搜索

[2378] 2015-10-20_为何中国网民的“内裤”如此易扒？

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2015-10-20_为何中国网民的“内裤”如此易扒？ 为 何 中 国 网 民 的 “ 内 裤 ” 如 此 易 扒 ？ E 安 全   2 0 1 5 - 1 0 - 2 0 欢 迎 E 安 全 微 信 公 众 号 ： E A Q a p p 近 日 ， 关 于 网 易 邮 箱 数 据 泄 漏 事 件 闹 得 沸 沸 扬 扬 。 网 易 辟 谣 称 自 身 系 统 并 未 被 攻 破 ， 但 消 息 发 布 方 乌 云 漏 洞 平 台 也 言 之 凿 凿 。 不 论 是 网 易 被 攻 破 ， 还 是 其 他 网 站 失 守 致 殃 及 网 易 ， 不 可 否 认 的 是 ， 大 面 积 网 民 的 个 人 信 息 ， 确 实 被 泄 漏 了 。 为 什 么 中 国 网 民 的 “ 内 裤 ” 如 此 易 扒 ， 被 窥 探 隐 私 有 何 风 险 ， 作 为 网 民 之 一 的 你 ， 还 安 全 吗 ？ 信 息 早 泄 漏 多 时 ， 突 然 爆 出 是 榨 干 最 后 利 益 信 息 早 泄 漏 多 时 ， 突 然 爆 出 是 榨 干 最 后 利 益 网 易 邮 箱 被 爆 出 数 亿 用 户 个 人 信 息 与 密 码 泄 露 ， 这 一 事 件 在 今 天 内 由 于 某 匿 名 人 士 在 国 内 最 大 的 W e b 安 全 漏 洞 上 报 平 台 “ 乌 云 ” 上 提 交 曝 光 ， 而 在 一 瞬 间 内 引 爆 了 整 个 我 国 网 络 圈 与 各 大 媒 体 ； 然 而 有 趣 的 是 ， 安 全 业 内 圈 子 对 此 事 却 反 应 平 静 ， 并 没 有 大 厦 将 倾 、 世 界 末 日 的 惊 恐 景 象 。 事 实 上 ， “ 网 易 邮 箱 有 一 个 库 在 外 面 小 范 围 流 传 ” 早 就 是 安 全 圈 内 心 知 肚 明 又 无 从 考 证 的 一 个 “ 真 实 的 流 言 ” ， 大 量 发 生 的 网 易 代 理 的 某 网 游 盗 号 事 件 以 及 部 分 用 户 的 网 上 支 付 产 品 被 盗 用 事 件 不 断 从 侧 面 映 证 着 这 一 点 ； 只 是 拥 有 者 既 没 有 公 诸 于 众 的 打 算 ， 而 业 内 人 士 又 多 多 少 少 清 楚 这 个 用 户 数 据 库 的 真 实 价 值 到 底 几 何 ， 顶 多 就 是 私 下 提 醒 亲 朋 好 友 们 更 换 密 码 勤 快 一 些 ， 它 才 能 半 遮 半 掩 地 继 续 存 在 和 被 利 用 着 。 直 到 频 发 的 i P h o n e 手 机 被 远 程 锁 定 以 勒 索 机 主 钱 财 的 网 络 犯 罪 案 件 ， 才 将 这 个 事 实 心 不 甘 情 不 愿 地 推 到 前 台 。 因 为 我 国 的 苹 果 用 户 们 很 多 都 习 惯 于 使 用 网 易 邮 箱 来 注 册 A p p l e   I D 以 使 用 苹 果 所 提 供 的 各 种 设 备 与 云 服 务 ， 所 以 大 量 的 A p p l e   I D 被 通 过 网 易 邮 箱 的 密 码 进 行 登 录 或 将 设 备 远 程 锁 定 以 敲 诈 勒 索 了 。 这 无 疑 是 一 种 极 为 高 调 的 行 动 ， 几 乎 任 何 人 都 能 预 见 到 ， 这 种 大 规 模 明 目 张 胆 地 与 苹 果 用 户 作 对 的 行 为 必 然 会 引 发 舆 论 的 轩 然 大 波 ， 所 带 来 的 必 然 结 果 就 是 ： 大 家 纷 纷 修 改 自 己 的 密 码 ， 而 这 个 库 也 将 在 被 隐 秘 利 用 了 许 久 之 后 失 去 自 己 的 价 值 。 但 换 个 角 度 来 看 ， 这 恰 恰 说 明 这 份 数 量 庞 大 的 邮 箱 信 息 数 据 库 其 实 已 经 存 在 了 太 久 ， 久 到 其 真 实 价 值 已 经 被 “ 黑 色 产 业 圈 ” 榨 取 殆 尽 （ 反 复 “ 洗 库 ” ） ， 因 此 才 会 在 它 生 命 周 期 的 最 后 一 刻 疯 狂 利 用 一 把 ， 榨 干 最 后 一 点 点 剩 余 价 值 ， 然 后 在 事 件 被 人 揭 破 以 后 彻 底 公 开 ， 给 上 网 易 最 后 的 狠 狠 一 击 ， 于 是 这 个 “ 真 实 的 流 言 ” 功 成 身 退 ， 鞠 躬 下 台 。 “ 黑 色 产 业 圈 黑 色 产 业 圈 ” 产 出 产 出 “ 社 工 库 社 工 库 ” 专 欺 普 通 网 民 专 欺 普 通 网 民 前 面 提 到 “ 黑 色 产 业 圈 ” ， 要 知 道 真 正 的 网 络 并 非 只 是 舆 论 场 上 热 火 朝 天 的 口 诛 笔 伐 ， 又 或 者 是 粉 丝 们 对 国 产 电 视 剧 官 方 配 对 的 各 种 演 绎 ， 抑 或 是 互 联 网 产 业 的 泡 沫 生 灭 ， 网 络 空 间 既 然 有 诸 多 明 面 上 的 生 意 之 道 ， 那 也 自 然 有 不 能 见 光 的 阴 暗 交 易 ， 这 种 交 易 随 着 我 国 互 联 网 的 发 展 而 蓬 勃 生 长 ， 已 经 成 为 了 年 产 值 数 十 亿 的 巨 大 而 完 整 的 产 业 链 。 安 全 学 术 界 将 自 己 所 从 事 的 领 域 由 原 有 的 ” 网 络 安 全 “ 逐 渐 进 化 为 ” 信 息 安 全 “ ， 这 又 从 侧 面 说 明 了 ” 黑 色 产 业 “ 也 罢 、 个 体 攻 击 者 也 罢 ， 趋 利 的 本 性 让 他 们 将 关 注 点 放 在 ” 信 息 “ 本 身 之 上 ， 因 为 在 任 何 时 代 ， 信 息 才 是 最 有 价 值 的 无 形 资 产 。 入 侵 重 要 组 织 ， 如 政 府 敏 感 部 门 、 银 行 证 券 业 以 及 大 型 企 业 等 ， 固 然 可 以 快 速 带 来 巨 大 利 益 ， 但 也 同 样 带 来 巨 大 的 入 侵 成 本 、 较 高 的
技 术 难 度 以 及 高 危 的 被 抓 风 险 ， 对 “ 黑 色 产 业 圈 ” 的 “ 生 意 人 ” 们 来 说 是 颇 不 符 合 生 意 之 道 的 ； 于 是 他 们 将 目 光 转 向 你 我 ， 一 个 普 通 的 互 联 网 时 代 的 网 民 ， 不 懂 网 络 安 全 技 术 ， 也 没 有 太 多 信 息 安 全 意 识 ， 取 得 敏 感 身 份 信 息 简 直 容 易 至 极 ， 虽 然 个 体 价 值 有 限 ， 但 胜 在 数 量 巨 大 ， 聚 沙 成 塔 、 集 腋 成 裘 之 后 其 总 体 价 值 足 以 养 活 一 个 巨 大 的 产 业 圈 。 　 　 “ 大 数 据 时 代 之 下 ， 个 人 隐 私 早 已 无 所 遁 形 ” ， 这 句 话 已 经 被 重 复 过 无 数 次 。 “ 社 工 库 ” 这 个 词 频 繁 出 现 在 各 大 媒 体 ， 一 般 网 民 却 只 以 为 这 是 社 会 工 作 者 的 人 员 数 据 库 。 “ 社 工 ” 者 ， 社 会 工 程 学 也 ， 其 实 也 只 是 黑 客 技 术 之 外 综 合 利 用 情 报 学 、 心 理 学 甚 至 骗 术 等 知 识 的 总 称 而 已 ， 掌 握 社 会 工 程 学 技 能 ， 无 需 太 高 的 黑 客 天 赋 或 太 深 厚 的 黑 客 技 术 基 础 ， 只 要 你 够 机 灵 ， 只 要 你 会 点 击 鼠 标 操 作 各 式 各 样 的 用 户 密 码 尝 试 工 具 ， 就 可 以 在 “ 黑 色 产 业 圈 ” 里 得 到 一 口 饭 吃 ， 而 无 数 的 “ 社 工 库 ” 里 则 充 满 着 海 量 的 用 户 注 册 邮 箱 、 登 录 I D 、 Q Q 号 、 常 用 密 码 、 银 行 账 号 、 真 实 姓 名 、 家 庭 工 作 地 址 、 手 机 号 码 等 个 人 敏 感 信 息 ， 这 些 敏 感 信 息 意 味 着 什 么 ， 其 意 义 不 言 自 明 。 “ 社 工 库 社 工 库 ” 个 人 信 息 从 何 而 来 ？ 个 人 信 息 从 何 而 来 ？ 一 方 面 由 大 量 网 民 们 自 行 贡 献 ： 点 击 木 马 、 运 行 恶 意 代 码 、 访 问 登 录 钓 鱼 网 站 、 设 置 简 单 登 录 口 令 、 不 同 网 站 和 应 用 共 用 一 个 密 码 ； 另 一 方 面 由 信 息 服 务 的 提 供 方 泄 露 而 出 ： 网 站 应 用 层 代 码 与 数 据 库 漏 洞 导 致 的 ” 拖 库 “ （ 网 站 数 据 库 被 黑 客 全 部 下 载 ） 事 件 以 及 X S S （ 跨 站 注 入 ） 导 致 的 用 户 权 限 劫 持 或 密 码 明 文 被 盗 取 事 件 ， 内 部 网 络 安 全 配 置 不 当 导 致 的 黑 客 ” 内 网 漫 游 “ 窃 取 内 部 服 务 器 数 据 事 件 ， 内 外 勾 结 主 动 出 售 用 户 个 人 信 息 事 件 。 互 联 网 用 户 日 常 所 需 要 使 用 的 网 络 应 用 如 此 之 多 ， 而 个 人 敏 感 信 息 的 内 容 种 类 与 泄 露 方 式 也 如 此 之 多 ， 体 积 与 数 量 巨 大 的 “ 社 工 库 ” 存 在 也 就 不 足 为 奇 了 。 曾 在 知 乎 上 被 邀 请 回 答 问 题 “ 如 何 处 理 网 上 个 人 信 息 泄 露 ” ， 当 时 我 的 回 答 颇 为 无 奈 ， 但 仍 总 结 了 在 互 联 网 上 利 用 社 工 库 中 的 几 个 主 要 指 标 ： 　 　 一 是 网 名 或 注 册 I D 。 作 为 网 络 用 户 首 要 的 识 别 符 号 ， 一 般 人 都 会 在 选 择 的 时 候 注 重 唯 一 性 与 可 识 别 性 ， 这 反 而 为 攻 击 者 提 供 了 方 便 ， 他 们 可 以 简 单 地 通 过 网 名 或 者 注 册 I D 将 分 散 在 不 同 平 台 上 的 各 种 相 关 信 息 通 过 这 个 被 作 为 数 据 库 “ 主 键 ” 使 用 的 唯 一 I D 关 联 起 来 ， 形 成 属 于 该 个 体 的 全 面 完 整 数 据 库 。 接 下 来 是 Q Q 号 。 社 工 库 中 历 来 将 Q Q 号 作 为 重 要 的 数 据 指 标 ： 结 合 外 泄 的 Q Q 群 信 息 库 导 致 无 数 曾 在 同 学 同 事 群 中 使 用 实 名 标 注 群 名 片 的 用 户 真 名 曝 光 ， 以 及 Q Q 邮 箱 （ 确 实 还 算 好 用 ） 在 各 大 S N S 社 交 网 站 、 移 动 互 联 网 应 用 注 册 时 的 广 泛 使 用 ， 足 以 将 各 大 网 站 的 用 户 行 为 数 据 、 社 会 关 系 等 与 其 真 实 姓 名 联 系 起 来 了 。 再 然 后 是 真 实 姓 名 、 手 机 号 码 、 银 行 账 号 等 线 下 信 息 。 我 相 信 网 络 发 展 到 今 日 ， 只 要 是 稍 有 社 会 经 验 的 人 也 不 会 毫 无 防 备
地 在 网 络 上 随 意 透 露 自 己 的 真 实 敏 感 信 息 ， 除 非 对 方 是 ” 可 信 “ 的 对 象 。 但 是 我 们 无 从 判 断 与 确 定 对 方 到 底 是 不 是 ” 可 信 “ 的 ， 只 能 一 厢 情 愿 地 如 鸵 鸟 一 般 去 相 信 它 们 的 权 威 性 与 安 全 性 ， 因 为 我 们 做 不 到 在 网 上 给 电 话 充 值 的 时 候 不 留 手 机 号 码 ， 也 做 不 到 在 网 上 订 机 票 和 酒 店 的 时 候 不 留 下 自 己 的 真 实 姓 名 与 身 份 证 号 码 ， 更 做 不 到 在 网 上 缴 纳 水 电 气 费 、 购 物 时 不 留 下 自 己 的 卡 号 信 息 和 家 庭 住 址 。 当 然 ， 如 你 我 所 已 经 知 道 与 经 历 的 ， 当 骗 子 操 着 一 口 蹩 脚 普 通 话 打 通 手 机 直 呼 你 名 字 叫 你 明 天 到 他 办 公 室 一 趟 的 时 候 ， 当 家 中 座 机 响 起 能 准 确 报 出 你 社 保 卡 号 的 电 话 录 音 女 声 的 时 候 ， 当 你 在 一 个 楼 盘 贪 心 小 礼 物 而 留 下 姓 名 手 机 号 却 在 其 后 被 房 产 推 销 电 话 轰 炸 的 时 候 ， 我 们 开 始 怀 疑 整 个 互 联 网 就 是 一 片 黑 暗 森 林 ， 处 于 食 物 链 底 层 的 我 们 谁 也 不 能 相 信 ， 索 性 不 再 去 考 虑 什 么 安 全 ， 只 是 抱 着 一 丝 侥 幸 心 理 祈 祷 捕 猎 者 可 以 晚 一 天 将 自 己 吞 下 。 而 整 片 由 无 数 信 息 所 组 成 的 黑 暗 森 林 ， 其 根 基 则 是 电 子 邮 件 服 务 。 电 子 邮 件 服 务 是 当 前 唯 一 无 需 提 交 其 他 凭 证 即 可 随 意 申 请 的 主 流 互 联 网 服 务 ， 也 是 使 用 互 联 网 用 户 服 务 的 第 一 个 入 口 ， 网 银 、 电 商 、 社 交 、 Q Q 、 网 游 等 几 乎 全 部 互 联 网 用 户 业 务 的 注 册 ， 都 需 要 以 电 子 邮 件 为 凭 证 进 行 帐 号 申 请 与 密 码 找 回 ， 而 手 机 号 永 远 只 是 第 二 可 选 项 。 甚 至 可 以 夸 张 一 点 地 说 ， 没 有 电 子 邮 件 服 务 ， 就 没 有 当 前 公 众 互 联 网 服 务 的 正 常 运 转 ， 谁 取 得 了 电 子 邮 件 服 务 的 控 制 权 ， 谁 就 掌 握 了 互 联 网 用 户 的 生 命 线 。 因 此 不 少 有 识 之 士 也 提 出 ， 应 该 将 电 子 邮 件 服 务 设 施 与 网 络 通 信 设 施 、 域 名 解 析 设 施 等 共 同 认 定 为 支 撑 互 联 网 基 础 服 务 的 关 键 设 施 ， 来 进 行 最 高 等 级 的 信 息 安 全 防 御 。 信 息 泄 露 危 害 财 产 安 全 信 息 泄 露 危 害 财 产 安 全   谁 该 担 责 ？ 谁 该 担 责 ？ 于 是 话 题 又 回 到 了 最 初 ， 这 次 网 易 邮 箱 安 全 事 件 从 技 术 角 度 看 与 我 们 每 日 所 见 的 “ 拖 库 ” 与 “ 撞 库 ” 并 无 二 致 ， 但 最 要 命 的 一 点 是 ， 作 为 “ 国 内 邮 箱 第 一 品 牌 ” 的 它 还 是 是 我 国 网 民 无 从 选 择 的 情 况 下 可 能 会 有 的 第 一 选 择 ： 支 付 宝 账 号 绑 在 它 上 面 ， 网 游 账 号 绑 在 它 身 上 ， 网 上 银 行 绑 在 它 上 面 ， A p p l e   I D 也 绑 在 它 身 上 ， 这 些 账 号 无 一 不 是 直 接 关 联 着 大 额 甚 至 巨 额 的 资 金 ， 所 以 这 次 事 件 爆 发 ， 以 往 阿 里 、 网 游 公 司 、 银 行 和 苹 果 背 上 的 黑 锅 ， 就 一 下 子 被 愤 怒 的 网 民 们 甩 到 了 网 易 邮 箱 的 身 上 。 然 而 这 黑 锅 到 底 应 不 应 该 由 它 来 背 呢 ？ 该 ， 也 不 全 该 。 首 先 ， 网 易 邮 箱 服 务 器 的 巨 大 价 值 我 们 清 楚 ， “ 黑 色 产 业 圈 ” 更 加 清 楚 ， 在 天 文 数 字 级 别 收 益 面 前 ， 再 多 成 本 投 入 都 是 可 以 带 来 数 十 上 百 倍 产 出 的 。 事 实 上 ， 针 对 各 大 公 共 与 私 有 邮 件 服 务 器 的 A P T （ 高 级 持 续 性 威 胁 ） 攻 击 从 未 间 断 过 ， 攻 击 者 从 邮 件 w e b 端 、 邮 件 客 户 端 （ O u t l o o k 、 F o x m a i l 等 ） 、 邮 件 服 务 器 应 用 端 与 系 统 端 、 网 络 接 入 设 备 、 移 动 终 端 等 全 方 位 无 孔 不 入 地 对 邮 件 系 统 进 行 攻 击 ， 再 大 的 安 全 投 入 与 防 护 都 始 终 是 被 动 防 御 、 落 后 一 步 ， 道 高 一 尺 而 魔 高 一 丈 ， 因 此 基 于 态 势 感 知 与 安 全 威 胁 情 报 的 主 动 防 御 体 系 才 成 为 信 息 安 全 研 究 的 主 要 方 向 之 一 。 但 不 管 怎 么 说 ， 防 御 措 施 不 足 导 致 用 户 数 据 外 泄 的 责 任 ， 网 易 是 必 然 需 要 承 担 的 。 其 次 ， 这 次 外 泄 的 数 据 ， 网 易 邮 箱 有 没 有 做 过 基 本 防 护 ？ 据 目 前 公 开 信 息 称 ， 此 次 曝 光 数 据 是 2 0 1 2 年 的 网 易 邮 箱 部 分 用 户 数 据 （ 确 实 被 隐 秘 利 用 了 三 年 ） ， 这 些 数 据 是 已 经 过 了 M D 5 算 法 进 行 换 算 存 储 的 ， 而 现 在 的 网 易 邮 箱 早 已 使 用 M D 5 + S A L T 的 形 式 来 对 用 户 数 据 进 行 强 度 更 高 的 防 护 。 M D 5 虽 然 并 非 严 格 意 义 的 加 密 算 法 ， 但 其 单 向 限 门 所 带 来 的 “ 不 可 逆 ” 特 性 ， 使 其 被 作 为 当 前 网 站 用 户 数 据 加 密 的 一 种 主 流 方 式 而 广 泛 使 用 ， 因 此 可 以 说 网 易 邮 箱 当 时 对 用 户 数 据 是 做 过 一 定 防 护 的 ， 因 为 从 理 论 上 讲 ， 只 要 密 码 足 够 长 （ 在 目 前 云 计 算 能 力 超 强 的 情 况 下 保 守 估 计 至 少 得 在 1 2 位 以 上 ） 、 足 够 复 杂 且 从 来 没 有 被 其 他 网 站 以 明 文 形 式 泄 露 过 ， 攻 击 者 在 有 限 的 时 间 长 度 内 使 用 “ 彩 虹 表 ” 对 其 暴 力 破 解 的 成 功 几 率 并 不 算 高 ， 这 也 与 网 易 邮 箱 对 此 次 事 件 作 出 的 “ 撞 库 ” 解 释 能 有 所 对 应 。 另 外 ， 作 为 互 联 网 用 户 的 我 们 也 同 样 要 承 担 责 任 ： 我 们 肆 无 忌 惮 地 使 用 各 种 简 单 好 记 的 弱 口 令 ， 使 攻 击 者 可 以 快 速 通 过 暴 力 尝 试 成 功 破 解 明 文 密 码 ； 我 们 在 网 上 使 用 同 一 个 邮 箱 绑 定 了 太 多 关 键 应 用 ， 导 致 一 旦 一 个 邮 箱 被 攻 陷 则 全 线 崩 溃 ； 我 们 在 各 个 网 络 系 统 中 重 复 使 用 同 样 的 一 两 个 I D 与 密 码 ， 让 攻 击 者 可 以 利 用 “ 撞 库 ” 攻 击 快 速 方 便 地 用 密 码 明 文 直 接 成 功 登 陆 。 信 息 安 全 意 识 的 淡 漠 与 基 本 技 能 的 欠 缺 ， 让 我 们 面 对 网 络 攻 击 时 完 全 没 有 预 防 免 疫 力 ， 只 能 扮 演 待 宰 羔 羊 。 最 后 整 个 社 会 ， 包 括 所 有 使 用 互 联 网 信 息 系 统 甚 至 包 括 内 部 信 息 系 统 的 政 府 机 关 、 企 业 与 组 织 机 构 ， 对 自 身 信 息 系 统 防 护 的 刻 意 忽 视 ， 对 公 民 与 用 户 敏 感 信 息 安 全 的 漠 不 关 心 ， 对 内 部 人 员 的 信 息 安 全 管 理 、 用 户 访 问 控 制 、 信 息 安 全 审 计 与 问 责 机 制 的 缺 失 ， 都 是 造 成 当 前 互 联 网 上 “ 社 工 库 ” 泛 滥 的 罪 魁 祸 首 。
这 次 网 易 邮 箱 安 全 事 件 从 某 种 角 度 看 ， 其 实 正 是 一 声 响 亮 的 警 钟 ， 应 该 以 此 为 契 机 敲 醒 那 些 长 期 将 头 深 埋 在 地 里 充 当 鸵 鸟 的 组 织 与 个 人 ， 他 们 亟 需 提 高 自 己 的 信 息 安 全 意 识 与 安 全 防 护 能 力 ， 否 则 此 类 事 件 将 会 一 次 又 一 次 、 越 来 越 严 重 地 继 续 爆 发 下 去 。 （ 本 文 作 者 为 安 恒 资 深 安 全 顾 问 ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理