来自乌云的安全建议

原文：http://news.csdn.net/a/20111229/309875.html

 

编者按：近日，互联网厂商信息泄漏事件层出不穷，给大量用户带来困扰与不便。在这过程中，乌云（wooyun.org）引起了人们众多关注，作为一个厂商和安全研究者之间的安全问题反馈平台，乌云提供给互联网公司很多漏洞及风险报告，帮助他们防患于未然，下面是乌云对此次安全事件的建议。

迄今为止，越来越多的公司被卷入数据泄密事件当中，其中最让人担忧的就是用户的账户密码信息，一旦账户密码信息被获取，攻击者就可以借用账户密码去登录用户的业务系统，获取相应的信息。譬如登录进游戏系统窃取装备，登录进微博发广告或者欺诈信息，登录进购物网站访问用户手机、住址、订单、购物记录等信息等等，以获取更多的利益。利益永远是攻击者追逐的最终目标。

为何这么不安全？

其实很早我们和一些互联网公司就发现一个奇怪的现象，传统的暴力破解密码等较为成熟的攻击手段发生了改变。另外一种攻击手法越来越多——直接拿一批账号密码去业务系统上进行尝试，这一动作变得相当普遍。尽管账号密码不一定是正确的，但是可以明显看出是用户的正常密码，而且一次失败就不再进行尝试，其实这个时候大量的账号密码数据泄露已经发生了，业界有一个名词来指代这种行为，叫“撞库”。

如何变得安全

作为一个互联网厂商，如果想让自己变得安全，有两种方式。

第一种是让自己在黑客眼里变得没有价值，如果攻击成本和收益不成比例，相信黑客一定不会攻击你的。这里对于密码而言，最好的方式就是将你的密码加密，并且使得逆向不可能，譬如常见的一用户一加密，每个用户生成单独的足够复杂的盐，然后用盐对密码进行加密，这样会使得你的密码库对于黑客攻击的吸引会较小，一些公司可以通过这种方式减免风险。

第二种方式自然就是让自己足够的安全，这一点很困难。但是对于某些公司来说必须这么做，因为也许不是你的用户密码信息重要，你的业务已经决定了你的敏感性，譬如游戏公司、微博、社区、购物以及邮箱等等，这些业务注定是黑客的目标，这个时候只能提升自身的安全性以避免遭受攻击时受到损失。

但是这次的事件一样说明了一个问题，躺着中枪的事现在太多了。互联网这么大，各大公司的用户重合度非常高，很可能一家的数据库被入侵了，就发生了前面到别家撞库的现象。所以即使暂时没有被直接披露数据库泄露的厂商和企业，在做好自身安全建设的同时，也建议及时做出反应。对已经泄露的用户进行及时提醒，修改账号、密码。对于业务系统的登录日志要定期审计，重点包括单IP多账号尝试登录的情况。如果有很明显是可能躺着中枪的现象，要及时作出响应。

如果要做到自身的足够安全，这是一项艰巨和艰难的工作。安全本身的范畴就较广，但绝对不能是在出了事故之后找一些人来临时解决。最好的安全应该是自始至终就有人为安全负责，将安全落实到公司的流程制度规范以及基础技术架构里去，形成完善的安全体系，并且持续更新迭代。如果以前没有这方面制度，就从现在开始建设；如果没有团队，就可以先找一些公司或者外部顾问。但是记住，不要幻想一次性的投入就可以抵抗利益驱动长久进化的黑色产业链，当然作为一个与外部安全社区沟通的平台，乌云也是值得关注的。

关于乌云

乌云在此次的事件中也获得关注较多。我们由一群互联网安全研究人员自发组织起来的，目标是为研究人员和厂商之间建立一个信息安全沟通的平台，研究人员在平台上提交厂商的安全问题（譬如比较引起大家关注的当当网用户资料泄露等），也有一些通用的安全资讯和安全事件（譬如这次的天涯数据库泄露等信息）。到目前已经有超过500个白帽子安全研究人员、120多个厂商及一些政府互联网安全部门参与到平台，接近4000个安全问题得到反馈和处理，沉淀了大量的安全实例和资料，后期我们也期望与技术社区一起将这些知识沉淀利用起来，帮助企业避免和解决各种安全问题。