劉佳

　　4月22日，大量社保系統(tǒng)相關(guān)漏洞出現(xiàn)在補(bǔ)天漏洞響應(yīng)平臺(tái)上。

　　補(bǔ)天漏洞響應(yīng)平臺(tái)發(fā)布信息稱，社保系統(tǒng)、戶籍查詢系統(tǒng)、疾控中心、醫(yī)院等大量爆出高危漏洞的省市已經(jīng)超過(guò)30個(gè)，包括重慶、上海、河南等，涉及用戶數(shù)量達(dá)數(shù)千萬(wàn)。這些漏洞的存在，可能導(dǎo)致發(fā)生泄露的信息包括個(gè)人身份證、社保參保信息、房屋產(chǎn)權(quán)、個(gè)人聯(lián)系方式等。

　　該平臺(tái)的漏洞信息顯示，陜西省人力資源和社會(huì)保障廳社保系統(tǒng)漏洞，可能泄露全省至少213萬(wàn)農(nóng)村參與社保人員的信息，黑客可利用漏洞隨意修改社保待遇，停發(fā)社保金；滄州市社保局某系統(tǒng)存在漏洞，270萬(wàn)醫(yī)療、養(yǎng)老、社保參保人員敏感信息疑遭泄露；江蘇省省級(jí)機(jī)關(guān)住房資金管理中心系統(tǒng)出現(xiàn)漏洞，可能導(dǎo)致江蘇省2510個(gè)單位10萬(wàn)公務(wù)員的姓名、身份證、社保信息遭泄露。

　　有媒體援引補(bǔ)天漏洞響應(yīng)平臺(tái)相關(guān)負(fù)責(zé)人的話稱，目前并不能確定這些省市的居民社保信息已經(jīng)被泄露。“我們只是檢測(cè)到這些系統(tǒng)存在高危漏洞，有泄露信息的風(fēng)險(xiǎn)?！?/p>

　　上述人士稱，補(bǔ)天平臺(tái)發(fā)現(xiàn)的漏洞大多數(shù)是由于網(wǎng)站搭建時(shí)期編寫(xiě)代碼時(shí)有缺陷造成的，通過(guò)這些缺陷，黑客可能入侵到網(wǎng)站主機(jī)，獲取后臺(tái)核心數(shù)據(jù)。

　　例如，社保系統(tǒng)里的信息包括了居民身份證、社保、薪酬等敏感信息，一旦泄露，用戶首先可能會(huì)遇到許多定向廣告、惡意推銷或詐騙。此外，通過(guò)社保密碼、生日信息，犯罪分子可能會(huì)套出用戶的一些賬戶密碼，也可能利用這些信息復(fù)制身份證、盜辦信用卡，給用戶造成經(jīng)濟(jì)損失。

　　目前，已有多個(gè)地方和補(bǔ)天平臺(tái)溝通，他們已對(duì)這些地方的社保查詢系統(tǒng)進(jìn)行修復(fù)，“40%的漏洞已被修復(fù)”。

　　事實(shí)上，從如家、漢庭等大批酒店的開(kāi)房記錄被曝存在第三方存儲(chǔ)和系統(tǒng)漏洞，到攜程漏洞用戶支付信息、12306被曝泄露用戶信息，再到社保系統(tǒng)相關(guān)漏洞，一系列網(wǎng)絡(luò)安全漏洞事件的背后，都有第三方安全漏洞平臺(tái)參與的身影。

　　在第三方安全漏洞平臺(tái)上，“白帽子”們通過(guò)發(fā)現(xiàn)網(wǎng)站中的安全漏洞，在“黑帽子”利用它們之前，提交到平臺(tái)上，或者向廠商報(bào)告，希望廠商及時(shí)進(jìn)行修復(fù)。

　　例如，烏云漏洞報(bào)告平臺(tái)創(chuàng)立于2010年，是國(guó)內(nèi)最早也最知名的在線漏洞報(bào)告平臺(tái)，吸引了不少“白帽子”。他們發(fā)現(xiàn)廠商的漏洞后提交到烏云，漏洞確認(rèn)后會(huì)獲得一定的積分(烏云幣)，通過(guò)積分兌換禮品。對(duì)于高質(zhì)量的漏洞，會(huì)直接提供現(xiàn)金獎(jiǎng)勵(lì)。

　　除了漏洞報(bào)告平臺(tái)本身，烏云還有安全眾測(cè)、知識(shí)庫(kù)、社區(qū)、招聘等欄目吸引和聚集“白帽子”。

　　安全平臺(tái)烏云創(chuàng)始人方小頓此前接受采訪時(shí)說(shuō)：烏云核心的運(yùn)營(yíng)思路就是開(kāi)放和分享的原則，信息的流動(dòng)能夠帶來(lái)社區(qū)的活躍，在積累了大量的安全問(wèn)題基礎(chǔ)數(shù)據(jù)之后，希望能夠與白帽子一起，除了發(fā)現(xiàn)問(wèn)題之后還能給大家?guī)?lái)更多的東西，譬如如何解決和規(guī)避安全風(fēng)險(xiǎn)的問(wèn)題。

　　但方小頓在去年4月接受采訪時(shí)又稱，烏云仍屬于一個(gè)非營(yíng)利組織，網(wǎng)站的主要經(jīng)濟(jì)來(lái)源由Cncert互聯(lián)網(wǎng)應(yīng)急中心和廣東信息安全評(píng)測(cè)中心提供。

　　與烏云平臺(tái)類似，補(bǔ)天平臺(tái)是360建立的第三方漏洞報(bào)告平臺(tái)，該平臺(tái)漏洞數(shù)據(jù)與公安部、網(wǎng)信辦和國(guó)家漏洞庫(kù)同步。

　　通常來(lái)講，這些第三方漏洞平臺(tái)對(duì)信息安全漏洞的發(fā)布和處理，會(huì)經(jīng)過(guò)提交漏洞、漏洞確認(rèn)、通報(bào)產(chǎn)商、廠商確認(rèn)、廠商修復(fù)五個(gè)步驟。

　　其中，第三方漏洞平臺(tái)通常會(huì)給出廠商對(duì)漏洞的確認(rèn)周期，如果在一定天數(shù)內(nèi)未確認(rèn)，則會(huì)向公眾公開(kāi)。

　　以社保系統(tǒng)漏洞為例，補(bǔ)天漏洞響應(yīng)平臺(tái)相關(guān)負(fù)責(zé)人稱，在發(fā)現(xiàn)漏洞后會(huì)第一時(shí)間聯(lián)系系統(tǒng)運(yùn)營(yíng)單位，告知漏洞存在，同時(shí)向中央網(wǎng)信辦、國(guó)家互聯(lián)網(wǎng)應(yīng)急中心以及公安部相關(guān)部門(mén)上報(bào)。

　　此外，隨著眾包模式的興起和發(fā)展，安全測(cè)試也進(jìn)入了這一領(lǐng)域，如烏云眾測(cè)、漏洞盒子等。

　　這意味著企業(yè)可在短時(shí)間內(nèi)組建虛擬的安全團(tuán)隊(duì),通過(guò)邀請(qǐng)頂尖白帽子模擬黑客對(duì)網(wǎng)站、系統(tǒng)或產(chǎn)品進(jìn)行測(cè)試,企業(yè)可迅速排查各種安全隱患，并按效果向白帽子付費(fèi)。

　　在方小頓看來(lái)，互聯(lián)網(wǎng)安全行業(yè)應(yīng)該受到更高的重視，還需要國(guó)家、企業(yè)、媒體以及第三方平臺(tái)等參與進(jìn)來(lái)?！皝?lái)自各行各業(yè)的人士會(huì)從不同的角度分析判斷網(wǎng)絡(luò)安全問(wèn)題，從而會(huì)更容易發(fā)現(xiàn)漏洞，減少損失；另一方面，企業(yè)的參與也能夠從一定程度上改善白帽子黑客的生活質(zhì)量，對(duì)其也是一種正確方向的引導(dǎo)?！?