首页 > 资讯列表 > 网站运营 >> 电子商务

Keen Team:携程的支付日志加密强度足够安全

电子商务 2014-04-06 13:51:52 转载来源: 网络整理/侵权必删

网易科技讯 3月24日消息,携程支付日志泄露后引发了巨大的信任危机,对此国内安全团队Keen Team对网易科技表示,在安全支付日志中被记录的用户敏感信息是经过AES加密的,在加密密钥没有对外泄露的情况下,AES的加密强度足以抵御来自民间的解密尝试。Keen Team团队安全专家表示,携程这次严重安全问题是由多个因素共同导致的

网易科技讯 3月24日消息,携程支付日志泄露后引发了巨大的信任危机,对此国内安全团队Keen Team对网易科技表示,在安全支付日志中被记录的用户敏感信息是经过AES加密的,在加密密钥没有对外泄露的情况下,AES的加密强度足以抵御来自民间的解密尝试。

Keen Team团队安全专家表示,携程这次严重安全问题是由多个因素共同导致的。一是开发人员在应用开发的排错过程中打开了Debug开关,导致安全支付日志中错误记录了用户银行卡的相关信息;二是安全支付日志目录本身没有做好安全基准配置,或者通俗的讲法,没有做好目录权限控制,导致安全日志通过互联网可以被浏览、遍历和下载。

在安全支付日志中被错误记录的用户敏感信息,包括信用卡号、信用卡有效期、信用卡CVV三位验证码是经过AES加密后存储在安全日志中的。在加密密钥没有对外泄露的情况下,AES的加密强度足以抵御来自民间的解密尝试,加密处理过的用户信息在一定程度上还是得到保障的。

从技术角度评判,这次安全事件中的漏洞本身技术因素并不复杂,导致问题的主要原因是开发和运维人员缺乏安全意识,同时也缺乏安全问题发生时相应的技术防护手段。简而言之,这次安全事件更多的是信息安全管理的问题。这次事件携程在事后的快速响应表现也不错。

对于涉及支付的重要互联网应用,为了避免此类严重问题再次发生,Keen Team认为有必要做好以下几点:

1. 实际生产环境和测试开发环境应该隔离。业务问题的排错应该在测试环境中进行,避免生产环境收到影响。

2. 在生产环境中的任何改动,需要严格遵循变更管理流程,做到执行人、时间、执行对象和具体改动均记录在案,并有企业信息安全部门进行事前审核和事后审计。

3. 遵循支付相关规范标准,类似用户的CVV码等验证信息是严禁存储的。对于“无卡支付”这类业务要求,企业信息安全部门应该及早介入并制止。建议对现有支付手段进行排查,并消除此类安全隐患。

4. 做好所有开发人员和运维保障人员的安全意识教育,他们的一举一动都会影响用户的个人隐私信息安全。

Keen Team是国内顶尖的白帽安全团队,团队成员相继在去年和今年的Pwn2Own黑客大赛上攻破了iOS7.0.3、64位Mac OS X 10.9.2和Windows 8.1。

标签: Keen Team 携程 支付 日志 加密 强度 足够 安全


声明:本文内容来源自网络,文字、图片等素材版权属于原作者,平台转载素材出于传递更多信息,文章内容仅供参考与学习,切勿作为商业目的使用。如果侵害了您的合法权益,请您及时与我们联系,我们会在第一时间进行处理!我们尊重版权,也致力于保护版权,站搜网感谢您的分享!

站长搜索

http://www.adminso.com

Copyright @ 2007~2024 All Rights Reserved.

Powered By 站长搜索

打开手机扫描上面的二维码打开手机版


使用手机软件扫描微信二维码

关注我们可获取更多热点资讯

站长搜索目录系统技术支持