響到檔案。不同的虛擬資料夾如果在條件上有交集，也可以含納同一個檔案。由於虛擬資料夾動態匯聚檔案的特性，因此使用者在資訊組織上將更有效率。

強化版的搜尋功能，提升個人端作業效率
Windows作業系統的搜尋效率不彰也常為人所詬病，後來XP結合了桌面搜尋，利用ifilter動態連結程式庫的技術，大幅度地提升文件及檔案搜尋速度。Vista沿用這個技術，加上中繼資料（metadata）方式，強化檔案搜尋功能。但桌面搜尋僅限於檔案，如果使用者想搜尋程式，桌面搜尋便無能為力，Vista也改善了這方面的缺點。

雖然以往的檔案格式也可以設定關鍵字、註解，但它和檔案搜尋的關聯性較低，Vista利用中繼資料來為註解，包含了關鍵字、註解、評價（以星號標示重要性）等，不但能加快搜尋速度及精確度，在搜尋排序與群組劃分上也更有彈性。在搜尋輔助選項中，除了指定檔案類型外，還能利用下拉選單，逐步建立複雜的布林查詢來過濾檔案，結合虛擬資料夾的功能將搜尋條件存檔，日後要獲得搜尋結果的速度只需要開啟一個資料夾的時間，而且自動更新搜尋結果。

開始功能列新增一個搜尋框，搜尋框專門用來搜尋程式，只要在輸入單字，Vista會將相關程式列出候選，就如同翻譯軟體查詢單字一樣，並將最接近的程式列在搜尋框上方，只要點選即可開啟程式。程式搜尋結果幾乎是以即時性的方式呈現，對於熟悉程式名稱的使用者而言，這個功能讓使用者不需要在摺疊資料夾中尋找程式。全新安裝程序，簡化部署方式

安裝Vista測試版有別以往，使用者只需要輸入序號和安裝的分割磁區，就可以自動安裝到底，不必填入一些設定值或選項。Vista安裝程式不是從光碟中一個接一個地將檔案複製到硬碟中，而是類似Ghost，將映像檔複製到硬碟，Vista自訂的映像檔稱之為Windows Image（副檔名為WIｍ）。理論上這樣安裝程序應能大幅縮短安裝時間，不過在我們測試過程中，並沒有明顯的差異。

另外，WIM檔案目前尚未推出製作工具，待日後釋出後，系統管理者便可利用製作工具將安裝好的目錄壓縮成WIM檔，並可修改及加入檔案，如有重新安裝的必要時，就能快速恢復個人的作業環境。另外，為了因應企業電腦設備不同的硬體規格，Vista的安裝都使用相同的硬體抽象層（Hardware abstraction layer,HAL），以減少大量部署時的所需的WIM數量及降低維護的難度。

節省時間與電力，提供多種關機模式
在測試版中，關機時的選項共有待命（standby）、休眠（hibernate）、關機和重新啟動四種。待命狀態能夠快速讓電腦進入省電狀態，而一旦使用者需要使用時可以快速啟用。休眠則能將記憶體映像寫入硬碟，讓電腦進入更省電的狀態。日後Vista將結合待命與休眠模式推出睡眠（sleep）模式，能讓系統進入低耗電狀態時寫入記憶體映像，而啟動時能保有立即恢復的速度。微軟建議使用者儘量用睡眠模式來取代關機，能讓作業更為順暢，減少開機的等待時間。

安全性仍待使用者配合，檔案管理增加作業效率
從目前Vista測試版來看，安全性方面不管是UAP或是IE 7低權限模式的概念，都在減少電腦遭到外來侵害時，能夠掌握的存取資源，進而降低攻擊力道。不過這樣的作法無法單靠作業系統的功能，使用者必須改變使用習慣才能發揮最佳效果，一旦UAP密碼輸入讓使用者不勝其擾而選擇關閉功能，或是低權限模式讓使用者無法使用特定網站而將權限提升，安全防線立刻產生弱點。目前Vista在安全性規劃還有許多面向，例如對可信賴平臺模組（Trusted Platform Module，TPM）晶片的支援，可對開機磁區進行加密，確保資料安全不外洩，不過很多功能尚無法在這個測試版本中一一檢視。

搜尋功能及虛擬資料夾的搭配使用，對於使用者而言，檔案管理與搜尋更為便利，雖然WinFS檔案系統目前不打算加入Vista發行計劃，但以目前新的檔案作業方式而言，的確已經能讓使用者在資訊使用上更為精確化、自動化。在測試版中有限的資訊中，我們至少能肯定在企業個人資料管理上，下一代作業系統的確能帶來提升，在部署及啟動管理上也都有一定的改善，至於安全性的強化，則有待進一步的觀察。