正文 “泄密門”凸顯互聯網企業安全痼疾(3 / 3)

蔣濤還希望,國內建立互聯網企業的安全聯盟,並建立起互聯網企業的安全知識庫,共享安全知識。

顯然,僅有這些還遠遠不夠。網絡信息安全需要政府、互聯網企業、安全行業多方努力才能實現。

“泄密門”爆出後,很多用戶都遵循專家意見修改了密碼。但實際上,要真正解決互聯網上數據泄密的問題,用戶能做的非常有限。

一位信息安全專家向記者坦言,用戶定期更改密碼是一個很好習慣,但頻繁地更改密碼,用戶的密碼管理成本會加大。而且,如果網站安全問題還是沒有改善及加強,新的賬戶數據還是照樣會被泄漏。

正如啟明星辰首席戰略官、中國計算機學會理事潘柱廷所說,熱熱鬧鬧的社會事件告一段落後,現在應當是認真地在法律、技術等方麵尋找長效機製的時候了。

安全專家談數據泄露

問:如何看待這次數據泄露大規模爆發事件?

範淵:數據泄漏其實是很早以前的事,隻是現在進入了大眾的視野。早在2009年和2010年,一些網站後台已經被攻擊。但有些網站並不知道,有些沒有意識到有這麼嚴重,也沒引起足夠重視。

石曉虹:黑客公開CSDN用戶數據庫,就像第一次世界大戰之前的薩拉熱窩事件,點燃了眾多網站數據庫集中曝光的導火索,是黑客出於炫耀或警告目的的連鎖反應。

問:這次泄密事件中,相關網站有哪些是該做而沒有做到位的?

肖新光(江海客):一些網站在事前策略(網站的基礎安全規劃)、事中防禦(實時安全手段)、事後止損(加密策略)等環節都有缺陷。網站安全措施的層次應該是立體的,包括:整體的設計策略(權限、訪問控製等)、必要的安全產品(安全網關類產品、IDS等)和足夠的安全人員。

範淵:這些網站應該部署應用安全。很多電商網站在開發階段就留下了漏洞,因此,這些網站需要做好上線前的檢測工作,對重點漏洞要彌補。上線後,要實施Web應用防火牆等安全措施。另外,在企業內部,要做好數據庫審計防範加固。

問:如何避免同類事件發生?

潘柱廷:第一,仿照“食品安全”的管理,互聯網服務網站要有類似“食品安全許可證”的簡單安全認證,確保其基本安全;第二,互聯網服務網站要分級,高級別的網銀和購物網站需要較高的安全保障措施,一般網站隻要一般保護即可,但需明示;第三,出台網站基本安全保護規範。

肖新光(江海客):對用戶而言,設置密碼需要分層次進行。如果某個信箱主要是用來找回相關密碼的,它就是一個根,需要強度很高的單一密碼。在一些不太重要的站點,如果隻是灌灌水、下載資源,就不要用和你的敏感賬戶一樣的密碼。

設置安全密碼的十個要點

1、密碼的位數不要短於8位,使用大寫字母和小寫字母、標點和數字的集合;

2、不要以任何單詞、生日、數字、手機號作為密碼;

3、密碼中的英文最好有大小之分;

4、在程序允許的情況下,最好能加上英文半角的符號;

5、不要用a、b、c等比較小順序的字母或數字開頭,因為用字典暴力破解的程序,一般都是從數字或英文字母排序開始算的,如果設為z的話,破解的機率就小很多;

6、對無規律密碼的記憶可采取較簡單的方法,如:原密碼是yixieshi,可以先加頭,加一個“$”號,就成了$yixieshi,然後再加尾,加一個“)”號,就成了$yixieshi)。還可以再把中間的字母再打亂,成為$shiyixie)等;

7、一些程序或注冊入口對密碼設定得比較死,隻能用數字和字母,對此,可以通過一定的方法變通,如:原密碼是yixieshi,可改大小寫,成為YixieShi,也可再打亂順序,成為ShiYixie,或在其中加數字,成為1Sh2iY3ixi4e0;

8、定期更改密碼,比如說每個月的第一個星期五修改密碼,此時也不用再想一個全新的號碼,把原有密碼的排序改一下就行;

9、對於不同網站的密碼要分級進行管理,不要在所有的網站都用一個密碼,根據重要和非重要的原則來設定密碼,比如在不是很重要的網站,可以簡單到用111111來作密碼;

10、在電腦中安裝比較可靠的殺毒軟件。如果你的電腦裏有木馬,再複雜的密碼也是沒有任何作用的,不要上不可信的網站,不要讓別人很容易就得到你的信息,包括身份證號碼、電話號碼、手機號碼、所居住的街道名稱等。