愛與恨，罪與罰，淺談互連網金融的安全隱患

標籤：安華金和   資料庫安全   資料加密   防資料泄露   

那些年，我嘗過的互連網的鮮

我是一個資料庫安全從業者，儘管每天會聽到、看到、處理該領域相關的安全事件，但基於僥倖心理，從機率角度來推斷，從未想過，從未發生過，這種事情真的會落到自己的頭上。儘管我每天有數通電話是來自各種銀行擔保、投資理財、外匯交易，但這些，都沒有能夠足夠觸動到我那根敏感的神經，直到一個與往常一樣的下午，這件事的發生。。。

 

我同時是一個互連網模式的擁躉，各種與此相關的新鮮事務，最新應用，我都會勇於去嘗試，期間不吝惜提供個人相關資訊，這些資訊包括，姓名、電話、郵箱，甚至與此關聯的***號碼（用過手機銀行的都知道，不提供是無法享受其服務的），誰知道呢？即使我不說，聚集了一些欄位後，按照現在大資料身份識別分析技術，恐怕早已經能夠智能解決“我是誰“這個哲學領域的複雜問題，而在現實身份認證中，關於“我是誰”早已迎刃而解。

 

手機銀行一出，我被深深吸引。直接手機下載App，我對這種方式，讚不絕口，屢試不爽，工資第一時間查看，理財線上操作，轉賬分分鐘的事情，不用排大隊，不用看四大行姑娘們養尊處優的臉色。緊接著，互連網金融來了，別忘了，我是個互連網的擁躉，自然不會錯過嘗鮮的機會，於是宜人貸、盈盈理財等各路APP被我嘗試了個遍。這些資訊，都是需要***資訊的，我統統貢獻出來，相信金融行業各家銀行保險機構的安全性。直到有一天，一連串的來電詢問，我整個人都毛了。

 

自作孽，不可活，終於攤上事兒了

就在近期，7月的一個下午，準確時間16點10分，我收到一封郵件，以我個人名義的註冊的一個外匯金融交易帳號註冊成功，且姓名、電話、郵箱地址完全吻合。本故事毫無虛構，完全真實，有圖有真相。接下來，在每一個時間點，奇妙的事情均在發生，而我的小心臟，也逐步加速跳動。

                           650) this.width=650;" src="http://s3.51cto.com/wyfs02/M01/70/7A/wKioL1W4h6Dh_W8rAAF13fkTMd0426.jpg" title="dbsec_1.jpg" alt="wKioL1W4h6Dh_W8rAAF13fkTMd0426.jpg" />

接著，第二封郵件來襲，這次是擷取到金融賬戶登陸名密碼資訊。

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M02/70/7A/wKioL1W4h8yQUPvDAAEbNWFxf3M762.jpg" title="dbsec_2.jpg" alt="wKioL1W4h8yQUPvDAAEbNWFxf3M762.jpg" />

緊接著4分鐘後，接到金融外匯公司的客服來電，但前兩次均因不明電話而未接聽。

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M00/70/7A/wKioL1W4h-WwP0dIAADQmo36DKc599.jpg" title="dbsec_3.jpg" alt="wKioL1W4h-WwP0dIAADQmo36DKc599.jpg" />

2分鐘過後，郵件繼續追剿，金融外匯機構請求我與其聯絡。

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M01/70/7A/wKioL1W4h_fDzF0AAAD9JCbpvdI478.jpg" title="dbsec_4.jpg" alt="wKioL1W4h_fDzF0AAAD9JCbpvdI478.jpg" />

當日下午18點31分，因為對方多次來電，我便接聽了電話。客服詢問我是否為我本人，手機號是本人麼，是不是在今天的幾點幾分用什麼郵箱帳號進行過怎樣的操作。這通電話中的一系列問題完成後，嚇了自己一身冷汗。對方的專業，直覺告訴我她不是個騙子，而且經我的核實確認後，發現不是本人操作，直接消除了此帳號，未能有更進一步實際操作。這個詢問過程結束了，我的聯想並未結束，關聯此前在銀行留下的諸多資訊，開通過的諸多互連網帳號，哪一個都綁著我的錢袋子，怎能不擔憂？

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M02/70/7D/wKiom1W4hhaBI4oBAADWo3qLJy8066.jpg" title="dbsec_5.jpg" alt="wKiom1W4hhaBI4oBAADWo3qLJy8066.jpg" />

整個事件，我的個人資訊暴露無遺，在我毫不知情的情況下，被動完成了外匯交易平台註冊全過程，如果沒有人工核實校正環節，以我名義被註冊的帳號，將開展系列交易動作，很可能還會和我現有的銀行賬戶掛鈎，那麼這個平台下所產生的交易盈虧，均將和我的賬戶做對應。或者我馬虎一些，直接對該賬戶進行存款操作，對方直接可獲漁翁之利。

站在資料庫安全行業的肩頭眺望

上文提到了，我是一個資料庫安全從業者，我們每天會面對銀行、保險、基金、互連網金融各類企業使用者，在金融領域整體資訊化建設的過程中，資訊安全建設緊隨其後，但是駭客的能力也是在不斷進步的，而且系統越複雜，自身的漏洞也會越多，漏洞越多伴隨著的是駭客的攻擊手段也會越來越多。傳統的安全防護思維已經無法適應現在安全態勢的發展，原有部署的防病毒、網關類基礎安全產品，已經不足以抵禦愈變愈複雜的攻擊行為。這就好比我們把財富放在家裡，就覺得相對安全了，然後你把家裡的防盜門裝好，便認為家裡的東西本身就不需要再做什麼安全措施了。這就好比資料庫都是放到企業內部或者內網當中，在外圍加上防火牆，再加一些控制就變得很安全了。實際上這個是遠遠不足夠的，就拿銀行的內部系統來看，第一個就是內部很多第三方開發人員，他們可以直接存取資料庫，有一些好一點，弄一個測試庫，但是測試庫又與真實資料庫中的資料相同，實際上在這種情況下資料庫中的資料是可以直接被開發人員拿走的；第二種情況就是營運人員，銀行內部大多也沒有足夠的營運人員，營運也是外包服務，這就造成外部的營運人員可以直接接觸到系統的生產庫，所以這些外部的營運人員是可以直接把資料庫中的資料拿走的。另外還有一些更可笑的，有一年，香港花旗銀行做裝修，裝修過程中由於安全防護沒做好，資料庫伺服器丟了。資料庫伺服器丟失以後，實際上後端的那些資料存放區是完全有手段還原成明文的。那個時候資料自身的一些防護措施已經不起作用了，花旗銀行的所有客戶資料都泄露了。

 

新興的互連網金融業，多金，多使用者，更是在忙著業務，忙著系統如何快速支撐和運轉，對安全問題的重視程度並不是第一位考慮的因素，但站在個人使用者的角度，風險低、安全才是第一前提，然後才是如何在安全基礎上財務增值。從資料存放區的介質來看，核心資料最終都會落到資料庫裡，如果資料庫被顛覆了，一切歸零，對於互連網金融企業來講，損失不可預估。因此說，安全是一個水桶原理，往往是從最短板的地方流出，那麼現在發生的資訊泄露事件90%以上都和資料庫有關，資料庫安全這塊最短的木桶短板，在互連網金融這個新興領域仍不可忽視。

 

資料庫安全這個領域，因為新，因為尚未形成網路安全同等的市場規模，業內基本的認知還停留在資料庫安全審計與防護，目前市面上被認知較多、使用者接受度較高較多的也是Database Audit產品，該類事後追蹤審計產品確實在金融行業應用較多，但從安全防護的過程來看，資料庫安全同樣包含事前的資料庫安全體檢、事中的資料庫安全存取控制防禦、庫內資料的加密和事後的行為監測與審計。而事後的追溯反映，快也要3到6個月，企業才會知道，而散落在外面的資料，在這個時間裡，不知道已經被傳閱和販賣了多少次了。因此，事前的防禦和事中的過程式控制制不可或缺。通常資料庫防火牆和資料路加密產品，可以解決此類問題。

 

現在訪問資料的途徑變多了，那麼在系統中留下的後門和竊取資料的途徑也變多了，使用者資料的價值增大了，所以現在資料泄露事件頻發也是一個必然的現象，資料庫安全也在逐漸被企業提高維護意識。企業的安全意識在提高，涉及到個人的隱私資訊，更是需要嚴格保密。真正讓使用者在享受互連網金融便捷服務的同時，感到安心。

本文出自 “資料庫安全” 部落格，請務必保留此出處http://schina.blog.51cto.com/9734953/1679679

愛與恨，罪與罰，淺談互連網金融的安全隱患