就在截稿之際,臺北市資訊局傳出了一個令人意外的資安事件。有位網路警察在雅虎搜尋網頁上,看到了臺北市幾個單位的員工薪資清冊網址,打開連結一看,竟然是員工薪資資訊,甚至還有敏感的轉帳帳號和身份證號。臺北市資訊局接獲通報後,只花了10分鐘就找出了釀災系統,立刻下線清查問題,孰料,隔天媒體大幅報導,批評恐怕全臺北市政府員工資料都可能外洩了。

不過,北市資訊局清查後發現,只有最近一批產生的薪資報表檔案,約190筆報表連結上網曝光,而非所有員工的資料。但釀災的關鍵就是這個已經用了15年的薪資發放管理系統。

為了讓分散臺北市各地的出納人員方便使用,這個報表系統透過網頁連結來提供臨時性的報表檔案,但當時預設只有內部人員才會取得這些連結,就像現在不少網路分享服務,都可以提供「私密連結分享」的形式,只要拿到連結就能打開檔案的作法類似。

但為何這些應該只有政府內部少數人員才能經手的網址,卻只在雅虎搜尋網站上曝光,而在Google或其他搜尋網站都找不到。臺北市資訊局查了半天,推測可能是有些出納人員電腦的瀏覽器上,安裝了雅虎搜尋的工具列,將這些出納人員的私人網頁瀏覽記錄,上傳到搜尋引擎中,成為索引資料之一,連出納人員都沒有發現,自己看過的網址記錄都成了公開可查的資料。所以,雅虎搜尋網站才會秀出這些連結,進而讓外部人員,可以存取到這些內部的檔案。

後來,臺北市資訊局重新啟用這個老系統後,在連結打開時,多加了一道身份驗證手續,才徹底根除了問題。

為何15年前的系統會有這樣的設計盲點?極可能當時的開發者誤以為,「只有」內部人員才能取得這些網址,所以也就少了驗證程序的設計。

15年過去了,都沒有人發現這個問題。因為這是一個程式碼的邏輯漏洞,是程式允許的合法行為,所以,在臺北市資訊局例行的資安漏洞掃描,都無法發現這個問題,直到這次,雅虎的瀏覽器外掛搜尋工具,會自動蒐集瀏覽記錄,才將這些內部網址外洩出去而爆發。

15年前的老舊報表系統,經過自動化掃描工具檢測安全無虞,除非到了要翻新系統的時候,否則很少有開發人員會重新審視原始碼來檢查資安漏洞,更遑論是人力有限的政府資訊部門。

資安問題最棘手的考驗之一,就是這類深埋在系統中的未爆彈,尤其駭客技術越來越先進,攻擊手法越來越多變,總是每隔一段時間,就會爆出新的零時差漏洞,深埋在系統中的老地雷,每每都成了企業資安防護網的缺口,想防都不知要從何防起。只有加快反應速度和應變能力,預設「自己一定會遭駭」的前提,事先備妥緊急應變措施才是上上之策。

作者簡介


Advertisement

更多 iThome相關內容