亚洲国产欧美在线成人app,精品无人区一区二区三区,韩国色网

攜程信息泄露有多少信任可以重來？

文旅界 2014.04.04 10:26 閱讀量：88777

國內大多數公司平常不把安全落實到實處，得過且過，順其自然。等到出了問題的時候再修復和危機公關。攜程

　　1、攜程一石激起千層浪

　　支付雖易，婚姻不易，且行且謹慎。

　　攜程網的漏洞詩經已經在互聯網上炒的沸沸揚揚，自從烏云網的消息一經披露，立刻一石激起千層浪、謾罵聲、討伐聲一時百千齊作，攜程網成了眾矢之的。一時間，全民像陷入了無意識狀態般矛頭紛紛指向了攜程。

　　細想一下用戶們的心情，幾乎了解這條新聞的人都曾使用過攜程網，一聽到攜程網信用卡信息泄露這種關鍵詞，神經肯定會變得高度緊張，這都是無可厚非的，誰也不愿意拿自己辛辛苦苦掙來的血汗錢為攜程沒有做到位的保險措施買單。但是冷靜地想一想是不是這次事件的泡沫比事件本身更豐富?

　　這次事件的源于一位名為豬豬俠的白帽聲稱找到了"攜程安全支付日志可遍歷下載導致大量用戶銀行卡信息泄露(包括持卡人姓名身份證、銀行卡號、卡CVV碼、6位卡Bin)。一旦這些信息被不法分子掌握，攜程用戶的信用卡將被任意盜刷。"不可否認，安全無小事，我們不能否認這對于黑客來說是個"利好"消息，可能也真的有黑客在此之前就已經蠢蠢欲動了。消息經媒體披露后更是令人惶惶不可終日，于是有了凌晨四點撥至銀行的咨詢電話，有了等候更換信用卡的長龍，這一切都是因為大家已經覺得自己"不安全"了。

　　繼而，就是很多評論文章中所提及的PCI-DSS標準，在PCI-DSS標準中，明確的定義了如何實施數據保護，以及哪些信息是可以保存，哪些信息是不能保存(尤其是明文保存)的(比如CVV等敏感信息)。因此攜程這次是明確的違反了PCI-DSS的相關規定。至于攜程面對為何保留了CVV敏感信息這個問題更是讓其百口莫辯。這是它留給媒體的一個把柄，也更讓廣大用戶的心始終惴惴不安。

　　2、攜程犯了這么幾個錯

因為攜程在上市的時候肯定是通過了PCI-DSS標準的，由此也可以看出一些安全標準從實施到維持是何等的艱難。而「安全標準」、「合規」的要求現在已經淪落為一門生意，含金量越來越低。實施PCI-DSS的安全公司可能會給客戶提交一大堆文檔，但真正認真去落地的公司越來越少了。所以通過了安全標準并不意味著什么，只是花錢買了個牌照而已。比如PCI-DSS的要求會產生很多衍生的安全需求，而VISA也投了一些安全公司，他們把這里面的大部分利益給分了。在利益關聯之下，對認證的審核必然不會太過嚴格。

　　這次的事件按照攜程官方的解釋是出于調試的目的記錄了臨時日志，共涉及到93名用戶，未發現其他數據泄露。我相信這個漏洞的提交者「豬豬俠」并不會將這部分數據用于惡意用途，因為他在業內的口碑非常好，且如果想這么干，就不會把漏洞提交給烏云了。但攜程是否還存在其他問題卻不得而知。

　　對于用戶而言，可能會產生恐慌心理而要求銀行更換信用卡。但除非你以后不再用網上信用卡支付了，否則類似的問題短期內還是很難避免。我相信還有很多公司比攜程做的更糟糕，更缺乏規范，特別是一些還沒有上市，沒有通過PCI-DSS認證的公司，只是這些問題沒有被暴露在陽光下，因此你不知道而已。

　　3、這些年安全泄密事件層出不窮

　　2011年12月，CSDN、多玩、世紀佳緣、走秀等多家網站的用戶數據庫被曝光在網絡上，由于部分密碼以明文方式顯示，導致大量網民受到隱私泄露的威脅。

　　12月25日，事件繼續升級，烏云漏洞平臺再次爆出天涯社區4000萬用戶資料泄露，用戶明文密碼泄露。之后，天涯社區在網站上發表致歉信。

　　12月29日，傳言當當網1200萬完整用戶數據已經泄露，包括用戶真實姓名、注冊郵箱、收貨地址、電話等信息。同時，用戶數據最為重要的電商領域，也不斷傳出存在漏洞、用戶泄露的消息，烏云報告稱，支付寶用戶大量泄露，被用于網絡營銷，泄露總量達1500萬～2500萬之多，泄露時間不明，里面只有支付用戶的賬號，沒有密碼。

　　如家、七天2000萬條客戶開房信息遭泄露

　　2013年10月，如家、七天等連鎖酒店被網曝有多達2000萬條客戶開房信息遭泄露。

　　據《新京報》2013年10月20日報道，10月18日，實名認證的新浪微博賬戶@股社區發布了一個名為"查開房"的網址。只需輸入姓名或身份證號，即可查詢到包括身份證號、生日、地址、手機號、郵箱、公司、登記日期等真實信息。

　　事發一周前，國內安全漏洞監測平臺烏云(WooYun.org)發布報告，稱多家酒店開房記錄被無線上網認證管理系統供應商--浙江慧達驛站網絡有限公司存儲，并因系統有漏洞而存在泄露隱患。慧達驛站公司確認曾存在漏洞并已修復，并稱未造成開房記錄等住客個人信息泄露。

　　2013年11月，圓通速遞近百萬條快遞單個人信息在網絡上被公開出售，網上甚至還出現了專門交易快遞單號的網站，如"淘單114""淘鋪發""淘單網""單號吧"等。在這些網站，每個單號都被明碼標價，"批發價"最低四角，儼然已成為一種"產業"。據記者調查，每天在網上交易的快遞單號高達3萬個左右。

　　犯罪分子在購買快遞單信息后，即可從事不法行為。2013年3月份，家住深圳羅湖的虞峰(化名)托朋友給自己快遞七部價值總計8400元的聯想手機，但苦等幾日，都不見手機寄到。虞峰一查物流信息竟發現，手機已被"自己"領走。最終公安調查發現，原來，犯罪嫌疑人范某購得虞峰的信息后，立即聯系制造了虞峰的身份證件，在確認快件到達快遞公司網點，尚未進入派送之時，以假證件騙過快遞公司員工后，直接領走虞峰的七部手機，隨后將手機變賣。

　　4、“安全”到底是什么?預防與妥協

因為國內的安全意識還處在上個世紀的水平，直到去年安全行業火了一把后，大家才開始注重網絡安全。很多用戶在上網的時候，并不會較真一些網站的聲明，而采取了默認的信任。而在國外，只要涉及敏感用戶隱私的網站，都需要一個非常復雜的聲明，聲稱絕對不會存儲不該存儲的信息，也不會向用戶詢問隱私信息(反詐騙提醒)。

　　可見，網絡安全技術上固然復雜繁瑣，但是技術問題不可怕，可怕的是意識問題。我們在工作中間無論是無心還是有意的，沒有把用戶隱私放到一個神圣的地位來對待。用戶本身也不會發現，你平常去一個網站，你很可能使用的就是你支付寶的密碼，如果這個網站保存下來了，你根本就察覺不到，如果被泄露了，在現行法律下，執法機構抓不到黑客的話，也很難追究到網站的責任，這個苦水就只有自己吞了。

　　而在國外，身份竊取或者是信用卡詐騙都是聯邦重罪，為了預防和打擊可能的犯罪，信用卡公司和金融機構每年投入大量的經費，聯合治理網絡支付安全。其中最著名的是 PCI-DSS compliance 以及信用卡3D驗證，其中PCI 是預防信息泄漏， 3D是防止盜取信息者牟利。

　　什么是PCI-DSS呢? 攜程的這個接口屬于站內支付，在國際上有一個標準是用來管理支付網站安全的，簡稱是PCI compliance， PCI就是 Payment Card Industry， DSS就是data storage security--數據安全，PCI這個標準要求非常高，是需要時事更新的。提供PCI驗證服務的公司通常會多方面地地毯式掃描，會找出各類漏洞，還要你在申請的時候嚴格申明不能保存不該存的信息，以及不可以不使用 SSL 加密數據傳輸(避免數據嗅探)。我以前自己的網站申請過first data等公司的站內支付服務，PCI將我折磨地不行，而且每3個月都需要更新一次。

　　再說一下3D驗證，這個在不同國家有不同的做法，多數是通過大數據檢驗你是否是在常用設備和IP上登錄，以及你的行為是否正常(盜取paypal的黑客即便是在被盜用戶自己的機器上都有可能在提現時被鎖號) 如果不是的話彈一個小窗，需要輸入更加隱私的信息，可以是銀行的密碼保護問題，也可能是生日，社會保險號等，目的是驗證使用者確實是你。

　　以上兩路大招加起來是否能完全避免信息泄露的損失呢? 當然也做不到100%絕對安全，但是至少這體現了一種態度和意識。國內大多數公司平常不把安全落實到實處，得過且過，順其自然。等到出了問題的時候再修復和危機公關。我相信攜程一定有能力做到完全的PCI compliance 并且時時刻刻保持更新，也有這個實力去把網絡安全措施做到國際水準，但是它卻沒有做到，就跟大多數其他網站一樣。那為什么沒有機構去監管這樣的行為呢? 在一個連地溝油毒奶粉沒有FDA這樣的嚴格標準監管的地方，PCI確實不是一個性價比高的東西，還不如花點錢多投點廣告來點流量更實際。

攜程安全技術

攜程信息泄露 有多少信任可以重來？

攜程信息泄露有多少信任可以重來？