揭互联网密码失控面纱：泄密事件突破黑客底线

zvzu

　　揭互联网密码失控面纱：泄密事件突破黑客底线
　　
　　
　　密码是这样失控的
& x' s, m6 ]/ u# y8 H　　
　　杨阳
5 ]3 s1 _$ M/ ^. Z6 Y7 u" w　　
　　当谁都能下载到几个最受欢迎网站的用户密码库时，中国互联网——这个看起来人们曾经可以说悄悄话、购物、存储照片、私人信件的虚拟世界正在揭开最后一层危险的面纱。
　　
　　近半个月以来，CSDN、天涯等网站的用户密码库陆续被爆出被破解并在网上流传。一场公民个人信息的安全危机爆发。
6 l" e% O- O  D9 ~4 d% O% C1 N　　
　　这看上去只是一个偶然事件，但安全圈内人士判断，CSDN网站几年前就已被攻破，只是这种在“地下”流通的东西，现在普通的人就能够拿到而已。这可能拉出来一个更加复杂的链条。本报接触的国内安全圈的人士称，这两年许多人私下都在交换、共享包括买卖各种地下的网站数据库。不过那时只是传言，不确定。
　　
　　安全厂商奇虎360的一位程序员称，此次事件已经突破了以往黑客界的底线——只炫耀比技术或者挣点小钱，不流传不散播。
- h8 H+ s/ t8 B: N! W$ Q$ t2 F　　
　　黑色圣诞
2 t4 b- i- `  c" T　　
　　2011年的12月25日注定是一个不安的圣诞节。
　　
2 x4 H) k" Y/ M8 T　　中国开发者技术在线社区CS-DN数据库被泄露的消息爆出，用户的明文邮箱和密码被不加密地挂在网上，网民可以下载。
7 n" h4 _0 [- T2 |5 {　　
$ z7 @( L( d4 N! I　　真正的爆发，是在圣诞节之前四天的12月21日上午10点左右，一个QQ用户在一个安全领域的相关QQ群称，自己掌握了CSDN的数据库，随后又发了一条链接——迅雷的共享链接。迅雷的这个链接是只有安装了迅雷软件的用户才能去下载。CSDN的数据库在迅雷里第一次传播。
　　
' C* N/ M3 V! i6 a$ x1 R　　奇虎360的一位程序员对本报称，起初他并没有太在意，以为是个玩笑，中午去吃饭之前试了一下，结果真的下载成功。他用程序统计了一下，共有600多万行，全部都是明文的邮箱和密码，是“泛ID”，即也可以用来登录京东、凡客或者任何什么用该邮箱做用户名的网站。
　　
, \5 O# Q3 k) d% n6 K7 v　　在检验这个库的真实性之后，该安全厂商程序员删除了密码库。
　　
　　但令他震惊的是，金山公司的一位员工韩某，网名为“hzqedison”的却选择了另一种做法，在迅雷快盘上分享了完整数据包，该数据下载链接随即在各大黑客论坛和QQ群中迅速传开。
! ], Y2 h& `6 k　　
　　事态就此升级。“泄密门”当事者“hzqedison”于22日晚发表微博承认传播一事，并向广大网民致歉。
/ P$ i9 X, f) S　　
# u, ]% Y% {) W2 n( _　　金山公司对此事的解释是，其间hzqedison将部分网上流传密码库分发给同事自查不慎被外人所获知，已迅速删除，仅被个别同事下载。
　　
　　金山毒霸的一位反病毒工程师李铁军对本报称，其间韩某将部分网上流传密码库分发给同事自查不慎被外人所获知，且hzqedison在获知该链接已被外人获知后，迅速删除了该链接，据删除前统计，该链接仅被不超过5个同事下载，并未造成扩散——韩某并非传言中所谓黑客，不是元凶。
  B6 \2 ^0 |& q3 B# m/ p　　
# t* `4 n( h  D　　但在迅雷上，链接疯狂地被下载和传播。迅雷公司事后才开始全面清理泄密链接。
　　
　　当然，中招的不只是CSDN，网上还爆出了天涯、世纪佳缘、珍爱网等知名网站也采用明文密码，用户数据资料被放到网上公开下载。
　　
2 `+ x8 r* e7 Y　　1月4日，《京华时报》第九版刊载了这样一条消息：从未参加网购的王先生同时接到了几大电子商务网站的货到付款快递，他没有下过订单，但他的名字、联系方式都是对的。问遍了周围的人，王先生也没有找到下单的人。
( N, T* l4 _5 K" E" v( i! m* x　　
4 g6 T. b5 y( c6 }3 P2 v" A　　“臭小子”的帖子
  ]$ b: Q6 K& P. `/ [, ^　　
, W! i# ^) o# J) i7 S　　在此次泄密事件中，CSDN、天涯以及很多小网站的明文密码库的总数已达七八千万。除此之外，还有很大一部分是密文数据库，比明文密码库要多很多。
　　
* p7 H* }9 f, v- ?) ?' k* m　　此后，CSDN对此事的解释是，网站早期使用过明文密码（就是保存密码或网络传送密码的时候，用的是可以看到的明文字符，而不是经过加密后的密文），使用明文是因为和一个第三方chat程序整合验证带来的，后来的程序员始终未对此进行处理。
; ^4 i' T( K5 N　　
: C& e4 c4 @: x5 o　　事实上，一直到2009年4月，CS-DN的程序员才修改了密码保存方式，改成加密密码。但部分老的明文密码未被清理，2010年8月底，CS-DN对账号数据库全部明文密码进行了清理。2011年元旦，CSDN升级改造了CSDN账号管理功能，使用了强加密算法，账号数据库从 Win-dowsServer上的SQL　Server迁移到了Linux平台的MySQL数据库，才算初步解决了CSDN账号的各种安全性问题。
8 z: e9 C9 z# v  L$ P/ M9 _　　
　　也就是说，2009年4月之前CS-DN上用户的信息都是明文密码库，2009年4月之后是加密的，但部分明文密码未清理。2010年8月底清理掉了所有明文密码——CSDN称，从2010年9月开始全部都是安全的，9月之前的有可能不安全。
　　
　　本报接触的国内安全圈里很多人都称，这两年许多人私下都在交换、共享包括买卖各种地下的网站数据库。不过那时只是传言，不确定。这次，用户的密码库被下载后被证明大约有20%是真实的，其余则是很久以前的，很多账号和密码已经不再使用。
　　
　　此后陆续被爆出的天涯、7k7k等众多公司的库也并非最新信息，早在12月4日时，这些就在“乌云网”上公布过。乌云网是为黑客向企业提交漏洞搭建的平台，很多黑客会在乌云网上提交漏洞。
' v! `! O7 \+ |# N　　
　　一个自称“臭小子”的注册用户发布了一个漏洞标题为《中国各大站点数据库曝光（腾讯的也有）》的漏洞报告，描述为“用户资料大量泄露”，危害等级“高”。
　　
4 G" ?' Q4 Q4 y8 t$ ~$ l　　“臭小子”的帖子一发出来没多久立刻就让乌云网的安全爱好者们炸了锅——10点半，网名为“zerack-er”的安全爱好者第一个对“臭小子”的行为进行了评论，并且贴出了《中华人民共和国刑法》和《全国人民代表大会常务委员会关于维护互联网安全的决定》的相关规定。
　　
　　安全爱好者“xsser”则认为“臭小子”的做法很必要——不放出来网络公司们就意识不到安全的重要性，企业会以为设置个强密码就安全了。“xsser”称企业的这种做法为“把脑袋放沙子里”的鸵鸟行为。
0 J& Z: ^6 ?% m% R- X　　
　　是的，安全爱好者们有的赞成“臭小子”，有的则认为没有必要贴出来，这样做是给自己找麻烦，也是太爱炫了。
5 R7 t7 @$ m) _: w& U1 z　　
　　不过，所有做安全的程序员都知道，网络世界没有绝对的安全！因为“道高一尺，魔高一丈”！
8 ~& c6 ~0 b0 K　　
# x, k& I, P& P8 F/ y/ E' u　　被抛弃的底线
0 R8 [! S! n" z# o; y5 D  l) X　　
　　CSDN的用户信息库被爆出泄露让乌云网负责人感觉这次实在“有点快”——按照他的经验，尽管CSDN网站几年前就已被攻破，但这种在“地下”流通的东西现在居然普通人就能拿到，也足以令他感到震惊——用户的密码库被泄露和扩散得这么快。
& O/ E# w( y4 v9 {7 ?/ j8 M8 Q　　
8 }; z, R6 Y- I8 V　　在他看来，在网络这个虚拟世界里，掌握了这些密码的人事实上拥有了至高无上的权力——在黑客面前，其实你早就是裸体的。“库这个东西就像内裤，你可以有，但不必在大庭广众之下证明你有”……而当内裤被公之于众时，互联网上最丑恶的一面也展露在公众面前。
　　
　　被泄露密码库的网站名单中几乎没有出现大网站，但由于很多用户在各个网站注册时使用的都是同一个邮箱和密码，因此泄密事件让整个业界风声鹤唳——美团网在发现网络上有泄密的事件之后也给相关很多用户发去了提醒短信，告诉那些现在被泄露用户尽快修改美团的密码。
' s* g& r+ i, P  W& ]) h　　
　　一位曾经做过黑客的资深人士透露，2005年，要攻破一个网站其实只需要10分钟。而今天，即便是采用一种号称无法被破解的加密方法——MD5方式，黑客们只要有时间和精力，两三个人花上两个星期也能破解。
　　
　　一切看起来失控了。
1 y2 |& s% X) F9 M5 }  f$ {　　
  w$ B; L3 y. I. ?9 u4 ?- I　　这些被泄露出来的用户资料尽管大部分被证明已经不再使用——仅有20%有效，但如此大规模的泄露在中国互联网历史上还是首次。
  c4 F. N: f% R8 l/ U　　
　　乌云网负责人告诉本报，这次的密码事件传播得如此之快出乎他的意料。不过，在他看来，此次的泄露是“偶然中的必然”。
　　
) L! }( ]% T% S- c　　是的，众多网站的用户资料库被“拖”（拖走，黑客行话，即被拷贝）是早就发生的事情。这些被拖走的“库”有两种命运，一种是黑客只是为了炫耀技术而攻击，也不为了赚钱，只是自己做截图后与其他黑客比技术时用作证明。另一种则是被一些黑客用来“挣点小钱”——卖给需要这些用户联系方式的公司，或者自己窃取用户账户里的资产。
　　
　　以前黑客界也有着一些最基本的游戏规则，他们中的一些人遵循“盗亦有道”的原则，包括不在公众场合描述网络攻击的细节，不向未成年人传授或培训黑客技术，妥善保存可能带来社会风险的用户资料等等。
　　
/ d. A5 z9 d& K　　但是现在，已经无法确定究竟前一种黑客人多，还是后一种黑客是主流。前者被称为“白帽子”——安全工程师、安全研究员和安全技术爱好者，这些“白帽子”大多有自己的工作，他们找到别的网站的漏洞，就提交到乌云网上去。
　　
　　黑客和白帽子
　　
- y1 Y3 H: i8 Y* n$ B" C3 c# c! O( m　　一个简单的逻辑是，一份隐私库在最初被“拖”走的时候，黑客花的时间和精力最大，库的价值也越高越宝贵——除非他用这个东西获取到足够的资源和利益，否则他不会公开或泄露。慢慢地这个东西越来越多的人有了，人越多在小圈子里流动的就越多，也越不可控——当这个库最后被公布出来时，就意味着已经被卖得太广了。
　　
　　此前，“白帽子”们提交的漏洞大多得不到网站管理员的重视，乌云网的创立初衷之一就有让他们与网站间建立一个沟通平台的意思。
　　
6 M. ^3 }$ r- D: h" G. q　　现在，这些提交漏洞的白帽子已经渐渐开始得到网站的重视和尊重——他们甚至可以通过提交漏洞得到一些公司赠送的小礼物，大多是T恤衫、笔、水杯等等纪念品，是一种象征性的奖励。在乌云网站上，你可以看到的是，连腾讯都向白帽子赠送过“礼物”。
　　
' d& w/ Y4 H; c, r2 c6 I　　不过，乌云平台已经在2011年12月29日因“系统升级”而无法访问。
　　
1 @$ _0 k8 m$ B( a  I, K) `　　乌云网负责人称，最近频繁披露的安全事件及带来的影响表明，一方面企业的整体安全建设还不够完善，同时也反馈出乌云平台和社区无论是沟通渠道还是反馈及响应机制都存在一些严重的问题。
; q/ j: c) J+ Z" L　　
6 ]' n8 |* @0 P+ ^, s　　而在深究此次密码泄露问题上，互联网资深分析师洪波称，不能排除是有个别黑客在针对实名制采取的一种方式。
　　
　　不愿意透露姓名的中国最早期的黑客之一宋某估计，此次事件应该最少有三个人参与，其中至少有一个人是想试图提醒网民，如果真实的信息被泄露，将是多么可怕的一件事。
　　
0 S, N' w( y& F　　在乌云网负责人看来，此次泄密事件正在给人们一个教训：互联网不安全。
　　
　　是的，只有做安全的人才知道网络世界多么的不安全。
　　
; ]( Q& Z4 e# z( X/ W　　泄密事件发生后，奇虎360公司对本报称，网站数据库泄露的主要原因在于网站漏洞被黑客利用，用户电脑再安全也无济于事。奇虎360通过该公司安全检测平台发现，国内仍有83%的网站存在漏洞，34%为高危漏洞。
0 e; ~" [+ d. Y3 P2 x