黑客一秒测试百万条密码 网站安全堪忧

三寸天堂

据《纽约时报》报道，LinkedIn是一家数据公司，但它没有保护好自己的数据。上周，黑客攻破网站，窃取600万用户密码，这些密码保护不周。密码被公布在俄罗斯黑客论坛上，人人可以看见。LinkedIn被攻击并非所有 人都吃了一惊。每天，企业电脑系统都要受到攻击。实际上，CBS音乐网 Lastfm.com和约会网站eHarmony上周也受到攻击，数百万密码被偷。
　　LinkedIn漫不经心
　　让客户和安全专家吃惊的是，以收集大量数据并靠它盈利的企业，数据保护方式如何之简单。泄露事件使得人们开始怀疑LinkedIn的电脑安全。尽管入侵不断增加，但一些拥有客户数据的企业仍然继续在自有电脑安全上下赌注。
　　旧金山电脑安全公司 Cryptography Research克歇尔(Paul Kocher)说：“如果它们请教那些知道密码安全一切详情的人，这事就不会发生。”之所以造成这样的问题，部分原因在于漫不经心的数据保护态度，因为造成严重后果十分罕见。没有法律上的罚款。客户很少流失。以LinkedIn为例，在泄露之后它的股价实际上上涨了。
; K7 V1 Y* Z4 o: U* m7 y  P2 D　　真正让大家担心的问题在于LinkedIn不是一家创业公司，也不是一家对数据不熟悉的企业。去年5月，它成功IPO，它拥有大量现金，它招聘 高级人才，而且盈利。它有1.6亿会员，这些人分享自己的企业关系，希望建立一个更宽广更有效的网络。他们希望自己的网络受到保护。
　　Buzzmedia专业音乐家、产品经理史密斯(Craig Robert Smith)说：“我希望LinkedIn做得更好些。但我没有删除帐号，因为它是一个与被招募、网络有关的网站。”目前尚不清楚黑客如何攻入系统的，也 不知道它们在系统中呆了多长时间。LinkedIn没有设置首席安全官，让他监督泄露事件。公司的运营资深副总裁大卫·亨特(David Henke)兼管安全问题，还有其它职责。
: X$ O* q! Y0 s, C2 @　　黑客一秒测试一百万密码
　　如果按A级至F级来评价，最高级为A级，专家说LinkedIn、eHarmony和Lastfm.com最多可以拿D级。对待用户密码，公司 最大意的地方在于将它以纯文本形式存储。RockYou在2009年时被窃取300万用户密码，就是属于这种失误。为了保护密码，最基本的一部保护措施就 是进行基本加密，也就是所谓的“散列法”，用一种数学算法对密码进行掩饰，然后用编码进行存储。
  v6 E: c& }' Q9 E2 Z& \　　不过，黑客通过自动工具，能在一秒测试一百万密码。它们可以破解散列密码，一般是利用所谓的字典、敏感在线通用密码数据库破解。一些网站包涵外 文子表，甚至是宗教式的密码(比如天使angel，神God，这些在破解的LinkedIn密码中排在前15位)。还有一些黑客使用“彩虹表 (rainbow tables)”来破解，上面例有几乎所有数字字母字符组合哈希值表。一些网站会公布500亿哈希值。
: G0 g! y( [2 d& n5 Y, U% L　　为了防止黑客破解，一些公司会采用一系列的随机数，将它们添加在每个哈希值后，也就是所谓的“salting”，这种技术可以随机颠倒私有密钥的数字，它只需要几行代码，几乎没有任何成本。
　　安全专家称，对密码进行salting是安全手册第一条，但LinkedIn、eHarmony和Lastfm.com都没有这样做。在A+级安全级别中，会设置散列密码、拥有复杂的暗号功能，进行salting，再将结果转成散列密码，将授权证书另外存放，确保服务器不能被黑客攻入。克歇尔说：“这不是什么复杂的事。”
  r, j$ n+ @* ]5 H　　后果
4 M7 t# k) k$ z7 @! u# n6 `　　在泄露之后，Linked一位高管维森特·圣卡塔林纳(Vicente Silveira)在博客中说，公司已经将一般性密码无效化，并说会员会受益于增强的安全措施，这些措施包括将密码散列化，并对目前的密码数据库进行 salting。LinkedIn新闻发言人没有透露何时对密码进行散列化、salting化，也没有解释为何不在一开始就使用。
/ w0 n* @! N1 S% T( A　　表面来看，安全性一般的LinkedIn帐号泄露不会有会大的恶果。但是黑客深知用户的心态，他们会在许多网站用相同的密码，他们会在邮箱、银行、企业、佣金帐户上使用同一密码，这样一来，黑客可以盗取个人和金融数据。
1 X+ _2 R, u. s　　以LinkedIn为例，黑客贴出640万散列密码，让其它人协助破解。到周四，大约60%的密码已经被破解。克歇尔估计最终95%会破解。
　　在博文中，LinkedIn指出与密码相关的用户名没有被展示出来，但安全专家称，这可能只是因为发布的网站将用户名自己留下来。格罗斯曼(Jeremiah Grossman)说：“你没有将王冠上的珍珠给别人，是为了让别人争夺。”
　　升级安全 一次性成本几百万美元
　　黑客的动机十分明显。但让安全专家真正感觉神秘的是为什么泄露会不断发生。格罗斯曼估计，对于像LinkedIn这样的公司来说，设立合适的密 码、网络服务器、应用安全，一次性成本大约几百万美元。而据赛门铁克的研究指出，一宗泄露平均成本550万美元，也就是第条记录泄露成本194美元。
$ X1 s4 T: R" U  b' _6 B! S　　格罗斯曼展示了两张表。一张是飞机每英里失事机率，现在已经掉到只有1945年时的千分之一，主要得益于1958年美国联邦航空管理局 (Federal Aviation Administration)建立、并制定了更安全更严格的安全协定。还有一张表是电脑新安全威胁表，它的结果完全相反。自从2002年以来，新威胁增 长了1万倍。
( ~+ t- M8 G( |　　克歇克及其它安全专家认为，问题在于缺少责任。电脑安全是不规则的，敏感的个人、企业、财务信息每天不断上传，企业不断跳过基本保护。如果美国 明天有5%的飞机要出事，就会有调查、有诉讼、会削减航线、航空股也会重挫。但在社交网络，克歇尔说：“人们的投票没有跟上脚步。”
　　自从周三泄露被公布以来，LinkedIn没有透露有多少用户退出服务，尽管黑客不断在努力破解密码，公司的股价到周末时仍上涨了4%。
3 {9 b. a+ I8 t$ U　　格罗斯曼说：“每次坠机FAA就会调查，数据也会不断披露。至于泄露就没有这回事。没有GOV机构管。我们不知道哪里起火了，也不知道火是怎么来的。”