Facebook、华住等数据泄露事件频发,代码安全不容忽视

在过去一年里,一系列安全事件背后无不隐含着软件代码漏洞身影,从区块链一行代码蒸发64亿人民币到华住集团数据泄露涉及1.3亿人,再到Facebook数据泄露影响5000万用户,各个领域的安全事件都有代码漏洞如影随形。

Facebook安全漏洞,影响5000万用户

2018年9月,Facebook数据又一次遭到黑客入侵,而这一次规模空前,有5000万账户信息被泄露。黑客可以看到这些账户的全部个人资料,包括其家人和朋友的身份信息,个人隐私照片更是一览无遗。除此之外,黑客还可以利用Facebook同步登陆功能,来登陆用户的其他社交软件,比如Instagram、Airbnb等等。

Facebook的声明中写道,其在今年9月16日发现有用户活动大量激增的情况,注意到这一情况,工程师团队发现黑客在Facebook的“View As”功能中找到了一个代码漏洞。Facebook解释,View As可以让用户看到自己的个人资料是如何显示在其他用户页面中的,但是发现的漏洞中发现了三个不同的bug,可导致黑客也对用户账户进行访问,并控制其账户。而这个漏洞早在2017年就存在,Facebook官方表示目前已经修复了改漏洞,并重置了5000万个受到影响的账户,还修改了4000万个其他账号的密码。虽然目前还不清楚这次黑客攻击来自何处,以及这些数据会对当事人造成多大的损失。但根据今年5月生效的新《通用数据保护条例》,Facebook一旦被确认发现了问题而没有采取措施,就会被认定违反隐私法,而被处以巨额罚款。根据Facebook去年销售额406.5亿美元来计算,Facebook或将被处以16.3亿美元罚款。

华住集团数据泄露,涉及1.3亿人

8月底,1.3亿身份数据泄露事件将华住酒店集团推上了风口浪尖。8月28日,网上曝出华住旗下酒店用户数据信息交易行为,泄露数据涉及到1.3亿人,标价约为37.6万元。消息一出,引起业界广泛关注。行业人士分析在疑似泄露代码包中的短短 18 行代码中,整个系统就暴露出多个安全隐患:核心代码违规上传;分享共享的代码包中带有真实配置文件;网络没有隔离,数据库访问IP没有做限制;root 直连数据库;密码设置安全程度极低;明文储存用户信息,没有加密处理;数据库异常没有及时发现等。整个事件暴露出如华住集团这样的大公司也未重视代码安全问题。


区块链代码漏洞,64亿人民币瞬间蒸发

一行代码蒸发64亿人民币。这个不可思议的黑客操作发生在今年4月,仅仅因为被黑客找到了一个代码漏洞,与之相关的区块链产品的全部市值瞬间被全部转出,趋近于零。

今年4月22日,有黑客利用以太坊 ERC-20智能合约中BatchOverFlow漏洞攻击BEC(美链的代币“美蜜”)智能合约,成功向两个地址转出了天量级别的 BEC代币,导致市场上海量BEC被抛售,64亿人民币瞬间蒸发。仅仅三天后, 4月25日,SmartMesh(SMT)发现与4月22日爆出的美图BEC代币类似的安全漏洞。交易所表示,因SMT出现异常交易,各交易平台暂停SMT的充提和交易,从而导致项目方必须投入大量资源修复漏洞并保证交易不受影响。

此外,更早之前就有软件代码重用问题引起的严重事件,如阿丽亚娜5型火箭的“杯具”处女秀。

1996年6月4日,阿丽亚娜5型运载火箭的首航,原计划将运送4颗太阳风观察卫星到预定轨道,但因软件问题导致火箭在发射39秒后偏轨,从而激活了火箭的自我摧毁装置。阿丽亚娜5型火箭和其他卫星在瞬间灰飞烟灭。后来查明的事故原因是:代码重用。阿5型的发射系统代码直接重用了阿4型的相应代码,而阿4型的飞行条件和阿5型的飞行条件截然不同。此次事故损失3.7亿美元。

航空界著名的“海恩法则”讲到,“每一起严重事故的背后,必然有 29 次轻微事故和 300 起未遂先兆以及 1000 起事故隐患。”

2018 开源代码安全报告显示,每个代码库中开源漏洞的数量增长了 134%,而 78% 的被检查代码库中包含至少一个漏洞,每个代码库平均包含 64 个漏洞。政府、高校、医院、大型企业等单位重要数据资料的基础设施纷纷成为被攻击的目标,为避免软件代码问题引起的安全事件频繁发生,软件代码安全不容忽视。


返回道普网首页 返回道普网首页>> 文/道普原创
道普网

道普声明
1、道普网转载本文目的在于传递信息,并不代表赞同其观点或对真实性负责,道普不承担文章侵权行为的连带责任。
2、若所转内容涉及版权等问题,请著作权或版权拥有机构致电或来函联系,我方将第一时间处理。
3、本网原创文章欢迎转载,务必请注明来源。
转载请注明来源
道普网原创或编译,更多信息化门户专业资料请访问道普信息化。

官网:http://www.topcio.cn

微博:@道普信息化

微视:TOPCIO视频库

微信:topcio_cn

道普信息化交流2群 和道普妹妹谈心