用戶隱私存風(fēng)險(xiǎn)搶票軟件你敢用嗎？

1月25日，網(wǎng)友“慧祺雙全”發(fā)表微博稱：“3臺(tái)電腦10兆光纖的電腦搶了三天竟然沒有搶到票！無意中聽到新聞?wù)f搶票軟件的事，于是下載下來試一下，第四天很輕松地?fù)尩狡?！?/p>

“慧祺雙全”提到的搶票軟件，正在被政府相關(guān)部門、互聯(lián)網(wǎng)企業(yè)、開發(fā)者和用戶熱議。莫衷一是，我們?cè)撊绾螌徱晸屍避浖?/p>

搶票“神器”五花八門

用五花八門來形容搶票軟件一點(diǎn)也不為過。除了瀏覽器廠商推出春運(yùn)搶票專版之外，第三方應(yīng)用開發(fā)者也紛紛搶灘搶票軟件市場，通過應(yīng)用或者插件的形式，幫助用戶更便捷地購買車票，火車票搶票器、快刀火車票搶票軟件、搶票大師、瘋狂搶票、搶票助手、火車訂票搶線、觸寶撥號(hào)神器……記者在華軍軟件園搜索與搶票相關(guān)的應(yīng)用程序，發(fā)現(xiàn)十余款軟件，在其他網(wǎng)站上搜索則找到更多結(jié)果。

“搶票軟件大致分為三類：一是瀏覽器插件類，如金山、360、搜狗等一系列瀏覽器支持的搶票插件；二是手機(jī)客戶端類，如360安全衛(wèi)士和一些安卓應(yīng)用等；三是托管搶票軟件類，如即刻搜索提供的即刻搶票?！敝袊娮有畔a(chǎn)業(yè)發(fā)展研究院信息安全研究所所長在接受本報(bào)記者專訪時(shí)表示，三類軟件的工作原理基本相同，“都是通過頻繁刷新來獲取最新數(shù)據(jù)，然后提醒用戶，并幫助用戶快速提交訂單，其中托管搶票則直接根據(jù)用戶約定的規(guī)則訂票”。

借助春運(yùn)和搶票軟件進(jìn)行事件營銷，瀏覽器廠商和第三方開發(fā)者著實(shí)為自己賺足了眼球。搶票軟件最初就是瀏覽器廠商推廣產(chǎn)品的一個(gè)工具，用來吸引廣大用戶使用其產(chǎn)品。劉權(quán)表示：“搶票軟件最初就是瀏覽器廠商推廣產(chǎn)品的一個(gè)工具，用來吸引廣大用戶使用其產(chǎn)品。毫不疑問，這些軟件能夠?yàn)闉g覽器廠商帶來流量和用戶數(shù)的暴漲。

根據(jù)CNZZ的統(tǒng)計(jì)，從1月1日到1月23日，360安全瀏覽器的市場占有率從24.19%上升到25.45%，360極速瀏覽器占有率從2.59%上升到3.32%；傲游瀏覽器占有率從1.75%上升到2.55%。據(jù)360透露，1月8日，已經(jīng)成功幫助超過500萬人購買了火車票。

小心你的隱私

在12306.cn購票時(shí)，乘客除了提供網(wǎng)站注冊(cè)時(shí)的用戶名和密碼，還需要提供身份證號(hào)碼、電話號(hào)碼等信息。因此，搶票軟件的安全性備受關(guān)注。劉權(quán)對(duì)于搶票軟件的安全性感到擔(dān)憂：“各種搶票軟件已經(jīng)將12306.cn向用戶展現(xiàn)的頁面改的面目全非，經(jīng)用戶授權(quán)后，在12306上記錄的個(gè)人信息都可以被插件讀取，托管和終端搶票軟件則成為12306.cn的代理，用戶直接將個(gè)人信息輸入到搶票軟件中，已經(jīng)形成一種用戶直接對(duì)接搶票軟件，而搶票軟件對(duì)接12306網(wǎng)站的購票模式，而這些插件實(shí)際上并沒有向用戶做出任何保護(hù)隱私的承諾。金山、360等瀏覽器雖然在官網(wǎng)上推廣了這些插件，但實(shí)際上這些插件依然是個(gè)人開發(fā)，只是相應(yīng)瀏覽器對(duì)插件提供了全面的支持而已，因此相關(guān)瀏覽器廠商也沒有對(duì)用戶隱私保護(hù)提供保證。”

賽迪顧問軟件與信息服務(wù)業(yè)研究中心高級(jí)咨詢師戴向軍也認(rèn)為，一些搶票插件是開源的，并且JavaScript是客戶端運(yùn)行的腳本，但是對(duì)未掌握技術(shù)或沒有防范意識(shí)的個(gè)體存在較大風(fēng)險(xiǎn)?！耙坏┬畔⑿孤?，將直接針對(duì)姓名、身份證信息、聯(lián)系方式、行程、訂單等重要的個(gè)人信息?！?/p>

對(duì)此，安全廠商也有自己的解釋，“搶票軟件只是電腦本地的腳本程序，并不需要用戶將個(gè)人信息托管到第三方服務(wù)器上?！逼婊?60瀏覽器高級(jí)總監(jiān)陶偉華稱：“360瀏覽器搶票專版的功能是以機(jī)器自動(dòng)操作代替用戶手工刷新和點(diǎn)擊，整個(gè)過程不涉及用戶數(shù)據(jù)，因此能夠保證用戶隱私安全?！?/p>

除了搶票軟件自身的安全性以外，借搶票軟件的火熱，利用搶票外掛傳播的惡意軟件也比比皆是。“360監(jiān)測(cè)發(fā)現(xiàn)，利用搶票外掛傳播的惡意軟件超過5000款，通過外掛軟件做搶票、火車票等關(guān)鍵詞的SEO（搜索引擎優(yōu)化），使得用戶搜索此類關(guān)鍵詞時(shí)很容易上當(dāng)受騙?！碧諅トA向記者介紹，這些惡意軟件主要有兩類：一是假借搶票軟件名義的廣告木馬，沒有搶票功能，而且會(huì)篡改IE首頁，二是在搶票外掛中捆綁網(wǎng)購木馬，篡改用戶購票時(shí)的網(wǎng)銀付款對(duì)象，使用戶“票、款兩失”。

“如果使用木馬偽裝的搶票軟件填寫賬號(hào)密碼和購票信息，或者用網(wǎng)銀進(jìn)行支付時(shí)，都可能遭遇信息泄露風(fēng)險(xiǎn)?！碧諅トA提示用戶不要在陌生網(wǎng)站下載文件，并且要開啟專業(yè)安全軟件，預(yù)防惡意程序和木馬的攻擊。

不能算DDoS攻擊

1月15日晚，全球最大的社交編程及代碼托管網(wǎng)站GitHub疑似遭遇DDoS攻擊，訪問速度大幅放緩，該網(wǎng)站管理員查詢?nèi)罩景l(fā)現(xiàn)，來自12306.cn的搶票插件用戶的大量訪問導(dǎo)致GitHub出現(xiàn)問題，而該插件剛剛與獵豹達(dá)成合作，共同推出獵豹春運(yùn)搶票版。

搶票軟件引發(fā)DDoS攻擊？消息一出，輿論嘩然。

DDoS攻擊是近年來黑客攻擊常用的攻擊方式，它通過大量合法的請(qǐng)求占用大量網(wǎng)絡(luò)資源，以達(dá)到使網(wǎng)絡(luò)癱瘓的目的。劉權(quán)認(rèn)為：“搶票軟件不斷刷票，會(huì)大幅增加網(wǎng)站的訪問量，從形式上看與典型的DDoS攻擊類似，利用全國幾億用戶頻繁刷新一個(gè)網(wǎng)站，應(yīng)該沒有幾個(gè)網(wǎng)站能夠承受這種壓力，但是從目的上來看搶票軟件并沒有惡意，每個(gè)用戶也并非被挾持，不應(yīng)該看成攻擊行為。”

除了主觀目的之外，國家網(wǎng)絡(luò)信息安全技術(shù)研究所所長杜躍進(jìn)還認(rèn)為，在技術(shù)方面，對(duì)于“訪問頻率過快”，相關(guān)部門并沒有明確的標(biāo)準(zhǔn)，認(rèn)為使用搶票軟件是發(fā)動(dòng)DDoS攻擊的說法不妥。

“搶票軟件模擬一個(gè)普通人購票的正常行為，每五六秒查詢一次，并不會(huì)加大12306.cn的訪問壓力。”金山網(wǎng)絡(luò)公關(guān)總監(jiān)鄒華表示，“安裝搶票插件是用戶的主動(dòng)行為，只要用戶愿意，隨時(shí)都可以中止搶票插件的訪問行為?！?/p>

此前有媒體報(bào)道的12306.cn的車票查詢必須過5秒才能重試，陶偉華對(duì)此表示否認(rèn)，“12306.cn查詢狀態(tài)由網(wǎng)站服務(wù)端控制，周期并不固定。一些搶票軟件設(shè)定過快的刷新頻率，實(shí)際上是在做無用功，而且會(huì)對(duì)服務(wù)器造成不必要的壓力。”陶偉華稱，12306.cn的服務(wù)器至少有十多組，360搶票工具的“智能路由”技術(shù)，可以自動(dòng)選擇壓力最小的服務(wù)器，幫助12306.cn平衡服務(wù)器負(fù)荷。

事實(shí)上，即便網(wǎng)友不使用搶票軟件或插件，12306.cn的網(wǎng)絡(luò)負(fù)載能力與人們的期望相去甚遠(yuǎn)。“現(xiàn)在很多系統(tǒng)對(duì)安全的重視都不夠，并且將安全問題考慮得過于簡單，12306.cn必須在設(shè)計(jì)論證、開發(fā)過程、測(cè)試驗(yàn)證、保障方案等全過程統(tǒng)籌考慮安全，才能把風(fēng)險(xiǎn)降到最小?！倍跑S進(jìn)認(rèn)為，12306.cn應(yīng)該從應(yīng)急措施和長遠(yuǎn)措施兩方面進(jìn)行改進(jìn)：“應(yīng)急措施主要是尋求各方幫助，采取臨時(shí)措施，確?；痉?wù)正常。從長遠(yuǎn)看，12306.cn應(yīng)加強(qiáng)自身系統(tǒng)的技術(shù)手段升級(jí)，很多大型電子商務(wù)的系統(tǒng)經(jīng)驗(yàn)值得其借鑒，同時(shí)加強(qiáng)相關(guān)測(cè)試，確保更新后的系統(tǒng)確實(shí)能夠面對(duì)各種挑戰(zhàn)以后再上線。在安全防護(hù)上，要加強(qiáng)整體的安全保障措施，通過多環(huán)節(jié)的安全措施的配合，確保系統(tǒng)能達(dá)到預(yù)期效果?！?/p>