360释疑云安全：部分网站应尽快修复“登录漏洞”
http://res.tech.ifeng.com/attachments/2011/01/12/rd_rs_e5dd5f4f39d27fb4d6a733ad04ed5258.jpg在2011年伊始，金山毒霸和360就是否泄露用户隐私刚刚爆发口水战，对此，360安全专家石晓虹博士在解释云安全这项技术时表示，360并没有泄露用户隐私，只是云安全、云计算这项全新的技术体系有可能把个别‘登录漏洞’网站泄露的用户隐私采集。如果想从根本上杜绝这个情况，不仅安全厂商应该注意妥善处理用户信息，互联网站也需要积极修复漏洞。
不涉及网上银行、网络支付等账号
目前经360安全中心验证，目前存在登录漏洞的网站数量并不多，主要是一些安全机制不严格的网站，并不涉及网上银行、网上支付、网游等重要账号。
360安全专家石晓虹博士表示，这些网站的登录漏洞是因为采用了H ttpG et的方式在用户登录时进行身份验证，只要关闭这项登录方式，改用安全性更高的H ttpPost方式，就能修复网站的登录漏洞。
石晓虹博士打了个比方说：网站存在登录漏洞，就相当于一个人把银行卡号、密码以及开户银行都记在一张纸条上。这是一种极不合理的保密方式，如果整张纸条丢了，就会使自己的财产面临失窃的危险。
360已针对登录漏洞采取措施
有网友评论认为，此前金山与360口水战就是个别网站的登录漏洞惹了祸。对此石晓虹博士解释道：为了找到木马攻击源头，360和其他国内外安全厂商普遍采用了‘挂马网页触发可疑网址上传’机制，即在用户受到挂马网页攻击时，会把当前所有未关闭网页的U R L网址上传到日志服务器上进行验证，以便把其加入恶意网址库。如果此时用户恰好访问了存在‘登录漏洞’的网站，就有可能把泄露了用户名和密码的网址一并上传，造成安全隐患。
据介绍，360安全中心已率先针对网站登录漏洞采取了应对措施：当用户访问存在登录漏洞的网站时，即便遇到未知挂马网页攻击，360网盾也不再进行样本上传；此外，360网盾未来还将发布一项可以检测网站登录漏洞的功能，当用户打开此类网站后第一时间进行安全提示，最大限度地保护好用户隐私。
采写：南都记者 李宽宽
页:
[1]