網(wǎng)絡(luò)安全本質(zhì)中，人為因素是最值得注意的一點(diǎn)。

【資料圖】

不久前，據(jù)路透社報(bào)道，豐田的 T-Connect 服務(wù)中的約 296,019 條客戶信息可能遭到了泄露，引發(fā)了不少車主的恐慌。對(duì)此，豐田最新發(fā)公告證實(shí)了這一事件的真實(shí)性，并表示「對(duì)于給您帶來的不便和擔(dān)憂，我們深感歉意」，而泄露的來源或許與第三方外包公司有關(guān)。

源碼被發(fā)布到了 GitHub

首先值得注意的是，豐田 T-Connect 是這家汽車制造商的官方連接應(yīng)用程序，它的主要功能是可以讓豐田汽車車主將自己的智能手機(jī)與車輛的信息娛樂系統(tǒng)連接，可以共享電話、音樂、導(dǎo)航、通知、駕駛數(shù)據(jù)、發(fā)送機(jī)狀態(tài)和油耗等功能。

2022 年 9 月 15 日，豐田發(fā)現(xiàn) T-Connect 用戶站點(diǎn)的某些源代碼在 GitHub 平臺(tái)發(fā)布，這些源代碼包含了對(duì)數(shù)據(jù)服務(wù)器的訪問密鑰，而這些密鑰用于訪問存儲(chǔ)在數(shù)據(jù)服務(wù)器上的電子郵件地址和客戶管理號(hào)碼。

這使得未經(jīng)授權(quán)的第三方可以在 2017 年 12 月至 2022 年 9 月 15 日期間訪問 296,019 名的客戶的詳細(xì)信息。

不過，就在這一天，豐田緊急對(duì) GitHub 存儲(chǔ)庫的訪問設(shè)置限制，并在 9 月 17 日對(duì)數(shù)據(jù)服務(wù)器訪問密鑰進(jìn)行了更改，清除了未經(jīng)授權(quán)的第三方的所有潛在訪問。

這一次外包不是“背鍋俠”

在發(fā)現(xiàn)泄露事件的同時(shí)，豐田公司也即刻做出了排查，發(fā)現(xiàn)在 2017 年 12 月，T-Connect 網(wǎng)站開發(fā)外包公司違反處理規(guī)則，錯(cuò)誤地將部分源代碼上傳到 GitHub 上，但是直到 2022 年 9 月 15 日才發(fā)現(xiàn)。

這也意味著，用戶信息在這五年間都有外泄的風(fēng)險(xiǎn)。為此，豐田解釋，客戶姓名、信用卡數(shù)據(jù)和電話號(hào)碼等信息未受到泄露，因?yàn)樗鼈儧]有存儲(chǔ)在公開的數(shù)據(jù)庫中，不過“由于開發(fā)外包公司對(duì)源代碼的處理不當(dāng)，我們將與外包公司一起努力加強(qiáng)對(duì)客戶個(gè)人信息處理的管理，并加強(qiáng)其安全功能?！?/p>

不過，雖然數(shù)據(jù)沒有被盜用的跡象，豐田也提醒道，無法完全排除有人訪問和竊取數(shù)據(jù)的可能性。

其說道，“安全專家的調(diào)查表明，盡管我們無法根據(jù)存儲(chǔ)客戶電子郵件地址和客戶管理號(hào)碼的數(shù)據(jù)服務(wù)器的訪問歷史記錄來確認(rèn)第三方的訪問，但同時(shí)，我們不能完全否認(rèn)它（會(huì)被第三方盜用的可能性）?！?/p>

因此，對(duì)于可能泄露了電子郵件地址和客戶管理號(hào)碼的客戶，豐田公司稱，分別向注冊(cè)的電子郵件地址發(fā)送道歉信和通知。

人為因素是最大的變數(shù)

值得慶幸的是，存儲(chǔ)在服務(wù)器上的客戶管理號(hào)碼對(duì)第三方來說用處并不大，但是也會(huì)有不法分子會(huì)通過郵件等形式以豐田公司的名義發(fā)送一些釣魚網(wǎng)站。為此，豐田公司表示，提供了一個(gè)專用表單（https://www.toyota.co.jp/cmpnform/pub/co/contact-tconnect）并建立了專門的呼叫中心，以回答客戶的問題和疑慮。同時(shí)，其建議所有在 2017 年 7 月至 2022 年 9 月之間注冊(cè)的 T-Connect 用戶保持警惕，并避免打開來自聲稱是豐田的未知發(fā)件人的電子郵件及附件。

與此同時(shí)，據(jù)《每日經(jīng)濟(jì)新聞》報(bào)道，豐田中國相關(guān)負(fù)責(zé)人回應(yīng)道，這個(gè)情況是在日本發(fā)生的，不涉及中國用戶，主要是使用 T-connect 服務(wù)的客戶的郵箱地址和內(nèi)部管理的號(hào)碼有被竊取的可能，別的信息都不受影響。

至此，雖然“暴露”在外長達(dá)五年的漏洞僥幸沒有造成太大的影響，但這類屢見不鮮的事件也時(shí)刻警醒著處于信息化時(shí)代下的各家公司。

據(jù)外媒 BleepingComputer 報(bào)道，在今年 9 月，賽門鐵克的安全分析師曾公布，近 2000 個(gè) iOS 和 Android 應(yīng)用程序在其代碼中包含硬編碼的 AWS 憑證。造成這種情況的，往往是開發(fā)者的疏忽大意，他會(huì)經(jīng)常在代碼中存儲(chǔ)憑證，以便在測(cè)試多個(gè)應(yīng)用迭代中快速且輕松地獲取資產(chǎn)、訪問服務(wù)和更新配置。

按理來說，當(dāng)軟件準(zhǔn)備好進(jìn)行實(shí)際部署時(shí)，這些憑證應(yīng)該被刪除的，但是很多開發(fā)者總是會(huì)忽略，從而造成數(shù)據(jù)泄露。

另一邊，為了減少漏洞的出現(xiàn)，全球最大的代碼托管平臺(tái) GitHub 也在近年間致力于改進(jìn)這一方面。去年 6 月，GitHub 宣布其將自動(dòng)掃描公開 PyPI 和 RubyGems 機(jī)密的存儲(chǔ)庫，如憑據(jù)和 API 令牌。簡單來看，當(dāng) GitHub 發(fā)現(xiàn)密碼、API 令牌、私有 SSH 密鑰或公共存儲(chǔ)庫中公開的其他受支持的機(jī)密時(shí)，它會(huì)通知注冊(cè)表維護(hù)者。在今年，GitHub 還推出了一項(xiàng)由機(jī)器學(xué)習(xí)驅(qū)動(dòng)的新代碼掃描分析功能，該代碼掃描功能可以針對(duì)站點(diǎn)腳本 (XSS)、路徑注入、NoSQL 注入和 SQL 注入四種常見漏洞模式顯示警報(bào)。

不過，歸根究底，開發(fā)者在自身開發(fā)的時(shí)候需要具備足夠強(qiáng)的技術(shù)能力同時(shí)，也需要有強(qiáng)烈的網(wǎng)絡(luò)、系統(tǒng)等安全意識(shí)。

參考鏈接：

https://global.toyota/jp/newsroom/corporate/38095972.html

https://www.bleepingcomputer.com/news/security/toyota-discloses-data-leak-after-access-key-exposed-on-github/

關(guān)鍵詞： 電子郵件地址 服務(wù)器的 的可能性