闸阀厂家
免费服务热线

Free service

hotline

010-00000000
闸阀厂家
热门搜索:
技术资讯
当前位置:首页 > 技术资讯

揭互联网密码失控面纱泄密事件突破黑客底线

发布时间:2020-03-10 11:09:58 阅读: 来源:闸阀厂家

A5交易A5任务 SEO诊断淘宝客 站长团购

密码是这样失控的

杨阳

当谁都能下载到几个最受欢迎网站的用户密码库时,中国互联网这个看起来人们曾可以说悄悄话、购物、存储照片、私人信件的虚拟世界正在揭开最后一层危险的面纱。

近半个月以来,CSDN、天涯等网站的用户密码库陆续被爆出被破解并在网上流传。一场公民个人信息的安全危机爆发。

这看上去只是一个偶然事件,但安全圈内人士判断,CSDN网站几年前就已被攻破,只是这类在地下流通的东西,现在普通的人就能够拿到而已。这可能拉出来一个更加复杂的链条。本报接触的国内安全圈的人士称,这两年许多人私下都在交换、同享包括买卖各种地下的网站数据库。不过那时只是传言,不确定。

安全厂商奇虎360的一名程序员称,此次事件已突破了以往黑客界的底线只夸耀比技术或挣点小钱,不流传不散布。

黑色圣诞

2011年的12月25日注定是一个不安的圣诞节。

中国开发者技术在线社区CS-DN数据库被泄漏的消息爆出,用户的明文邮箱和密码被不加密地挂在网上,网民可以下载。

真正的爆发,是在圣诞节之前4天的12月21日上午10点左右,一个QQ用户在一个安全领域的相干QQ群称,自己掌握了CSDN的数据库,随后又发了一条链接迅雷(微博)的同享链接。迅雷的这个链接是只有安装了迅雷软件的用户才能去下载。CSDN的数据库在迅雷里第一次传播。

奇虎360的一名程序员对本报称,起初他并没有太在乎,以为是个玩笑,中午去吃饭之前试了一下,结果真的下载成功。他用程序统计了一下,共有600多万行,全部都是明文的邮箱和密码,是泛ID,即也可以用来登录京东、凡客或任何甚么用该邮箱做用户名的网站。

在检验这个库的真实性以后,该安全厂商程序员删除了密码库。

但令他震惊的是,金山公司的一名员工韩某,网名为hzqedison的却选择了另一种做法,在迅雷快盘上分享了完全数据包,该数据下载链接随即在各大黑客论坛和QQ群中迅速传开。

局势就此升级。泄密门当事者hzqedison于22日晚发表微博承认传播一事,并向广大网民致歉。

金山公司对此事的解释是,其间hzqedison将部份网上流传密码库分发给同事自查不慎被外人所获知,已迅速删除,仅被个别同事下载。

金山毒霸的一名反病毒工程师李铁军对本报称,其间韩某将部份网上流传密码库分发给同事自查不慎被外人所获知,且hzqedison在获知该链接已被外人获知后,迅速删除了该链接,据删除前统计,该链接仅被不超过5个同事下载,并未造成散布韩某并不是传言中所谓黑客,不是首恶。

但在迅雷上,链接疯狂地被下载和传播。迅雷公司事后才开始全面清算泄密链接。

固然,中招的不只是CSDN,网上还爆出了天涯、世纪佳缘(微博)、珍重网等知名网站也采取明文密码,用户数据资料被放到网上公然下载。

1月4日,《京华时报》第九版刊载了这样一条消息:从未参加网购的王先生同时接到了几大电子商务网站的货到付款快递,他没有下过定单,但他的名字、联系方式都是对的。问遍了周围的人,王先生也没有找到下单的人。

臭小子的帖子

在此次泄密事件中,CSDN、天涯和很多小网站的明文密码库的总数已达七八千万。除此之外,还有很大一部分是密文数据库,比明文密码库要多很多。

尔后,CSDN对此事的解释是,网站初期使用过明文密码(就是保存密码或网络传送密码的时候,用的是可以看到的明文字符,而不是经过加密后的密文),使用明文是由于和一个第三方chat程序整合验证带来的,后来的程序员始终未对此进行处理。

事实上,1直到2009年4月,CS-DN的程序员才修改了密码保存方式,改成加密密码。但部份老的明文密码未被清算,2010年8月底,CS-DN对账号数据库全部明文密码进行了清算。2011年元旦,CSDN升级改造了CSDN账号管理功能,使用了强加密算法,账号数据库从 Win-dowsServer上的SQL Server迁移到了Linux平台的MySQL数据库,才算初步解决了CSDN账号的各种安全性问题。

也就是说,2009年4月之前CS-DN上用户的信息都是明文密码库,2009年4月以后是加密的,但部份明文密码未清算。2010年8月底清算掉了所有明文密码CSDN称,从2010年9月开始全部都是安全的,9月之前的有可能不安全。

本报接触的国内安全圈里很多人都称,这两年许多人私下都在交换、同享包括买卖各种地下的网站数据库。不过那时只是传言,不确定。这次,用户的密码库被下载后被证明大约有20%是真实的,其余则是很久以前的,很多账号和密码已不再使用。

尔后陆续被爆出的天涯、7k7k等众多公司的库也并不是最新信息,早在12月4日时,这些就在乌云网上公布过。乌云网是为黑客向企业提交漏洞搭建的平台,很多黑客会在乌云网上提交漏洞。

一个自称臭小子的注册用户发布了一个漏洞标题为《中国各大站点数据库暴光(腾讯的也有)》的漏洞报告,描写为用户资料大量泄漏,危害等级高。

臭小子的帖子一发出来没多久立刻就让乌云网的安全爱好者们炸了锅10点半,网名为zerack-er的安全爱好者第一个对臭小子的行动进行了评论,并且贴出了《中华人民共和国刑法》和《全国人民代表大会常务委员会关于保护互联网安全的决定》的相关规定。

安全爱好者xsser则认为臭小子的做法很必要不放出来网络公司们就意识不到安全的重要性,企业会以为设置个强密码就安全了。xsser称企业的这类做法为把脑袋放沙子里的鸵鸟行动。

是的,安全爱好者们有的赞同臭小子,有的则认为没有必要贴出来,这样做是给自己找麻烦,也是太爱炫了。

不过,所有做安全的程序员都知道,网络世界没有绝对的安全!由于道高一尺,魔高一丈!

被抛弃的底线

CSDN的用户信息库被爆出泄漏让乌云网负责人感觉这次实在有点快依照他的经验,虽然CSDN网站几年前就已被攻破,但这类在地下流通的东西现在竟然普通人就能拿到,也足以令他感到震惊用户的密码库被泄漏和散布得这么快。

在他看来,在网络这个虚拟世界里,掌握了这些密码的人事实上具有了至高无上的权利在黑客眼前,其实你早就是裸体的。库这个东西就像内裤,你可以有,但没必要在大庭广众之下证明你有而当内裤被公之于众时,互联网上最丑陋的一面也展露在公众眼前。

被泄漏密码库的网站名单中几乎没有出现大网站,但由于很多用户在各个网站注册时使用的都是同一个邮箱和密码,因此泄密事件让全部业界草木皆兵美团网在发现网络上有泄密的事件以后也给相干很多用户发去了提示短信,告知那些现在被泄漏用户尽快修改美团的密码。

一名曾做过黑客的资深人士泄漏,2005年,要攻破一个网站其实只需要10分钟。而今天,即便是采取一种号称没法被破解的加密方法MD5方式,黑客们只要有时间和精力,两三个人花上两个星期也能破解。

一切看起来失控了。

这些被泄漏出来的用户资料虽然大部分被证明已不再使用唯一20%有效,但如此大规模的泄漏在中国互联网历史上还是首次。

乌云网负责人告知本报,这次的密码事件传播得如此之快出乎他的意料。不过,在他看来,此次的泄漏是偶然中的必定。

是的,众多网站的用户资料库被拖(拖走,黑客行话,即被拷贝)是早就产生的事情。这些被拖走的库有两种命运,一种是黑客只是为了夸耀技术而攻击,也不为了赚钱,只是自己做截图后与其他黑客比技术时用作证明。另一种则是被一些黑客用来挣点小钱卖给需要这些用户联系方式的公司,或自己盗取用户账户里的资产。

之前黑客界也有着一些最基本的游戏规则,他们中的一些人遵守盗亦有道的原则,包括不在公众场合描写网络攻击的细节,不向未成年人传授或培训黑客技术,妥善保存可能带来社会风险的用户资料等等。

但是现在,已没法肯定究竟前一种黑客人多,还是后一种黑客是主流。前者被称为白帽子安全工程师、安全研究员和安全技术爱好者,这些白帽子大多有自己的工作,他们找到别的网站的漏洞,就提交到乌云网上去。

黑客和白帽子

一个简单的逻辑是,一份隐私库在最初被拖走的时候,黑客花的时间和精力最大,库的价值也越高越宝贵除非他用这个东西获得到足够的资源和利益,否则他不会公然或泄漏。渐渐地这个东西愈来愈多的人有了,人越多在小圈子里活动的就越多,也越不可控当这个库最后被公布出来时,就意味着已被卖得太广了。

此前,白帽子们提交的漏洞大多得不到网站管理员的重视,乌云网的创建初衷之一就有让他们与网站间建立一个沟通平台的意思。

现在,这些提交漏洞的白帽子已渐渐开始得到网站的重视和尊重他们乃至可以通过提交漏洞得到一些公司赠送的小礼物,大多是T恤衫、笔、水杯等等纪念品,是一种象征性的嘉奖。在乌云网站上,你可以看到的是,连腾讯都向白帽子赠送过礼物。

不过,乌云平台已在2011年12月29日因系统升级而无法访问。

乌云网负责人称,最近频繁表露的安全事件及带来的影响表明,一方面企业的整体安全建设还不够完善,同时也反馈出乌云平台和社区无论是沟通渠道还是反馈及响应机制都存在一些严重的问题。

而在深究此次密码泄漏问题上,互联网资深分析师洪波称,不能排除是有个别黑客在针对实名制采取的一种方式。

不愿意泄漏姓名的中国最初期的黑客之一宋某估计,此次事件应当最少有3个人参与,其中最少有一个人是想试图提示网民,如果真实的信息被泄漏,将是多么可怕的一件事。

在乌云网负责人看来,此次泄密事件正在给人们一个教训:互联网不安全。

是的,只有做安全的人材知道网络世界多么的不安全。

泄密事件产生后,奇虎360公司对本报称,网站数据库泄漏的主要原因在于网站漏洞被黑客利用,用户电脑再安全也杯水车薪。奇虎360通过该公司安全检测平台发现,国内仍有83%的网站存在漏洞,34%为高危漏洞。

成都到驻马店货运专线

成都到郑州物流专线

成都到武威物流公司

成都到北京物流专线到货时间