搜索

[2385] 2015-10-21_网易漏洞不足为惧？行业隐患远比你想象的更危险

文档创建者：s7ckTeam
浏览次数：106
最后更新：2025-01-16
2015-10-21_网易漏洞不足为惧？行业隐患远比你想象的更危险 网 易 漏 洞 不 足 为 惧 ？ 行 业 隐 患 远 比 你 想 象 的 更 危 险 E 安 全   2 0 1 5 - 1 0 - 2 1 以 下 文 章 来 源 于 爱 范 儿   ， 作 者 爱 范 儿 注 ： 本 文 为 美 国 一 名 华 人 网 络 安 全 研 究 者 向 爱 范 儿 提 供 的 匿 名 专 稿 。 安 全 ， 在 任 何 信 息 系 统 中 都 是 最 重 要 的 问 题 。 保 护 信 息 系 统 的 安 全 和 用 户 数 据 的 隐 私 ， 没 有 可 以 商 量 的 余 地 。 然 而 ， 2 0 1 5   年 下 半 年 来 自 中 国 的 两 则 新 闻 ， 让 美 国 的 安 全 界 开 足 了 眼 界 。 第 一 件 新 闻 ， 是 众 所 周 知 的   X C o d e   集 成 开 发 环 境 内 插 入 木 马 导 致   i O S   A p p   被 插 入 恶 意 软 件 的 事 件 ； 第 二 件 新 闻 ， 则 是 一 家 名 叫 优 蜜 移 动 的 新 三 板 挂 牌 公 众 公 司 推 出 的 一 款 移 动 广 告   S D K   内 使 用 隐 藏 方 式 调 用   i O S   私 有 应 用 程 序 接 口 收 集 用 户 隐 私 数 据 被 曝 光 的 事 件 。 这 两 个 看 似 独 立 的 事 件 的 根 本 原 因 出 人 意 料 的 一 致 — — 未 受 过 正 确 教 育 的 开 发 者 以 及 无 视 游 戏 规 则 的 管 理 者 促 成 了 这 一 切 的 发 生 。 正 常 的 企 业 开 发 环 境 中 ， 来 自 第 三 方 的 应 用 程 序 应 接 受 安 全 审 查 ， 生 产 环 境 的 访 问 亦 有 严 格 的 访 问 控 制 列 表 以 及 审 计 跟 踪 。 然 而 ， 从 公 开 报 道 的 新 闻 中 ， 可 以 看 到 ， 即 便 是 被 普 遍 认 为 是 中 国 知 名 技 术 公 司 的 腾 讯 开 发 的 高 知 名 度 即 时 通 讯 软 件 微 信 依 然 是 使 用 了 被 污 染 的 环 境 进 行 构 建 。 在 此 种 重 大 安 全 时 间 发 生 后 ， 除 了 内 部 追 责 之 外 ， 一 般 来 说 ， 受 影 响 的 公 司 也 会 发 布 事 故 报 告   （ p o s t - m o r t e m ）   解 释 这 一 切 是 如 何 发 生 的 以 及 采 取 了 何 种 措 施 避 免 此 类 问 题 的 再 次 重 演 。 不 可 避 免 的 ， 同 时 也 有 内 部 系 统 的 安 全 复 核 。 但 很 遗 憾 的 ， 公 开 新 闻 中 发 现 的 受 影 响 之 企 业 ， 没 有 任 何 一 家 发 布 了 事 故 报 告 ， 不 难 猜 测 ， 安 全 复 核 也 从 未 爱 范 儿 爱 范 儿   . 连 接 热 爱 ， 创 造 不 同
发 生 过 。 这 一 事 件 更 深 层 次 反 映 出 的 问 题 便 是 程 序 员 往 往 没 有 安 全 意 识 ， 而 信 息 安 全 部 门 （ 如 果 有 ） 也 并 未 意 识 到 内 部 威 胁 是 最 大 的 威 胁 — — 与 此 同 时 这 也 是 网 络 安 全 界 的 共 识 之 一 。 用 另 一 种 语 言 描 述 ， 则 是 整 个 行 业 并 未 按 照 既 定 的 游 戏 规 则 行 事 。 其 实 ， 这 也 并 不 难 理 解 。 中 国 的 大 学 生 在 接 受 教 育 时 ， 也 从 讲 师 那 里 接 受 了 安 装 盗 版 软 件 的 习 惯 ， 甚 至 是 从 网 络 公 告 板 中 寻 找 盗 版 软 件 的 习 惯 。 因 而 ， 不 难 想 象 ， 在 工 作 后 ， 即 便 是 可 以 免 费 获 取 的 开 发 工 具 也 从 非 可 信 任 渠 道 获 取 ， 这 种 隐 患 成 为 现 实 也 是 顺 理 成 章 。 优 蜜 移 动 的 事 件 则 非 常 好 的 展 示 了 中 国 公 司 是 如 何 不 按 照 游 戏 规 则 行 事 的 。 依 据 苹 果 的 开 发 者 手 册 ， 不 得 在 公 开 发 行 的 应 用 程 序 中 使 用 私 有 应 用 程 序 接 口 。 而 此 公 司 却 使 用 了 混 淆 手 段 ， 进 行 私 有 接 口 的 调 用 。 由 于 此 类 私 有 接 口 可 以 取 得 用 户 的 唯 一 标 识 符 以 及 身 份 信 息 ， 而 这 类 信 息 对 于 广 告 展 示 的 优 化 有 至 关 重 要 的 作 用 ， 因 此 以 利 益 为 驱 动 ， 优 蜜 移 动 使 用 不 正 当 手 段 取 得 了 这 些 机 密 信 息 。 需 要 指 出 的 是 ， 窃 取 机 密 数 据 的 行 为 被 曝 光 ， 优 蜜 移 动 并 不 是 第 一 个 ， 也 不 会 是 最 后 一 个 。 一 家 名 为 聚 合 数 据 的 中 国 企 业 便 被 从 业 人 员 曝 光 其 在 隐 私 策 略 声 明 的 范 围 之 外 私 自 收 集 、 上 传 用 户 机 密 信 息 的 行 为 。 在 一 个 严 格 遵 守 安 全 标 准 、 尊 重 用 户 并 进 行 公 平 竞 争 的 环 境 里 ， 类 似 优 蜜 移 动 做 出 的 举 动 是 毫 无 可 能 的 。 此 种 行 为 不 但 违 反 了 游 戏 规 则 ， 破 坏 了 生 态 环 境 ， 同 时 也 是 对 于 用 户 隐 私 权 的 极 大 的 破 坏 。 但 很 遗 憾 的 是 ， 即 使 在 此 丑 闻 被 美 国 安 全 研 究 人 员 揭 露 后 ， 此 公 司 发 布 的 声 明 中 ， 也 无 任 何 针 对 用 户 隐 私 保 护 的 声 明 。 在 其 语 焉 不 详 的 隐 私 保 护 声 明 中 ， 此 公 司 也 未 透 露 任 何 关 于 收 集 何 种 用 户 数 据 以 及 如 何 处 理 此 种 数 据 — — 而 这 是 隐 私 声 明 中 必 不 可 少 的 部 分 。
其 实 ， 最 根 本 的 原 因 ， 则 是 缺 失 了 教 育 以 及 行 政 规 范 ， 并 且 商 业 公 司 罔 顾 游 戏 规 则 ， 随 意 行 事 。 在 中 国 ， 网 络 安 全 以 及 隐 私 问 题 层 出 不 穷 的 背 后 ， 既 反 映 了 各 级 网 络 主 管 部 门 、 全 国 和 地 区 运 营 商 对 安 全 准 则 的 无 视 ， 又 凸 显 了 整 个 社 会 对 网 络 安 全 的 无 知 、 轻 视 和 自 负 。 尤 其 是 计 算 机 相 关 专 业 的 本 科 生 和 研 究 生 ， 由 于 没 有 必 要 的 教 育 ， 他 们 除 了 对 业 界 的 现 状 一 无 所 知 ， 更 缺 乏 基 本 的 信 息 安 全 意 识 。 因 此   X C o d e   事 件 自 然 会 发 生 。 由 于 缺 乏 对 用 户 隐 私 的 尊 重 ， 行 恶 的 公 司 继 续 行 恶 也 不 难 理 解 。 由 于 没 有 相 应 的 法 律 法 规 ， 用 户 甚 至 无 法 维 护 自 己 的 隐 私 权 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理