SANS協(xié)會的首席研究人員Johannes Ullrich表示，許多企業(yè)已經(jīng)收集了以各種方法存儲密碼的應(yīng)用程序和系統(tǒng)，無論是員工密碼或客戶密碼，密碼保護(hù)都是一個嚴(yán)重的問題。
社交網(wǎng)絡(luò)和其他企業(yè)應(yīng)當(dāng)適當(dāng)?shù)乇Ｗo(hù)用戶密碼，否則當(dāng)一個攻擊者入侵盜取數(shù)據(jù)時，會帶來嚴(yán)重問題，Ullrich說道。事實已經(jīng)證明，攻擊者高度覬覦帳戶憑據(jù)，因為這些數(shù)據(jù)提供了作為身份驗證用戶登錄系統(tǒng)的最簡單方法。LinkedIn的密碼泄露，是近年來帳戶憑據(jù)泄露事件中的一件，也是密碼安全失誤的又一例證。
在一次接受SearchSecurity.com的采訪中，Ullrich談到在網(wǎng)絡(luò)上采取各種密碼數(shù)據(jù)庫清單的重要性，部署適當(dāng)?shù)谋Ｗo(hù)，移除那些以明文形式存儲密碼和其他個人信息的遺留應(yīng)用。企業(yè)可以部署單點登錄，他補充道。
但類似的保護(hù)措施很難應(yīng)用于電子郵件地址，Ullrich說道。應(yīng)用程序經(jīng)常需要查看明文的電子郵件地址，而企業(yè)需要可用的電子郵件地址來發(fā)信息給客戶。運用電子郵件加密可能會導(dǎo)致密鑰管理問題。
專家告訴我，LinkedIn的泄露突出了數(shù)據(jù)庫安全性的需要。如果你是一個企業(yè)的首席信息安全官，聽到這個泄露的消息你會怎么做？
Ullrich：我認(rèn)為首先要做的是，對你網(wǎng)絡(luò)上所有的密碼數(shù)據(jù)庫列出清單。困難的是你通常不止有一個密碼數(shù)據(jù)庫。它們四處遍布是因為你可能在過去幾年不斷獲取不同的應(yīng)用程序。努力得到一個好的清單并弄清楚它們是如何被保護(hù)的，這是第一步。當(dāng)然，還會有不兼容且仍部署在許多網(wǎng)絡(luò)上的應(yīng)用程序。它們要么是以明文形式存儲數(shù)據(jù)，要么是哈希運算不充分。努力想出一個過渡計劃似乎是不太可行的，所以你必須想出其他一些緩解控制。
為什么有些密碼數(shù)據(jù)庫企業(yè)可能不知道？
Ullrich：這是因為大多數(shù)網(wǎng)絡(luò)隨著時間推移而增長。你發(fā)現(xiàn)企業(yè)可能購買那些并不清楚它們是如何存儲密碼的應(yīng)用程序。一個企業(yè)有幾十個應(yīng)用，而這些應(yīng)用都有自己的密碼存儲。理想情況下你可以分類實施單點登錄。如果我是一名首席信息安全官，這就是我的最終目標(biāo)。但話又說回來，在所有的遺留應(yīng)用程序上實現(xiàn)單點登錄通常是一個巨大的挑戰(zhàn)。這可不是你熬通宵就能完成的。
電子郵件地址和密碼是一起存儲的嗎？郵件地址是否應(yīng)該像密碼那樣被保護(hù)？
Ullrich：電子郵件地址和用戶名通常是電子郵件地址的第一部分，往往將它們存在一起。我不認(rèn)為對于保護(hù)電子郵件地址，你還有很多可以做，因為你需要明文的電子郵件地址來給用戶發(fā)郵件。有關(guān)密碼的一個事實是，應(yīng)用程序從來都不需要知道密碼，因此可以使用哈希算法或其他加密方法。但對于電子郵件，你真的沒有什么選項。你可以加密電子郵件地址，但隨后你不得不做一些事情，因為應(yīng)用程序需要解密。這樣一來，你將面臨密鑰管理問題。
過去幾年中我們看到了大量數(shù)據(jù)泄露事件，它們某種程度上都屬于社會工程。除了培訓(xùn)外，還可以做什么來保護(hù)終端用戶免受社會工程的策略？
Ullrich：你還可以做訪問控制。當(dāng)然，問題之一是社會工程能說服一位內(nèi)部人士泄露所有的密碼。它并不需要是一個惡意攻擊。攻擊者能夠說服內(nèi)部人士泄露信息，而不需要社會工程。我認(rèn)為，解決社會工程需要內(nèi)部和外部的控制。你針對惡意內(nèi)幕人所做的同樣也對社會工程攻擊有效。
針對企業(yè)部署的監(jiān)控系統(tǒng)增加的網(wǎng)絡(luò)流量，目前人們一直在推動“大數(shù)據(jù)”。這些系統(tǒng)只能部署在大型企業(yè)嗎？
Ullrich：對小型或中型企業(yè)來說，它們需要太多人力來部署和維護(hù)這類系統(tǒng)。需要有相當(dāng)專業(yè)的技能才能操作系統(tǒng)。規(guī)模較小的企業(yè)，將在外包監(jiān)測或由兼職系統(tǒng)管理員進(jìn)行監(jiān)測等其他類似的事情上遇到瓶頸。我不認(rèn)為這些系統(tǒng)將幫助很大，因為它們往往在收集數(shù)據(jù)而沒有得到正確的監(jiān)控。我認(rèn)為較小的企業(yè)應(yīng)該選擇網(wǎng)絡(luò)控制，這將會帶來最大的幫助。
京公網(wǎng)安備 11010502049343號