从技术角度看，携程到底犯了哪些错？

        理应说这次重大事件发生，携程应当第一时间通知用户，而不是通知乌云。看来携程这次出大事了，那我想从技术角度看看携程到底犯了哪些错。

        1、保存 CVV 等同于保存用户密码

        进入支付金额这一流程，携程只要求输入身份证号、持卡人姓名、信用卡卡号、信用卡卡背面上三位 CVV 安全码，交易就宣告成功，根本无需输入信用卡密码。

        说的通俗点，CVV 安全码等同于密码，所以很多有戒备心的用户都是在办理信用卡后将后三位涂摸掉，以防刷卡时被人发现，就可以直接刷其信用卡的现金。

        而携程私自保存 CVV 安全码的行为，其本质上就是在用户输入交易密码私下留存的行为，这种行为也是银行明文禁止的，携程作为这样一个大公司，居然私自保存用户 CVV 安全码，着实让人不可思议。

        2、明文保存

        再将 CVV 安全码同支付宝密码，银行卡密码作对比，又暴露了什么问题？

        首先任何网站的用户的密码都应当是经过不可逆转的加密保存，无法明文保存，用非技术的话来说就是数据库后台工程师看到的用户密码都无法进行任何 操作，因为假设原来用户的密码是“123123”那么后台密码就可能是“SDF23KLFAS2323KK4”之类的经过复杂算法后的暗码。

        如果携程此次是将 CVV 加密保存，那么就算是被检查出有漏洞，也绝不会有太大危险。

        我们再次回看 2011 年，CSDN 被爆明文保存密码被拖库事件：

        （1）CSDN 帐号数据库是明文保存密码吗？

        2009 年 4 月之前是明文，2009 年 4 月之后是加密的，但部分明文密码未清理；2010 年 8 月我来 CSDN 以后清理掉了所有明文密码。所以从 2010 年 9 月开始全部都是安全的，9 月之前的有可能不安全。

        （2）我的 CSDN 帐号是安全的吗？需要修改密码吗？

如果你是 2009 年 4 月以前注册的帐号，且 2010 年 9 月之后没有修改过密码，请立即修改密码；

如果你是 2009 年 4 月以后注册的帐号，且 2010 年 9 月之后没有修改过密码，建议修改密码；

如果你是 2010 年 9 月以后注册的帐号，不必修改密码，但邮箱有泄露可能性；

如果你是 2011 年 1 月以后注册的帐号，帐号，密码和邮箱都非常安全；

        从中说明了一件事，一旦用明文保存用户信息有过一段时间，都是很危险的事情，哪怕你之后将明文改成了暗文，只要之前的数据被黑客得到过，都会遭遇极大危险。

        3、无法兑现赔付承诺

        可以试想一下，只要用信用卡支付过一次的携程用户都会遭遇到被刷卡的风险。而用户解决的唯一方法就是换卡。携程声明中声称没有用户出现被盗的情况，但是还是通知用户去换卡，只能说明心虚无疑。而一旦用户的信用卡被盗刷，如果要想投诉携程，恐怕携程也不太可能承认，如果承认将会出现更大危机，而用户也无法找到任何证据说明自己信用卡被盗刷是因为携程的原因。

        所以携程关于“倘若发生安全漏洞并引起用户损失，携程将给予全额赔付。”的承诺只是一句漂亮的空话而已，在具体落实的层面是极难操作的。

        4、危险可能已经发生

        携程该漏洞只是在乌云大牛猪猪侠发现后被补上，但完全不排除已经有其他高手早已将之攻破，已经在进行暗箱操作。

        信用卡有支付限制，每天只能小额转移，在大额转以上还需要手机认证，但如果黑客坐拥如此海量携程用户，并且每天像是在羊群身上抽羊毛，用户都不会觉得痛，只需要几天时间，便可以将大量现金转账，仔细想想，这也是一件非常恐怖的事情。

        这就像 CSDN 之前是用明文保存的用户只要不修改密码，就一定可以被黑客利用是一个道理，哪怕 09 年 4 月以后 CSDN 使用了暗码保存也同样没用，这个数据库已经拖出来了，已经无法挽回了。

        是否携程用户的数据已经被其他黑客截取正在进行着地下转移，我们都不知道，只希望还是不要的好。

        所以奉劝曾经在携程上使用过信用卡的用户，以防万一，还是赶紧换卡为妙。携程自己都不敢百分之百保证安全，还是通知部分用户去换卡，为了保险起见建议大家换卡，小心下一个被刷卡的可能就是你。

        从远期的人人，CSDN，天涯被曝拖出明文数据库，再到近期的全球最大比特币交易网站 Mt.Gox 被黑客盗走 75 万比特币，以及刚刚发生的携程事件，这个网络世界着实让人感到不安全，我们需要交易需要服务，但同时我们也需要更加安全的平台来保护我们的利益，而不是让 我们随时陷入恐慌之中。