日韩欧美偷拍,免费女女同性 av网站,亚洲爱爱爱

攜程信息泄露有多少信任可以重來？

文旅界 2014.04.04 10:26 閱讀量：91221

國內(nèi)大多數(shù)公司平常不把安全落實(shí)到實(shí)處，得過且過，順其自然。等到出了問題的時候再修復(fù)和危機(jī)公關(guān)。攜程

　　1、攜程一石激起千層浪

　　支付雖易，婚姻不易，且行且謹(jǐn)慎。

　　攜程網(wǎng)的漏洞詩經(jīng)已經(jīng)在互聯(lián)網(wǎng)上炒的沸沸揚(yáng)揚(yáng)，自從烏云網(wǎng)的消息一經(jīng)披露，立刻一石激起千層浪、謾罵聲、討伐聲一時百千齊作，攜程網(wǎng)成了眾矢之的。一時間，全民像陷入了無意識狀態(tài)般矛頭紛紛指向了攜程。

　　細(xì)想一下用戶們的心情，幾乎了解這條新聞的人都曾使用過攜程網(wǎng)，一聽到攜程網(wǎng)信用卡信息泄露這種關(guān)鍵詞，神經(jīng)肯定會變得高度緊張，這都是無可厚非的，誰也不愿意拿自己辛辛苦苦掙來的血汗錢為攜程沒有做到位的保險(xiǎn)措施買單。但是冷靜地想一想是不是這次事件的泡沫比事件本身更豐富?

　　這次事件的源于一位名為豬豬俠的白帽聲稱找到了"攜程安全支付日志可遍歷下載導(dǎo)致大量用戶銀行卡信息泄露(包括持卡人姓名身份證、銀行卡號、卡CVV碼、6位卡Bin)。一旦這些信息被不法分子掌握，攜程用戶的信用卡將被任意盜刷。"不可否認(rèn)，安全無小事，我們不能否認(rèn)這對于黑客來說是個"利好"消息，可能也真的有黑客在此之前就已經(jīng)蠢蠢欲動了。消息經(jīng)媒體披露后更是令人惶惶不可終日，于是有了凌晨四點(diǎn)撥至銀行的咨詢電話，有了等候更換信用卡的長龍，這一切都是因?yàn)榇蠹乙呀?jīng)覺得自己"不安全"了。

　　繼而，就是很多評論文章中所提及的PCI-DSS標(biāo)準(zhǔn)，在PCI-DSS標(biāo)準(zhǔn) 中，明確的定義了如何實(shí)施數(shù)據(jù)保護(hù)，以及哪些信息是可以保存，哪些信息是不能保存(尤其是明文保存)的(比如CVV等敏感信息)。因此攜程這次是明確的違反了PCI-DSS的相關(guān)規(guī)定。至于攜程面對為何保留了CVV敏感信息這個問題更是讓其百口莫辯。這是它留給媒體的一個把柄，也更讓廣大用戶的心始終惴惴不安。

　　2、攜程犯了這么幾個錯

因?yàn)閿y程在上市的時候肯定是通過了PCI-DSS標(biāo)準(zhǔn)的，由此也可以看出一些安全標(biāo)準(zhǔn)從實(shí)施到維持是何等的艱難。而「安全標(biāo)準(zhǔn)」、「合規(guī)」的要求現(xiàn)在已經(jīng)淪落為一門生意，含金量越來越低。實(shí)施PCI-DSS的安全公司可能會給客戶提交一大堆文檔，但真正認(rèn)真去落地的公司越來越少了。所以通過了安全標(biāo)準(zhǔn)并不意味著什么，只是花錢買了個牌照而已。比如PCI-DSS的要求會產(chǎn)生很多衍生的安全需求，而VISA也投了一些安全公司，他們把這里面的大部分利益給分了。在利益關(guān)聯(lián)之下，對認(rèn)證的審核必然不會太過嚴(yán)格。

　　這次的事件按照攜程官方的解釋是出于調(diào)試的目的記錄了臨時日志，共涉及到93名用戶，未發(fā)現(xiàn)其他數(shù)據(jù)泄露。我相信這個漏洞的提交者「豬豬俠」并不會將這部分?jǐn)?shù)據(jù)用于惡意用途，因?yàn)樗跇I(yè)內(nèi)的口碑非常好，且如果想這么干，就不會把漏洞提交給烏云了。但攜程是否還存在其他問題卻不得而知。

　　對于用戶而言，可能會產(chǎn)生恐慌心理而要求銀行更換信用卡。但除非你以后不再用網(wǎng)上信用卡支付了，否則類似的問題短期內(nèi)還是很難避免。我相信還有很多公司比攜程做的更糟糕，更缺乏規(guī)范，特別是一些還沒有上市，沒有通過PCI-DSS認(rèn)證的公司，只是這些問題沒有被暴露在陽光下，因此你不知道而已。

　　3、這些年安全泄密事件層出不窮

　　2011年12月，CSDN、多玩、世紀(jì)佳緣、走秀等多家網(wǎng)站的用戶數(shù)據(jù)庫被曝光在網(wǎng)絡(luò)上，由于部分密碼以明文方式顯示，導(dǎo)致大量網(wǎng)民受到隱私泄露的威脅。

　　12月25日，事件繼續(xù)升級，烏云漏洞平臺再次爆出天涯社區(qū)4000萬用戶資料泄露，用戶明文密碼泄露。之后，天涯社區(qū)在網(wǎng)站上發(fā)表致歉信。

　　12月29日，傳言當(dāng)當(dāng)網(wǎng)1200萬完整用戶數(shù)據(jù)已經(jīng)泄露，包括用戶真實(shí)姓名、注冊郵箱、收貨地址、電話等信息。同時，用戶數(shù)據(jù)最為重要的電商領(lǐng) 域，也不斷傳出存在漏洞、用戶泄露的消息，烏云報(bào)告稱，支付寶用戶大量泄露，被用于網(wǎng)絡(luò)營銷，泄露總量達(dá)1500萬～2500萬之多，泄露時間不明，里面只有支付用戶的賬號，沒有密碼。

　　如家、七天2000萬條客戶開房信息遭泄露

　　2013年10月，如家、七天等連鎖酒店被網(wǎng)曝有多達(dá)2000萬條客戶開房信息遭泄露。

　　據(jù)《新京報(bào)》2013年10月20日報(bào)道，10月18日，實(shí)名認(rèn)證的新浪微博賬戶@股社區(qū)發(fā)布了一個名為"查開房"的網(wǎng)址。只需輸入姓名或身份證號，即可查詢到包括身份證號、生日、地址、手機(jī)號、郵箱、公司、登記日期等真實(shí)信息。

　　事發(fā)一周前，國內(nèi)安全漏洞監(jiān)測平臺烏云(WooYun.org)發(fā)布報(bào)告，稱多家酒店開房記錄被無線上網(wǎng)認(rèn)證管理系統(tǒng)供應(yīng)商--浙江慧達(dá)驛站網(wǎng)絡(luò)有限公司存儲，并因系統(tǒng)有漏洞而存在泄露隱患�；圻_(dá)驛站公司確認(rèn)曾存在漏洞并已修復(fù)，并稱未造成開房記錄等住客個人信息泄露。

　　2013年11月，圓通速遞近百萬條快遞單個人信息在網(wǎng)絡(luò)上被公開出售，網(wǎng)上甚至還出現(xiàn)了專門交易快遞單號的網(wǎng)站，如"淘單114""淘鋪發(fā)""淘單網(wǎng)""單號吧"等。在這些網(wǎng)站，每個單號都被明碼標(biāo)價(jià)，"批發(fā)價(jià)"最低四角，儼然已成為一種"產(chǎn)業(yè)"。據(jù)記者調(diào)查，每天在網(wǎng)上交易的快遞單號高達(dá)3萬個左右。

　　犯罪分子在購買快遞單信息后，即可從事不法行為。2013年3月份，家住深圳羅湖的虞峰(化名)托朋友給自己快遞七部價(jià)值總計(jì)8400元的聯(lián)想手機(jī)，但苦等幾日，都不見手機(jī)寄到。虞峰一查物流信息竟發(fā)現(xiàn)，手機(jī)已被"自己"領(lǐng)走。最終公安調(diào)查發(fā)現(xiàn)，原來，犯罪嫌疑人范某購得虞峰的信息后，立即聯(lián)系制造了虞峰的身份證件，在確認(rèn)快件到達(dá)快遞公司網(wǎng)點(diǎn)，尚未進(jìn)入派送之時，以假證件騙過快遞公司員工后，直接領(lǐng)走虞峰的七部手機(jī)，隨后將手機(jī)變賣。

　　4、“安全”到底是什么?預(yù)防與妥協(xié)

因?yàn)閲鴥?nèi)的安全意識還處在上個世紀(jì)的水平，直到去年安全行業(yè)火了一把后，大家才開始注重網(wǎng)絡(luò)安全。很多用戶在上網(wǎng)的時候，并不會較真一些網(wǎng)站的聲明，而采取了默認(rèn)的信任。而在國外，只要涉及敏感用戶隱私的網(wǎng)站，都需要一個非常復(fù)雜的聲明，聲稱絕對不會存儲不該存儲的信息，也不會向用戶詢問隱私信息(反詐騙提醒)。

　　可見，網(wǎng)絡(luò)安全技術(shù)上固然復(fù)雜繁瑣，但是技術(shù)問題不可怕，可怕的是意識問題。我們在工作中間無論是無心還是有意的，沒有把用戶隱私放到一個神圣的地位來對待。用戶本身也不會發(fā)現(xiàn)，你平常去一個網(wǎng)站，你很可能使用的就是你支付寶的密碼，如果這個網(wǎng)站保存下來了，你根本就察覺不到，如果被泄露了，在現(xiàn)行法律下，執(zhí)法機(jī)構(gòu)抓不到黑客的話，也很難追究到網(wǎng)站的責(zé)任，這個苦水就只有自己吞了。

　　而在國外，身份竊取或者是信用卡詐騙都是聯(lián)邦重罪，為了預(yù)防和打擊可能的犯罪，信用卡公司和金融機(jī)構(gòu)每年投入大量的經(jīng)費(fèi)，聯(lián)合治理網(wǎng)絡(luò)支付安全。其中最著名的是 PCI-DSS compliance 以及信用卡3D驗(yàn)證，其中PCI 是預(yù)防信息泄漏， 3D是防止盜取信息者牟利。

　　什么是PCI-DSS呢? 攜程的這個接口屬于站內(nèi)支付，在國際上有一個標(biāo)準(zhǔn)是用來管理支付網(wǎng)站安全的，簡稱是PCI compliance， PCI就是 Payment Card Industry， DSS就是data storage security--數(shù)據(jù)安全，PCI這個標(biāo)準(zhǔn)要求非常高，是需要時事更新的。提供PCI驗(yàn)證服務(wù)的公司通常會多方面地地毯式掃描，會找出各類漏洞，還要你在申請的時候嚴(yán)格申明不能保存不該存的信息，以及不可以不使用 SSL 加密數(shù)據(jù)傳輸(避免數(shù)據(jù)嗅探)。我以前自己的網(wǎng)站申請過first data等公司的站內(nèi)支付服務(wù)，PCI將我折磨地不行，而且每3個月都需要更新一次。

　　再說一下3D驗(yàn)證，這個在不同國家有不同的做法，多數(shù)是通過大數(shù)據(jù)檢驗(yàn)?zāi)闶欠袷窃诔Ｓ迷O(shè)備和IP上登錄，以及你的行為是否正常(盜取paypal的黑客即便是在被盜用戶自己的機(jī)器上都有可能在提現(xiàn)時被鎖號) 如果不是的話彈一個小窗，需要輸入更加隱私的信息，可以是銀行的密碼保護(hù)問題，也可能是生日，社會保險(xiǎn)號等，目的是驗(yàn)證使用者確實(shí)是你。

　　以上兩路大招加起來是否能完全避免信息泄露的損失呢? 當(dāng)然也做不到100%絕對安全，但是至少這體現(xiàn)了一種態(tài)度和意識。國內(nèi)大多數(shù)公司平常不把安全落實(shí)到實(shí)處，得過且過，順其自然。等到出了問題的時候再修復(fù)和危機(jī)公關(guān)。我相信攜程一定有能力做到完全的PCI compliance 并且時時刻刻保持更新，也有這個實(shí)力去把網(wǎng)絡(luò)安全措施做到國際水準(zhǔn)，但是它卻沒有做到，就跟大多數(shù)其他網(wǎng)站一樣。那為什么沒有機(jī)構(gòu)去監(jiān)管這樣的行為呢? 在一個連地溝油毒奶粉沒有FDA這樣的嚴(yán)格標(biāo)準(zhǔn)監(jiān)管的地方，PCI確實(shí)不是一個性價(jià)比高的東西，還不如花點(diǎn)錢多投點(diǎn)廣告來點(diǎn)流量更實(shí)際。

攜程安全技術(shù)