紅軟基地 推薦
2012-01-13
“白天安全工程師，晚上黑客”
“CSDN對敏感信息不敏感，也缺乏安全意識。”蔣濤承認(rèn)，包括CSDN在內(nèi)的國內(nèi)大型網(wǎng)站安全意識都很薄弱。
據(jù)蔣濤介紹，目前，整個互聯(lián)網(wǎng)的安全現(xiàn)狀極不樂觀：70%以上的加密算法密碼庫都可以通過高頻碰撞破解，80%以上的互聯(lián)網(wǎng)公司都存在漏洞，60%以上有安全策略的公司還存在著漏洞，地下數(shù)據(jù)庫顯示，網(wǎng)站暴露出來的問題甚至更多。
這些漏洞，也就是黑客入侵的基礎(chǔ)。
眾多的黑客潛伏在IT互聯(lián)網(wǎng)公司。在這次泄密門事件中，YY語音聊天的信息泄漏是其員工自身來泄漏的，而竊取CSDN用戶數(shù)據(jù)也是互聯(lián)網(wǎng)公司的技術(shù)人員干的。
“這是企業(yè)員工的自發(fā)行為，和企業(yè)并沒有關(guān)系。但這也說明了安全行業(yè)身份的多重性。”一位黑客告訴記者，這些人可能白天是某企業(yè)的安全工程師，晚上就是黑客。
“泄密門”兩嫌犯被拘： 白天工程師晚上黑客
據(jù)一位資深黑客介紹，這些用戶數(shù)據(jù)庫早已是黑客圈公開的秘密;但這一次整個互聯(lián)網(wǎng)行業(yè)的用戶信息被泄漏，背后可能有某些商業(yè)組織在推動。
“在國內(nèi)，黑客的圈子雖然小，但大多是個人，組織松散，并且，行業(yè)也有自律。一般不會產(chǎn)生這樣大的爆庫行為。”這位黑客稱。
一般情況下，用戶庫都只是在黑客圈中傳播，但一旦進入大眾視野，影響便沒法控制，因為有很多通道可以進行傳播。比如，迅雷、黑客圈的QQ群、論壇的FTP下載。
據(jù)北京市公安局相關(guān)處室透露，CSDN和天涯這兩家網(wǎng)站曾在2009年以前遭入侵，數(shù)據(jù)泄漏也發(fā)生在兩年前，近期這兩家網(wǎng)站并沒有遭到攻擊。
“這一次，黑客是善意的，爆出來的都是以前的庫。”一位不愿具名的安全行業(yè)工程師透露，實際上，他們手里有最新的庫，但出于對行業(yè)環(huán)境的考慮，沒有把這些庫爆出來。
泄密門曾有預(yù)警
在密碼泄漏事件中，一個叫做烏云漏洞平臺(Wooyun.org)從不為人熟知的專業(yè)平臺一下躍入大眾視野。烏云吸引了一大批黑客，他們在發(fā)現(xiàn)企業(yè)漏洞時，便將這些漏洞與補丁傳到這些網(wǎng)站上去。
但是，這個平臺一直不受企業(yè)待見。蔣濤亦坦承，事發(fā)之前，烏云漏洞平臺把大部分漏洞做出了預(yù)警，告訴了相關(guān)企業(yè)，但各個企業(yè)并沒有引起足夠重視，沒有及時提醒用戶修改密碼，導(dǎo)致后來一發(fā)不可收拾。
緣何企業(yè)對預(yù)警如此忽視?
這緣于黑客與企業(yè)之間多年形成的微妙關(guān)系。這些企業(yè)對黑客往往是又氣又惱。在黑客面前，企業(yè)就像一個學(xué)生。黑客老師天天挑學(xué)生的毛病，剛開始可能覺得是正向激勵，日子久了，自然對黑客沒好臉色。
更有一些公司極端地認(rèn)為，沒有黑客，企業(yè)的漏洞在某種程度上來說就不存在，“即便存在，也不打緊。只要不暴露，就可以視而不見”。
但是，企業(yè)又無法“忽視”黑客。因為，黑客冷不防就會給上“溫柔一刀”。一些大的互聯(lián)網(wǎng)企業(yè)甚至直接“招安”黑客，納入麾下。有的小網(wǎng)站每月給黑客上交1萬元到2萬元的“保護費”。
“其實，黑客需要的是肯定。”上述安全行業(yè)工程師告訴記者，在烏云的平臺上，企業(yè)會給提交漏洞的黑客以積分，用作鼓勵。黑客也愿意無私提交發(fā)現(xiàn)的漏洞，如此形成了一個良性循環(huán)。
應(yīng)對之策
“未來，各個網(wǎng)站應(yīng)該和類似烏云漏洞的平臺合作。”蔣濤倡議，未來，國內(nèi)安全界和技術(shù)界不應(yīng)該再有隔離。
CSDN開始全方位亡羊補牢。1月11日，CSDN與阿里云展開針對網(wǎng)站安全的戰(zhàn)略合作。據(jù)蔣濤介紹， CSDN將采用阿里云郵箱，并把該郵箱與其他郵箱隔離，避免一個郵箱泄漏，“全城皆失”的情況。并且，還將接受阿里云提供的其他服務(wù)。
“我們應(yīng)該和那些安全做得好的企業(yè)合作。”蔣濤稱，除百度、阿里、騰訊等大公司，以及某些游戲廠商外，許多國內(nèi)的互聯(lián)網(wǎng)公司，包括CSDN在內(nèi)，并沒有太多實力去成立一個專門的安全工程師團隊。
蔣濤告訴記者，CSDN會加強自身的安全策略，把網(wǎng)站的非核心數(shù)據(jù)與核心數(shù)據(jù)進行隔離，減少有價值數(shù)據(jù)的接口;并且正在向安全部門申請信息系統(tǒng)的等級保護，接受信息安全監(jiān)管部門的相關(guān)管理。并且，CSDN還會引入相應(yīng)的安全審核機制，防止數(shù)據(jù)信息從內(nèi)部泄漏。
來源：21世紀(jì)經(jīng)濟報道 作者：揚揚