多家网站陷入“泄密门” 黑客自曝入侵过程

     <div id="news_body">     <p> “泄密门”从一个网站的危机演变成互联网世界的一场风波，变成了 2011 年底网民最关心的话题之一。</p>     <p> 截至目前，沦陷于这场风波的网站包括 CSDN、天涯社区、多玩、京东、当当、支付宝，甚至广东出入境官网等，尽管各家网站纷纷出面澄清，但网民人人自危，担心个人信息、社交生活、财务资料暴露于日光之下“你的密码改了吗”成为岁末网民间最流行的问候语。</p>     <p> 安天实验室首席技术架构师肖新光表示，过去 10 年中国互联网以速度生存，应用开发脱离了安全发展，未来这些欠账将要陆续补上。如何砍断“用户资料销售”产业链，也是一个大问题。</p>     <p> <strong>黑客的“信息分层制”</strong></p>     <p> 很少人记得，早在去年 4 月索尼已宣布，其游戏网络 PlayStation (PSN)被入侵，有 7700 万个用户的信息可能被盗取，涉及姓名、账单地址及以及其他相关信息。安天首席技术架构师肖新光告诉南都记者，这波泄露库的潮流是从国外开始的。“由于 0day 漏洞的存在，和目前应用的庞大的复杂性等等，可以说在当前的情况下，很难有网站应用能决定保证自己是安全的。”</p>     <p> 可以看到，一方面是服务端难以弥补的漏洞，另一方面，引发账户入侵的则是激烈的市场竞争下，互联网应用开发者、各类企业对于用户的争夺战。目前，国内有众多专门从事入侵账户的黑客，而其身后是。一位曾经购买过用户资料的开发者小林告诉南都记者，最常见的情况有两种：一种是模仿抄袭某网站时，请黑客入侵同类网站的数据库，将该库信息进行简单修改后，再导入自己的网站，开发成本骤降；另外一种，则是由于营销需求索取特定的某种个人资料，如邮箱、手机号码等，主要是电商在用。“这些业务都有固定的 QQ 群或论坛，可以在里面提出自己的用户需求，再讨价还价。”小林告诉记者。</p>     <p> 南都记者昨日尝试进入多个相关的 QQ 群，都被通知“对方拒绝加入成员”，显示圈内风声渐紧。其后，<strong>记者辗转联系上一位黑客，向其了解了入侵网站数据库的过程</strong>。</p>     <p> 杨先生表示，一般来说黑客首先是进行“拖库”，获得网站的账户信息，然后再进行“洗库”和“撞库”，进行信息分层，寻找高价值的目标。“首先被选取的，是带有虚拟货币的 QQ 号码、游戏账户、支付宝账户等；然后，将用户的基本信息进行保存，比如密码习惯等，看是否适用于其他网站；之后，才是现成的电子信箱、家庭住址、手机号码等信息，倒卖给垃圾邮件、垃圾短信发送公司。”杨先生表示：“目前互联网企业都讲‘开放’，提倡同一账号登陆多个网站，等于‘一号多用’，账户信息更不安全。”</p>     <p> <strong>抢速度后遗症</strong></p>     <p> 安天实验室首席技术架构师肖新光表示，眼下网络泄密的根本原因，从根本上看是过去 10 年，互联网开发抢速度的后遗症。“互联网一定程度上是以速度生存的，而安全上考虑更多无疑会影响开发的效率和进度，也可能会影响用户的操作体验。因此，国内应用开发脱离安全发展，对安全欠账较多。但未来的 10 年，安全性将是互联网企业的生存支点之一，这些欠账是需要陆续补上的。”</p>     <p> 根据安天实验室普查的情况，国内网站账户信息使用明文存放、标准 MD5 存放的比率是比较高的，而这些方法都是不科学的。黑客杨先生就表示，采用明文保存密码是用户信息泄露的关键，但即使是采用标准 MD5 进行加密存储，也可以通过彩虹表碰撞，进行破解。</p>     <p> 肖新光建议，网站可以通过制定整体权限和数据访问的策略；及时安装应用和补丁；提升应用的编码质量，提升对 SQL 注入的防范；还可将应用服务和数据库服务器分开，将数据库服务器配置为只有需要访问库的应用和管理才能访问。“加强网站安全有很多的策略和方法，但很多需要较大的成本，这并不是大部分国内网站所能承受的。”肖新光补充道。</p>     <p> 此次泄密风波中，被广泛提及的“明文保存”，正是早年不少商业网站出于方便操作、节省成本而采用的储存方法。</p>     <p> 此前，工业和信息化部已经就此次事件发布通告，对窃取和泄露用户信息表示强烈谴责。工信部表示，立即启动应急预案，组织相关通信管理局、国家计算机网络应急技术处理协调中心(CNCERT)、网络安全专家和部分互联网企业，了解核实事件情况，评估事件影响和危害，研究提出应对措施。肖新光提醒，目前网络上出现的泄密信息有效性仍需考证，要以管理部门的统计为准。“但里面确实有消息是不可靠的，有些所谓的数据库是一些用于骗 P2P 分数、甚至推广自身软件的假库。”<br /> </p>     <div id="come_from">      来自: 南方都市报     </div>     <p></p>    </div>