深度解读携程“泄密门”

“携程网数据被黑了，在携程上订过机票的信用卡已经不安全啦，快去换掉吧……"

“求技术解答，我在携程用过好几张信用卡，要不要全部换掉?"

整个周末，朋友圈不断刷新这些信息，携程网到底怎么啦?下面由老友记给大家说说这个事情的来龙去脉。

携程“泄密门"始末

3月22日，国内知名漏洞报告平台乌云网公布了“携程安全支付日历导致用户银行卡信息泄露"的相关信息。漏洞发现者指出，携程将用于处理用户支付的服务接口开启了调试功能，使所有向银行验证持卡所有者接口传输的数据包均直接保存在本地服务器。而该信息加密级别并不够高，可以被骇客轻易获取。

泄露的信息包括用户的：持卡人姓名、身份证、所持银行卡类别(比如，招商银行信用卡、中国银行信用卡)、卡号、CVV码(信用卡背后的一组数字)以及用于支付的6位密码。

非技术流直接读这里，老友记给你翻译下，乌云网说，携程把用户信用卡最关键的数据信息不但存下来了，还没放在保险柜里。已经有高手过去偷了几个数据包练手。要是都被人偷了，你们卡里的钱都完蛋。

几个小时之后，携程网发表了非常官方的回复，携程技术人员已经确认该漏洞并在两小时内及时修复，对于乌云平台发现的漏洞信息表示感谢。该漏洞受影响的用户为近期的部分交易客户，目前并没有用户受到该漏洞的影响而造成相应财产损失的情况发现。携程旅行网始终对信息安全非常重视，对于此次漏洞事件如果有新的进展将持续通报。

老友记翻译，携程网说没事，不该给别人看的数据我们已经删除了，那高手就来练练手，没真去刷大家的卡玩儿。感谢高手帮我们发现问题。

这样官方的说辞引起了更多的恐慌。“泄密门"经过传播已经被大多数人解读为，只要在携程用信用卡消费过的用户，都有可能面临这样的风险。次日，与携程有合作的几大银行卡客服电话通通被打爆，很多用户要求换卡。

招商银行信用卡的客服是这样解释的，只有在21、22号期间发生购买行为的用户才有可能有风险，其他用户没有风险。

3月23日，携程给出更为详细的解释，“携程的技术开发人员为了排查系统疑问在线上环境开启了支付调试功能，留下了临时日志，因疏忽未能及时删除，目前，这些信息已经删除。经过排查，仅漏洞发展者做了测试下载，共涉及93名存在风险的的携程用户。没有接到携程电话通知的用户，个人信息是安全的。"

老友记翻译，携程说了，我们技术人员对后台测试呢，不小心留了个数据包在外头，高手拿走的数据包里头只有93个用户资料，暂时还没有其他高手来光顾过我家后院。没收到我们电话的用户，你们都是安全的。

为此，老友记咨询的一位安全领域技术高管表示，携程网本次泄密事件的严重程度远远超过CSDN泄密事件。CSDN是数据库数据泄漏，而这次是日志数据泄漏，更严重的是，日志数据里记录跟钱相关的详细数据。

携程网主要犯的错误如下：

一、在线上环境开启了支付调试功能是不应该的，技术人员不应该在未经客户允许的情况下开启调试功能。因为开启调试功能意味着可以看到一个客户支付的所有详细信息。另外，功能调试应该在封闭环境，而不是联网的状态进行。只要在联网状态，一切数据都可能是不安全的，携程居然在联网状态调用这么重要的数据。

二、携程不应该记录用户信用卡信息。根据银联2008年发布的《银联卡收单机构账户信息安全管理标准》，根据该标准的2.1条，各收单机构系统只能存储用于交易清分、差错处理所必需的最基本的账户信息，不得存储银行卡磁道信息、卡片验证码、个人标识代码(PIN)及卡片有效期，根据标准8.1条，各类受理终端均不得存储银行卡磁道信息、卡片验证码、个人标识代码、卡片有效期等敏感账户信息。重要信息数据流从携程经过是必须的，但携程不应该把数据保留。大雁从你家门口飞过，你也不能拔人家的毛对吧?

三、负责支付功能的服务器，是非常重要的服务，应该有严格的安全配置，但是从携程的解释内容来看，显然做的不到位。虽然互联网公司的安全级别无法跟金融公司相比，但也不能这么随便不是?

便捷支付不能承受之轻

老友记不是法官，暂时不去评判携程犯的是多大的错误。现在只是做个假设，如果乌云网没有及时发现携程网的错误，如果携程网的技术再进行几次调用测试，或者数据日志被保留更久的时间，将会有多少用户会面临风险?

据公开数据显示，携程网日活跃用户已经超过2800万人次。按照2%发生交易的比例来计算，每天有560个用户发生交易，如果这样的数据日志保存一个月，将有1.68万用户的信息处不安全的状态下。

这还不包括携程网为了“说走就走"的便捷，让用户在电话里跟客服说出信用卡有效期及CVV2码等关键信息所蕴含的风险。

照着携程网这个做法，所有在携程网订过机票、酒店业务的用户数据还真有“裸奔"的风险。

许多便捷支付都存在类似的风险。

据统计，国内已经有200多家企业拿到了第三方支付的牌照，其中目前已经具有规模应用的支付宝里支付宝、财付通、百度钱包、网易宝等。还有大批互联网打算涉及这一领域。

其中移动支付因其便捷已经吸引了海量的用户，据支付宝官方说法，截至2013年11月支付宝绑定手机客户已经超过1亿人。除掉种种干扰数据，使用微信支付的人数也已经在几千万的量级。

如果“泄密门"发生在这些产品身上，那受害的用户将是海量级别。

该技术高管告诉老友记，现在便捷移动支付前端风险主要是手机中病毒被监听输入数据或者移动信号被劫持，这个风险相对而言是容易掌控的。最大最不易掌控的风险出在企业端口，是互联网级别的数据安全级别能否跟得上金融级别的数据安全的问题。

便捷支付背后的隐忧是，传统金融行业有非常完善的数据安全标准，互联网金融则以大数据时代为发展背景，其对数据安全和系统稳定性的要求达到前未所有的高度。而现实是承担安全重任的第一责任人仅是从事相关业务的企业主体，目前还未有更严格的标准和制度来做出更多的保障。

老友记希望携程“泄密门"事件能引起相关企业足够的警醒，但能不能想到和能不能做到还是两回事。