瑞星公司針對(duì)12306網(wǎng)站約13萬用戶關(guān)鍵隱私信息被泄露事件進(jìn)行調(diào)查后發(fā)現(xiàn),12306網(wǎng)站主域名下共有6個(gè)分站存在嚴(yán)重的Strust2框架的遠(yuǎn)程執(zhí)行漏洞,黑客可利用該漏洞控制分站服務(wù)器,進(jìn)而攻擊整個(gè)12306網(wǎng)站,并竊取所有數(shù)據(jù)庫中的信息。因此,本次信息泄露事件有可能還會(huì)繼續(xù)升溫發(fā)酵。
專家介紹,12306網(wǎng)站主域名下,共6個(gè)分站存在Strust2框架的遠(yuǎn)程執(zhí)行漏洞,黑客可使用專業(yè)工具直接對(duì)網(wǎng)站進(jìn)行攻擊,遙控網(wǎng)站服務(wù)器下載惡意文件,獲取最高控制權(quán)限,進(jìn)行跳板攻擊,進(jìn)而對(duì)12306整個(gè)網(wǎng)站進(jìn)行入侵,從而獲取所有數(shù)據(jù)庫中的信息。
針對(duì)此次的12306用戶信息泄露問題,有白帽子專家分析認(rèn)為,數(shù)據(jù)疑似黑客撞庫后整理得到,而并非12306直接泄漏,請(qǐng)用戶及時(shí)修改密碼,同時(shí)慎用搶票工具。
所謂“撞庫”,是一種針對(duì)數(shù)據(jù)庫的攻擊方式,通過攻擊者所擁有數(shù)據(jù)庫的數(shù)據(jù)通攻擊目標(biāo)數(shù)據(jù)庫,可以理解為使用在A網(wǎng)站盜取的賬戶密碼來登陸B(tài)網(wǎng)站,因?yàn)楹芏嘤脩粼诓煌W(wǎng)站使用的是相同的賬號(hào)密碼。
再打個(gè)比方,就是你從大樓保安那里復(fù)制了一大串鑰匙,然后跑到隔壁同一家建筑公司、同一批設(shè)計(jì)人員造的樓里,一把把試著去開不同的門。
最近還有個(gè)“拖庫”經(jīng)常出現(xiàn),它是指從數(shù)據(jù)庫中直接導(dǎo)出數(shù)據(jù),更加嚴(yán)重,因?yàn)檫@意味著數(shù)據(jù)庫本身存在很大的漏洞。
也有人懷疑是第三方搶票軟件泄露所致,目前還沒有證據(jù)可以證明,但無論如何,搶票的心情可以理解,但一定要注意保護(hù)自己的安全,并強(qiáng)烈建議12306用戶更改密碼,最好是和其他網(wǎng)站不同的密碼。
因?yàn)?,這些數(shù)據(jù)已經(jīng)在網(wǎng)上公然叫賣了,如果被黃牛拿到,把我們辛辛苦苦訂的票退掉倒騰給別人,豈不是太郁悶了!
雖然知道了密碼可能的泄露方式,但是我們都有一個(gè)巨大的疑問。對(duì)每個(gè)用戶來說至關(guān)重要的用戶名和密碼等關(guān)鍵信息,網(wǎng)站為什么會(huì)采用明碼保存,難道是技術(shù)屏障?還是另有原因?
[page]
網(wǎng)站為什么明文保存密碼?
1、明文密碼應(yīng)付檢查。大家知道互聯(lián)網(wǎng)審查,有時(shí)往往會(huì)一個(gè)電話過來,要XX用戶的密碼。如果你沒法給出,上頭就認(rèn)為你不配合,事情各種難搞。作為審查機(jī)構(gòu)的老板,當(dāng)然沒必要知道明文密碼的危害。他們只知道,我要密碼,為什么不行。所以,悲崔的程序員們就往往會(huì)得到一條死命令,保存明文密碼。
2、壓根不知道明文密碼有什么問題。中國(guó)的互聯(lián)網(wǎng)有太多的沒基礎(chǔ)的新人,從石頭的縫隙中頑強(qiáng)的生長(zhǎng)出來。這不是壞事,壞事的是這些人往往會(huì)在一些基礎(chǔ)問題上出現(xiàn)奇怪的毛病。例如有些程序員,寫程序很快,但是居然從來不知道密碼明文存放會(huì)導(dǎo)致什么問題。
3、自信暴棚的混帳。有些人的自信總比別人強(qiáng),而且強(qiáng)在莫名其妙的地方。例如:我的服務(wù)器肯定是沒問題的,所以我的密碼一定要明文存放。如果不,就是質(zhì)疑我的技術(shù)。實(shí)話說,這種人真是少數(shù)中的少數(shù)。
4、遺留系統(tǒng)。很多系統(tǒng)設(shè)計(jì)的時(shí)候因?yàn)槟硞€(gè)其他理由,使用了明文密碼。等后來這個(gè)理由不存在了,密碼系統(tǒng)升級(jí)成了一個(gè)困難。因?yàn)槊艽a系統(tǒng)太重要了,所以在沒有太大利益的情況下,總是傾向于不修改系統(tǒng)。但是有什么足夠利益來推動(dòng)系統(tǒng)修改呢?用戶安全問題在發(fā)現(xiàn)前不是一個(gè)問題——好比這次的 CSDN,不是被暴出來的話就根本不會(huì)被當(dāng)作一個(gè)問題。系統(tǒng)的管理者,每個(gè)人都沒有足夠的動(dòng)力去修改系統(tǒng)。
5、世界的陰暗角落。有的時(shí)候,程序員/老板明文存放的理由,是為了方便盜竊用戶其他網(wǎng)站資料。例如我所知的某釣魚案例,你注冊(cè)網(wǎng)站,就提供很多免費(fèi)服務(wù),網(wǎng)站看起來也很靠譜——除了后來突然爆出這家網(wǎng)站其實(shí)暗地中用你的生日/密碼猜解信用卡/銀行卡密碼,大家才突然發(fā)現(xiàn),這家網(wǎng)站其實(shí)根本沒有在美國(guó)注冊(cè),而是一個(gè)聽都沒聽說過的國(guó)家。而且很多網(wǎng)站提供從其他網(wǎng)站導(dǎo)入之類的功能,更加的危險(xiǎn)。以前經(jīng)常爆出twitter密碼被竊取,主要就是因?yàn)镺Auth開放以前,twitter上的第三方應(yīng)用需要提供原生密碼,導(dǎo)致很多小應(yīng)用的目的其實(shí)就是收集密碼…
6、為了給用戶提供方便。這個(gè)理由和上一個(gè)很類似,不過不是為了某些險(xiǎn)惡的目的。而是客戶經(jīng)常要求——為什么我不能做XX事,為什么我不能blahblah。好吧,為了讓你能,我們就必須保存明文密碼。
這個(gè)揭秘來源于一個(gè)程序員的爆料,不說爆料的可信度是百分之百,至少他所說的內(nèi)容中很多是值得我們思考的。明文保存密碼,既有政策和管理這樣外在的人為原因,同樣也有技術(shù)的問題,更有利益的驅(qū)使??梢娒魑拿艽a的原因背后是錯(cuò)綜復(fù)雜的。在這樣錯(cuò)綜復(fù)雜因素的背后,我們應(yīng)該加強(qiáng)自己的密碼保護(hù)意識(shí)。
如何保護(hù)自己的密碼安全?
一、增強(qiáng)網(wǎng)絡(luò)安全意識(shí)
在互聯(lián)網(wǎng)時(shí)代,網(wǎng)絡(luò)安全意識(shí)應(yīng)該像日常交通安全意識(shí)一樣,作為常識(shí)被確立。以CSDN為例,作為國(guó)內(nèi)權(quán)威的技術(shù)論壇,該社區(qū)的用戶在技術(shù)方面堪稱專業(yè),但流出的CSDN密碼卻顯示,大批用戶使用的竟是“12345678”“11111111”這樣超簡(jiǎn)單的密碼。所以我們首先要有一個(gè)較強(qiáng)的網(wǎng)絡(luò)安全意識(shí)。
二、設(shè)置較為安全的密碼
安全密碼基本準(zhǔn)則:8位以上、密碼采用三種或以上組合。各關(guān)鍵網(wǎng)站密碼不同,防止黑客使用撞庫的方式進(jìn)行信息盜取。
三、盡量避免使用第三方軟件
由于第三方軟件的安全性不高,所以請(qǐng)謹(jǐn)慎使用離線搶票功能。像離線搶票這樣的第三方服務(wù)托管服務(wù),必須明文存密碼,且沒法加密。所以一旦泄露就是明文。
四、經(jīng)常更改密碼
如果發(fā)現(xiàn)密碼被盜,立即更改密碼。同時(shí)對(duì)于安全性要求比較高的密碼,定時(shí)更改密碼也是一個(gè)有效的保護(hù)信息安全的手段。
針對(duì)12306的密碼泄露,針對(duì)性的補(bǔ)救方法:
1、立刻修改12306登錄密碼;不過由于新密碼同步到所有服務(wù)器需要時(shí)間,部分用戶修改密碼后,或不能立刻登錄;
2、盡快修改登錄12306時(shí)使用的郵箱密碼,郵箱服務(wù)和12306網(wǎng)站服務(wù)一定不要使用相同的登錄密碼;
3、由于12306數(shù)據(jù)泄露的數(shù)據(jù)還包含手機(jī)號(hào)、身份證號(hào),除了自己的信息之外,還會(huì)泄露親友的身份信息。建議受信息泄露影響的所有人小心處理可能的詐騙電話和短信。同時(shí),與銀行轉(zhuǎn)帳匯款有關(guān)的業(yè)務(wù),務(wù)必電話確認(rèn)身份;
4、謹(jǐn)慎使用搶票軟件。
網(wǎng)絡(luò)給我們的生活帶來了許多的便利,同時(shí)我們的網(wǎng)絡(luò)生活也面臨著諸多的挑戰(zhàn)。而網(wǎng)絡(luò)安全也日益受到網(wǎng)民的關(guān)注,特別是在一次次的爆出信息泄露之后,更加加重了網(wǎng)民的擔(dān)心。文章中我們也分析了網(wǎng)站明文保存密碼的錯(cuò)綜復(fù)雜的原因,在我們無法確認(rèn)網(wǎng)站是否安全的前提下,擁有一個(gè)良好的網(wǎng)絡(luò)安全意識(shí),謹(jǐn)慎保管好自己的密碼,當(dāng)發(fā)生問題的時(shí)候及時(shí)使用正確的方法進(jìn)行補(bǔ)救是十分有必要的。
相關(guān)閱讀:
面面俱到:全面了解無線通信網(wǎng)絡(luò)技術(shù)(上)
面面俱到:全面了解無線通信網(wǎng)絡(luò)技術(shù)(下)
基于物聯(lián)網(wǎng)無線智能網(wǎng)絡(luò)技術(shù)的燈光控制技術(shù)