據(jù)《紐約時報》報道，LinkedIn是一家數(shù)據(jù)公司，但它沒有保護好自己的數(shù)據(jù)。上周，黑客攻破網(wǎng)站，竊取600萬用戶密碼，這些密碼保護不周。密碼被公布在俄羅斯黑客論壇上，人人可以看見。LinkedIn被攻擊并非所有人都吃了一驚。每天，企業(yè)電腦系統(tǒng)都要受到攻擊。實際上，CBS音樂網(wǎng) Lastfm.com和約會網(wǎng)站eHarmony上周也受到攻擊，數(shù)百萬密碼被偷。

LinkedIn漫不經(jīng)心

讓客戶和安全專家吃驚的是，以收集大量數(shù)據(jù)并靠它盈利的企業(yè)，數(shù)據(jù)保護方式如何之簡單。泄露事件使得人們開始懷疑LinkedIn的電腦安全。盡管入侵不斷增加，但一些擁有客戶數(shù)據(jù)的企業(yè)仍然繼續(xù)在自有電腦安全上下賭注。

舊金山電腦安全公司 Cryptography Research克歇爾(Paul Kocher)說：“如果它們請教那些知道密碼安全一切詳情的人，這事就不會發(fā)生。”

之所以造成這樣的問題，部分原因在于漫不經(jīng)心的數(shù)據(jù)保護態(tài)度，因為造成嚴重后果十分罕見。沒有法律上的罰款。客戶很少流失。以LinkedIn為例，在泄露之后它的股價實際上上漲了。

真正讓大家擔心的問題在于LinkedIn不是一家創(chuàng)業(yè)公司，也不是一家對數(shù)據(jù)不熟悉的企業(yè)。去年5月，它成功IPO，它擁有大量現(xiàn)金，它招聘高級人才，而且盈利。它有1.6億會員，這些人分享自己的企業(yè)關系，希望建立一個更寬廣更有效的網(wǎng)絡。他們希望自己的網(wǎng)絡受到保護。

Buzzmedia專業(yè)音樂家、產(chǎn)品經(jīng)理史密斯(Craig Robert Smith)說：“我希望LinkedIn做得更好些。但我沒有刪除帳號，因為它是一個與被招募、網(wǎng)絡有關的網(wǎng)站。”目前尚不清楚黑客如何攻入系統(tǒng)的，也不知道它們在系統(tǒng)中呆了多長時間。LinkedIn沒有設置首席安全官，讓他監(jiān)督泄露事件。公司的運營資深副總裁大衛(wèi)·亨特(David Henke)兼管安全問題，還有其它職責。

黑客一秒測試一百萬密碼

如果按A級至F級來評價，最高級為A級，專家說LinkedIn、eHarmony和Lastfm.com最多可以拿D級。對待用戶密碼，公司最大意的地方在于將它以純文本形式存儲。RockYou在2009年時被竊取300萬用戶密碼，就是屬于這種失誤。為了保護密碼，最基本的一部保護措施就是進行基本加密，也就是所謂的“散列法”，用一種數(shù)學算法對密碼進行掩飾，然后用編碼進行存儲。

不過，黑客通過自動工具，能在一秒測試一百萬密碼。它們可以破解散列密碼，一般是利用所謂的字典、敏感在線通用密碼數(shù)據(jù)庫破解。一些網(wǎng)站包涵外文子表，甚至是宗教式的密碼(比如天使angel，神God，這些在破解的LinkedIn密碼中排在前15位)。還有一些黑客使用“彩虹表 (rainbow tables)”來破解，上面例有幾乎所有數(shù)字字母字符組合哈希值表。一些網(wǎng)站會公布500億哈希值。

為了防止黑客破解，一些公司會采用一系列的隨機數(shù)，將它們添加在每個哈希值后，也就是所謂的“salting”，這種技術可以隨機顛倒私有密鑰的數(shù)字，它只需要幾行代碼，幾乎沒有任何成本。

安全專家稱，對密碼進行salting是安全手冊第一條，但LinkedIn、eHarmony和Lastfm.com都沒有這樣做。在A+級安全級別中，會設置散列密碼、擁有復雜的暗號功能，進行salting，再將結果轉成散列密碼，將授權證書另外存放，確保服務器不能被黑客攻入。

克歇爾說：“這不是什么復雜的事。”

后果

在泄露之后，Linked一位高管維森特·圣卡塔林納(Vicente Silveira)在博客中說，公司已經(jīng)將一般性密碼無效化，并說會員會受益于增強的安全措施，這些措施包括將密碼散列化，并對目前的密碼數(shù)據(jù)庫進行 salting。LinkedIn新聞發(fā)言人沒有透露何時對密碼進行散列化、salting化，也沒有解釋為何不在一開始就使用。

表面來看，安全性一般的LinkedIn帳號泄露不會有會大的惡果。但是黑客深知用戶的心態(tài)，他們會在許多網(wǎng)站用相同的密碼，他們會在郵箱、銀行、企業(yè)、傭金帳戶上使用同一密碼，這樣一來，黑客可以盜取個人和金融數(shù)據(jù)。

以LinkedIn為例，黑客貼出640萬散列密碼，讓其它人協(xié)助破解。到周四，大約60%的密碼已經(jīng)被破解。克歇爾估計最終95%會破解。

在博文中，LinkedIn指出與密碼相關的用戶名沒有被展示出來，但安全專家稱，這可能只是因為發(fā)布的網(wǎng)站將用戶名自己留下來。

格羅斯曼(Jeremiah Grossman)說：“你沒有將王冠上的珍珠給別人，是為了讓別人爭奪。”

升級安全 一次性成本幾百萬美元

黑客的動機十分明顯。但讓安全專家真正感覺神秘的是為什么泄露會不斷發(fā)生。格羅斯曼估計，對于像LinkedIn這樣的公司來說，設立合適的密碼、網(wǎng)絡服務器、應用安全，一次性成本大約幾百萬美元。而據(jù)賽門鐵克的研究指出，一宗泄露平均成本550萬美元，也就是第條記錄泄露成本194美元。

格羅斯曼展示了兩張表。一張是飛機每英里失事機率，現(xiàn)在已經(jīng)掉到只有1945年時的千分之一，主要得益于1958年美國聯(lián)邦航空管理局(Federal Aviation Administration)建立、并制定了更安全更嚴格的安全協(xié)定。還有一張表是電腦新安全威脅表，它的結果完全相反。自從2002年以來，新威脅增長了1萬倍。

克歇克及其它安全專家認為，問題在于缺少責任。電腦安全是不規(guī)則的，敏感的個人、企業(yè)、財務信息每天不斷上傳，企業(yè)不斷跳過基本保護。如果美國明天有5%的飛機要出事，就會有調(diào)查、有訴訟、會削減航線、航空股也會重挫。但在社交網(wǎng)絡，克歇爾說：“人們的投票沒有跟上腳步。”

自從周三泄露被公布以來，LinkedIn沒有透露有多少用戶退出服務，盡管黑客不斷在努力破解密碼，公司的股價到周末時仍上漲了4%。

格羅斯曼說：“每次墜機FAA就會調(diào)查，數(shù)據(jù)也會不斷披露。至于泄露就沒有這回事。沒有政府機構管。我們不知道哪里起火了，也不知道火是怎么來的。”