您正在使用IE低版浏览器,为了您的雷峰网账号安全和更好的产品体验,强烈建议使用更快更安全的浏览器
此为临时链接,仅用于文章预览,将在时失效
业界专题 正文
发私信给Longye
发送

0

网络安全事件频发,最后却成了用户的错?

本文作者:Longye 2014-10-15 02:15
导语:你会发现,这些什么门啊、泄密啊,其实都有共通之处。那就是:厂商声明,此事与我们无关,应该都是用户的错。或者弱密码,或者滥用第三方应用,或者直接不知情。

网络安全事件频发,最后却成了用户的错?

最近一段时间网络安全事件频发。

我说的不是类似Heartbleed、BadUSB、Shellshock这种天灾级别的漏洞,面对这类漏洞,普通用户就像面对台风海啸一般,无法抵御。

我想说的是iCloud艳照门,Snapchat艳照门、Yahoo邮箱用户资料泄露以及最新未证实的Dropbox用户资料泄密事件,它们属于人力可挽救的事故。这些公司大多不在中国,但具备一种典型意义。换句话说:讨论它们,也能对国内产生借鉴意义。

你会发现,这些什么门啊、泄密啊,其实都有共通之处。那就是:厂商声明,此事与我们无关,应该都是用户的错。或者弱密码,或者滥用第三方应用,或者直接不知情。

iCloud艳照门,原因评估是因为用户弱密码,通过iCloud上可以用脚本程序反复测试直接获得正确密码;Snapchat艳照门,原因评估是用户在使用一个名为“Snapsave”的第三方应用,这个应用可以保存Snapchat上的“阅后即焚”照片,它的数据库被黑客攻破,从而导致照片泄露;Yahoo邮箱是一起较早的事件,由于对某个漏洞修复不完全,导致黑客的二次利用;Dropbox则还没有更准确的信息。

坦白的说,这些问题就厂商而言,确实直接责任不大(Yahoo的例外)。但对用户轻飘飘一个声明,于情于理都说不过。我以为有更好的做法。

用户端安全机制的增强。

在iCloud艳照门后,苹果为Apple ID开启了两部认证。如此后,每次登陆iCloud除密码外还需要设备验证或者短信验证。这个功能是极好的,但苹果只为美国等少数几个国家开启了这一功能,并且只作为安全项的一个补充项,并不是全局性质的默认推荐。苹果只做一半的做法很显然不合时宜(Washington Post对此也颇有微词),像Google、Alipay、QQ等多家服务型巨头这方面就做的不错,包括“安全设备”、多重验证、令牌环、密码多次输入错误后停止登陆等等,苹果显然还处在这些厂商的早期状态,对此意识不强。

第三方生态安全的增强。

这次的Snapchat事件,是一个第三方应用的问题,据说最近还有几家也遭遇了这个问题。这很是凸显生态安全。我以为,第三方授权安全是绝对需要注意的。来看看QQ的例子,在前两年腾讯下大力气,将国内有名儿的QQ插件全封杀并告知法律风险。这件事虽然有些霸权主义,但很值得做,因为聊天软件不保证安全那是对用户的伤害,当然更大气的做法是做插件生态,这个事儿不多讨论。Snapchat艳照门事件,显然是因为Snapsave通过bug从而拿到更高权限,从而保存了本该本销毁的照片。插件生态的安全性需要时刻警惕,特别还是这类聊天类高敏感的应用。

整体安全的增强。

Yahoo和未证实的Dropbox事件,是因为被入侵从而丢失用户资料。这两家公司,一家太沉闷一家太新,因而没有针对自身安全的漏洞奖励计划(Yahoo Mail泄密发生在2012年末,Yahoo漏洞奖励计划在2013年末发布)。漏洞奖励计划是厂商对自身漏洞发现者给与一定奖励,从而可以最快了解漏洞并修复,这是业内的一种成熟做法:当白帽能从你手中获得收入,黑客就会更难入侵。但在这之外,像苹果、Snapchat这类安全频发的公司也同样没有漏洞,这是非常令人可惜的。

其实总的说来,网络安全事件频发,是因为这类厂商自身面对安全问题经验太少,一些业界通用的安全防护措施,因为傲慢或疏忽而不愿采用。到头来尝到苦楚,结果却要用户来承担。

这真的应该吗?

题图来自lzamgs

雷峰网原创文章,未经授权禁止转载。详情见转载须知

分享:
相关文章

NULL

@leiphone.com
当月热门文章
最新文章
请填写申请人资料
姓名
电话
邮箱
微信号
作品链接
个人简介
为了您的账户安全,请验证邮箱
您的邮箱还未验证,完成可获20积分哟!
请验证您的邮箱
立即验证
完善账号信息
您的账号已经绑定,现在您可以设置密码以方便用邮箱登录
立即设置 以后再说