寬帶安全問題拋開個(gè)人用戶的種種問題，從電信角度來說:現(xiàn)有網(wǎng)絡(luò)硬件設(shè)備不能滿足現(xiàn)有需求,造成用戶認(rèn)證困難:假如目前每個(gè)寬帶賬號和電話線路都可以綁定，真正做到一個(gè)賬號只能在一條線路上使用，似乎目前很多安全問題都可以解決了。但目前的情況不是這樣子的:在各種賬號安全問題中，非法共享和盜用以及非法用戶追蹤困難的原因，主要是因?yàn)殡娦胚\(yùn)營商沒有對寬帶用戶賬號安全提供限制和可靠的保護(hù)，無法形成對寬帶用戶的的標(biāo)志。市場經(jīng)濟(jì)下，投資成本和利潤回報(bào)影響各個(gè)行業(yè)的決策，電信也不例外，目前國內(nèi)整個(gè)寬帶網(wǎng)絡(luò)的認(rèn)證和計(jì)費(fèi)系統(tǒng)主要由BRAS設(shè)備和RadiusServer設(shè)備來共同完成，基于當(dāng)前的城域網(wǎng)，而VLAN資源不足致使多個(gè)用戶共用一個(gè)VLAN的網(wǎng)絡(luò)現(xiàn)狀。根據(jù)目前網(wǎng)絡(luò)現(xiàn)狀開發(fā)的PITP協(xié)議、PPPoE+協(xié)議、DHCPOption82等技術(shù)就是為了解決這一問題。
當(dāng)然，這些方式雖然可以解決用戶標(biāo)志問題，但無法在國內(nèi)統(tǒng)一，原因其一就是成本問題:成本包含兩部分:現(xiàn)有設(shè)備投資還沒有收回，新技術(shù)投資收益還不能確定;其二就是由于中國的各地發(fā)展不平衡，改造起來很困難。對此我們應(yīng)多給些時(shí)間，相信不久就會(huì)解決這個(gè)問題。從電信角度說，對于盜用賬戶的解決方法目前主要有兩個(gè)方法:
解決方法一，MAC地址綁定解決方案,電信運(yùn)營商可以在RadiusServer上將用戶上網(wǎng)計(jì)算機(jī)的MAC地址同用戶上網(wǎng)賬號進(jìn)行性綁定，利用MAC的性，從而限制上網(wǎng)賬號的使用性。
用戶在進(jìn)行PPPoE撥號連接的時(shí)候，BRAS設(shè)備獲取用戶的上網(wǎng)賬號以及上網(wǎng)計(jì)算機(jī)的MAC地址，然后通過標(biāo)準(zhǔn)Radius協(xié)議將用戶賬號和MAC上報(bào)給RadiusServer，由Radiusserver完成賬號和MAC地址一一對應(yīng)的判別工作。由于MAC地址的性，用戶無法進(jìn)行賬號的非法共享或漫游，同時(shí)盜用的上網(wǎng)賬號也無法使用。簡單方便，無須改造現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)和DSLAM設(shè)備，只要BRAS設(shè)備能根據(jù)標(biāo)準(zhǔn)Radius協(xié)議上報(bào)用戶賬號和用戶計(jì)算機(jī)MAC地址給RadiusServer，這一點(diǎn)目前的BRAS設(shè)備都能夠做到。不過Radiusserver端的維護(hù)工作量很大，需要經(jīng)常維護(hù)龐大的用戶MAC地址表;而且一旦用戶更換電腦或者更換網(wǎng)卡都必須在Radiusserver上進(jìn)行重新綁定，帶來額外的工作量和用戶投訴;同時(shí)對多個(gè)用戶共用一個(gè)VLAN上行的組網(wǎng)模式，二層接入網(wǎng)絡(luò)的用戶安全隔離和廣播報(bào)文控制也需要額外的解決方案。
方法二：LAN或PVC綁定解決方案,VLAN或PVC綁定解決方案是在RadiusServer上對用戶的寬帶上網(wǎng)賬號同接入用戶的VLAN或PVC進(jìn)行綁定。在寬帶撥號用戶進(jìn)行撥號時(shí)，BRAS設(shè)備將接入用戶的VLAN或PVC信息通過標(biāo)準(zhǔn)Radius協(xié)議上報(bào)給RadiusServer，由RadiusServer完成用戶上網(wǎng)賬號同VLAN或PVC的性鑒別工作。顯然，VLAN或PVC綁定解決方案在技術(shù)要求和寬帶網(wǎng)絡(luò)建網(wǎng)過程中，將每個(gè)用戶劃分為一個(gè)單獨(dú)的VLAN或者PVC。目前，在實(shí)際的組網(wǎng)中，ATM-DSLAM都采用一個(gè)用戶一條PVC方式接入，非常容易實(shí)現(xiàn)用戶賬號同PVC的性綁定;為每個(gè)接入的寬帶用戶分配不同的VLAN標(biāo)志，實(shí)現(xiàn)了用戶上網(wǎng)賬號同VLAN性綁定，避免賬號公用和盜用問題。用戶間通過VLAN或PVC隔離也可有效地解決二層接入網(wǎng)絡(luò)廣播風(fēng)暴問題。硬件上的問題不是最令人心的，從發(fā)展的角度，可以很快解決，可有些軟問題卻比較令人擔(dān)憂。
電信部門的管理的軟問題：記得2000年初接觸到寬帶，接寬帶時(shí)那個(gè)電信人員說“寬帶密碼不存在安全問題，只有你的電話能用”，中國的寬帶賬戶安全觀念也在這種觀念中成長，這樣無形中養(yǎng)成寬帶用戶的安全意識(shí)匱乏，造就了中國的寬帶成長中的先天不良。我就以這幾天測試的某省的電信網(wǎng)上寬帶收費(fèi)網(wǎng)站為例子，談?wù)勥@個(gè)問題:進(jìn)入該網(wǎng)站后，找到計(jì)費(fèi)業(yè)務(wù)版塊。
這里就暴露了一個(gè)歷史遺留問題:寬帶用戶的用戶名密碼容易被猜解問題: 一直以來電信出于管理方便角度，對用戶名很多都以電話號碼為基數(shù)，加上其他一些簡易字母，后邊加上諸如@163等的后綴，密碼幾乎都是電話號碼,用通式來表達(dá): 帳戶名:城市名稱縮寫(如 bj)+電話號碼(如 12345678)+@+后綴(如 163) ,密碼: 電話號碼(注意:此處就是賬戶里的電話號碼)也就是說只要知道某城市一個(gè)寬帶賬號，只需要略微更改下電話號碼就可以猜到其他人的賬號，帳戶名及其他部分都無需改動(dòng)，密碼和電話號碼一致。無論手動(dòng)枚舉還是軟件實(shí)現(xiàn)都異常簡單。這個(gè)網(wǎng)上營業(yè)廳另一個(gè)大問題也伴隨而生：不是每個(gè)電話號碼都辦理了寬帶，當(dāng)你猜解賬號錯(cuò)誤時(shí)，它并不會(huì)采取什么安全策略，限制你輸入次數(shù)，也就是說，可以無限枚舉，而不會(huì)封掉你的ip。這個(gè)問題可以說威脅一個(gè)城市的所有寬帶用戶。猜解成功后，進(jìn)入賬號管理界面用戶的上網(wǎng)撥號日志及其他資料會(huì)暴露隱私。
善于利用的*者甚至可以利用分析日志避開賬號所有者的使用時(shí)間而不會(huì)被發(fā)現(xiàn):賬號被猜解后，*者可以在“修改密碼”處修改密碼，令賬號的真正主人不能撥號。輕則別人用你的賬號撥號，造成你短期不能撥號上網(wǎng)，重則造成你經(jīng)濟(jì)損失:為別人的網(wǎng)上消費(fèi)支付金錢:如目前流行的在線*，在線信息查詢，在線充值，在線購物功能都可以通過寬帶付費(fèi)，種種在線業(yè)務(wù)都有個(gè)特點(diǎn)，那就是和電信掛鉤:究其原因，最終被消費(fèi)錢是需要電信中轉(zhuǎn)的，往往最終體現(xiàn)在上網(wǎng)費(fèi)上，目前國內(nèi)寬帶上網(wǎng)費(fèi)和電話費(fèi)是一起交的。當(dāng)他人盜用你的賬號消費(fèi)不是很多情況下，你看到賬單多出來的幾塊或者幾十塊錢時(shí)，你是很無奈的。想起一種現(xiàn)象:犯罪的“成本低“，成本低到受害者沒法去告罪犯。而且即使你想告他，找到盜用你賬號的人，并拿到證據(jù)，其中你的付出的時(shí)間和金錢也會(huì)令你望而卻步，這既是法律的悲哀，更是人性的悲哀，奉勸那些走在犯罪邊緣的人:勿以小惡而為之，拋開法律來說，你在盜得點(diǎn)滴利益的同時(shí)，你失去的不是單純金錢可以衡量的。
問題到這似乎可以結(jié)束了，可更大的問題還在后邊。像電信級的網(wǎng)站，管理后臺(tái)入口應(yīng)該十分隱蔽，對于一個(gè)動(dòng)態(tài)網(wǎng)站來說，后臺(tái)管理部分必不可少，由于后臺(tái)涉及整個(gè)站點(diǎn)的安全，因此后臺(tái)管理部分的入口要十分隱蔽，要采用一套獨(dú)立前臺(tái)的模塊，采用專用的登陸界面。大型的網(wǎng)站或重要的程序要有很多不同分工的后臺(tái)管理員來管理，因此每個(gè)管理員的管理權(quán)限范圍和權(quán)限之間決不能互相影響。這也是非常重要的特性。這個(gè)網(wǎng)站設(shè)計(jì)就違反這個(gè)規(guī)則，猜了幾次路徑后，管理入口就被找到。(由于涉及敏感信息，路徑不再給出),然后再根據(jù)這個(gè)路徑，利用離線瀏覽軟件WebSeizer，在WebSeizer的網(wǎng)頁首選項(xiàng)設(shè)置為這個(gè)地址，再把和這個(gè)頁面相關(guān)的所有網(wǎng)頁下載下來，在下載層次設(shè)置為-1,這樣和這個(gè)頁面相關(guān)的所有頁面都可以下載下來。這次的收獲我非產(chǎn)吃驚，在一個(gè)新聞組模塊里的admin.jsp.html網(wǎng)頁里我找到了管理員密碼，ftp密碼，還有很多其他東西。
最后通過類似步驟，找到了8個(gè)各個(gè)模塊的管理員帳號。由于計(jì)費(fèi)系統(tǒng)及其他內(nèi)容涉及法律問題，比較敏感，不在此敘述了。如果單純是一個(gè)民間網(wǎng)站，我也不會(huì)多說什么，這畢竟是一個(gè)省級的計(jì)費(fèi)系統(tǒng)。最后聯(lián)系了相關(guān)的管理人員，得到回復(fù)是:“謝謝你的通知，我們會(huì)修補(bǔ)好相關(guān)漏洞”,也沒有再多解釋什么。
喜歡找“肉雞”的朋友如果細(xì)心的話會(huì)發(fā)現(xiàn)這么一個(gè)現(xiàn)象：掃描不同國家的同一個(gè)數(shù)量級的主機(jī)，能找到的“肉雞“數(shù)量往往和國家對網(wǎng)絡(luò)安全的重視程度成反比，1000個(gè)主機(jī)，中國可能找到100個(gè)肉雞，可美國可能最多找到5個(gè)。這不能不給我們帶來些思考，最后引用中國工程院院士、國家863計(jì)劃專項(xiàng)研究專家組組長何德全的話結(jié)束本文:“沒有信息安全，就沒有完全意義上的國家安全，也沒有真正的政治安全、軍事安全和經(jīng)濟(jì)安全?！虼耍盐覈男畔踩珕栴}放在全球戰(zhàn)略考慮，…”
當(dāng)然，這些方式雖然可以解決用戶標(biāo)志問題，但無法在國內(nèi)統(tǒng)一，原因其一就是成本問題:成本包含兩部分:現(xiàn)有設(shè)備投資還沒有收回，新技術(shù)投資收益還不能確定;其二就是由于中國的各地發(fā)展不平衡，改造起來很困難。對此我們應(yīng)多給些時(shí)間，相信不久就會(huì)解決這個(gè)問題。從電信角度說，對于盜用賬戶的解決方法目前主要有兩個(gè)方法:
解決方法一，MAC地址綁定解決方案,電信運(yùn)營商可以在RadiusServer上將用戶上網(wǎng)計(jì)算機(jī)的MAC地址同用戶上網(wǎng)賬號進(jìn)行性綁定，利用MAC的性，從而限制上網(wǎng)賬號的使用性。
用戶在進(jìn)行PPPoE撥號連接的時(shí)候，BRAS設(shè)備獲取用戶的上網(wǎng)賬號以及上網(wǎng)計(jì)算機(jī)的MAC地址，然后通過標(biāo)準(zhǔn)Radius協(xié)議將用戶賬號和MAC上報(bào)給RadiusServer，由Radiusserver完成賬號和MAC地址一一對應(yīng)的判別工作。由于MAC地址的性，用戶無法進(jìn)行賬號的非法共享或漫游，同時(shí)盜用的上網(wǎng)賬號也無法使用。簡單方便，無須改造現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)和DSLAM設(shè)備，只要BRAS設(shè)備能根據(jù)標(biāo)準(zhǔn)Radius協(xié)議上報(bào)用戶賬號和用戶計(jì)算機(jī)MAC地址給RadiusServer，這一點(diǎn)目前的BRAS設(shè)備都能夠做到。不過Radiusserver端的維護(hù)工作量很大，需要經(jīng)常維護(hù)龐大的用戶MAC地址表;而且一旦用戶更換電腦或者更換網(wǎng)卡都必須在Radiusserver上進(jìn)行重新綁定，帶來額外的工作量和用戶投訴;同時(shí)對多個(gè)用戶共用一個(gè)VLAN上行的組網(wǎng)模式，二層接入網(wǎng)絡(luò)的用戶安全隔離和廣播報(bào)文控制也需要額外的解決方案。
方法二：LAN或PVC綁定解決方案,VLAN或PVC綁定解決方案是在RadiusServer上對用戶的寬帶上網(wǎng)賬號同接入用戶的VLAN或PVC進(jìn)行綁定。在寬帶撥號用戶進(jìn)行撥號時(shí)，BRAS設(shè)備將接入用戶的VLAN或PVC信息通過標(biāo)準(zhǔn)Radius協(xié)議上報(bào)給RadiusServer，由RadiusServer完成用戶上網(wǎng)賬號同VLAN或PVC的性鑒別工作。顯然，VLAN或PVC綁定解決方案在技術(shù)要求和寬帶網(wǎng)絡(luò)建網(wǎng)過程中，將每個(gè)用戶劃分為一個(gè)單獨(dú)的VLAN或者PVC。目前，在實(shí)際的組網(wǎng)中，ATM-DSLAM都采用一個(gè)用戶一條PVC方式接入，非常容易實(shí)現(xiàn)用戶賬號同PVC的性綁定;為每個(gè)接入的寬帶用戶分配不同的VLAN標(biāo)志，實(shí)現(xiàn)了用戶上網(wǎng)賬號同VLAN性綁定，避免賬號公用和盜用問題。用戶間通過VLAN或PVC隔離也可有效地解決二層接入網(wǎng)絡(luò)廣播風(fēng)暴問題。硬件上的問題不是最令人心的，從發(fā)展的角度，可以很快解決，可有些軟問題卻比較令人擔(dān)憂。
電信部門的管理的軟問題：記得2000年初接觸到寬帶，接寬帶時(shí)那個(gè)電信人員說“寬帶密碼不存在安全問題，只有你的電話能用”，中國的寬帶賬戶安全觀念也在這種觀念中成長，這樣無形中養(yǎng)成寬帶用戶的安全意識(shí)匱乏，造就了中國的寬帶成長中的先天不良。我就以這幾天測試的某省的電信網(wǎng)上寬帶收費(fèi)網(wǎng)站為例子，談?wù)勥@個(gè)問題:進(jìn)入該網(wǎng)站后，找到計(jì)費(fèi)業(yè)務(wù)版塊。
這里就暴露了一個(gè)歷史遺留問題:寬帶用戶的用戶名密碼容易被猜解問題: 一直以來電信出于管理方便角度，對用戶名很多都以電話號碼為基數(shù)，加上其他一些簡易字母，后邊加上諸如@163等的后綴，密碼幾乎都是電話號碼,用通式來表達(dá): 帳戶名:城市名稱縮寫(如 bj)+電話號碼(如 12345678)+@+后綴(如 163) ,密碼: 電話號碼(注意:此處就是賬戶里的電話號碼)也就是說只要知道某城市一個(gè)寬帶賬號，只需要略微更改下電話號碼就可以猜到其他人的賬號，帳戶名及其他部分都無需改動(dòng)，密碼和電話號碼一致。無論手動(dòng)枚舉還是軟件實(shí)現(xiàn)都異常簡單。這個(gè)網(wǎng)上營業(yè)廳另一個(gè)大問題也伴隨而生：不是每個(gè)電話號碼都辦理了寬帶，當(dāng)你猜解賬號錯(cuò)誤時(shí)，它并不會(huì)采取什么安全策略，限制你輸入次數(shù)，也就是說，可以無限枚舉，而不會(huì)封掉你的ip。這個(gè)問題可以說威脅一個(gè)城市的所有寬帶用戶。猜解成功后，進(jìn)入賬號管理界面用戶的上網(wǎng)撥號日志及其他資料會(huì)暴露隱私。
善于利用的*者甚至可以利用分析日志避開賬號所有者的使用時(shí)間而不會(huì)被發(fā)現(xiàn):賬號被猜解后，*者可以在“修改密碼”處修改密碼，令賬號的真正主人不能撥號。輕則別人用你的賬號撥號，造成你短期不能撥號上網(wǎng)，重則造成你經(jīng)濟(jì)損失:為別人的網(wǎng)上消費(fèi)支付金錢:如目前流行的在線*，在線信息查詢，在線充值，在線購物功能都可以通過寬帶付費(fèi)，種種在線業(yè)務(wù)都有個(gè)特點(diǎn)，那就是和電信掛鉤:究其原因，最終被消費(fèi)錢是需要電信中轉(zhuǎn)的，往往最終體現(xiàn)在上網(wǎng)費(fèi)上，目前國內(nèi)寬帶上網(wǎng)費(fèi)和電話費(fèi)是一起交的。當(dāng)他人盜用你的賬號消費(fèi)不是很多情況下，你看到賬單多出來的幾塊或者幾十塊錢時(shí)，你是很無奈的。想起一種現(xiàn)象:犯罪的“成本低“，成本低到受害者沒法去告罪犯。而且即使你想告他，找到盜用你賬號的人，并拿到證據(jù)，其中你的付出的時(shí)間和金錢也會(huì)令你望而卻步，這既是法律的悲哀，更是人性的悲哀，奉勸那些走在犯罪邊緣的人:勿以小惡而為之，拋開法律來說，你在盜得點(diǎn)滴利益的同時(shí)，你失去的不是單純金錢可以衡量的。
問題到這似乎可以結(jié)束了，可更大的問題還在后邊。像電信級的網(wǎng)站，管理后臺(tái)入口應(yīng)該十分隱蔽，對于一個(gè)動(dòng)態(tài)網(wǎng)站來說，后臺(tái)管理部分必不可少，由于后臺(tái)涉及整個(gè)站點(diǎn)的安全，因此后臺(tái)管理部分的入口要十分隱蔽，要采用一套獨(dú)立前臺(tái)的模塊，采用專用的登陸界面。大型的網(wǎng)站或重要的程序要有很多不同分工的后臺(tái)管理員來管理，因此每個(gè)管理員的管理權(quán)限范圍和權(quán)限之間決不能互相影響。這也是非常重要的特性。這個(gè)網(wǎng)站設(shè)計(jì)就違反這個(gè)規(guī)則，猜了幾次路徑后，管理入口就被找到。(由于涉及敏感信息，路徑不再給出),然后再根據(jù)這個(gè)路徑，利用離線瀏覽軟件WebSeizer，在WebSeizer的網(wǎng)頁首選項(xiàng)設(shè)置為這個(gè)地址，再把和這個(gè)頁面相關(guān)的所有網(wǎng)頁下載下來，在下載層次設(shè)置為-1,這樣和這個(gè)頁面相關(guān)的所有頁面都可以下載下來。這次的收獲我非產(chǎn)吃驚，在一個(gè)新聞組模塊里的admin.jsp.html網(wǎng)頁里我找到了管理員密碼，ftp密碼，還有很多其他東西。
最后通過類似步驟，找到了8個(gè)各個(gè)模塊的管理員帳號。由于計(jì)費(fèi)系統(tǒng)及其他內(nèi)容涉及法律問題，比較敏感，不在此敘述了。如果單純是一個(gè)民間網(wǎng)站，我也不會(huì)多說什么，這畢竟是一個(gè)省級的計(jì)費(fèi)系統(tǒng)。最后聯(lián)系了相關(guān)的管理人員，得到回復(fù)是:“謝謝你的通知，我們會(huì)修補(bǔ)好相關(guān)漏洞”,也沒有再多解釋什么。
喜歡找“肉雞”的朋友如果細(xì)心的話會(huì)發(fā)現(xiàn)這么一個(gè)現(xiàn)象：掃描不同國家的同一個(gè)數(shù)量級的主機(jī)，能找到的“肉雞“數(shù)量往往和國家對網(wǎng)絡(luò)安全的重視程度成反比，1000個(gè)主機(jī)，中國可能找到100個(gè)肉雞，可美國可能最多找到5個(gè)。這不能不給我們帶來些思考，最后引用中國工程院院士、國家863計(jì)劃專項(xiàng)研究專家組組長何德全的話結(jié)束本文:“沒有信息安全，就沒有完全意義上的國家安全，也沒有真正的政治安全、軍事安全和經(jīng)濟(jì)安全?！虼耍盐覈男畔踩珕栴}放在全球戰(zhàn)略考慮，…”