电脑黑客:中国互联网安全原本就惨不忍睹

【新唐人2014年4月12日讯】 许多人在谈论OpenSSL漏洞时,会感到惊恐,害怕自己的隐私从洞里漏出去。一位不愿透露姓名的黑客指出,互联网从来不是这样的,至少中国的不是。他说,中国互联网安全原本就惨不忍睹。

福布斯中文网编辑李柯达11日发表“对话黑客:中国是个肥羊”一文中指出,大家都在谈论OpenSSL漏洞,仿佛互联网的天空,突然就在那一天,塌了一个洞,自己原本藏得好好的隐私,一下子都从那个洞里漏了出去,大家都很惊恐。

但文章说,不是这样的。一位不愿透露姓名的黑客告诉他,互联网从来不是这样的,至少中国的不是。该黑客说,中国互联网安全原本就惨不忍睹。

OpenSSL这个被称为“心脏流血”(HeartBleed)的漏洞,很多人之前都不知道。被媒体披露后,黑客和互联网安全运维人员第一时间反应过来。但更多的早已披露的漏洞,互联网公司却没有注意到,任由他人自由进出。

该黑客说“像携程之前那个漏洞,‘太酷了’。”上个月,互联网安全问题反馈平台乌云上出现了一份报告:携程旅行网支付日志存在漏洞,或导致大量用户银行卡信息泄露。这可能直接引发盗刷等问题。

“往往应该重视这个问题的互联网公司,他们其实不重视。我很不理解他们为什么不重视。这个你怎么可以不重视?”

他又举了一个例子,“比如做云服务,数据敏感性非常高。如果我们的数据泄露了,那就是关门的事情,因为用户再也不会相信我们。如果这家云服务面向公司用户,那么,他的客户公司所有的数据也都没了。”

他说,漏洞就像你在厨房看到蟑螂一样,看到一只,你就应该知道,其实那还有几十只。“中国被卖的公司越来越多。大家也开始知道,中国是个肥羊。”

这一现状说明,互联网安全大有商机:不是去窃取服务器和数据;而是在互联网安全成为刚需的情况下,为这些疏于防范的公司提供渗透服务与技术支持。

渗透测试,就是以黑客的身份,想尽办法地进入系统,拿到用户数据,或者服务器许可权。所有黑客会采取的手段和渠道,包括技术手段与社交工程,测试方都会使用。

直接黑你 勒索你

中国渗透测试服务cagetest.com的负责人说“你自己所有的安全工作都做完以后,可以通过买这个服务试试,自己是不是真的安全。”他说,这在国外早已是成熟产业。

该负责人说“我们在黑客论坛上,看到一个帖子,就会以买家的身份,接触发帖人,尽可能地得到详尽信息。”通过这个渠道,发现哪家公司已经出事了,就找上门去,告知对方,“你已经有问题了。”

“然后,他们付我们70%的钱。然后我们把完整的报告发给对方,里面包含问题漏洞与解决方案,对方再补上剩下的30%。”

目前这家渗透测试公司已经接过十数单合同,每单最少几十万,后续月费几万左右:有比特币交易平台,有云存储平台,有航空公司,也有会计公司。这些公司都在业内拥有领先地位。

通常做过渗透测试,就会成为该服务的长期客户。因为安全不是一次性的。每更新一次系统,每增加一台服务器,事实上都在制造漏洞。

该负责人说“我期待做银行客户。”但不敢先黑进去,再跑过去对银行说,你有漏洞,你交点钱,我来帮你解决吧。

他说那就是黑客界的传统手段了:直接黑你,然后来勒索你,“那种超高效的。”

但他们不敢这么做,他说,“目前我们没看到中国法律上有相关条款。所以还是按规矩来,没有得到人家授权,就不进去,不能把人家惹毛了。”

但也有从事互联网安全的黑客称,即使法律没有站在未获得授权就擅自发布渗透测试报告的黑客那边,大多数公司也不会选择走法律途径。否则,后果很可能是不再有人报告该厂商漏洞,甚至可能有人会直接公开漏洞。

这种判断反应在携程事件上,就是该公司客服微博上的一段话:携程对于乌云平台发现的漏洞信息,表示非常重视和感谢,并将对于提供漏洞信息者给与奖励。

相关文章
评论
新版即将上线。评论功能暂时关闭。请见谅!