亚洲精品久久区二区三区蜜桃臀,国产精品久久久,亚洲一区二区三区

攜程信息泄露有多少信任可以重來？

文旅界 2014.04.04 10:26 閱讀量：90610

國內(nèi)大多數(shù)公司平常不把安全落實(shí)到實(shí)處，得過且過，順其自然。等到出了問題的時候再修復(fù)和危機(jī)公關(guān)。攜程

　　1、攜程一石激起千層浪

　　支付雖易，婚姻不易，且行且謹(jǐn)慎。

　　攜程網(wǎng)的漏洞詩經(jīng)已經(jīng)在互聯(lián)網(wǎng)上炒的沸沸揚(yáng)揚(yáng)，自從烏云網(wǎng)的消息一經(jīng)披露，立刻一石激起千層浪、謾罵聲、討伐聲一時百千齊作，攜程網(wǎng)成了眾矢之的。一時間，全民像陷入了無意識狀態(tài)般矛頭紛紛指向了攜程。

　　細(xì)想一下用戶們的心情，幾乎了解這條新聞的人都曾使用過攜程網(wǎng)，一聽到攜程網(wǎng)信用卡信息泄露這種關(guān)鍵詞，神經(jīng)肯定會變得高度緊張，這都是無可厚非的，誰也不愿意拿自己辛辛苦苦掙來的血汗錢為攜程沒有做到位的保險措施買單。但是冷靜地想一想是不是這次事件的泡沫比事件本身更豐富?

　　這次事件的源于一位名為豬豬俠的白帽聲稱找到了"攜程安全支付日志可遍歷下載導(dǎo)致大量用戶銀行卡信息泄露(包括持卡人姓名身份證、銀行卡號、卡CVV碼、6位卡Bin)。一旦這些信息被不法分子掌握，攜程用戶的信用卡將被任意盜刷。"不可否認(rèn)，安全無小事，我們不能否認(rèn)這對于黑客來說是個"利好"消息，可能也真的有黑客在此之前就已經(jīng)蠢蠢欲動了。消息經(jīng)媒體披露后更是令人惶惶不可終日，于是有了凌晨四點(diǎn)撥至銀行的咨詢電話，有了等候更換信用卡的長龍，這一切都是因?yàn)榇蠹乙呀?jīng)覺得自己"不安全"了。

　　繼而，就是很多評論文章中所提及的PCI-DSS標(biāo)準(zhǔn)，在PCI-DSS標(biāo)準(zhǔn) 中，明確的定義了如何實(shí)施數(shù)據(jù)保護(hù)，以及哪些信息是可以保存，哪些信息是不能保存(尤其是明文保存)的(比如CVV等敏感信息)。因此攜程這次是明確的違反了PCI-DSS的相關(guān)規(guī)定。至于攜程面對為何保留了CVV敏感信息這個問題更是讓其百口莫辯。這是它留給媒體的一個把柄，也更讓廣大用戶的心始終惴惴不安。

　　2、攜程犯了這么幾個錯

因?yàn)閿y程在上市的時候肯定是通過了PCI-DSS標(biāo)準(zhǔn)的，由此也可以看出一些安全標(biāo)準(zhǔn)從實(shí)施到維持是何等的艱難。而「安全標(biāo)準(zhǔn)」、「合規(guī)」的要求現(xiàn)在已經(jīng)淪落為一門生意，含金量越來越低。實(shí)施PCI-DSS的安全公司可能會給客戶提交一大堆文檔，但真正認(rèn)真去落地的公司越來越少了。所以通過了安全標(biāo)準(zhǔn)并不意味著什么，只是花錢買了個牌照而已。比如PCI-DSS的要求會產(chǎn)生很多衍生的安全需求，而VISA也投了一些安全公司，他們把這里面的大部分利益給分了。在利益關(guān)聯(lián)之下，對認(rèn)證的審核必然不會太過嚴(yán)格。

　　這次的事件按照攜程官方的解釋是出于調(diào)試的目的記錄了臨時日志，共涉及到93名用戶，未發(fā)現(xiàn)其他數(shù)據(jù)泄露。我相信這個漏洞的提交者「豬豬俠」并不會將這部分?jǐn)?shù)據(jù)用于惡意用途，因?yàn)樗跇I(yè)內(nèi)的口碑非常好，且如果想這么干，就不會把漏洞提交給烏云了。但攜程是否還存在其他問題卻不得而知。

　　對于用戶而言，可能會產(chǎn)生恐慌心理而要求銀行更換信用卡。但除非你以后不再用網(wǎng)上信用卡支付了，否則類似的問題短期內(nèi)還是很難避免。我相信還有很多公司比攜程做的更糟糕，更缺乏規(guī)范，特別是一些還沒有上市，沒有通過PCI-DSS認(rèn)證的公司，只是這些問題沒有被暴露在陽光下，因此你不知道而已。

　　3、這些年安全泄密事件層出不窮

　　2011年12月，CSDN、多玩、世紀(jì)佳緣、走秀等多家網(wǎng)站的用戶數(shù)據(jù)庫被曝光在網(wǎng)絡(luò)上，由于部分密碼以明文方式顯示，導(dǎo)致大量網(wǎng)民受到隱私泄露的威脅。

　　12月25日，事件繼續(xù)升級，烏云漏洞平臺再次爆出天涯社區(qū)4000萬用戶資料泄露，用戶明文密碼泄露。之后，天涯社區(qū)在網(wǎng)站上發(fā)表致歉信。

　　12月29日，傳言當(dāng)當(dāng)網(wǎng)1200萬完整用戶數(shù)據(jù)已經(jīng)泄露，包括用戶真實(shí)姓名、注冊郵箱、收貨地址、電話等信息。同時，用戶數(shù)據(jù)最為重要的電商領(lǐng) 域，也不斷傳出存在漏洞、用戶泄露的消息，烏云報(bào)告稱，支付寶用戶大量泄露，被用于網(wǎng)絡(luò)營銷，泄露總量達(dá)1500萬～2500萬之多，泄露時間不明，里面只有支付用戶的賬號，沒有密碼。

　　如家、七天2000萬條客戶開房信息遭泄露

　　2013年10月，如家、七天等連鎖酒店被網(wǎng)曝有多達(dá)2000萬條客戶開房信息遭泄露。

　　據(jù)《新京報(bào)》2013年10月20日報(bào)道，10月18日，實(shí)名認(rèn)證的新浪微博賬戶@股社區(qū)發(fā)布了一個名為"查開房"的網(wǎng)址。只需輸入姓名或身份證號，即可查詢到包括身份證號、生日、地址、手機(jī)號、郵箱、公司、登記日期等真實(shí)信息。

　　事發(fā)一周前，國內(nèi)安全漏洞監(jiān)測平臺烏云(WooYun.org)發(fā)布報(bào)告，稱多家酒店開房記錄被無線上網(wǎng)認(rèn)證管理系統(tǒng)供應(yīng)商--浙江慧達(dá)驛站網(wǎng)絡(luò)有限公司存儲，并因系統(tǒng)有漏洞而存在泄露隱患。慧達(dá)驛站公司確認(rèn)曾存在漏洞并已修復(fù)，并稱未造成開房記錄等住客個人信息泄露。

　　2013年11月，圓通速遞近百萬條快遞單個人信息在網(wǎng)絡(luò)上被公開出售，網(wǎng)上甚至還出現(xiàn)了專門交易快遞單號的網(wǎng)站，如"淘單114""淘鋪發(fā)""淘單網(wǎng)""單號吧"等。在這些網(wǎng)站，每個單號都被明碼標(biāo)價，"批發(fā)價"最低四角，儼然已成為一種"產(chǎn)業(yè)"。據(jù)記者調(diào)查，每天在網(wǎng)上交易的快遞單號高達(dá)3萬個左右。

　　犯罪分子在購買快遞單信息后，即可從事不法行為。2013年3月份，家住深圳羅湖的虞峰(化名)托朋友給自己快遞七部價值總計(jì)8400元的聯(lián)想手機(jī)，但苦等幾日，都不見手機(jī)寄到。虞峰一查物流信息竟發(fā)現(xiàn)，手機(jī)已被"自己"領(lǐng)走。最終公安調(diào)查發(fā)現(xiàn)，原來，犯罪嫌疑人范某購得虞峰的信息后，立即聯(lián)系制造了虞峰的身份證件，在確認(rèn)快件到達(dá)快遞公司網(wǎng)點(diǎn)，尚未進(jìn)入派送之時，以假證件騙過快遞公司員工后，直接領(lǐng)走虞峰的七部手機(jī)，隨后將手機(jī)變賣。

　　4、“安全”到底是什么?預(yù)防與妥協(xié)

因?yàn)閲鴥?nèi)的安全意識還處在上個世紀(jì)的水平，直到去年安全行業(yè)火了一把后，大家才開始注重網(wǎng)絡(luò)安全。很多用戶在上網(wǎng)的時候，并不會較真一些網(wǎng)站的聲明，而采取了默認(rèn)的信任。而在國外，只要涉及敏感用戶隱私的網(wǎng)站，都需要一個非常復(fù)雜的聲明，聲稱絕對不會存儲不該存儲的信息，也不會向用戶詢問隱私信息(反詐騙提醒)。

　　可見，網(wǎng)絡(luò)安全技術(shù)上固然復(fù)雜繁瑣，但是技術(shù)問題不可怕，可怕的是意識問題。我們在工作中間無論是無心還是有意的，沒有把用戶隱私放到一個神圣的地位來對待。用戶本身也不會發(fā)現(xiàn)，你平常去一個網(wǎng)站，你很可能使用的就是你支付寶的密碼，如果這個網(wǎng)站保存下來了，你根本就察覺不到，如果被泄露了，在現(xiàn)行法律下，執(zhí)法機(jī)構(gòu)抓不到黑客的話，也很難追究到網(wǎng)站的責(zé)任，這個苦水就只有自己吞了。

　　而在國外，身份竊取或者是信用卡詐騙都是聯(lián)邦重罪，為了預(yù)防和打擊可能的犯罪，信用卡公司和金融機(jī)構(gòu)每年投入大量的經(jīng)費(fèi)，聯(lián)合治理網(wǎng)絡(luò)支付安全。其中最著名的是 PCI-DSS compliance 以及信用卡3D驗(yàn)證，其中PCI 是預(yù)防信息泄漏， 3D是防止盜取信息者牟利。

　　什么是PCI-DSS呢? 攜程的這個接口屬于站內(nèi)支付，在國際上有一個標(biāo)準(zhǔn)是用來管理支付網(wǎng)站安全的，簡稱是PCI compliance， PCI就是 Payment Card Industry， DSS就是data storage security--數(shù)據(jù)安全，PCI這個標(biāo)準(zhǔn)要求非常高，是需要時事更新的。提供PCI驗(yàn)證服務(wù)的公司通常會多方面地地毯式掃描，會找出各類漏洞，還要你在申請的時候嚴(yán)格申明不能保存不該存的信息，以及不可以不使用 SSL 加密數(shù)據(jù)傳輸(避免數(shù)據(jù)嗅探)。我以前自己的網(wǎng)站申請過first data等公司的站內(nèi)支付服務(wù)，PCI將我折磨地不行，而且每3個月都需要更新一次。

　　再說一下3D驗(yàn)證，這個在不同國家有不同的做法，多數(shù)是通過大數(shù)據(jù)檢驗(yàn)?zāi)闶欠袷窃诔Ｓ迷O(shè)備和IP上登錄，以及你的行為是否正常(盜取paypal的黑客即便是在被盜用戶自己的機(jī)器上都有可能在提現(xiàn)時被鎖號) 如果不是的話彈一個小窗，需要輸入更加隱私的信息，可以是銀行的密碼保護(hù)問題，也可能是生日，社會保險號等，目的是驗(yàn)證使用者確實(shí)是你。

　　以上兩路大招加起來是否能完全避免信息泄露的損失呢? 當(dāng)然也做不到100%絕對安全，但是至少這體現(xiàn)了一種態(tài)度和意識。國內(nèi)大多數(shù)公司平常不把安全落實(shí)到實(shí)處，得過且過，順其自然。等到出了問題的時候再修復(fù)和危機(jī)公關(guān)。我相信攜程一定有能力做到完全的PCI compliance 并且時時刻刻保持更新，也有這個實(shí)力去把網(wǎng)絡(luò)安全措施做到國際水準(zhǔn)，但是它卻沒有做到，就跟大多數(shù)其他網(wǎng)站一樣。那為什么沒有機(jī)構(gòu)去監(jiān)管這樣的行為呢? 在一個連地溝油毒奶粉沒有FDA這樣的嚴(yán)格標(biāo)準(zhǔn)監(jiān)管的地方，PCI確實(shí)不是一個性價比高的東西，還不如花點(diǎn)錢多投點(diǎn)廣告來點(diǎn)流量更實(shí)際。

攜程安全技術(shù)