IT業界資訊媒體

【wepro投稿】資安盲點:不是駭客太厲害,而是工程師太粗心!

根據全球知名的資安組織 OWASP (Open Web Application Security Project) 定期公佈的十大網路資安風險報告,去年最新報告中,「失效的身份認證 (Broken Authentication) 」高踞第二名。另外 IBM 今年四月公佈的《X-Force Threat Intelligence Index 威脅情報指數》報告中則指出,跟雲端基礎建設設置不當相關的資料洩露就比前一年大幅增加四倍,而且絕大多數是人為錯誤。至於資安業者 Palo Alto Networks 年中公佈的《2018 Cloud Security Report》雲端安全報告中亦提到,不當設置雲端平台佔總威脅的 62%,是雲端安全的單一最大威脅成因。綜合以上幾份報告,有沒有發現重點提到的不是駭客有多強大,而都是有關認證或者雲端平台設置不當的人為錯誤?

程式人員犯的低級錯誤

有時候,程式人員的人為錯誤真的會讓人倒吸一口氣。上面提到德國開出首宗基於 GDPR 的罰單,是關於德國聊天平台 Knuddels.de 今年 7 月遭駭客入侵,竊取並洩露了 187.2 萬用戶資料,其中包括了用戶名稱、密碼和電郵地址,還因此被發現 Knuddels 居然犯了以明文儲存密碼這種低級錯誤!回顧過往,Twitter 亦曾發現以明文把用戶密碼儲存於內部伺服器中的資安漏洞,雖然未有證據顯示資料外流,但 Twitter 仍然緊急通知用戶建議更改密碼。對於登入設計不太熟悉的朋友可能會問:什麼是明文儲存密碼?為什麼企業一再栽在這個問題?

密碼學小知識

這牽涉到一點密碼學的小知識。平常為了不讓駭客即使輕易入侵,密碼在儲存前都會先經過處理,確保駭客即使入侵也無法破解密碼。常見被錯誤使用來處理密碼的方法有幾種:

1)字元編碼:透過 base64 之類的編碼方式,把原本的密碼改編成另一串編碼。不過只要猜到編碼方式,很容易就可以把編碼翻譯出原本的密碼。

2)對稱密鑰加密:在加密和解密時使用相同密鑰,或使用兩個可以互相演算的密鑰。常見的演算法有 AESDES3DES 等等。

3)非對稱密鑰加密:在加密和解密時使用一套私鑰和一套公鑰,因為加密和解密使用不同的密鑰,所以即使公鑰被公開,缺乏用戶自己保管的私鑰也無法破解密碼。常見的演算法有 RSAEIGamal 等。

處理方法:雜湊 (Hash)

嚴格來說,密碼是不應該「加密」的,所以上面幾種方法都不是適當的方法。因為只要加密,就有被解密的可能。以安全性來說,雜湊 (Hash) 才是唯一可接受的處理方法。Hashing 利用雜湊演算法(常見的有 SHA bcrypt scrypt,另外早期還有 MD5 不過因為不夠安全而漸漸息微)來單向加密密碼。但如果透過大量的對照表,還是有可能可以還原。為了加強安全性,hash 可以加「鹽」,稱為 Salted Hash,即是把密碼加上一串字串再進行雜湊演算,加鹽後的 hash 會增加複雜度,提升安全性。隨著 GPU 的技術發展,有研究指出 brute force 方式有能力快速攻克大部分傳統 hashing,即使無意義的密碼也能在數分鐘甚至數秒內被破解;也越來越多人投入研究是否存在更安全的方法,譬如針對 GPU 運算的雜湊法或者後量子密碼學(Post-quantum cryptography)等。

「明文儲存密碼」是低級錯誤

那剛才提到「明文儲存密碼」是怎樣的處理方式?顧名思義,明文儲存就是完全沒有進行任何加密,直接把密碼明文保存。再簡單一點來說,假設你的密碼是 1234,一般處理方式可能在傳遞儲存時加密成一堆亂碼,而明文就是不做任何處理,直接用原本 1234 的方式來儲存。現在能理解為什麼會說「明文儲存密碼」是低級錯誤了嗎?因為駭客只要成功入侵伺服器,不用破解就已經可以輕易獲得你的完整密碼!也就是說,只要工程師在編寫登入程式時,安全意識稍為強一點,就能想到明文儲存密碼是非常危險的。除了明文儲存密碼,儲存方式設計失當這種人為錯誤也常讓人搖頭嘆息,甚至有工程師把愚蠢提升到一個新的層次將密碼保存於 / 傳回前端,這樣駭客就連伺服器都不用入侵,或只要有一點程式基礎的用戶,都能輕易在前端程式碼中存取所有用戶的密碼。

本文作者:Oursky

Oursky 是一間創立於香港的 Web / Mobile 軟體開發公司,在香港和台北設有工作室。主力研發數位產品用戶體驗、Skygear.io (Serverless Platform) 和其他開發者工具,協助開發者快速開發 Web / Mobile 產品。


wepro投稿】

如果你都有觀點、見解、評論想與大家分享,歡迎投稿。

投稿電郵:[email protected]

投稿注意事項:

1)來稿標題請註明「投稿」;

2)來稿者請附上姓名或單位名稱、刊登筆名(如有)、聯絡方式及自我簡介;

3)本站有權決定是否刊登及刪修之權利,修改時恕不另作個別通知;

4wepro180 擁有登出文章之全部出版權;

5)嚴禁抄襲,投稿者文責自負;

6)若有提供照片或影片,凡請先釐清使用權或知識產權;

7)資源有限,恕暫無稿費;

8)有關載已刊登文章、稿費、約稿等事宜,請與編輯部聯絡。