陳鄧新

日前，谷歌公開承認(rèn)其產(chǎn)品G Suite存在低級安全漏洞。

G Suite管理控制臺允許管理員為用戶重置密碼，然而該功能竟然以純文本的形式明文存儲用戶的密碼而非加密存儲，如今該功能已被移除。

資料顯示，G Suite 是由Gmail、Google文檔、 Google云端硬盤等應(yīng)用組合而成的一個辦公套裝，全球共有 500 萬個機(jī)構(gòu)訂閱了該服務(wù)，包括 60% 的世界 500 強(qiáng)公司。

“雖然這些密碼沒有經(jīng)過哈希加密存儲，但它們?nèi)员Ａ?在Google 經(jīng)過安全加密的基礎(chǔ)設(shè)施中。”Google 工程部副總裁 Suzanne Frey安撫用戶，“此問題已得到解決，我們沒有明確證據(jù)表明這些密碼遭到了不當(dāng)訪問或?yàn)E用?！?/p>

然而，明文存儲密碼這種低級安全漏洞，在谷歌體系內(nèi)存在了14年未被發(fā)現(xiàn)，為何檢測不出來？除了谷歌，歷史上諸多知名互聯(lián)網(wǎng)公司都被明文存儲密碼漏洞困擾過，為何此類漏洞屢禁不絕？

關(guān)聯(lián)功能可能存在漏洞

低級安全漏洞有許多，網(wǎng)站參數(shù)過濾不嚴(yán)導(dǎo)致的跨站漏洞、設(shè)計(jì)缺陷導(dǎo)致的任意密碼重置漏洞與任意支付漏洞、弱口令漏洞、明文存儲密碼漏洞等。

其中弱口令漏洞與明文存儲密碼漏洞被公認(rèn)為最“愚蠢”的漏洞。

密碼不能明文存儲，這是最基本的安全常識，經(jīng)驗(yàn)豐富的程序員都明白不能給黑客任何可乘之機(jī)，后者會帶來隱私泄露的可怕后果。

因此，網(wǎng)站存儲用戶密碼都必須進(jìn)行加密，譬如張三注冊賬號時設(shè)定密碼為“567122cdefe”，后臺直接看不到這個密碼，而是一串字符。

倘若用的是MD5加密方式，那么看到的可能是a9541a219863e8aa（16位）或ad2517b1a9541a219863

e8aaff3593ec（32位），這兩個字符串還可以進(jìn)行二次加密，以增強(qiáng)密碼的保護(hù)強(qiáng)度。

安全措施做足了，哪怕黑客入侵了網(wǎng)站數(shù)據(jù)庫，也不會輕易破解密文從而得到真實(shí)的密碼，因此明文存儲歷來為程序設(shè)計(jì)大忌。

有業(yè)內(nèi)人士告訴記者，一些小網(wǎng)站或許數(shù)據(jù)庫會明文存儲密碼，而知名互聯(lián)網(wǎng)公司絕無可能，但后者的業(yè)務(wù)系統(tǒng)頗為復(fù)雜，關(guān)聯(lián)功能可能意外隱藏著明文存儲漏洞，因此例行安全檢測都額外注意這點(diǎn)。

譬如微軟收購的GitHub，就是在2018年例行安全檢測中發(fā)現(xiàn)一個明文存儲漏洞：用戶重置密碼時安全內(nèi)部日志記錄也同步明文保存了一份。

隱私泄露觸目驚心

盡管大公司多數(shù)明文存儲漏洞沒有造成影響，但也有漏網(wǎng)之魚，被外界捕捉。

大名鼎鼎的Facebook內(nèi)部登錄系統(tǒng)曾將6億用戶的密碼以明文存儲，可被Facebook的內(nèi)部員工搜索、訪問。

該漏洞最早可以追溯到2012年，到2019年一共被內(nèi)部員工訪問超過了 900萬次，不過Facebook軟件工程師Scott Renfro對外表示：“我們在調(diào)查中沒有發(fā)現(xiàn)濫用這些數(shù)據(jù)的跡象。”

然而Facebook公開要求所有用戶更改密碼則暴露其對泄密事件信心不足。

多方人士指點(diǎn)記者，暗網(wǎng)中流傳多份數(shù)據(jù)文件，就有涉及Facebook的用戶隱私數(shù)據(jù)，2018年10月就有黑客以2.60美元的單價銷售Facebook賬號的登錄信息，涉及5000萬用戶。

而安全監(jiān)控公司 4iQ最近表示，暗網(wǎng)出現(xiàn)一份高達(dá) 41 GB的數(shù)據(jù)文件，內(nèi)含14 億份以明文形式存儲的賬號和密碼，涉及Facebook、LinkedIn、MySpace、Twitter等多家知名互聯(lián)網(wǎng)公司。

從泄露的數(shù)據(jù)來看，123456、123456789、qwerty、password等密碼用得較多。

國內(nèi)不少互聯(lián)網(wǎng)公司也在明文存儲密碼上栽過跟頭，最著名的當(dāng)數(shù)2011年的“泄密門”。

2011年12月，CSDN網(wǎng)站備份數(shù)據(jù)庫遭黑客攻擊，600萬用戶的登錄名、密碼數(shù)據(jù)被竊取，之后天涯、世紀(jì)佳緣、走秀等多家網(wǎng)站的用戶數(shù)據(jù)庫也在網(wǎng)上被曝光。

有黑客向記者回憶：“當(dāng)時第一眼看到從網(wǎng)上下載的天涯、CSDN等原始數(shù)據(jù)庫文件，居然是明文密碼，簡直驚呆了，怎么會如此草率?！?/p>

上億網(wǎng)站用戶的密碼曝光后，黑客發(fā)動了后續(xù)的撞庫攻擊，獲得了更多個人隱私，甚至包括支付敏感數(shù)據(jù)，影響極其惡劣。

所謂撞庫攻擊，就是利用用戶一個密碼走天下的習(xí)慣，通過不斷嘗試登錄，企圖掌控用戶的全部網(wǎng)絡(luò)痕跡與隱私數(shù)據(jù)。

“泄密門”風(fēng)波之后，也時不時有知名網(wǎng)站、APP被證實(shí)存在明文存儲密碼，譬如烏云網(wǎng)曾披露銀聯(lián)手機(jī)支付APP的unionpay.db數(shù)據(jù)庫中明文存儲了賬號和密碼。

四大因素誘發(fā)漏洞

明文存儲密碼漏洞主要由燈下黑、設(shè)計(jì)考慮不周、歷史遺留、過于自信這四個因素造成。

燈下黑

多名安全人士告訴記者，安全測試時如果收尾沒有處理干凈，也可能留下安全漏洞，出現(xiàn)燈下黑的情況。

譬如GitHub的明文存儲密碼漏洞出在安全內(nèi)部日志上，該漏洞也許是某次安全測試時開啟了明文日志，而最終忘記去掉該日志所導(dǎo)致的。

因此完成安全測試后，應(yīng)關(guān)閉調(diào)試模式并刪除正式環(huán)境不需要的功能或代碼。

設(shè)計(jì)考慮不周

倘若程序在設(shè)計(jì)時考慮不周，無意中也會制造漏洞。

譬如Twitter使用一個名為bcrypt的函數(shù)對密碼進(jìn)行掩碼處理，但在密碼被bcrypt函數(shù)處理之前是以明文形式存儲的，這就為直接獲取到用戶密碼留下了“窗口”。

歷史遺留

羅馬不是一天建成的，知名互聯(lián)網(wǎng)公司也不是一天長大的，在成長過程中難免遺留各種問題，漏洞也不例外。

時任 CSDN 產(chǎn)品總監(jiān)范凱曾總結(jié)經(jīng)驗(yàn)教訓(xùn)：“CSDN網(wǎng)站早期使用明文是因?yàn)楹鸵粋€第三方chat程序整合驗(yàn)證帶來的，后來的程序員始終未對此進(jìn)行處理，一直到2009年4月當(dāng)時的程序員修改了密碼保存方式，改成了加密密碼。我 2010年來CSDN上班以后發(fā)現(xiàn)CSDN賬號的安全性仍存在潛在的問題：雖然密碼保存已經(jīng)修改為加密密碼，但老的保存過的明文密碼未清理;賬號數(shù)據(jù)庫運(yùn)行在Windows Server上的SQL Server，仍有被攻擊和掛馬的潛在危險?！?/p>

一名匿名人士也告訴記者，他所在的公司人員流動性較大，早年的程序不太規(guī)范，又經(jīng)過多方修改，一度也出過類似的低級安全漏洞，好在后期重塑架構(gòu)體系，此類問題才得以解決。

歷史遺留是頗為棘手的問題，早解決比晚解決好。

過于自信

對公司的安全體系比較信任，而公司安全人員在例行安全檢測時又沒有做到任何細(xì)節(jié)不放過，導(dǎo)致一些漏洞時隔多年才被發(fā)現(xiàn)。

一名資深程序員向記者透露：“曾為某消費(fèi)APP設(shè)計(jì)過活動頁面，用戶可在該活動頁面優(yōu)惠充值，上線之前請安全部同事檢測過，沒有發(fā)現(xiàn)問題。上線后也一切正常，直到白帽黑客發(fā)郵件通知，才知道頁面存在1分錢充值任意金額漏洞。”

這四大因素，歸根結(jié)底就是安全意識淡薄。

電影《蜘蛛俠》有一句經(jīng)典臺詞“能力越大，責(zé)任越大”，大公司肩負(fù)無數(shù)用戶的信任，須牢牢繃緊安全意識這根弦，才能保護(hù)用戶的隱私不受侵犯。