IEEE泄10萬會(huì)員信息 軟硬件工程師安全意識(shí)好不到哪里
哥本哈根大學(xué)助教拉度·德拉古辛(RaduDragusin)發(fā)表博客稱,這些敏感信息包含在100GB的IEEE網(wǎng)站日志文件中,在至少1個(gè)月的時(shí)間里,這些日志文件能被任何用戶公開訪問。
德拉古辛稱,他在緩沖文件中發(fā)現(xiàn)的99979個(gè)用戶名占IEEE41.1萬名會(huì)員的約24%。德拉古辛稱,“這次信息泄露事件是令人遺憾的,在缺陷修正前不知道有多少人獲取了這些信息。如果說讓包含有100GB日志的FTP目錄公開讓人訪問是訪問權(quán)限設(shè)置方面的一個(gè)小失誤,以明碼方式保存用戶名和密碼是更大的麻煩。”
德拉古辛表示,日志文件記錄了1個(gè)月內(nèi)對(duì)ieee.org網(wǎng)站的逾3.76億次請(qǐng)求。
德拉古辛提供的分類數(shù)據(jù)顯示,部分密碼被大量IEEE會(huì)員使用,只需利用Hashcat和JohntheRipper等簡(jiǎn)單解密工具,這些密碼在不到1秒鐘時(shí)間內(nèi)就能被破譯。密碼“123456”被使用了271次,“ieee2012”、“”、“9”和“password”被使用的次數(shù)分別是270、246、222和109次。
IEEE發(fā)言人發(fā)表電子郵件聲明稱,“IEEE已經(jīng)得知用戶名和密碼泄密事故,我們已經(jīng)進(jìn)行了徹底調(diào)查,問題已經(jīng)得到解決。我們正在通知可能受到影響的會(huì)員。IEEE非常重視保護(hù)會(huì)員和客戶隱私信息安全。我們對(duì)這次泄密事件以及由此造成的影響表示遺憾。”
近年來,隨著市場(chǎng)競(jìng)爭(zhēng)的激烈化與網(wǎng)絡(luò)攻擊技術(shù)的飛速發(fā)展,CSDN數(shù)據(jù)泄露等安全事件爆發(fā)的頻率越來越高,國(guó)內(nèi)外信息安全形勢(shì)變得日益嚴(yán)峻。在信息攻防戰(zhàn)中,信息系統(tǒng)內(nèi)部的重要數(shù)據(jù)通常是攻擊者發(fā)動(dòng)攻擊行為的驅(qū)動(dòng)力和重要目標(biāo),同時(shí)也是用戶著力保護(hù)的對(duì)象,圍繞數(shù)據(jù)機(jī)密性與完整性展開的安全保護(hù)工作逐漸成為信息安全建設(shè)的重心,同時(shí)也是橫亙?cè)谟脩裘媲暗囊坏乐匾},引起了用戶、專家、信息安全產(chǎn)品與服務(wù)提供商等業(yè)界各方的廣泛關(guān)注。
數(shù)據(jù)機(jī)密性與完整性難以兩全?
信息安全建設(shè)是一項(xiàng)復(fù)雜的系統(tǒng)工程,內(nèi)容涵蓋物理安全、系統(tǒng)安全、網(wǎng)絡(luò)安全等等,數(shù)據(jù)安全是其中較為重要的一個(gè)環(huán)節(jié)。國(guó)家標(biāo)準(zhǔn)《信息安全技術(shù)-信息系統(tǒng)安全等級(jí)保護(hù)基本要求》(GB/T22239-2008)明確指出,在基本安全要求中,技術(shù)類安全要求與信息系統(tǒng)提供的技術(shù)安全機(jī)制有關(guān),主要通過在信息系統(tǒng)中部署軟硬件并正確的配置其安全功能來實(shí)現(xiàn)。根據(jù)保護(hù)側(cè)重點(diǎn)的不同,技術(shù)類安全要求細(xì)分為數(shù)據(jù)保護(hù)、系統(tǒng)服務(wù)功能保護(hù)、通用安全保護(hù)三大類,其中數(shù)據(jù)保護(hù)是信息安全建設(shè)的重要目標(biāo)和核心內(nèi)容。
“保護(hù)數(shù)據(jù),要保護(hù)數(shù)據(jù)的什么?我們必須清楚,保護(hù)數(shù)據(jù)就是要保護(hù)數(shù)據(jù)的安全屬性不被破壞,也就是保護(hù)數(shù)據(jù)的機(jī)密性(C)、完整性(I)和數(shù)據(jù)的可用性(A)。”信息安全專家陸寶華指出,由于數(shù)據(jù)的可用性是建立在數(shù)據(jù)的機(jī)密性、完整性及系統(tǒng)的可用性基礎(chǔ)上,而系統(tǒng)的可用性實(shí)際上是對(duì)系統(tǒng)服務(wù)功能的保護(hù),所以,“從保護(hù)數(shù)據(jù)的角度看,我們只要注重保護(hù)數(shù)據(jù)的機(jī)密性和完整性就足夠了。”
從安全策略的角度看,數(shù)據(jù)機(jī)密性保護(hù)和完整性保護(hù)是相互矛盾的:數(shù)據(jù)機(jī)密性是指信息不能被非授權(quán)者、實(shí)體或進(jìn)程利用或泄露的特性,可以通過禁止“向上讀、向下寫”的策略,確保數(shù)據(jù)不會(huì)被泄露;而數(shù)據(jù)完整性是指數(shù)據(jù)沒有受到非授權(quán)方式所做的篡改,同時(shí)也沒有出現(xiàn)未經(jīng)授權(quán)的使用情況,如果充許“向上寫、向下讀”,那么高安全等級(jí)的數(shù)據(jù)就有可能被低安全等級(jí)的用戶、進(jìn)程等主體篡改,數(shù)據(jù)完整性將沒有任何安全保障可言。
那么,在安全風(fēng)險(xiǎn)變化難測(cè)的信息化應(yīng)用環(huán)境下,如何兼顧數(shù)據(jù)的機(jī)密性與完整性保護(hù),最大限度地提升數(shù)據(jù)的安全水平?
“問題”系統(tǒng)難以承載安全構(gòu)想
在IT系統(tǒng)架構(gòu)中,操作系統(tǒng)是計(jì)算機(jī)資源的直接管理者,承載著大量重要的數(shù)據(jù)信息和關(guān)鍵的業(yè)務(wù)應(yīng)用,在數(shù)據(jù)保護(hù)中占據(jù)著非常重要的地位。為了提升數(shù)據(jù)的安全性,國(guó)家標(biāo)準(zhǔn)《信息安全技術(shù)-操作系統(tǒng)安全技術(shù)要求》(GB/T20272-2006)對(duì)數(shù)據(jù)機(jī)密性和完整性制定了詳細(xì)的規(guī)范,例如在三級(jí)操作系統(tǒng)的數(shù)據(jù)機(jī)密性保護(hù)方面,要求“非授權(quán)用戶不能查找系統(tǒng)現(xiàn)已分配給他的記錄介質(zhì)中以前的信息內(nèi)容”;數(shù)據(jù)完整性方面,GB/T20272-2006建議為主體和客體設(shè)置完整性標(biāo)簽,并建立完整性保護(hù)策略模型,保護(hù)用戶數(shù)據(jù)在存儲(chǔ)、傳輸和處理過程中的完整性。此外,GB/T20272-2006還從磁盤掃描、邏輯隔離等方面制定規(guī)范,增強(qiáng)三級(jí)操作系統(tǒng)對(duì)數(shù)據(jù)機(jī)密性和完整性的保護(hù)力度。
然而,在實(shí)際應(yīng)用中,國(guó)內(nèi)普遍使用的操作系統(tǒng)大多數(shù)來自國(guó)外,根據(jù)TCSEC標(biāo)準(zhǔn)安全等級(jí)為C2級(jí),低于國(guó)標(biāo)GB/T20272-2006第二、三級(jí)操作系統(tǒng)的安全水平,存在超級(jí)管理員(root/Administrator)權(quán)力過度集中的問題,攻擊者一旦通過非法手段獲得管理員權(quán)限,就可以對(duì)數(shù)據(jù)機(jī)密性和完整性進(jìn)行破壞。
責(zé)任編輯:黎陽錦
-
發(fā)電電力輔助服務(wù)營(yíng)銷決策模型
2019-06-24電力輔助服務(wù)營(yíng)銷 -
電力線路安全工作的組織措施和技術(shù)措施分別是什么?
-
兩會(huì)保電進(jìn)行時(shí)丨陜西電力部署6項(xiàng)重點(diǎn)任務(wù)
-
電力線路安全工作的組織措施和技術(shù)措施分別是什么?
-
兩會(huì)保電進(jìn)行時(shí)丨陜西電力部署6項(xiàng)重點(diǎn)任務(wù)
-
山東特高壓首次完成帶電消缺 確保電力安全穩(wěn)定迎峰度冬
-
發(fā)電電力輔助服務(wù)營(yíng)銷決策模型
2019-06-24電力輔助服務(wù)營(yíng)銷 -
繞過安卓SSL驗(yàn)證證書的四種方式
-
網(wǎng)絡(luò)何以可能
2017-02-24網(wǎng)絡(luò)
-
Windows 10首發(fā) 四大安全提升
-
超級(jí)安卓漏洞 “寄生獸”影響數(shù)千萬手機(jī)應(yīng)用
-
航空公司首出現(xiàn)操作系統(tǒng)被黑
2015-06-23航空公司
-
“企業(yè)應(yīng)急響應(yīng)和反滲透”之真實(shí)案例分析
-
攜程恢復(fù)正常 安全,我們準(zhǔn)備好了嗎?
2015-05-29攜程 -
一張圖讀懂《2014年消費(fèi)者個(gè)人信息網(wǎng)絡(luò)安全報(bào)告》