CSDN负责人承认对安全问题重视不够

TechWeb编辑推荐：2011年年底，“改密码了吗”
成了一句网络流行的问候语。事情的缘起是，2011年12月21日，国内最大的程序员社区网站CSDN被爆出有超过600万用户的注册资料遭泄露。随后还有消息说，有多家网站的用户信息也被泄露，
于是很
多网站提醒注册用户，尽快修改注册密码，尤其是在不同网站注册的账户，不要使用相同的密码，以防被黑客破解。这场密码危机引发了IT界的大讨论：那些放在互联网虚拟世界的个人信息究竟该如何保护?在很多专家看来，此次密码泄露事件正在拷问我国的互联网安全。1月6日召开的中国计算机学会青年计算机科技论坛上，CSDN总裁蒋涛坦言，作为一个论坛性质的社区网站，过去确实忽视了网络安全问题。国家网络信息安全技术研究所所长杜跃进则指出，网站对互联网安全的重视程度并没有跟网络日新月异的发展同步。可以说，互联网安全一直没有受到应
有的重视。其短板问题还体现在法律法规方面。北京邮电大学教授李欲晓介绍说，根据现有的法律，网民很难就自己的信息被泄露进行维权。CSDN承认对安全问题重视不够论坛上，蒋涛首次披露了该网站的安全审计报告。而在过去的10多天里，蒋涛被反复追问的问题是，用户的信息是怎么被泄露出去的，哪个环节出了问题?蒋涛介绍说，去年12月21日，泄露事件被披露的当天，CSDN就请了一家网络安全技术公司对网站安全进行审计。根据安全公司提供的审计报告，此次CSDN资料泄露事件暴露出该网站的四个安全问题：第一是开源系统等第三方系统存在漏洞，导致CSDN系统存在安全风险;其次是应用程序存在跨站脚本漏洞;第三，网站存在大量系统后台认证漏洞，如安全等级较弱的口令等;第四，一些已经停用但还在线上的老系统由于安全级别低，泄露了大量信息。CSDN是一个以论坛用户为主的社区，负责人蒋涛一直
认为，这样一个程序员讨论技术问题的网站，对黑客来说没有太多的商业利益可以挖掘，
所以并没有高度重视网站的安全问题，直到此次用户资料被泄露。蒋涛说，他们有将近100台服务器，但只有3个运维人员。运维工作包括老的系统漏洞升级、数据备份、认证管理等，3个人根本做不过来，最终导致隐患爆发。在谈到未来解决密码泄露措施时，蒋涛介绍说，为了减小数据泄露的风险，提高网站系统的安全性，CSDN目前正在向安全部门申请信息系统等级保护，以接受信息安全监管部门的监督管理。此外，CSDN
还会强化网站核心服务的安全，把网站的非核心服务与核心业务进行隔离，以减小系统安全风险。同时，CSDN将采取相关措施，加大黑客获得数据的成本，降低网站数据对黑客的价值。据了解，CSDN也将在网站后台引入安全审核机制，从内部杜绝数据泄露的可能性。原文详情：《CSDN负责人承认对安全问题重视不够》