订阅移动开发RSS CSDN首页> 移动开发

【CTO讲堂】密码泄露事件频发?探秘其背后的本质

发表于2015-12-22 09:30| 次阅读| 来源CSDN| 0 条评论| 作者蒲婧

摘要:密码泄露事件的本质是什么,有什么解决之道?身份验证系统的设计是怎样的,用到哪些技术?企业安全中因“人的因素”常导致哪些问题?本文为洋葱创始人吴洪声(圈内人称“奶罩”,原DNSPod创始人)在CTO讲堂的分享。

为了帮助IT从业者职业之路拥有更多收获,在诸多C粉的殷切期待下,由 CTO俱乐部打造的CTO线上讲堂自登场以来获得大家好评。本期邀请洋葱创始人吴洪声(圈内人称“奶罩”,原DNSPod创始人)带来“密码泄露事件频发?探秘其背后的本质 ”的主题分享。

欢迎加入CTO讲堂微信群与业界大咖零距离沟通,12月25日本期讲堂报名方式拖至文末查看。


分享嘉宾:洋葱创始人 吴洪声(原DNSPod创始人)

嘉宾简介:吴洪声 ,洋葱创始人,原DNSPod创始人,圈内人称“奶罩”,是中国域名行业、安全领域的知名人物,于2006年创办了DNSPod,经过8年的努力,将DNSPod打造成为了中国最大、全球第四的域名服务商,DNSPod也成为了域名解析的代名词。在腾讯以4000万的价格收购DNSPod后,吴洪声选择二次创业,打出“干掉密码”的口号,推出了“洋葱”,力图改变身份验证现状。

公司简介:赛肯(北京)科技有限公司(Secken,Inc.)创立于2014年10月,是一家专注于互联网账号安全和身份识别的云计算企业。

产品名称:“洋葱”,主要帮助网站、企业以及移动应用开发者解决密码安全问题和提高用户的身份验证体验。通过人脸、声音、指纹等生物特征取代密码,让人们可以不再依赖账号密码,快速安全地完成身份验证,并针对企业内网提供定制化服务,帮助企业实现“去密码化办公”。公司已经成功获得来自创新工场和光信资本的千万人民币的天使轮投资。现阶段,国内还暂时没有同类型的产品达到同等水平。国际上功能相近的产品有:Authy、launchkey,但是他们主要是基于个人用户的使用场景,和洋葱提供的真人身份验证服务不同。

以下是12月17日CTO讲堂现场完整速记:

主持人:讲堂正式开始,欢迎洋葱创始人(原DNSPod创始人),圈内人称“奶罩”的吴洪声,请您给大家介绍一下自己。

吴洪声:大家早啊,先简单介绍下自己,我叫吴洪声,网名奶罩,前dnspod创始人。自己一个人把dnspod捣鼓到国内第一的域名服务商,然后成立了公司开始商业化运作。公司成立一年半以后卖给了腾讯,公司成立一年半以后卖给了腾讯,去年刚好有个机会就出来了。现在在捣鼓一个新的产品,叫做洋葱。

洋葱这个产品的想法源自于之前在运营dnspod所面临的情况。在dnspod的时候,每天处理得最多的事情是用户的密码被盗问题。dnspod的安全做的很好,但是用户喜欢在不同的网站都用同一套密码。所以往往就是用户的密码在其他网站被盗了,黑客拿着密码来登陆dnspod,然后把用户的域名修改掉。所以就想着能不能有一个很不错的方式来解决用户密码被盗的问题。当时就想着做个令牌类的产品。

概括来说,洋葱主要帮助网站、企业以及移动应用开发者解决密码安全问题和提高用户的身份验证体验。通过人脸、声音、指纹等生物特征取代密码,让人们可以不再依赖账号密码,快速安全地完成身份验证,并针对企业内网提供定制化服务,帮助企业实现“去密码化办公”。公司已经成功获得来自创新工场和光信资本的千万人民币的天使轮投资。

现阶段,国内还暂时没有同类型的产品达到同等水平。国际上功能相近的产品有:Authy、launchkey,但是他们主要是基于个人用户的使用场景,和洋葱提供的真人身份验证服务不同。

主持人:欢迎您,那么在腾讯收购DNSPod后,您再次开始了创业之旅,二次创业为什么选择了这个方向呢?

吴洪声:在我做DNSPod的时候其实就推出了一个D令牌(一个二次验证器)来解决DNSPod用户的账号安全问题,后来离开腾讯后,我就开始以账号安全和身份验证作为切入点创办了洋葱,之所以选择这个方向,和我之前的一些经历有关,一方面账号安全是我比较擅长的方向,另一方面我也深知现在网络安全的严峻形势和目前在身份验证方面存在的一些问题。

主持人:请您简单介绍一下洋葱的情况以及技术团队构成。

吴洪声:洋葱要做的是身份验证,简单来说就是“认人”。关于“认人”,涉及的方面和应用场景就很广,但由于现在账号安全很严峻,各种信息泄露频发,所以很多企业、开发者和网站用洋葱的身份验证功能来解决账号安全问题。

所以洋葱也就针对企业的情况推出了“洋葱IAM—身份验证和权限管理系统”,帮助企业解决一些很常见但是危害很大的问题,例如:员工使用弱口令导致的内网入侵、权限分散导致的管理繁杂:员工离职后需要在各个系统里面删除账号权限,特别是对于IT部门来说更是这样,一个运维手里可能掌握着很多服务器的账号密码,一旦离职了就得一个个改掉,不仅麻烦还容易遗漏,留下隐患。

近年来,生物识别技术特别火,像BAT这种大公司都纷纷开始搞生物识别技术,但是一般的团队和开发者想要使用这项技术,从选型到开发调试,整个过程非常繁琐,这就让生物识别对于一般开发者的门槛偏高。所以洋葱就顺势推出了洋葱SDK,帮助更多的开发者可以使用上生物识别技术,无论是解决账号安全问题还是提升用户体验,或是在对用户身份进行强验证,生物识别技术都是首选。

主持人:近来各种公司密码泄露事件频出,有对安全技术不够重视和成熟的小创业公司,但也不乏相当多的以技术有保障来标榜实力的大互联网公司,请您分析下密码泄露事件的本质是什么?

吴洪声:密码泄露事件频发的本质在于密码本身的不安全,盗取密码的手段太多,盗取密码太简单密码已经无法承载现在的安全需求了,黑客盗取密码无非是为了获利,当他们发现只需付出很低的成本就可以盗取到密码,自然就会这么去做,

像Google、ARM、英特尔、PayPal、Lenovo、 MasterCard,这些可都是大公司,他们甚至组成了一个FIDO联盟,推行不用密码的验证方式。所以实际上,密码不安全这件事可以说已经得到公认了,所以洋葱最开始做的时候也打出了“干掉密码”的口号。

密码泄露的原因一方面是由于技术原因,而更多则是由于员工的主观原因。以弱口令问题为例,弱口令问题在小企业中普遍存在,小企业因为规章制度不规范,安全意识不足及网络管理人员缺少或能力欠缺导致密码泄露是常见的。

但弱口令问题即使是大公司都很难完全解决,首先,通过行政手段提高员工安全意识的做法基本没用,对于下层员工没有强制性命令,总有人会不遵守;高层更没时间去听你这个安全教育,听了也不一定会用。

有的公司会对密码验证进行一些限制,比如下发密码复杂度策略、强制改密策略(比如域控),但还是解决不了根本问题。可以限制员工密码不少于8位数,但是他依然可以用1到9当密码,限制字母和数字,他可以用自己的名字生日,或者和自己的常用密码用同一套,这些都没办法防止。即使员工使用了复杂密码,你也防不住他们多人共享密码或把密码写下来贴在显示器、墙上。

根本原因在于人的惰性和侥幸心理,但这个问题没办法解决,因为对于很多人来说,密码太复杂了记不住,经常更换更是难以做到,所以会倾向于使用简单密码。所以传统的静态密码本身安全性就不高,这个和技术高低无关。

主持人:那对于密码泄露的问题,有什么解决之道吗?

吴洪声:上面我们有说过,密码泄露事件的本质在于密码的不安全,那么解决之道就在于不使用密码或者不仅仅使用密码,使用更安全的验证方式可以很好的解决账号安全问题,例如硬件令牌、手机软件令牌、生物验证等等,比如银行就会采用U盾这种方式来保证用户的账号安全,但对于企业来说硬件令牌成本比较高,并且容易丢失,现在更受欢迎的时软件令牌。

主持人:请谈谈洋葱提供的产品和服务吧,可否从具体产品适用场景或者客户案例方面来阐述下。

吴洪声:洋葱主要面向企业和移动开发者提供服务;对于企业来说,只需要一键部署一套洋葱IAM系统,就可以在所有系统的验证环节实现生物识别,以往员工都是使用账号密码来登陆,部署洋葱IAM之后,所有系统的登陆环节都可以加一层生物识别的保护,或者用生物识别替换掉密码,直接使用人脸、声音、指纹来完成登陆,这样就不会担心密码泄露问题。并且洋葱可以帮助企业对内网权限进行统一的管理,以往员工在内网中可能有很多套账号密码,现在全部都统一使用生物特征来进行验证。

此外洋葱提供SDK供开发者使用,可以在移动应用中快速集成生物验证功能。举个移动办公软件的例子吧,现在很多企业都在用移动办公软件,有的是自己开发,有的使用第三方的如钉钉、班聊等等,Tower、Worktile、Teambiton这类的协作平台也慢慢流行起来了,越来越多的企业内部交流信息、资料上传到了云端,但是这方面的安全现在做的并不好,很多依然使用的单一的账号密码登陆。

以某个在线协作平台为例:在PC端提供动态口令的二次验证服务,输入完账号密码还需要输入动态口令:


但是在移动端却并不要求二次验证,这就意味着使用他们的移动端端输入账号密码就可以登陆。这就让动态口令形同虚设了,黑客盗取到账号密码之后,直接在移动端就完成登陆了,同样可以看到所有信息。但是在移动端使用动态口令很麻烦,需要切换到动态口令软件看验证码再切回来填写。

通过生物识别就可以很好的解决这个问题,假如这个办公软件的移动端集成洋葱的SDK,拥有生物识别功能,那么在登陆PC端的时候可以通过推送验证到移动端来保证安全,登陆移动端的时候直接要求其进行人脸、声音的验证,这样就可以在PC端和移动端全方位的保证账号的安全性。

目前美的集团正尝试在他们的的内部通讯软件美信上集成洋葱SDK来保障移动办公的安全性,现在正进入内测阶段。


同时像一些OA软件、CRM客户管理等等企业级服务的厂商,对客户账号安全性的要求都非常高,这种情况下都可以使用生物识别来解决。


主持人:洋葱产品有什么独特之处,国内外市面上是否有同类型的服务公司?技术架构是怎样的?

吴洪声:洋葱的独到之处不仅在于解决方案,无论是对于企业、开发者还是网站,洋葱都能够很好的解决他们关于账号安全和身份验证的问题。洋葱是目前国内唯一同时集合人脸、声音、指纹、位置识别、设备信任、行为判断、动态口令、一键确认等多维身份验证方式的身份验证类产品,用户可以根据自己的需求灵活选用适合的验证方式。

国内外目前有很多身份验证类产品,大部分都是基于动态口令的方式,也有开始采用生物识别进行身份验证的产品,但大多都是单一的验证方式,存在很大的局限性。


主持人:请介绍下身份验证系统的设计以及用到的技术。

吴洪声:刚才有说过企业部署洋葱的身份验证系统后的实现效果——所有员工在所有内网系统的登陆验证环节都可以使用生物识别,内网的所有系统的验证权限都在同一的平台进行管理。

洋葱是这么做的:洋葱为企业免费定制一个APP来完成验证,员工手机安装APP后在所有的登陆界面都可以通过扫码或者推送,然后在手机端进行人脸、声音或指纹识别来完成身份的验证完成登陆操作。当然,洋葱只做“验证”,也就是验证操作者是否是员工本人,至于他是谁,是哪个部门的,是部门经理还是普通员工,这些洋葱都不涉及。

所有的权限管理都在洋葱提供的管理平台上进行,APP负责验证员工的真实身份,管理平台负责对他进行权限分配,比如登陆WiFi、登陆OA等等,这个平台由企业自行管理,可以一键部署在本地,也可以直接使用提前部署在Ucloud、Azure这些云商店的镜像,这样就可以做到验证和权限管理分开,洋葱只做验证,权限由企业自行管理,保证不与企业的业务挂钩。

此外,洋葱会为根据企业的需求来提供插件和模块,以便于将更多的场景加入到管理平台汇总进行统一的管理,最终实现所有的系统甚至是服务器的统一管理和安全验证。当然,管理平台会开放API接口,以便于企业自行开发,进行相应的拓展。

主持人:结合您多年安全行业的从业经验,请谈谈企业安全中,因“人的因素”常导致哪些问题?

吴洪声:企业安全中,人们往往十分注意网络的硬件环境是否可靠、软件是否正常,却忽视了人在保证信息安全中的重要作用。

首先,企业领导对于网络安全的认识很大程度上影响着企业的网络安全状况,在网络安全这块缺乏来自法律规范的推动力和约束,很多企业领导会抱着侥幸心理,不愿意去花费安全成本,但往往最后会付出更大的代价。

安全圈子曾经流传着这样一个笑话:“不出事,领导觉得安全部门没什么用;出了安全事故,领导还是觉得安全部门没什么用。”  这是一个笑话,但也是安全从业人员遇到的窘境。

对于普通员工来说,随便浏览不安全的网站网站、随意打开陌生邮件、下载软件或其他打包内容,这些都可能造成安全问题,一旦一名员工出现问题,就会成为黑客进一步入侵企业内网的突破口。大部分的入侵事件都是通过搞定员工和管理员的账号密码,如果说把企业的安全防护比作是保险柜的话,账号密码丢失就好比是保险柜的钥匙丢了,那么再坚固也是无济于事。

主持人:保障企业安全都有哪些解决方法?您怎么看未来的企业信息安全发展?

吴洪声:企业安全涉及的方面很多,必须要全方位进行,布置合理的防护策略,比如采用安全交换机、、对重要资料进行备份、使用代理网关、设置好防火墙、合理选用安全产品、做好信息保密防范、安装非法入侵侦测系统等等。这里就不展开说明。

单就身份验证和权限管理来说,在现实中,入侵者攻击一个目标的时候,90%会把破译普通用户的口令作为第一步。

在内网中系统治理员必须要注重所有密码的治理,如口令的位数尽可能的要长;不要选取显而易见的信息做口令;不要在不同系统上使用同一口令;输入口令时应在无人的情况下进行;口令中最好要有大小写字母、字符、数字;定期改变自己的口令;定期用破解口令程序来检测shadow文件是否安全。没有规律的口令具有较好的安全性。

当然,其实这些规则其实大家都知道,但现实情况是很多人依然使用弱口令、默认密码。所以这也是洋葱要解决的问题,使用比密码更安全的方式来替代密码或者增加保护,从而解决密码泄露问题。

主持人:请您介绍一下现阶段身份验证行业现状和存在哪些问题?

吴洪声:身份认证作为信息安全防护的第一关,承担了至关重要的作用,而安全无论是对于企业还是个人来说都是强需求,并且随着今年网络安全威胁不断增加,身份验证行业也面临一些问题,需要采用更加先进的技术和方法。

主持人:您认为未来身份验证的发展方向会是怎样的?或者说可能发生哪些情况?

吴洪声:从身份验证方式的发展来看,生物识别无疑是未来主流的发展方向。身份验证的本质在于确认人的身份,有三类要素可以用来验证身份:你知道的要素,比如密码、暗号。这件事只有你知道,别人不知道;你拥有的要素,一把钥匙、一块手表。这件东西只有你有,别人没有;你的生理要素,指纹、面部特征。这些生理特征,每个人都不一样。

密码属于第一类要素,也是现在的主流方式,而银行向用户提供的U盾,动态口令硬件等属于第二类要素,手机短信、语音验证或者是手机软件令牌都是基于手机这一要素来保证安全。这是身份验证发展的第二阶段,第三个阶段一定是生物识别。事实上所有的迹象也都表明身份验证朝着这一方向发展,比如招商银行先推出刷脸ATM取款,后又开始采用人脸识别进行网上转账,而支付宝也上线“刷脸支付”,这些都属于第三类要素,用你的脸来证明“你就是你”。

在一段时期内基于口令、硬件、生物识别的身份验证方式会并存,一方面是传统密码的验证方式已经深入人心,难以一时间彻底改变人们的习惯,生物识别技术目前还处在发展阶段,实际应用的时间并不是太长,导致人们对于这项技术的接受程度还不是太高;另一方面,之前生物识别无法普及也受到硬件的限制。但如今智能手机已基本普及,大部分手机都搭载了高清的摄像头,甚至指纹识别也逐渐成为了手机的标配,所以生物识别取代其他方式成为主流也只是时间问题。

从身份验证产品的行业应用来看,身份认证信息安全产品的应用范围将从逐步扩展到各行各业,以往身份认证信息安全产品的应用主要集中在金融、安防行业,但随着移动互联网的普及,越来越多的行业如电子商务、电子政务、企事业OA/VPN系统、第三方支付、移动支付、云计算等,各行各业客户的信息系统都面临同样的信息安全问题,对网络身份认证需求日益提高,这将推动身份验证产品在各个领域的推广和应用。

主持人:请结合这些年您自己在技术之路上的积累,谈谈技术人该如何做到高效学习和提升技能?

吴洪声:创业公司绝对是锻炼技术人的最好途径。一家创业公司从小发展为大企业,中间会有无数的坑要踩,每次踩坑的过程都是技术成熟和提升的机会。我自己搞了十几年的技术,每次的提升都是在碰到困难的时候。

主持人:请结合您的切身体会谈谈创业路上您都有哪些收获和思考,对于如今越来越多想要投身创业大海的年轻人,有什么建议?

吴洪声:创业绝对不是一件容易的事情。我自己本身已经是第二次创业了,但是第二次创业比第一次还要艰难。现在创业的环境已经变了,创业的成本也越来越高。以前那种一个人或者一个小团队就可以出一个很不错的产品的日子已经一去不返。

另外现在是资本寒冬,投融资环境不好,不会再有投资人因为你一个不错的想法就狠砸一笔钱。所以对于想创业的朋友,在决定出来创业之前,先问问自己:我是否能耐得住寂寞?是否足够狠足够坚持?碰到问题,在最绝望的时候,你是否会退缩?

主持人:对想在技术路线上走得更远的人,您都有什么建议和忠告?推荐一些您觉得非常不错的资料或者书籍吧。

吴洪声:技术人员应该拓宽自己的思路和眼界,多接触一些其他行业,多出去走走,培养下自己的兴趣爱好。特别是一定要坚持运动,跑跑步,打打球,别老呆在电脑面前。长期对着电脑屏幕,人的反应会变慢,不如出去放松下。

我最近看的几本书,《万历十五年》、《涂鸦笔记》、《管理经济学》。

互动环节:在提升的时候碰到困难,您有是什么建议吗?
吴洪声:别在原地呆着,可以学点其他方面的东西,改变下自己的兴趣,回过头来再看会不一样。技术问题不一定要技术方式来解决,生活中的其他经验都可以给你借鉴的。
互动环节:请问能够离线认证么,现有系统不能连接外网。
吴洪声:生物验证不能离线,需要上云计算。
互动环节:目前 洋葱令牌 已经能支持哪些第三方平台?集成到哪些开源软件中了?
吴洪声:我们提供iOS、Android的SDK,提供web API,还有ldap、radius。大部分系统都可以整合。
问:ldap、radius 如何整合?能否提供下文档入口?
吴洪声:安装完我们的管理平台后,直接把你之前指向内部的ldap地址改为我们平台的就可以了。https://www.yangcong.com/download#/private
互动环节:你们的安全验证系统是以什么形式嵌入客户原有系统?
吴洪声:几种方式。提供SDK、提供API、提供LDAP/RADIUS等。
互动环节:在带团队的时候 发现有些同学不是很配合  会保留自己的实力 磨功夫 这种情况怎么处理?
吴洪声:开。
互动环节:现在公司技术人员都提升很慢,学习氛围不是很强,有什么好的建议不?
吴洪声:技术人员都喜欢挑战。所以你要看看,现在企业在技术上是否有需要攻克的难点。如果没有,是很难带起气氛的。
互动环节:中国人习惯必须要拿到看得见摸得着的,你们有考虑过软件硬件结合一起给客户提供服务吗?
吴洪声:手机不就是硬件吗?洋葱基于手机的硬件设备。对于企业来说,还不需要花钱单独购买硬件,员工自带手机就好了。
互动环节:你好,你们带宽需求这块都是直接走运营商那边的么?
吴洪声:我们的服务器和带宽目前都是微软在提供:)
互动环节:WIFI 认证或 VPN认证 都是内置在第三方软件里的,如何支持脸部识别或 声音识别?
吴洪声:洋葱是把验证请求push到手机上,然后在手机上验证完毕,返回结果给VPN。
互动环节:我们现在做的管理系统都是内外网隔离的,想PC端采集指纹,发送到网闸,访问外网云服务,再返回内网结果。现在有啥方案不?
吴洪声:方案要稍微改动下。只要能打通一个口就行。不过去内网化是大趋势啊。


想与业界大咖零距离沟通,欢迎加入CTO讲堂微信群,参与CTO讲堂!

【CTO讲堂第29期预告】

分享主题:探秘互联网金融产品开发的技术路线图


分享嘉宾:云信CreditCloudCTO 朱家波

嘉宾简介:朱家波,云信CreditCloud  CTO,中国地质大学数学系毕业。超过10年软件开发和产品设计经验。

在穆迪公司(moody’s)近五年中负责银行信用风险产品解决方案设计与开发,熟悉基于PD和LGD的双重信用风险分析方案,信贷系统风险定价方案等。曾任宜信系统架构师,负责基于互联网金融P2P债权的新一代程序化债权交易系统设计。擅长风险与交易系统分析与设计,云计算技术等。

公司简介:云信CreditCloud 成立于2013年4月,是领先的互联网金融技术公司。2014年获得联想旗下君联资本千万A轮投资。总部在北京,上海和苏州设有分部。云信CreditCloud集金融产品设计、资产管理服务(量化金融分析)、线上金融产品交易平台服务为一体,为企业提供专业的互联网金融整体解决方案。

核心成员来自摩根士丹利、穆迪、IBM、甲骨文、阿里巴巴、宜信等企业,均是金融产品设计、风险量化研究、系统架构等领域的一流专家。他们拥有完善的金融知识体系、丰富的互联网产品设计经验,并且在金融技术、监管法律等专业方面有深入研究。服务主要面向大型上市公司、传统的金融、类金融机构、互联网企业等。目前已服务客户包括华瑞银行、国美金融、凤凰金融、中国民生投资、东方资产、九鼎投资等企业。

分享时间地点:12月25日(本周五)10:30 , CTO讲堂群

加入方式:扫描二维码加“C粉儿小助手”好友,申请入群。

还不是CTO俱乐部成员的各公司技术负责人,欢迎立即加入俱乐部:cto.csdn.net 。

更多俱乐部动态,欢迎扫码关注微信号:

0
0
  • CSDN官方微信
  • 扫描二维码,向CSDN吐槽
  • 微信号:CSDNnews
程序员移动端订阅下载

微博关注

相关热门文章