由linkedin數(shù)據(jù)庫泄漏引發(fā)的思考

備注：

截取來自百度百科的簡介：

LinkedIn是一家面向商業(yè)客戶的社交網(wǎng)絡（SNS）服務網(wǎng)站，網(wǎng)站的目的是讓注冊用戶維護他們在商業(yè)交往中認識并信任的聯(lián)系人，俗稱“人脈”（Connections）。Linkedin目前用戶過億，平均每一秒鐘都有一個新會員的加入。其會員大約一半的成員是在美國，1100萬來自歐洲。

【黑客是怎么做到的？】

國內(nèi)國外在近兩年來，數(shù)據(jù)被竊事情不斷頻發(fā)，CSDN，索尼PlayStation，Linkedin，這些攻擊的具體細節(jié)至今沒有對外公布過，那么我們大膽猜測下，黑客是怎么把黑手伸向用戶數(shù)據(jù)庫的？

安全的短板理論，最容易出問題的地方往往都是很細小的地方，可能你只是少打了個補丁，亦或者代碼少寫了個符號，當然也有種可能，黑客是拿著大錘去撬機房服務器。：）壞人的眼睛一直在盯著我們，一次錯誤就足以致命。

【應該怎么做？】

我們應該如何去防止這種事情發(fā)生呢？

進不來，進來了帶不走，帶走了用不了，縱深防御的思維可以得到體現(xiàn)。

進不來

想讓黑客們進不來，那就需要知道黑客進來的入口在哪里？

1.對web服務器的攻擊，信息獲取的來源有工具掃描（nmap，nessus等），Google hacking，信息獲取的目的是為了獲取更多的信息去攻擊web端。

2.黑客對我們內(nèi)網(wǎng)或者vpn進行攻擊，企圖通過辦公網(wǎng)進入服務器。

如何控制住入口？

1. 制度

一：開發(fā)遵循SDL開發(fā)流程，上線前進行安全測試，確保無安全問題再上線。

二：不允許員工將辦公郵箱去注冊互聯(lián)網(wǎng)網(wǎng)站賬戶。

三：VPN或者其他第三方媒介的安全制度

四：漏洞修復流程

2. 流程：

一：通過IDS，對黑客嘗試入侵進行報警。

二：定期對在線業(yè)務進行安全測試，并輸出總結性報告

三：內(nèi)網(wǎng)（VPN）與服務器區(qū)隔離，或者有較強的安全認證。

帶不走

黑客入侵后，為了獲取更多的權限和以后的操作方便（例如帶走大量數(shù)據(jù)），通常會進行進一步的提權或者是放置后門的操作。

在服務器上裝好“后門”，就可以在夜黑風高的晚上對服務器數(shù)據(jù)進行偷竊，那么換位思考下，黑客偷竊會有什么樣的行為？

一：首先會上傳web木馬，web木馬根據(jù)腳本會分不同的版本，但是每種惡意腳本中都會有關鍵字。

二：成功通過web木馬控制服務器后，黑客會對服務器進行系統(tǒng)探測，比如Linux版本，權限，網(wǎng)絡配置等等

三：熟悉服務器信息后，下一步就是基于黑客的目的而觸發(fā)的行為，比如通過已控制的服務器去滲透其他服務器，或者入侵數(shù)據(jù)庫，偷竊數(shù)據(jù)。

四：目的達到，清理日志，安裝系統(tǒng)后門。

在上述每個行為都會有自己的特征行為，可以基于行為通過主機監(jiān)控系統(tǒng)進行防范。

在入侵者的典型入侵環(huán)節(jié)上都設置相關的探頭和監(jiān)控點，比如當入侵者上傳網(wǎng)頁后門時，或者是使用木馬時系統(tǒng)都會及時發(fā)出告警，又或者入侵者通過漏洞操作系統(tǒng)的shell進行入侵時，監(jiān)控平臺也會記錄下所有操作，便于事后追查。

用不了

一：密碼用不了

Linkedin密碼樣本，加密方式為SHA1，比起直接粗暴的明文要強很多，但是SHA1加密真的安全嗎？很多人都意識中，認為標準的hash算法（md5 sha1 sha256等）用于密碼加密是安全的，這個是一個誤區(qū)。我在網(wǎng)上截取了知名GPU破解工具破解指標對比表。

5000M c/s可大約換算對應20億條每秒，那么暴力去“撞庫”，密碼真的安全嗎？

咨詢了國內(nèi)最大的密碼破解網(wǎng)站的站長，他給出來的建議是非標準hash+salt。

二：文件用不了

在互聯(lián)網(wǎng)上，經(jīng)常有人爆出某某絕密文件，某某公司財務報表等等，這些數(shù)據(jù)的價值無可非議，如何保證數(shù)據(jù)即使被偷竊也不會造成損失。推薦企業(yè)內(nèi)部使用文件加密系統(tǒng)。

應急響應

假如數(shù)據(jù)庫泄漏了怎么辦呢？

于周四，Linkedin發(fā)布聲明

在此事中，Linkedin在不斷的去補救密碼泄漏帶來的負面影響。發(fā)布公告—>限制被竊號碼登錄（止損）—>引導用戶修改密碼—>承諾整改。下面做了整理了一個表格，對Linkedin的應急響應做了梳理。

廠商

響應時間

處理方法

態(tài)度

Linkedin

事件發(fā)生到發(fā)布聲明不超過12小時

引導用戶在網(wǎng)站修改密碼，不通過第三方媒介修改

承諾安全保護，在加密的密碼上再加強驗證

應急響應是門大學問，處理好可以達到亡羊補牢的作用，處理不好會帶來更多的危機。

【其他】

帳號的強弱鑒定

CSDN數(shù)據(jù)庫泄漏以后，有好事之人把數(shù)據(jù)庫進行熱門密碼匹配，出現(xiàn)了普通，文藝，2B密碼排行榜。這次也不例外，有人把linkedin的密碼也做了下分析，如下圖所示：

從圖中可以看到，“link”是最容易被獲取的密碼，其次是“work”和“job”,宗教如“god”、“angel”、“jesus”也是流行的密碼主題。另外，數(shù)字串“1234”和“12345”也榜上有名。

在帳號體系中，1.單點設置密碼是有強密碼策略，那么很多人就習慣性的去輸入1qazxsw2，完全符合策略，可是這個只能算大眾強密碼。2.預防這種符合策略又不安全的密碼，我們在帳號體系中有比較有效的方法防止自動化密碼驗證行為。

可是筆者擔心的是，隨著密碼庫泄漏的數(shù)量越來越多，不能在密碼設置中去徹底解決弱密碼問題，需依靠堵截自動化行為密碼驗證的行為難免百密一疏。

隱私保護

這次linkedin密碼泄露的問題，衍生出了一個隱私問題，有關科技網(wǎng)站爆料，linkedin的IOS客戶端存在偷偷上傳用戶的日歷，待辦事件，通訊錄或者還有密碼信息，linkedin的解釋是上傳一些非必要的數(shù)據(jù)，是為了做數(shù)據(jù)分析，更好地為用戶服務，但是這個在隱私保護意識強的國外，無疑是會受到指責的，在IOS客戶端中，Path等也出現(xiàn)過這樣的問題。不過都在被爆出來后迅速修復了。

我們不僅要保護我們的客戶端沒有危害用戶隱私和密碼明文存儲的行為，而且要保護我們的用戶不受到惡意程序的侵害，特別是在安卓平臺下，未經(jīng)用戶允許，讀取短信，圖片，甚至是吸費的程序一直層出不窮。

【尾聲】

安全無小事，僅靠網(wǎng)絡安全工作者的努力是遠遠不夠的，一方面我們在前行，另外一方面安全需要大家的參與和配合，這樣黑客才無處遁形。

寫完這篇稿子的時候，在微博上得知last.fm的數(shù)據(jù)庫也泄漏了，在日益嚴峻的網(wǎng)絡安全環(huán)境下，安全工作任重道遠。

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]