誰來保障我們的賬號安全?

QQ聊天、論壇發(fā)帖、網(wǎng)上購物、銀行轉(zhuǎn)賬……這些都需要密碼，甚至已成為許多人生活中的一部分。但是，設(shè)了密碼也不代表安全。無論是網(wǎng)站還是用戶，都得想辦法提高黑客獲取數(shù)據(jù)的成本才行。

“80%以上的互聯(lián)網(wǎng)公司都存在著漏洞。”說這句話的，正是深陷“泄密”泥潭的中國軟件開發(fā)聯(lián)盟（CSDN）董事長蔣濤。在1月11日召開的媒體見面會上，他透露：“平時我們注冊的網(wǎng)站賬戶、密碼，其中有80%可以被破解?！?/p>

去年年底，我國遭遇了史上最大規(guī)模的互聯(lián)網(wǎng)用戶信息泄露事件，揭開事件序幕的，就是CSDN的600萬用戶信息泄露。隨后，天涯論壇被傳4000多萬用戶密碼被盜，當(dāng)當(dāng)網(wǎng)1200萬全字段用戶資料遭到泄露，支付寶也被爆出用戶泄露總量達1500~2500萬……而貓撲、多玩、人人等多個知名互聯(lián)網(wǎng)企業(yè)均難逃其難，波及互聯(lián)網(wǎng)用戶多達過億人次。

數(shù)據(jù)庫被“竊”是主因

黑客橫掃互聯(lián)網(wǎng)，用戶更改密碼忙。“你的密碼被盜了嗎”一時成為網(wǎng)絡(luò)流行語，“今年，你改密碼了嗎？”也成為不少人的QQ簽名。那么，密碼為何能輕易被盜？我們輸入的密碼，又被網(wǎng)站“放”在何地？

資深網(wǎng)絡(luò)安全顧問張百川告訴記者，用戶輸入密碼后，通常都會要求你“提交”，而這個步驟，其實就把密碼傳到了網(wǎng)站后臺的服務(wù)器上，并保存到數(shù)據(jù)庫里。網(wǎng)站有專門的人員來管理數(shù)據(jù)庫。因此，黑客要竊取用戶密碼，最直接的就是想辦法入侵數(shù)據(jù)庫，而數(shù)據(jù)庫管理員的任務(wù)，就是設(shè)置各種防護措施，防止黑客入侵。

此次“泄密門”，就是多家網(wǎng)站的數(shù)據(jù)庫被黑客攻陷，大量用戶的注冊信息，包括郵箱、用戶名、密碼被盜取，并被傳到互聯(lián)網(wǎng)上。“所以，有一個經(jīng)驗豐富的數(shù)據(jù)庫管理員，對網(wǎng)站來說是非常重要的，如果管理員不重視業(yè)務(wù)，很容易被黑客鉆空子。”張百川說。

另外，數(shù)據(jù)庫并非一定是靠技術(shù)手段偷走的，網(wǎng)站內(nèi)部也許出了“內(nèi)鬼”，直接將數(shù)據(jù)庫拷貝走。前不久，陜西某電信企業(yè)1400萬手機用戶資料被泄露，就是員工利用工作之便進入數(shù)據(jù)庫，盜取了信息。而為牟取暴利，一大學(xué)職員伙同網(wǎng)絡(luò)公司“內(nèi)鬼”擅自修改游戲數(shù)據(jù)庫，然后大肆復(fù)制游戲裝備在網(wǎng)上出售，從中獲利百萬元。

部分網(wǎng)站為省事將風(fēng)險轉(zhuǎn)嫁用戶

數(shù)據(jù)庫被攻擊或被偷走的風(fēng)險無法完全避免，對此，網(wǎng)站并不是就沒有辦法應(yīng)對了。

在此次事件中，CSDN、天涯以及許多網(wǎng)站泄露的數(shù)據(jù)庫，保存的都是明文密碼。“所謂明文密碼，就是你輸入的是什么密碼，數(shù)據(jù)庫保存的就是什么密碼?！睆埌俅ㄕf，打個比方，你輸入的密碼是123456，那么數(shù)據(jù)庫保存的就是123456?！昂诳鸵坏┏晒θ肭謹?shù)據(jù)庫，用戶密碼一覽無余，毫無安全性可言?！?/p>

正因為明文密碼的安全系數(shù)低，據(jù)業(yè)內(nèi)人士透露，從2003年開始，一些網(wǎng)站陸續(xù)改成了加密密碼。張百川告訴記者，現(xiàn)在用的較多的是MD5加密。簡單來說，就是無論你輸入的是什么密碼，比如123或456，最后在數(shù)據(jù)庫里顯示的都是一個16位或32位的字符串。在這種情況下，連管理員也不知道原來的密碼是什么，即使黑客打開了數(shù)據(jù)庫，要想破解密碼也得費一番工夫。

據(jù)媒體報道，一直到2009年4月，CSDN的程序員才改成加密密碼，但部分老的明文密碼沒有被清理。

在張百川看來，網(wǎng)站不加強安全性，除了意識不強、資金投入的問題以外，由于網(wǎng)站升級密碼的保存方式時也存在風(fēng)險，一些網(wǎng)站為了避免給自己帶來麻煩不做修改，結(jié)果把風(fēng)險轉(zhuǎn)嫁到用戶身上。

“我自己做網(wǎng)站的時候，也遇到過這樣的情況。MD5加密最開始的時候用的是16位字符，后來升級到32位字符時，不知是轉(zhuǎn)換程序還是其他的問題，結(jié)果登錄不進去，必須人工儲存密碼，這個量很大。”張百川說。

提高黑客獲取數(shù)據(jù)成本是關(guān)鍵

網(wǎng)站即使使用了加密密碼，也并不意味著萬事大吉。網(wǎng)上有很多專門破解MD5加密的網(wǎng)站，業(yè)內(nèi)人士透露，破解一個8位純數(shù)字的密碼不超過10分鐘，即使密碼是10位數(shù)以下“數(shù)字+字母+特殊字符”的組合，一天的時間就能夠破解出。

張百川說，對于用戶來說，雖然沒有絕對安全的密碼，但是設(shè)置一個相對復(fù)雜的密碼，安全性就較高。“黑客破解密碼也是要投入的，包括資金、技術(shù)和時間的投入。越復(fù)雜的密碼，投入也越多，如果投入過大，不能獲取到足夠的資源和利益，黑客自然會放棄?！?/p>

此次“泄密門”無論對網(wǎng)站、政府還是用戶而言，無疑敲響了警鐘。盡管目前已有兩名“CSDN泄密門”的涉案黑客被抓，但仍有大量我們看不見的黑客潛伏于各個網(wǎng)站，網(wǎng)站的安全狀況不容樂觀。

國家計算機網(wǎng)絡(luò)入侵防范中心主任馮登國認為，對于政府而言，要趕快考慮出臺一部真正的信息安全法。否則碰到相關(guān)網(wǎng)絡(luò)安全的案件時，想要進行制裁都沒有法律依據(jù)。

“黑客讓我們防不勝防，他們也在不斷改進技術(shù)，新的風(fēng)險和隱患始終存在。”上海理工大學(xué)光電信息與計算機工程學(xué)院教授陳家琪說，對于網(wǎng)站而言，一定要加強防御黑客對網(wǎng)絡(luò)安全侵蝕的意識。世界上沒有絕對的安全系統(tǒng)，不要以為選擇一款合適的操作系統(tǒng)，每次借助自動更新就萬事大吉了，要有專門的人員對網(wǎng)絡(luò)安全進行管理。在美國等一些發(fā)達國家，他們會培訓(xùn)專業(yè)人才來保護網(wǎng)絡(luò)。

蔣濤對媒體表示，CSDN目前正申請信息系統(tǒng)等級保護，主動配合信息安全監(jiān)管部門的監(jiān)督管理。同時，將網(wǎng)站核心服務(wù)與非核心業(yè)務(wù)隔離，以強化網(wǎng)站核心服務(wù)安全，減小系統(tǒng)安全風(fēng)險?！癈SDN會采取相關(guān)措施，提高黑客獲取數(shù)據(jù)成本，降低數(shù)據(jù)對黑客的吸引力，建立安全審核機制，盡量避免內(nèi)部泄露數(shù)據(jù)的可能?！?/p>