據(jù)新華網(wǎng)報(bào)道，國(guó)信辦發(fā)言人昨天表示，近期一些媒體報(bào)道或在網(wǎng)上流傳的數(shù)家網(wǎng)站用戶信息被泄露的事件，引起互聯(lián)網(wǎng)管理部門的高度重視。截至目前，公安機(jī)關(guān)此次已查處入侵、竊取、倒賣數(shù)據(jù)案件9起，編造并炒作信息泄露案件3起，刑事拘留4人，予以治安處罰8人。據(jù)這位發(fā)言人介紹，近期查處的信息泄露事件主要有五個(gè)，具體內(nèi)容參見這里。
國(guó)新辦發(fā)布聲明的解讀
國(guó)新辦的聲明內(nèi)容比較多，我這里進(jìn)行了一些概括總結(jié)如下：
1、只有三家網(wǎng)站的用戶數(shù)據(jù)庫被確認(rèn)發(fā)生了泄漏，其他網(wǎng)站的數(shù)據(jù)庫并沒有大規(guī)模泄漏。
泄漏數(shù)據(jù)的網(wǎng)站包括CSDN、天涯和多玩網(wǎng)(YY語音)，其中CSDN、天涯的因?yàn)?009年使用的是明文密碼，因此泄漏的用戶密碼是明文的，多玩網(wǎng)(YY語音)的數(shù)據(jù)是內(nèi)部員工竊取的，網(wǎng)站未被入侵。
2、銀行數(shù)據(jù)泄漏是謠言，沒有一家銀行的用戶帳號(hào)和密碼泄漏。
3、其他網(wǎng)站，有些如新浪、京東等，是遭到了入侵，但是用戶數(shù)據(jù)庫都沒有大規(guī)模泄漏，有些網(wǎng)站如人人網(wǎng)等，是通過其他明文密碼數(shù)據(jù)庫猜測(cè)破解。
目前有關(guān)部門正在加緊抓捕入侵網(wǎng)站和公開數(shù)據(jù)的黑客以及造謠傳謠者。
泄密原因深度分析：為什么數(shù)據(jù)會(huì)被公開?
本次泄密門最大的一個(gè)疑點(diǎn)，就是泄密者為什么會(huì)公開各大網(wǎng)站的用戶數(shù)據(jù)庫，其動(dòng)機(jī)是什么，如果這個(gè)原因找不到，就很難了解泄密事件更深層的秘密。
國(guó)新辦表示，主要原因可能包括：
1、一些人編造或炒作網(wǎng)站用戶信息被大規(guī)模泄露的消息，既有出于個(gè)人進(jìn)行炫耀或騙取錢財(cái)?shù)哪康摹?/p>
2、一些網(wǎng)絡(luò)安全公司銷售人員想以此提高知名度、推銷自己的產(chǎn)品。
3、個(gè)別人借機(jī)企圖干擾和貶損北京等城市正在開展的微博客用戶用真實(shí)身份信息注冊(cè)工作。
這三條動(dòng)機(jī)有可能存在，但經(jīng)過分析可以發(fā)現(xiàn)，其可行性都很小，首先要分析的是，這些泄密數(shù)據(jù)是不是黑客分享出去的?
一、黑客沒有理由公開
黑客拖庫(竊取網(wǎng)站數(shù)據(jù)庫)的行為在過去數(shù)年內(nèi)一直存在，CSDN和天涯的數(shù)據(jù)庫早幾年前就被拖庫，這些數(shù)據(jù)庫已經(jīng)被賣了多次，不過那時(shí)都是在黑客的小圈子里流傳，并沒有大規(guī)模公布出去，公布這些信息對(duì)黑客來說沒有什么好處。
1、CSDN和天涯的這些數(shù)據(jù)具有一定的價(jià)值，可以在某些圈子里銷售和交換，免費(fèi)公開出去對(duì)自己沒有任何好處，還會(huì)被公安機(jī)關(guān)盯上，被抓后還可能會(huì)坐牢，一個(gè)黑客不可能做這種損人不利己而且有很大風(fēng)險(xiǎn)的事情。
2、和網(wǎng)游、網(wǎng)銀類數(shù)據(jù)庫不同的是，CSDN和天涯的用戶名密碼數(shù)據(jù)，本身并沒有太大的商業(yè)價(jià)值，對(duì)外銷售肯定沒有網(wǎng)游數(shù)據(jù)庫的價(jià)格高，但是，這種明文的用戶名和密碼具有很大的“社會(huì)工程學(xué)”價(jià)值，對(duì)于指定目標(biāo)的攻擊具有很大參考價(jià)值。通常來說，很多用戶慣用一個(gè)用戶名和密碼訪問所有網(wǎng)站，因此通過這類明文數(shù)據(jù)庫可以推算其電子郵箱的密碼，進(jìn)而通過用戶的郵箱獲得更多有價(jià)值的信息。
然而，如果這些數(shù)據(jù)庫被公開外泄，則整個(gè)數(shù)據(jù)庫的價(jià)值就會(huì)大為降低，因?yàn)楸恍姑艿挠脩魰?huì)盡快將比較重要的網(wǎng)絡(luò)登錄密碼修改，其他社交或郵箱網(wǎng)站還會(huì)通過這些明文密碼批量禁用那些密碼一致的用戶，從而導(dǎo)致利用該數(shù)據(jù)庫進(jìn)行攻擊的可能性大為降低，使得這個(gè)數(shù)據(jù)庫的“社會(huì)工程學(xué)”價(jià)值逐步消失。
二、安全公司沒有膽量公開
網(wǎng)絡(luò)安全公司對(duì)于黑客非常了解，有些甚至以前就從事黑客工作，很多從事網(wǎng)絡(luò)安全業(yè)務(wù)的公司也雇請(qǐng)黑客從事網(wǎng)絡(luò)安全檢測(cè)與產(chǎn)品開發(fā)，因?yàn)榫W(wǎng)絡(luò)安全的防范對(duì)象是惡意黑客，所以必須有了解攻擊手段的黑客參與，才能更全面地防范黑客攻擊。在這次泄密門事件中，網(wǎng)絡(luò)安全公司也是很早就獲取了泄密文件的消息，并對(duì)外進(jìn)行預(yù)警。
如果說是某些安全公司泄漏的這些數(shù)據(jù)庫，理論上是有這種可能性，但實(shí)際卻缺乏可操作性。從某種意義上說，公布泄密數(shù)據(jù)會(huì)引發(fā)商業(yè)網(wǎng)站和用戶的恐慌，讓商業(yè)網(wǎng)站加大安全方面的投入，的確會(huì)對(duì)那些網(wǎng)絡(luò)安全公司帶來一些好處，不過需要注意的是，目前中國(guó)的網(wǎng)絡(luò)安全領(lǐng)域競(jìng)爭(zhēng)非常激烈，并沒有形成某個(gè)安全公司壟斷市場(chǎng)的局面，因此實(shí)際獲益的公司并不明確，甚至可能是競(jìng)爭(zhēng)對(duì)手獲益，同時(shí)，發(fā)布這些泄密信息具有很大風(fēng)險(xiǎn)，一旦被查處，將導(dǎo)致整個(gè)公司在安全領(lǐng)域出局，因此很難想像會(huì)有正規(guī)公司冒險(xiǎn)做這種低回報(bào)高風(fēng)險(xiǎn)的事情。
三、另一種可能：偶發(fā)事件
那么到底是誰公開的這些數(shù)據(jù)呢?這么多數(shù)據(jù)在同一時(shí)間內(nèi)大量發(fā)布出來，不是有目的計(jì)劃的策劃，難道是巧合嗎?
實(shí)際情況是，的確有可能是一個(gè)偶然的機(jī)會(huì)，導(dǎo)致這些用戶數(shù)據(jù)庫被公開泄漏出去。
根據(jù)《每日經(jīng)濟(jì)新聞》的報(bào)道，在這次大規(guī)模“爆庫”事件中，迅雷扮演了一個(gè)重要角色。此前黑客均通過郵箱內(nèi)部交流“黑”來的數(shù)據(jù)庫，但一些人通過迅雷離線下載或高速通道下載，這些數(shù)據(jù)庫就保留在了迅雷服務(wù)器。當(dāng)其他用戶使用迅雷下載時(shí)，通過“相關(guān)推薦”功能把黑客用來內(nèi)部交流的數(shù)據(jù)下載了下來。如此往復(fù)，導(dǎo)致被爆的庫越來越多，以至于所有數(shù)據(jù)大白于天下。
有用戶嘗試下載一個(gè)編程程序，下載過程中，迅雷在其相關(guān)推薦欄里給出了“CSDN-中文IT社區(qū)-600萬.rar”下載地址。而下載了“CSDN-中文IT社區(qū)-600萬.rar”這個(gè)文件后，在迅雷下載的右邊有相關(guān)推薦提示“使用了此鏈接的用戶還使用了如下鏈接”，相關(guān)推薦又再次顯示另外多份黑客泄露的數(shù)據(jù)庫文件，這才使得大量網(wǎng)站的用戶數(shù)據(jù)庫在短時(shí)間內(nèi)同時(shí)曝光。
因此可以想象，CSDN、天涯、YY等數(shù)據(jù)庫最開始可能在一個(gè)小圈子內(nèi)交流，而有一些黑客不小心使用迅雷下載，才導(dǎo)致用戶數(shù)據(jù)庫被意外地公開。
標(biāo)本兼治、亡羊補(bǔ)牢
既然泄密事件已經(jīng)發(fā)生，也暴露出當(dāng)前中國(guó)互聯(lián)網(wǎng)的不少問題，用戶修改密碼、抓捕黑客，都只是“治標(biāo)”，如何建立健全信息安全制度保障、營(yíng)造互聯(lián)網(wǎng)健康環(huán)境才是“治本”。
1、從這次事件中可以看出，國(guó)內(nèi)的互聯(lián)網(wǎng)企業(yè)普遍不重視安全，對(duì)網(wǎng)絡(luò)安全投入不夠，網(wǎng)絡(luò)安全技術(shù)人員得不到重視，在企業(yè)的地位和收入不高，造成網(wǎng)絡(luò)應(yīng)用漏洞很多，讓人有機(jī)可趁。因此，這些企業(yè)需要加大信息安全方面的投入，進(jìn)行大規(guī)模的安全檢查，切實(shí)保護(hù)好網(wǎng)友的個(gè)人信息，再也不要發(fā)生“明文保存密碼”這樣的低級(jí)錯(cuò)誤。
2、在法律層面，國(guó)家在網(wǎng)絡(luò)安全方面的立法相對(duì)還較為滯后，對(duì)于個(gè)人隱私保護(hù)和泄密的法律有待完善，難以對(duì)這種盜取販賣用戶數(shù)據(jù)的行為進(jìn)行威懾，因此迫切需要加快信息安全等方面的立法工作，完善隱私權(quán)的立法工作，對(duì)于泄漏、倒賣個(gè)人數(shù)據(jù)的行為追究刑事責(zé)任。
3、對(duì)于那些對(duì)公眾隱私數(shù)據(jù)疏于安全保護(hù)的商業(yè)網(wǎng)站，應(yīng)該給予懲罰。如果今后再次發(fā)生用戶信息泄密事件，應(yīng)該通過完善相關(guān)法律，追究網(wǎng)站的瀆職之責(zé)，要求網(wǎng)站對(duì)用戶進(jìn)行相應(yīng)的賠償。
4、建立一種獎(jiǎng)勵(lì)機(jī)制，對(duì)于那些發(fā)現(xiàn)公眾網(wǎng)站存在漏洞的人給予一定獎(jiǎng)勵(lì)，鼓勵(lì)通過安全的途徑反饋網(wǎng)站的漏洞。
