搜索

[24511] 2015-12-14_网上订票惊爆信息泄露风险，你还敢在网上订票吗？

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2015-12-14_网上订票惊爆信息泄露风险，你还敢在网上订票吗？ 网 上 订 票 惊 爆 信 息 泄 露 风 险 ， 你 还 敢 在 网 上 订 票 吗 ？ L i n u x 中 国   2 0 1 5 - 1 2 - 1 4 据 外 媒   S o f t p e d i a   消 息 ， 移 动 数 据 领 域 的 初 创 企 业   W a n d e r a   最 近 的 一 份 调 查 报 告 显 示 ， 包 括 加 拿 大 航 空 、 亚 航 等 四 家 大 型 航 空 公 司 在 内 的 全 球 十 余 家 航 空 、 铁 路 、 出 租 、 票 务 等 方 面 的 大 型 公 司 由 于 没 有 部 署 移 动 端   H T T P S   访 问 ， 导 致 用 户 信 息 存 在 巨 大 的 泄 露 风 险 ！ 这 些 公 司 往 往 都 已 经 在 其 网 站 上 部 署 了   H T T P S   服 务 ， 但 是 其 提 供 的 针 对 手 机 的 移 动 网 站 和   a p p   客 户 端 的 访 问 上 ， 却 没 有 相 应 的 也 使 用   H T T P S   服 务 。 这 就 导 致 了 它 们 为 每 日 高 达 5 0 万 用 户 访 问 所 提 供 的 服 务 存 在 着 巨 大 的 信 息 泄 露 风 险 。 网 上 订 票 惊 爆 信 息 泄 露 风 险 ， 你 还 敢 在 网 上 订 票 吗 ？ 尤 其 是 当 用 户 使 用 不 可 靠 的 公 用 互 联 网 接 入 ， 如 咖 啡 馆 、 商 场 的 免 费   W I F I ， 通 过 手 机 浏 览 器 或   a p p   客 户 端 访 问 这 些 没 有 采 用   H T T P S   的 服 务 时 ， 就 存 在 很 大 的 被 截 获 各 种 私 人 敏 感 信 息 的 风 险 ， 比 如 身 份 信 息 、 用 户 名 、 密 码 ， 乃 至 于 信 用 卡 号 码 等 。 这 些 数 据 泄 露 风 险 从 何 时 开 始 ， 造 成 了 多 大 的 数 据 泄 露 已 不 可 考 。 报 告 披 露 后 ， 已 有 公 司 采 取 技 术 手 段 解 决 了 该 安 全 风 险 。 该 调 查 主 要 针 对 欧 美 国 家 ， 并 未 涉 及 到 中 国 国 内 情 况 。 但 是 据 我 们 对 国 内 的 网 站 、 移 动 网 站 及   a p p   客 户 端 的   H T T P S   部 署 情 况 的 了 解 ， 这 种 风 险 同 样 存 在 ， 甚 至 会 更 严 重 。 而 另 一 方 面 ， 据   C N N I C   调 查 数 据 显 示 ， 截 止 至   2 0 1 5   年 上 半 年 ， 手 机 支 付 、 手 机 网 购 、 手 机 旅 行 预 订 用 户 规 模 分 别 达 到   2 . 7 6   亿 、   2 . 7 0   亿 和 1 . 6 8   亿 。 同 样 据   C N N I C   数 据 ， 超 过   4 0 %   的 人 会 使 用 网 吧 、 公 共 场 所 等 场 所 的   W I F I   接 入 互 联 网 。 综 合 来 看 ， 采 用 移 动 客 户 端 进 行 网 上 交 易 ， 当 使 用 不 安 全 的 网 络 接 入 时 ， 如 果 所 访 问 的 网 站 又 没 有 做 好 必 要 的 安 全 措 施 时 ， 就 有 很 大 的 风 险 泄 露 访 问 者 的 个 人 敏 感 信 息 。
怎 样 才 能 避 免 这 样 的 风 险 ？ 难 道 不 能 网 上 订 票 了 吗 ？ 怎 样 才 能 避 免 这 样 的 风 险 ？ 难 道 不 能 网 上 订 票 了 吗 ？ 其 实 ， 避 免 这 样 的 安 全 风 险 的 解 决 方 案 已 经 有 了 ， 那 就 是 网 站 服 务 商 应 该 向 用 户 提 供 符 合 安 全 标 准 的   H T T P S   服 务 ， 而 不 是 采 用 老 旧 的 、 不 安 全 的   H T T P   服 务 。 这 样 ， 即 便 访 问 者 所 处 的 环 境 并 非 十 分 安 全 可 靠 ， 依 旧 可 以 极 大 地 降 低 用 户 的 风 险 。 什 么 是 什 么 是   H T T P S   呢 ？ 呢 ？ H T T P S （ 全 称 ： H y p e r   T e x t   T r a n s f e r   P r o t o c o l   o v e r   S e c u r e   S o c k e t   L a y e r ） ， 是 以 安 全 为 目 标 建 立 客 户 浏 览 器 端 与 服 务 器 端 进 行 数 据 传 输 的 通 道 ， 简 单 来 说 就 是   H T T P   的 安 全 版 。 它 最 初 由 网 景 公 司 创 建 出 来 并 内 置 在 其 浏 览 器 中 。 H T T P S   之 所 以 能 够 做 到 数 据 的 安 全 传 输 ， 是 通 过   S S L / T L S   协 议 完 成 的 。 只 有 通 信 的 双 方 才 具 备 数 据 的 加 解 密 功 能 ， 而 数 据 在 中 间 通 道 的 传 输 时 已 经 加 密 。 加 密 算 法 一 般 使 用   A E S   或   R S A   等 ， 并 且 通 过 目 前 的 科 学 分 析 ， 不 大 可 能 通 过 计 算 能 力 提 升 而 使 得 正 确 配 置 的 密 码 算 法 得 到 轻 易 地 破 解 。 因 此 我 们 说 ， H T T P S 是 安 全 的 。 为 什 么 越 来 越 为 什 么 越 来 越 多 的 网 站 选 择 多 的 网 站 选 择   H T T P S ？ ？ 近 年 来 ， 重 视 安 全 的 大 厂 商 都 在 逐 步 加 快 网 站 部 署   H T T P S   的 速 度 。 搜 索 引 擎 巨 头   G o o g l e 、 淘 宝 天 猫 、 百 度 等 均 全 站 启 用   H T T P S ， 相 信 在 未 来 ， 会 有 越 来 越 多 的 网 站 加 入 全 站   H T T P S   化 的 行 列 中 。 为 什 么   H T T P S   如 此 受 到 青 睐 ?   答 案 不 言 而 喻 ， 自 然 是 因 为   H T T P S   能 够 给 网 站 带 来 更 多 的 价 值 。 这 些 价 值 主 要 体 现 在 ： 1 .   确 保 了 流 量 的 安 全 性 ， 被 拦 截 窃 听 后 也 无 法 获 取 真 实 信 息 ， 避 免 了 隐 私 数 据 在 网 络 上 外 泄 的 可 能 。 这 也 是 为 什 么 所 有 的 金 融 、 支 付 类 网 站 强 制 要 求 必 须 为   H T T P S   服 务 的 原 因 。 2 .   安 全 性 较 高 的 网 站 往 往 在 搜 索 引 擎 同 类 型 中 有 着 较 高 的 排 名 。 3 .   浏 览 器 的 可 信 标 识 能 够 加 强 普 通 用 户 对 网 站 的 信 任 感 。 既 然   H T T P S   能 够 对 网 站 带 来 非 常 实 用 的 价 值 ， 可 以 预 测 的 是 ， 在 安 全 这 个 需 求 越 来 越 受 到 网 民 以 及 网 站 管 理 者 重 视 的 趋 势 下 ， 未 来   H T T P S 将 彻 底 取 代   H T T P ， 成 为 网 站 数 据 通 信 的 主 流 方 式 。 如 何 部 署 如 何 部 署   H T T P S   ？ ？ 简 单 来 说 ， 作 为 网 站 服 务 提 供 方 ， 你 首 先 需 要 购 买 被 主 流 浏 览 器 所 认 可 的   C A   颁 发 的   H T T P S   证 书 ； 然 后 依 据 你 的   W e b   服 务 器 的 不 同 ， 如 a p a c h e 、 n g i n x   ， 采 用 不 同 的 配 置 ， 提 供 监 听 在   T C P / 4 4 3   端 口   H T T P S   服 务 ； 最 后 ， 要 测 试 你 的   H T T P S   服 务 是 否 功 能 正 常 、 性 能 是 否 受 到 影 响 、 是 否 影 响 了 用 户 体 验 等 方 面 。 具 体 的 技 术 描 述 ， 就 不 在 这 里 逐 一 展 开 了 ， 请 根 据 你 的   I T   基 础 架 构 进 行 部 署 。 一 般 而 言 ， 对 于 小 型 网 站 来 说 ，   部 署   H T T P S   服 务 还 是 比 较 简 单 的 ， 但 是 对 于 规 模 较 大 、 业 务 复 杂 的 网 站 来 说 ， 部 署   H T T P S   服 务 还 是 一 项 艰 巨 的 工 程 。 此 外 ， 据 闻 阿 里 云 准 备 推 出 进 行   H T T P S   服 务 封 装 的 分 布 式 服 务 ， 可 以 将 你 的   H T T P   服 务 无 缝 地 封 装 成   H T T P S   服 务 ， 并 且 同 时 提 供 了 服 务 加 速 （ C D N ） 、 攻 击 防 护 （ W A F ） 和 流 量 清 洗 （ D D o S / C C ） 等 功 能 。
部 署 了 部 署 了   H T T P S   服 务 ， 终 于 可 以 放 心 了 ？ 服 务 ， 终 于 可 以 放 心 了 ？ 当 你 终 于 部 署 好 了   H T T P S   服 务 后 ， 看 到 浏 览 器 地 址 栏 中 的 绿 色 标 示 ， 是 不 是 感 觉 成 就 满 满 — — 妈 妈 再 也 不 用 担 心 我 的 用 户 信 息 被 偷 走 了   : D H T T P S   绿 色 标 示 但 是 ， 且 慢 ， 其 实 你 还 只 是 接 上 了 一 块 短 板 ， 还 有 一 块 短 板 依 旧 在 流 淌 着 水 呢 。 由 于   H T T P S   服 务 对 传 输 的 内 容 进 行 了 加 密 ， 理 论 上 说 ， 只 有 服 务 器 端 和 客 户 端 才 能 正 确 加 密 和 解 密 数 据 ， 因 此 ， 你 以 前 所 用 的 基 于 云 的 W A F   （ W e b   应 用 防 火 墙 ） 可 能 不 支 持   H T T P S ， 从 而 没 法 为 你 提 供 对   X S S   、 S Q L   注 入 等 应 用 攻 击 层 面 的 防 护 能 力 了 。 通 常 的 安 全 产 品 不 能 很 好 的 支 持   H T T P S   网 站 防 护 。 其 原 因 主 要 有 ： 1 .   目 前 的 云 防 护 或 者 是 传 统 安 全 防 护 一 般 都 是 采 用 代 理 的 模 式 。 即 采 用 将 流 量 引 入 到 安 全 防 护 产 品 中 ， 通 过 检 测 分 析 ， 发 现 异 常 攻 击 ， 然 后 采 取 防 护 措 施 。 但 由 于   H T T P S   对 数 据 进 行 了 加 密 ， 因 此 防 护 产 品 不 能 在 应 用 层 详 细 的 解 析 出   H T T P   报 文 内 容 ， 自 然 不 能 识 别 攻 击 与 合 法 流 量 ， 从 而 对 威 胁 攻 击 束 手 无 策 。 2 .   由 于 涉 及 到 建 立 连 接 的 握 手 加 解 密 协 商 ， H T T P S   需 要 消 耗 的 性 能 通 常 是   H T T P   的 数 倍 。 一 般 的 防 护 产 品 没 有 搭 建 大 规 模 防 护 集 群 的 能 力 ， 因 此 无 力 做 到 大 流 量 的   H T T P S   防 护 。 那 好 吧 ， 你 还 可 以 购 买 硬 件 的   W A F   防 火 墙 ， 但 是 ， 当   D D o S / C C   攻 击 和 流 量 攻 击 如 洪 水 般 涌 来 时 ， 你 的   W A F   和 线 路 能 支 撑 多 久 ？ 是 不 是 感 觉 踩 下 一 块 板 ， 又 翘 起 来 另 外 一 块 ？ 由 于 部 署 了   H T T P S   ， 从 而 导 致 原 本 可 以 防 护 应 用 层 面 攻 击 的 分 布 式   W A F   服 务 反 而 不 能 用 了 ？ 另 外 ， 还 有 一 件 可 能 令 你 感 到 悲 伤 的 事 情 ， 作 为 访 问 量 蒸 蒸 日 上 的 你 的 网 站 ， 采 用   C D N   提 供 分 布 式 的 访 问 支 持 那 简 直 是 一 定 的 ， 但 是 ， 目 前 支 持   H T T P S   的   C D N   服 务 商 还 很 少 。 怎 么 办 ？ 难 道 使 用   H T T P S   服 务 是 个 错 误 吗 ？ 我 来 告 诉 你 一 个 完 整 的 解 决 方 案 我 来 告 诉 你 一 个 完 整 的 解 决 方 案 … … 以 下 是 广 告 时 间 ， 阿 里 云 云 盾 高 防 产 品 … … 什 么 ， 原 来 是 软 文 ？ ！ 好 吧 ， 我 们 来 谈 谈 技 术 问 题 。 本 质 上 来 说 ， 云 防 护 产 品 支 持   H T T P S   是 可 行 的 ， 但 是 这 里 需 要 解 决 几 个 问 题 ： 1 .   如 何 透 明 的 解 析   H T T P S   流 量 ， 并 针 对 流 量 特 征 进 行 分 析 和 处 置 ？ 2 .   如 何 避 免 升 级 到   H T T P S   所 带 来 的 处 理 能 力 降 低 、 性 能 衰 减 的 问 题 ？ 针 对 此 种 情 况 ， 阿 里 云 云 盾 高 防 产 品 特 别 推 出 了 支 持   H T T P S   的 应 用 层 防 护 功 能 。 其 技 术 原 理 图 如 下 ：
阿 里 云 云 盾 高 防 技 术 原 理 实 现 的 步 骤 为 ： 1 .   用 户 在 云 盾 高 防 控 制 台 中 导 入 对 应 域 名 的 证 书 证 书 和 私 钥 私 钥 、 配 置 域 名 信 息 。 2 .   客 户 端 与 云 盾 高 防 进 行   S S L   握 手 协 商 ， 协 商 通 过 后 ， 使 用 云 盾 颁 发 的 证 书 及 公 钥 加 密 数 据 。 3 .   云 盾 高 防 进 行 数 据 解 密 ， 进 行 安 全 防 护 分 析 后 ， 将 合 法 的 流 量 重 新 加 密 传 至 服 务 器 端 ， 同 时 阻 断 掉 非 法 的 攻 击 流 量 。 4 .   服 务 器 端 进 行 数 据 解 密 ， 实 现 正 常 业 务 。 通 过 以 上 方 式 ， 在 客 户 业 务 无 任 何 改 造 的 情 况 下 ， 云 盾 帮 助 用 户 实 现 了 全 链 路 端 到 端 的 数 据 加 密 。 与 此 同 时 ， 由 于 进 行 了 数 据 解 密 ， 云 盾 具 备 了 分 析 应 用 层 数 据 的 能 力 ， 因 此 具 备 了 转 发 流 量 到 指 定 地 址 ， 进 行 细 粒 度 安 全 防 护 的 能 力 。 包 括 且 不 限 于 ： 1 .   高 达   3 0 0 G   的   D D o S   防 护 能 力 。 2 .   海 量 的   C C   攻 击 防 护 能 力 （ 集 群 可 支 持 千 万 级   Q P S   的 攻 击 流 量 清 洗 ） 。 3 .   W e b   应 用 漏 洞 攻 击 的 阻 断 防 护 能 力 （ 包 括   S Q L   注 入 、 X S S 、 命 令 注 入 、 木 马   S h e l l   等 通 用   W e b   攻 击 形 式 ） 。 4 .   提 供 丰 富 多 样 的 应 用 层 数 据 报 表 ， 不 仅 包 括 安 全 的 详 细 报 表 ， 同 时 也 会 覆 盖 到 业 务 访 问 的 数 据 情 况 。 5 .   支 持 对 部 署 在 阿 里 云 之 外 的 主 机 的 安 全 防 护 。 当 然 ， 如 果 您 对 数 据 隐 私 安 全 性 要 求 比 较 高 ， 可 能 会 比 较 担 心 私 钥 放 在 云 盾 上 的 安 全 性 。 针 对 这 种 顾 虑 ， 也 有 对 应 的 私 钥 安 全 解 决 方 案 。 更 多 详 情 ， 可 以 戳 戳 原 文 链 接 看 看 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理