从技术角度看,携程到底犯了哪些错?

摘要: 从远期的人人、CSDN、天涯被曝拖出明文数据库,再到近期的全球最大比特币交易网站Mt.Gox被黑客盗走75万比特币,以及刚刚发生的携程事件,这个网络世界着实让人感到不安全。我们需要交易需要服务,但同时我们也需要更加安全的平台来保护我们的利益,而不是让我们随时陷入恐慌之中。

携程

理应说这次重大事件发生,携程应当第一时间通知用户,而不是通知乌云。看来携程这次出大事了,那我想从技术角度看看携程到底犯了哪些错。

 

1、保存CVV等同于保存用户密码

进入支付金额这一流程,携程只要求输入身份证号、持卡人姓名、信用卡卡号、信用卡卡背面上三位CVV安全码,交易就宣告成功,根本无需输入信用卡密码。

说的通俗点,CVV安全码等同于密码,所以很多有戒备心的用户都是在办理信用卡后将后三位涂摸掉,以防刷卡时被人发现,就可以直接刷其信用卡的现金。

而携程私自保存CVV安全码的行为,其本质上就是在用户输入交易密码私下留存的行为,这种行为也是银行明文禁止的,携程作为这样一个大公司,居然私自保存用户CVV安全码,着实让人不可思议。

 

2、明文保存

再将CVV安全码同支付宝密码,银行卡密码作对比,又暴露了什么问题?

首先任何网站的用户的密码都应当是经过不可逆转的加密保存,无法明文保存,用非技术的话来说就是数据库后台工程师看到的用户密码都无法进行任何操作,因为假设原来用户的密码是“123123”那么后台密码就可能是“SDF23KLFAS2323KK4”之类的经过复杂算法后的暗码。

如果携程此次是将CVV加密保存,那么就算是被检查出有漏洞,也绝不会有太大危险。

我们再次回看2011年,CSDN被爆明文保存密码被拖库事件:

(1)CSDN帐号数据库是明文保存密码吗?

2009年4月之前是明文,2009年4月之后是加密的,但部分明文密码未清理;2010年8月我来CSDN以后清理掉了所有明文密码。所以从2010年9月开始全部都是安全的,9月之前的有可能不安全。

(2)我的CSDN帐号是安全的吗?需要修改密码吗?

如果你是2009年4月以前注册的帐号,且2010年9月之后没有修改过密码,请立即修改密码;

如果你是2009年4月以后注册的帐号,且2010年9月之后没有修改过密码,建议修改密码;

如果你是2010年9月以后注册的帐号,不必修改密码,但邮箱有泄露可能性;

如果你是2011年1月以后注册的帐号,帐号,密码和邮箱都非常安全;

从中说明了一件事,一旦用明文保存用户信息有过一段时间,都是很危险的事情,哪怕你之后将明文改成了暗文,只要之前的数据被黑客得到过,都会遭遇极大危险。

 

3、无法兑现赔付承诺

可以试想一下,只要用信用卡支付过一次的携程用户都会遭遇到被刷卡的风险。而用户解决的唯一方法就是换卡。携程声明中声称没有用户出现被盗的情况,但是还是通知用户去换卡,只能说明心虚无疑。而一旦用户的信用卡被盗刷,如果要想投诉携程,恐怕携程也不太可能承认,如果承认将会出现更大危机,而用户也无法找到任何证据说明自己信用卡被盗刷是因为携程的原因。

所以携程关于“倘若发生安全漏洞并引起用户损失,携程将给予全额赔付。”的承诺只是一句漂亮的空话而已,在具体落实的层面是极难操作的。

 

4、危险可能已经发生

携程该漏洞只是在乌云大牛猪猪侠发现后被补上,但完全不排除已经有其他高手早已将之攻破,已经在进行暗箱操作。

信用卡有支付限制,每天只能小额转移,在大额转以上还需要手机认证,但如果黑客坐拥如此海量携程用户,并且每天像是在羊群身上抽羊毛,用户都不会觉得痛,只需要几天时间,便可以将大量现金转账,仔细想想,这也是一件非常恐怖的事情。

这就像CSDN之前是用明文保存的用户只要不修改密码,就一定可以被黑客利用是一个道理,哪怕09年4月以后CSDN使用了暗码保存也同样没用,这个数据库已经拖出来了,已经无法挽回了。

是否携程用户的数据已经被其他黑客截取正在进行着地下转移,我们都不知道,只希望还是不要的好。

所以奉劝曾经在携程上使用过信用卡的用户,以防万一,还是赶紧换卡为妙。携程自己都不敢百分之百保证安全,还是通知部分用户去换卡,为了保险起见建议大家换卡,小心下一个被刷卡的可能就是你。

 

从远期的人人,CSDN,天涯被曝拖出明文数据库,再到近期的全球最大比特币交易网站Mt.Gox被黑客盗走75万比特币,以及刚刚发生的携程事件,这个网络世界着实让人感到不安全,我们需要交易需要服务,但同时我们也需要更加安全的平台来保护我们的利益,而不是让我们随时陷入恐慌之中。

本文系作者 承哲 授权钛媒体发表,并经钛媒体编辑,转载请注明出处、作者和本文链接
分享到:

第一时间获取TMT行业新鲜资讯和深度商业分析,请在微信公众账号中搜索「钛媒体」或者「taimeiti」,或用手机扫描左方二维码,即可获得钛媒体每日精华内容推送和最优搜索体验,并参与编辑活动。

承哲
承哲

微博@承载载

评论(4

  • cccccccc cccccccc 2014-03-27 17:41 via pc

    临时工干的。。。。

    0
    0
    回复
  • 周伯通 周伯通 2014-03-24 15:33 via pc

    声明说万一发生被盗它管赔。如何赔?用户必须举证:首先是交易非本人发起;其次是证明盗用者是从被告处而非其他地方获取的交易敏感信息。呵呵,你现在知道为什么支付欺诈的历史赔付率辣么低了吧(呲牙)

    0
    0
    回复
  • 我是一只大嘴鸟 我是一只大嘴鸟 2014-03-24 10:59 via weibo

    文不对题。写得从技术角度看,里面讨论的却是道德问题。携程此次事件,应该是一次技术事故。因为暴露相关内容的是“日志”,而非“数据库”。“日志”不是一个应用正式的数据的存储空间,而且很多时候黑客们都想着去“爆库”,即获得网站数据库,而对“日志”没多少兴趣。但把这么重要的东西写在“日志”里,而且内容么有加密,携程的技术水平确实值得怀疑一下。

    0
    0
    回复
  • yimaidao yimaidao 2014-03-24 09:19 via pc

    其实归根结底这是携程的管理和道德问题。 客户密码乃至客户资料都是可以规范化管理的。管理不到位,相关部门犯错的成本低。也只能被业界曝出料来才会被发现。他的主管看到也会十分气愤,不过也仅此而以。当初干鸟来着

    0
    0
    回复

Oh! no

您是否确认要删除该条评论吗?

分享到微信朋友圈