紅軟基地 推薦
2012-01-08
昨日，針對(duì)國(guó)內(nèi)多家銀行巨量客戶敏感信息外泄的傳聞，涉及傳聞的銀行在第一時(shí)間作出官方澄清，并指?jìng)餮?ldquo;嚴(yán)重失實(shí)”。
當(dāng)天，某網(wǎng)絡(luò)群發(fā)表文章稱，有網(wǎng)友爆料，國(guó)內(nèi)多家銀行的用戶數(shù)據(jù)已經(jīng)泄露，其中交通銀行7000萬(wàn)用戶，民生銀行3500萬(wàn)用戶。該網(wǎng)絡(luò)群指出，根據(jù)網(wǎng)友提供的部分信息截圖，泄露數(shù)據(jù)的銀行包括交通銀行、民生銀行、工商銀行等，數(shù)據(jù)包含了用戶的姓名、卡號(hào)、密碼等敏感信息。
就在上述傳言通過(guò)網(wǎng)絡(luò)、微博快速擴(kuò)散的同時(shí)，部分未涉及傳言的銀行在當(dāng)日下發(fā)風(fēng)險(xiǎn)提示，要求相關(guān)部門(mén)在內(nèi)部進(jìn)行相關(guān)風(fēng)險(xiǎn)評(píng)估。
“與網(wǎng)站相比，銀行的信息安全防范系統(tǒng)在復(fù)雜度、安全度上高許多，并且與外網(wǎng)有物理隔離，但任何安全防范措施，我們都不能說(shuō)100%沒(méi)有隱患。”一股份制銀行信息科技部門(mén)負(fù)責(zé)人昨日接受早報(bào)記者采訪時(shí)說(shuō)。
截至昨日17時(shí)，發(fā)布銀行巨量客戶敏感信息外泄傳聞的相關(guān)微博已遭刪除，最初流傳該信息的某網(wǎng)絡(luò)群因“發(fā)布非法信息”，同時(shí)遭到關(guān)閉。
“所謂泄密卡為無(wú)效卡”
交行昨日發(fā)布的聲明表示，經(jīng)核實(shí)，傳聞純屬謠言，“交行采用了先進(jìn)的密碼硬加密技術(shù)和周密的安全防范措施。”交行同時(shí)保留追究法律責(zé)任的權(quán)利。
工行相關(guān)部門(mén)負(fù)責(zé)人昨日也在第一時(shí)間回應(yīng)：“這一傳言不符合實(shí)際，工行的客戶信息和密碼是安全的。 ”
上述負(fù)責(zé)人說(shuō)，工行在系統(tǒng)中對(duì)于客戶密碼的存儲(chǔ)與傳輸均采用加密方式，在與第三方公司的電子商務(wù)合作中，涉及的密碼信息均要求在該行系統(tǒng)頁(yè)面上進(jìn)行操作。
該負(fù)責(zé)人進(jìn)一步指出，網(wǎng)絡(luò)傳言中所謂泄露銀行用戶數(shù)據(jù)中所涉及的三張工行卡均為已注銷(xiāo)的無(wú)效卡，且從相關(guān)文本數(shù)據(jù)結(jié)構(gòu)含義上分析，其中包含了訂單號(hào)等內(nèi)容，可以判斷信息不是來(lái)自銀行數(shù)據(jù)庫(kù)。
另一家卷入傳聞的民生銀行昨日亦在官方網(wǎng)站發(fā)表聲明：“經(jīng)查，此信息嚴(yán)重失實(shí)。”
銀行保密靠“黑匣子”
多家銀行的相關(guān)負(fù)責(zé)人指出，銀行對(duì)客戶密碼等重要信息采取了“非常嚴(yán)格的措施和加密手段”，而從網(wǎng)友提供的所謂泄露信息的截圖看，亦不可能來(lái)自銀行的數(shù)據(jù)庫(kù)。
這是因?yàn)�，與一般網(wǎng)站對(duì)用戶名、密碼“明文存放”的方式不同，銀行對(duì)用戶密碼進(jìn)行存儲(chǔ)和識(shí)別時(shí)都要經(jīng)過(guò)多次變化，進(jìn)而跟后臺(tái)存儲(chǔ)的經(jīng)過(guò)變化之后的密碼比對(duì)。也就是說(shuō)，即便銀行的數(shù)據(jù)庫(kù)信息真的發(fā)生泄露，其泄露的密碼信息由于是經(jīng)過(guò)多次變化的密碼形態(tài)，一般也無(wú)法被識(shí)別和使用。(編注：簡(jiǎn)單來(lái)說(shuō)，明文密碼就是沒(méi)有隱藏、顯而易見(jiàn)的密碼，與之相對(duì)的是暗碼，或稱密文密碼，指的是系統(tǒng)收到你的密碼后，通過(guò)某種加密算法進(jìn)行編譯后，對(duì)編譯結(jié)果進(jìn)行保存。如果你的密碼為12345，則明文密碼顯示為12345，暗碼顯示為*****。如果告訴你*****而不告訴你解碼規(guī)則，你就很難翻譯出12345。)
交通銀行相關(guān)負(fù)責(zé)人昨日接受早報(bào)記者采訪時(shí)指出：“首先，從客戶信息方面來(lái)說(shuō)，交通銀行的系統(tǒng)從來(lái)不能對(duì)客戶的信息進(jìn)行巨量下載，有可能是客戶在網(wǎng)上支付時(shí)將個(gè)人信息泄露出去的。其次，客戶賬號(hào)的密碼會(huì)輸入我們的‘黑匣子系統(tǒng)’(即讓密碼進(jìn)行多次變化的系統(tǒng))，這個(gè)信息是不可逆加密，要破解密碼只能通過(guò)特定的算式推導(dǎo)，但是7000萬(wàn)這么巨量賬戶的密碼想要被推導(dǎo)出來(lái)幾乎是不可能的。”
昨晚，籬笆網(wǎng)聯(lián)合創(chuàng)始人徐湘濤在接受早報(bào)記者采訪時(shí)指出：“目前，大多數(shù)銀行卡的密碼是不可逆加密的，我做過(guò)十多個(gè)包括核心交易系統(tǒng)的銀行卡相關(guān)項(xiàng)目，很確定系統(tǒng)里根本就不可能存在明文密碼，也不存在所謂給安全部門(mén)留明文密碼的后門(mén)，銀監(jiān)會(huì)在這方面也會(huì)有嚴(yán)格規(guī)定。”
所謂“不可逆加密”，指的是即使黑客能拿到網(wǎng)站用戶賬號(hào)的密文，也無(wú)法算出每個(gè)密文對(duì)應(yīng)的明文，而明文就代表用戶的姓名、密碼等資料，因此銀行卡的密碼是不會(huì)這么輕易以明文形式泄露出來(lái)的。“銀行用戶在ATM或者POS鍵盤(pán)上輸入自己的密碼后，這個(gè)密碼會(huì)在后臺(tái)直接再次加密，在形成加密包后再傳到主機(jī)。”
“由于網(wǎng)站的密碼和客戶資料是明文存放，工作人員想看是可以看到的，很多網(wǎng)站甚至還允許存儲(chǔ)設(shè)備與工作系統(tǒng)相連接，那么把客戶資料拷貝出來(lái)相當(dāng)容易。但這些做法在銀行都是不被允許的。此外，銀行專有的網(wǎng)絡(luò)，也與外界的網(wǎng)絡(luò)隔離。”一國(guó)有大行數(shù)據(jù)中心人士表示。
來(lái)源：東方早報(bào) 作者：張颯 肖中潔 陳斯斯