數字身份的重要性日益凸顯，然而互聯網的安全性卻沒有成正比提高，頻發的泄密危機拷問著中國的互聯網安全，但相關立法卻遲遲無進展
法治周末記者 高 原
“2012”未到之前，密碼泄露危機提前上演。
2011年12月21日，CSDN(中國軟件開發聯盟)網站被曝600多萬用戶的數據庫信息被黑客公開，而隨后天涯、開心網、人人網、新浪微博等網站也都相繼被曝密碼泄露，密碼被盜事件集中爆發。
“今天你改密碼了嗎？”成為了當下最為流行的問候語。
上億網民集體“裸奔”
王藝打開人人網，發現自己的所有數據全部丟失，更讓她恐慌的是，為了方便，她把很多購物網站都設定為相同的賬戶密碼。
“現在不僅是改密碼的問題，這么多的信息都丟失了，不知道該怎么找回來。”王藝沮喪地對記者說。
一位不愿意透露姓名的CSDN(中國軟件開發聯盟)用戶更是苦不堪言，她的CSDN賬戶信息被泄露，通過一連串關聯，搜狐、網易、雅虎等郵箱全部無法登錄。
這些郵箱是她登錄論壇、SNS、支付寶以及各種購物網站的方式，“綁定”了她所有的互聯網生活。由于各個郵箱之間錯綜復雜的關聯，她無法通過密碼取回的方式來取回這些郵箱。
2011年12月21日晚，CSDN發布公告，就部分用戶數據泄露事件向用戶表示歉意，提醒用戶修改相關密碼。“如果您在其他網站也使用同一密碼，請一定同時修改相關網站的密碼。”兩天后，CSDN給出了關于賬號信息修改的詳細說明。
12月23日，多玩、夢幻西游通過木馬泄露。此后，7K7K、178游戲、人人、貓撲、世紀佳緣等，全國各大知名網站幾乎全部淪陷。
12月25日，天涯被曝其4000萬用戶數據泄露，這占到其總體6000萬用戶的六成多。
12月26日，天涯在首頁置頂了相關告示，坦承其也是遭受黑客攻擊并導致部分用戶數據庫外泄的受害網站之一。在致歉并提醒用戶重置密碼的同時，天涯社區還表示：“已向公安機關報案，公安機關也正在調查相關線索。”
同月26日，當當、京東、凡客等一線電商被推上了風口浪尖。它們被曝出用戶信息泄露消息，這其中包括真實姓名、電話號碼和收貨地址。
12月29日，一個提供互聯網行業最新內幕猛料的互聯網資訊平臺挨踢客在博客發表了一篇名為《傳國內多家銀行的用戶數據已經泄露》相關文章，曝出中國工商銀行、交通銀行、民生銀行客戶信息泄露。就連通往全球的廣東省出入境管理處也有444萬用戶信息疑被泄露。
很快，各家銀行公開否認此事，為此，挨踢客就該事件發表聲明，向涉事的交通銀行、民生銀行、工商銀行表示歉意，但還是導致了業界對銀行信息泄露的種種猜疑。
密碼泄露事件后，借助第三方查詢工具查看自己的賬號是否被外泄成了不少用戶的直接反應。
這在一定程度上推動了一些外泄密碼查詢網站在短時間內流量暴增，有的提供查詢的網站甚至需要反復提交多次請求后，才能返回結果；甚至有的查詢網站以調侃的語氣勸告用戶：別查了，還是趕緊改密碼吧。
在使用“密碼泄露查詢工具”后，不少網民在微博上坦露心聲，自己不止一家網站的用戶名與密碼泄露。出于方便易記，許多網民將用戶名與密碼統一起來，或者互相關聯。有的使用郵箱進行互相關聯。
中國黑客界元老龔蔚在接受媒體采訪時表示，本次黑客公布的用戶賬號約為1億個用戶賬號及密碼相關信息，預計地下黑客掌握了更多的互聯網用戶賬號信息。
本次泄露及公布的與實際被黑客掌握的用戶賬號數相比只是冰山一角，預計有將近4到6億的用戶賬號信息在黑客地下領域流傳(2011年互聯網數據統計，中國互聯網網民為4.8億)，這次被黑客公布爆庫的網站數據信息只是黑客地下流傳的極少一部分。
他透露，其中有相當一部分網站采用明文方式存儲用戶密碼，分析預計約有2億的用戶密碼為明文存儲。其余90%以上的網站采用公開的MD5算法對用戶密碼進行存儲，通過簡單的彩虹表碰撞(一種加密密碼破解的方法)可以在數秒鐘內破解加密存儲的密碼。
眾多網站無專職安全員
2011年12月27日晚，中國計算機學會青年計算機科技論壇廣州分會召開了“互聯網用戶資料泄露事件緊急會議”。16名與會專家一致認為，這次事件是迄今為止“中國互聯網史上最大信息泄露事件”。
專家們呼吁，由工信部門和公安部門牽頭，成立專門的調查組，針對本次事件進行調查，并公布調查結果。他們同時建議，針對用戶資料和個人隱私，政府應盡快建立法律法規進行規范，以維護個人權益。
面對突如其來的大規模用戶信息泄露，諸如CSDN、天涯等信息被泄露網站顯得有些“手足無措”。
“以前，論壇并沒有被列入安全等級要求，并不屬于敏感數據。”CSDN總裁蔣濤表示很無奈，沒想到，這一次CSDN成了眾矢之的。
中國互聯網絡信息中心此前發布的報告顯示，2011年上半年，遭遇過病毒或木馬攻擊的網民為2.17億，占網民總數的44.7%；有過賬號或密碼被盜經歷的網民達1.21億；另有8%的網民最近半年內在網上遇到過消費欺詐。
在眾多的互聯網安全問題中，用戶信息安全是最為敏感的問題，因為它直接關系到用戶的隱私。
目前，中國互聯網公司的信息安全支出，在整體IT支出中的比例不到1%，歐美的比例是8%至10%。而國內，對安全性要求比較高的金融行業，其信息安全支出在整個IT支出中占到10%。
來自360公司的報告也印證了這一點。
360網站安全檢測平臺的分析顯示：“國內83%以上的網站存在各種安全漏洞，大部分網站基礎防護能力薄弱；國內中小型網站普遍沒有專職的安全工程師維護，光靠服務器配置防火墻和入侵檢測設備，無法有效防御黑客的入侵。”
“目前，只有騰訊、阿里巴巴、百度有10位專職安全工程師，安全防護能力較強。其他的互聯網上市公司也只有3位至5位專職工程師，有的甚至沒有。”一位互聯網公司的工程師告訴法治周末記者，在互聯網企業有5位安全工程師，都算是豪華陣容，相當奢侈。
“目前，國內只有幾家網站有中高級別的專業安全防護能力、只有瀏覽量在前100名的網站有自己專業的初級安全、運維人員，前1000名的網站有安全產品或服務的采購，大部分網站都沒有專業的安全團隊。”他說。
2011年12月28日，工業和信息化部發布通告稱，用戶信息泄露事件嚴重侵害了互聯網用戶的合法權益，危害互聯網安全。工信部對竊取和泄露用戶信息的行為表示強烈譴責。同時，要求各互聯網站要開展全面的安全自查。
信息保護立法無進展
數字身份的重要性隨著此次泄露事件再一次擺到人們的視野中。
工信部電信研究院政策與經濟研究所的王融曾撰文指出，互聯網已成為我國社會生產生活的重要平臺和基礎設施，規模居于全球第一的數以億計的互聯網網民每天通過各種數字身份憑證接入和使用各類互聯網業務，同樣也面臨著身份盜竊、身份欺詐、隱私泄露等日益嚴重的安全問題。
法治周末記者發現，僅2011年11月，國家互聯網應急中心(CNCERT)就監測發現我國內地1785個網站被篡改、2179個網站被植入后門、近165萬個主機IP感染木馬或僵尸程序以及561萬余個主機IP感染飛客蠕蟲。這些被入侵的網站和個人計算機上的數據都一定程度地面臨被竊取的風險。
經合組織(OECD)的18個成員國已經制定或正在考慮制定本國的數字身份管理政策，其中美國已于2011年4月正式發布《網絡空間身份信任國家戰略》，全面系統地提出了“網絡空間可信任身份生態系統”的戰略構想。
“由于電子認證技術和標準之間缺乏協調性與兼容性，在一定程度上阻礙了我國電子政務的應用普及和互聯網業務創新。為此，數字身份管理應當納入我國網絡政策的議事日程。”王融對法治周末記者說。
中國社科院法學所研究員周漢華在接受法治周末記者采訪時也表示，如果靠民事法律保護個人信息安全，成本非常高，且取證困難。
刑法修正案(七)已將非法提供和非法獲取公民個人信息納入刑事制裁范疇。“但刑事制裁還是一個事后手段，并且各地的進展不平衡。”他還表示，我國目前對于個人信息保護的立法進程，在某種程度上處于停擺的狀態。
周漢華和他的課題組在6年前便起草了個人信息保護法(專家建議稿)，但相關立法進展并無下文。
目前，歐美、日本對個人隱私的立法比較完備。無論是“被動”，還是“主動”，一旦網站泄露了用戶信息，網站將面臨重額的經濟處罰。
2011年4月，索尼PS3有7700萬用戶信息遭竊，后來索尼正式道歉并對用戶作出補償。有預計稱，索尼將賠償245億美元。
2004年，日本雅虎約有460萬用戶的個人信息外泄，日本雅虎向每位用戶“賠償”6美元的購物券，這才息事寧人。
京公網安備 11010502049343號