密码安全事故的宝贵经验分享

近一两年来有大量互联网用户迷失了自我,原因是很多网站泄露了我们的帐户、密码和邮件,以致于我们的网络身份被窃取和盗用。

脆弱的互联网服务在技术精湛的黑客面前不堪一击,而各路媒体和安全公司更是趁机扇风点火,夸大黑客的威力和事件的影响、吹嘘安全解决方案的能力。一时间弄得人心惶惶,大量小白用户放弃了使用便利但敏感的网上交易。

实际上,除了最常用的身份认证方式——“密码”被大量外泄之外,提供多重身份验证机制的硬件令牌、安全证书等等也都被黑客突破。

亭长朗然公司的安全研究员Bob Xue希望这些起安全事故能给人们带来深刻的教训:

  • 黑客窃取用户身份的下一步目标很明确,即窃取用户的虚拟网络财产或转移银行卡内余额,而服务意识不够的网站往往会“捂”住密码泄露事件,给黑客较长的时间对用户逐个进行渗透攻击。
  • 尽管有新的替代和创新身份鉴别技术,但是永远没有绝对的安全,动态令牌、网站证书被黑客攻陷相关的安全大戏仍将继续上演。
  • 提供安全服务的公司自身的安全保障可能很不到位,安全服务公司的客户联络数据外泄、甚至安全产品源代码失窃等类似的事故还将持续下去。
  • 移动终端设备底层的安全防范会加强,但在高端应用方面的安全性却比PC还脆弱。
  • 用户终端和服务商系统仍是密码泄露的最大源头,不过移动互联网越来越普及,通过WIFI进行网络窃听的势头上升迅猛。
  • 用户行为识别技术开始被用于身份验证、生物特征识别技术将大行其道、动态令牌技术升级等等,都将弥补口令认证的不足。
  • 用户对安全的理解和接受才是企业级帐户和权限管理IAM获得成功的关键,对用户进行密码复杂度以密码保护相关的安全意识培训需成为安全管理人员的工作重点之一。
  • 开放式认证和单点登录能够让用户只需少量的密码访问大量的网站应用,然而在不同的网站使用相同的密码是高风险行为,一个网站密码失窃带来的损失也将是巨大的。
  • 即使对密码进行了哈希加密存储,高级的黑客仍然能够还原哈希值,或使用哈希密文直接成功登录部分网站。
  • 即便使用了https安全的登录方式,黑客也能窃取网站的Cookie,在不窃取密码的情况下轻松入侵用户的网站帐户。

展望未来,昆明亭长朗然科技有限公司安全研究员Bob Xue称:在可见的将来,密码仍然将当作主要的身份认证途径被一直使用,但数量可能减少,少量大型互联网厂商将成为用户名和密码的“管理中心”;如短信验证码之类的低成本、易实施的多重身份验证机制将被广泛使用,而为解决密码安全问题的创新的身份识别和认证科技将不断出现。

TOTP多因子身份验证服务与Web安全

网络犯罪分子通过寻找各种可能的方式来攻破各类组织机构的网络,包括使用端口扫描、漏洞分析、数据库注入甚至网络钓鱼等等攻击方式,企图来找到各类安全弱点进而加以利用。

今天,越来越多的企业级应用开始向互联网迁移,传统的网络边界越来越模糊,甚至开始消退,犯罪分子便开始将目光转向Web服务和计算终端,亚马逊、京东、携程等一系列网站泄密案给互联网服务提供者一个惨痛的教训,于是纷纷开始加强Web网站安全的建设和保障工作,同时计算终端的安全状况也越来越引发关注,上网本、平板电脑、智能手机等便携式移动计算设备的价格越来越便宜、功能越来越强大、同时也越来越普及,远程工作、自带计算设备BYOD等成了流行趋势。

放置在Web服务端的企业应用很容易被资深的互联网攻击者发现,通过简单的域名查询、端口扫描、服务探测、搜索引擎、社交网络等技术攻击者可以搜集大量关于企业Web应用的数据,通过分析这些数据可以找到相关的Web网站安全漏洞并加以渗透攻击,同时通过数据分析也能得到关键的人员和联系方式,利用社会学工程攻击技术,结合终端渗透的各种方式如电信诈骗、网络钓鱼等等方式获得关键人员进入系统的帐户和密码,进而窃取机密数据或进行破坏活动。

在Web安全方面,网站服务提供商无疑需要加强诸多方面的安全控管,这些措施包括数据中心的场所安全、服务器硬件的可靠性、操作系统、数据库及应用平台的安全、网站的黑客入侵防范、Web安全监控、Web访问审计以及应急响应措施等等。

用户的身份验证一直是Web终端安全的一个头痛的事情,基于时间的动态令牌其实并不让人们陌生,尽管硬件令牌越来越便宜,但是仍然增添了保存和携带方面的麻烦,现在有了简易的低成本技术方案TOTP,终端软件可以直接安装在智能手机上而不使用专门的硬件,无疑会让众多Web安全为之一振。

多数网站,不管是托管服务还是自行管理,或多或少都实施了一定的物理安全措施,在软硬件平台上也都有进行一定的安全加固措施,但是这些并不足够,人们逐渐认识到,保护网站安全的重点工作在于日常的运维,网站的漏洞扫描、补丁管理、渗透测试、安全监控、日志审计、故障修复和应急响应等等都应该紧紧跟上。

昆明亭长朗然科技有限公司拥有由多名信息安全专家组成的安全服务团队,携手多家国内外知名的Web应用安全厂商,使用成熟稳定的TOTP技术方案,给云南甚至东盟地区的Web安全保障带来了新的生机和希望。

再让我们看一看终端安全领域,大多数的企业级用户开始注意到这方面的安全隐患,计算终端越来越普及,如果员工的安全使用意识和能力未能跟上去,设备和帐户的失窃很容易让攻击者获得企业级信息系统的远程访问甚至控制权限。

人员总是公司安全管理中最薄弱的环节,攻击者也知道通过搞定最终用户可以轻易实现进入企业系统的罪恶目的,所以加强对员工进行安全培育和培训,可以让他们主动识别出攻击者常用的下三滥手段,进而让攻击者无功而返。

然而,安全意识教育和培训也只能让攻击者很难对员工进行钓鱼或诈骗,然而坚定的攻击者还是不会轻易放弃,他们可能还会采取诸如猜解、暴力破解等手段来获得员工的密码,这时就需要我们加强身份验证机制,大型的网上银行几乎都已经实施了多因素身份验证机制,更多注重安全的企业级用户也应紧紧跟随,通过加强对终端用户的安全认证,确保即便黑客控制了终端计算设备,也难以登录关键应用系统窃取机密信息或进行进一步的破坏。

昆明亭长朗然科技有限公司通过与国内外多家顶级身份认证产品和服务提供商建立合作关系,致力于帮助云南本土的企业级用户实施多重身份认证解决方案,特别是移动互联网时代基于TOTP技术的低成本解决方案,欢迎与亭长朗然取得联系免费试用体验相关产品及服务。