奇虎金山互咬 咬出互聯(lián)網(wǎng)泄密潛規(guī)則

每經(jīng)記者  謝曉萍  發(fā)自北京

        繼金山披露奇虎360涉嫌國內(nèi)互聯(lián)網(wǎng)重大網(wǎng)民隱私泄露事件后，360也再一次將矛頭指向金山。

        前日（1月3日），360公司公開表示，通過百度、谷歌、搜狗、必應(yīng)、搜搜等各大搜索引擎，可以搜索到大量金山從用戶電腦上傳的網(wǎng)址記錄，其中不乏用戶名和密碼。通過金山官方的pc120.com網(wǎng)站，任何人都可以公開查詢到這些網(wǎng)址，包括其中包含的用戶名和密碼。

        就在去年12月31日，金山緊急召開發(fā)布會，披露國內(nèi)互聯(lián)網(wǎng)重大網(wǎng)民隱私泄露事件：360客戶端正悄然收集其用戶的個人隱私資料，其中包括用戶訪問網(wǎng)站記錄、搜索記錄以及用戶名密碼等諸多信息，而更進一步的是，這些資料目前已經(jīng)從360官方服務(wù)器上向外界擴散。

        值得注意的是，昨日下午，金山網(wǎng)絡(luò)替換了其官網(wǎng)首頁  “360泄密”事件相關(guān)文章，奇虎360則臨時取消了相關(guān)的媒體溝通會，雙方同時“收手”引起網(wǎng)民的極大關(guān)注。有網(wǎng)友稱，或因為相關(guān)部門介入此事。

風(fēng)波緣起

        去年12月31日上午6時38分，有網(wǎng)友在百度貼吧上報料稱：看看360都收集了什么，隨機發(fā)了相關(guān)鏈接地址。

        11時，金山網(wǎng)絡(luò)稱接到用戶舉報，舉報者稱其在網(wǎng)絡(luò)上搜索到自己的用戶名和密碼等信息，懷疑電腦中毒，要求協(xié)助解決。

        金山網(wǎng)絡(luò)工程師李鐵軍在接受《每日經(jīng)濟新聞》采訪時表示，接到舉報后，金山立即幫助用戶進行解決排查，并在解決過程中通過搜索引擎谷歌發(fā)現(xiàn)在互聯(lián)網(wǎng)上存在一個巨大的用戶隱私信息包，經(jīng)過追蹤，發(fā)現(xiàn)該隱私數(shù)據(jù)包來自360官方服務(wù)器，里面包含大量網(wǎng)民上網(wǎng)行為記錄以及用戶名、密碼等信息。

        14時，金山網(wǎng)絡(luò)技術(shù)部門召開緊急會議，分析認(rèn)為此類數(shù)據(jù)并非安全軟件應(yīng)該收集的記錄。這也就意味著，360是在用戶不知情的情況下收集隱私數(shù)據(jù)。經(jīng)過工程師進一步對數(shù)據(jù)包分析，發(fā)現(xiàn)其中包括網(wǎng)民在百度搜索關(guān)鍵字、淘寶購物記錄、金蝶等企業(yè)內(nèi)部財務(wù)網(wǎng)絡(luò)數(shù)據(jù)、某政府機構(gòu)官方郵箱用戶名及密碼等鏈接數(shù)據(jù)。

        國際上知名互聯(lián)網(wǎng)安全組織OWASP中國區(qū)西南地區(qū)負(fù)責(zé)人Joey在接受  《每日經(jīng)濟新聞》采訪時表示，在看到金山發(fā)布的消息后，也曾經(jīng)到谷歌快照下載了從360服務(wù)器外泄的日志文件。“由于360第一時間就刪除了該數(shù)據(jù)，但是在谷歌的快照里還可以下載，不過要‘爬墻’。”

        Joey指出，在他所下載的總量不超過10%的日志中，感觸最深的就是，這些日志中記錄了非常詳細的用戶信息，每臺電腦，瀏覽了什么地址，打開了哪些頁面，搜索了什么關(guān)鍵詞，“甚至有一部分用戶名密碼都在里面，光我下載的部分，涉及到用戶名密碼的就達到200多個。”

泄密確有其事？

        Joey認(rèn)為，“360收錄的確實是隱私內(nèi)容。”據(jù)其透露，在利用360收集的用戶行為日志中找到了攜程某代理商的身份認(rèn)證信息，并成功進入該代理商的攜程管理后臺。從他手里掌握的已經(jīng)過濾的達幾百個密碼文件，因為時間問題并沒有挨個進行驗證，不過都是各類管理系統(tǒng)后臺、論壇、郵箱。

　　《每日經(jīng)濟新聞》從某安全廠商下載到的360服務(wù)器泄露的log文件中看到，360日志記錄十分詳盡，例如某用戶在2010年12月8日至20日的23個日志中出現(xiàn)了268次，記錄了該用戶訪問QQ空間，下載軟件，看在線電影，使用百度搜索引擎的所有瀏覽頁面行為。此外，可看到網(wǎng)購用戶姓名、郵箱、手機、送貨地址、訂單金額、快遞費，下單時間精確到秒。

        以20101216-urlreport.log為例，其記錄了上海淘寶用戶牛小姐12月16日，在淘寶網(wǎng)上購買了一款“秋冬羊毛呢百褶裙109送皮帶”，拍下該物品的時間為2010年12月16日晚10時54分，上述信息均在360的日志中記錄，其中包括牛小姐的電話、住址、網(wǎng)絡(luò)訂單號等詳細信息。

        記者隨后從牛小姐處確認(rèn)了上述信息均為真實有效信息，牛小姐也證實自己是360的用戶。

        對此，淘寶公關(guān)人士對記者表示，目前淘寶網(wǎng)絡(luò)信息安全部已獲知該信息，也已介入調(diào)查，相關(guān)細節(jié)暫無法對外公布。

360回應(yīng)引質(zhì)疑

        在針對金山質(zhì)疑其收集用戶的隱私聲明中，360表示沒有收集任何的用戶名和密碼信息，實際情況是極少數(shù)具有安全漏洞的網(wǎng)站將用戶名和密碼信息編寫在網(wǎng)址URL中，以便傳遞給其服務(wù)器進行身份認(rèn)證，而360軟件在通過惡意網(wǎng)址庫云查詢這些URL網(wǎng)址時，并不會主動去識別其中的用戶名和密碼，因此會在網(wǎng)址云安全查詢?nèi)罩局杏涗涍@些URL。對于鑒別出的正常網(wǎng)頁，其URL網(wǎng)址記錄會自動從日志文件中刪除。

        金山網(wǎng)絡(luò)CEO傅盛表示，360作為一家安全軟件企業(yè)，通過云安全收集惡意網(wǎng)址庫是理所當(dāng)然的，但像淘寶這樣的知名大網(wǎng)站，并不是惡意網(wǎng)址庫需要收集的。

        Joey也指出，360白皮書中確實承認(rèn)“如果您訪問的網(wǎng)址不在黑白名單列表中，360安全瀏覽器會發(fā)送到360的服務(wù)器”，但像淘寶這樣的大網(wǎng)站居然不在360的  “黑白名單列表”中，就不可思議了。

        針對上述質(zhì)疑，360方面表示，當(dāng)未知掛馬網(wǎng)頁觸發(fā)360網(wǎng)盾報警時，用戶可能會同時打開很多個網(wǎng)頁。目前技術(shù)上無法準(zhǔn)確判斷是哪個網(wǎng)頁觸發(fā)了報警，360網(wǎng)盾會將觸發(fā)報警時用戶同時打開的網(wǎng)址（URL）一起上報至服務(wù)器。這也是為什么可疑惡意網(wǎng)址日志文件中會包含一些知名網(wǎng)站和內(nèi)網(wǎng)網(wǎng)址的原因。

        “從技術(shù)上準(zhǔn)確判斷哪個網(wǎng)址觸發(fā)報警其實并不困難。但是，從泄露出來的日志信息來看，這些正常網(wǎng)址所占比例很高，并不像是‘將觸發(fā)報警時用戶同時打開的網(wǎng)址一起上報至服務(wù)器’的。”Joey表示。

金山自擺烏龍？

        1月3日，金山旗下網(wǎng)站pc120.com也被曝光流出大量用戶隱私，其中包括用戶名和密碼，這些用戶名和密碼已被各大搜索引擎抓取。

        360方面人士對  《每日經(jīng)濟新聞》記者表示，在金山旗下網(wǎng)站大量用戶隱私信息被泄露之前，360公司副總裁譚曉生在第一時間以郵件的方式通知了金山董事長雷軍和CEO傅盛，也收到了金山安全專家李鐵軍的郵件回復(fù)。

        金山網(wǎng)絡(luò)市場部副總裁肖潔表示，金山pc120.com是用戶主動提交網(wǎng)址進行查詢的獨立網(wǎng)站，那些包含部分個人隱私的內(nèi)容數(shù)據(jù)是網(wǎng)友自己上傳的，金山已全部刪除這些信息，并與收錄的搜索引擎積極聯(lián)系，消除影響。

        Joey表示，經(jīng)過驗證，金山提供了一個入口：http:/wangzhi.pc120.com/供用戶用來檢驗網(wǎng)址是否安全，而之前曝光的用戶隱私搜索出來的正是這個地址的處理日志，“也就是說，這個是用戶主動發(fā)起的。”

        “金山這個性質(zhì)不一樣，360是主動抓取用戶數(shù)據(jù)，金山是被動接受用戶提交。不過金山也確實犯了錯誤，就是用戶提交的這些數(shù)據(jù)它沒有處理妥當(dāng)，還是公開了。這不能不說也是個安全問題。”Joey說。

        一位不愿意透露姓名的安全廠商表示，由于地區(qū)、人群分布的瀏覽報告對于電子商務(wù)非常有價值，國內(nèi)許多有渠道的廠商都在做類似的數(shù)據(jù)分析。

        著名互聯(lián)網(wǎng)專家謝文在接受媒體采訪時表示，互聯(lián)網(wǎng)行業(yè)有個不成文的規(guī)矩，只要用戶上了網(wǎng)，他的很多信息就都是可以看到的。包括谷歌、百度等公司，都會自然生成cookie，這個很容易被讀到。“但這是產(chǎn)品提供商的問題，現(xiàn)在要明確的問題是，360是否主觀故意在產(chǎn)品設(shè)計中系統(tǒng)地收集整理用戶隱私信息，是否將這些信息進行商業(yè)盈利。”



如需轉(zhuǎn)載請與《每日經(jīng)濟新聞》報社聯(lián)系。未經(jīng)《每日經(jīng)濟新聞》報社授權(quán)，嚴(yán)禁轉(zhuǎn)載或鏡像，違者必究。

聯(lián)系電話：021-60900099轉(zhuǎn)688

每經(jīng)訂報電話

北京：010-58528501    上海：021-61283003    深圳：0755-83520159    成都：028-86516389    028-86740011    無錫：15152247316