公安警示：360 曝重大安全漏洞泄漏个人隐私

pizza

1月10日，在360被爆出存在“任意密码修改漏洞”的一个多月后，乌云网公布了这一漏洞的细节。可以看到，这一漏洞之所以可以被用来修改任意用户的密码，其实质仍然是360在密码找回链接的URL结构设计上的重大缺陷：直接使用了可以与其旗下社交网站的用户名进行匹配的明文qid。一位IT业技术人员在接受采访时指出，本次360的密码修改漏洞，与2012年爆出的同类型漏洞在原理上如出一辙。据了解，一年多之前，360就曾经因为在密码找回链接中使用了不安全的MD5校验码，而被指出过同类漏洞。连续在同一个问题上犯下相同的错误，使得360在业界和用户心目中的形象被打上了一个大大的问号。 　　在乌云网所公布的漏洞操作细节中，用户可以清楚地看到发现漏洞的“白帽子”是如何轻易地“盗取”了用户的个人信息，甚至包含明星苗圃的私人信息，其中不仅包括账户密码，更包括通讯录、通话记录、短信记录等隐私信息。 　　 令人意外的是，面对这样令人后怕的漏洞，360官方仅仅给出的危害评级仅仅为“中”。记者就同样的问题采访相关专家时获悉，在微软的漏洞评价等级中，涉及远程执行和密码泄露的漏洞通常应当给予“非常严重”的评价。由此看来，360官方对漏洞的回应，态度值得回味，不免有“捂盖子”的嫌疑。 　　而不得不提到的是，这已经是360在短短一年里，连续两次被发现了同一类型、同样原理的BUG。记者查看乌云网的过往漏洞记录，查到2012年就已经有“白帽子”发现360的密码找回机制存在类似缺陷。究竟是360在同一个问题上连续犯下两次致命的技术失误，还是说360根本没有对技术人员所反映的问题引起足够的重视则非常值得思考。 　　多位安全专家亦表示，在中国互联网协会《互联网终端安全服务自律公约》第十三条、工信部《规范互联网信息服务市场秩序若干规定》第十三条、《互联网终端软件服务行业自律公约》第八条等多项条例中均强调了互联网信息服务提供者应当加强系统安全防护，保护用户个人信息安全。然而，从目前来看，以“安全”起家的360，在基础系统设计的安全问题上做的可能还远远不够。 原文地址：http://www.chdjx.com/hangye/2014/0116/15315.html

http://www.afinance.cn/new/smzx/201401/660360.html

daojianwuhen

概括一下：乌云网正常公开向厂商反馈满一月+近期某公安微博+回忆当年+定性360捂盖子+不知名“专家”称违法

这么典型的风格还能再多点槽点吗

pizza

daojianwuhen 发表于 2014-2-3 20:24
概括一下：乌云网正常公开向厂商反馈满一月+近期某公安微博+回忆当年+定性360捂盖子+不知名“专家”称违法
...

话说360的安全软件漏洞也不算少 360“捂盖子”行为 大概有上过Woo Yun站点并关注到360安全产品等被爆漏洞后官方的避重就轻的回复方式的都是有一定了解滴 至于为何不立刻转载...在乌云确认厂商修复并公布后 再次进行了验证 确认该漏洞修复并无相关问题后转载~

另外呢 为何不像奇虎360那样把其部分竞争对手产品漏洞在未通知到厂家并确认修复情况下直接曝光 而是在公布细节并另行确认无影响后才进行公布、转载等行为 那就是个人习惯了

所以你的概括 公安微博警示+360“捂盖子” 这两个还是比较准确的 有意义而且符合事实

daojianwuhen

pizza 发表于 2014-2-3 20:40
话说360的安全软件漏洞也不算少 360“捂盖子”行为 大概有上过Woo Yun站点并关注到360安全产品等被爆漏 ...

在未通知到厂家并确认修复情况下

不脸红吗

pizza

daojianwuhen 发表于 2014-2-3 20:52
不脸红吗

只是转载 欢迎围观~

怎么样了

曝就曝吧

没人曝还要花钱悬赏求人曝呢

查理弗朗西斯

真心要学习LZ的语言水平

pizza

查理弗朗西斯 发表于 2014-2-3 21:58
真心要学习LZ的语言水平

确实有省略主语处 但还是能看得懂的吧。。。

寂静de雨季

腾讯官人你好

五湖四海

我早就不信360了