中国信息安全之羊年说马事

侯瑞

中国互联网DNS大劫难

1月21日，国内通用顶级域的根服务器忽然出现异常，导致众多知名网站出现DNS解析故障，用户无法正常访问。虽然国内访问根服务器很快恢复，但由于DNS缓存问题，部分地区用户“断网”现象仍持续数个小时，至少有2/3的国内网站受到影响。

中央网信办成立

2月27日，中央网络安全和信息化领导小组宣告成立，并在北京召开了第一次会议。中共中央总书记、国家主席、中央军委主席习近平亲自担任组长，李克强、刘云山任副组长。这是中国网络安全和信息化国家战略迈出的重要一步，标志着这个拥有6亿网民的网络大国加速向网络强国挺进。

携程爆发“安全门”事件

3月22日，乌云漏洞平台上披露了一个题目为“携程安全支付日志可遍历下载导致大量用户银行卡信息泄露（包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin）”的漏洞。一石激起千层浪，该漏洞立即引发了关于“电商网站存储用户信用卡等敏感信息，并存在泄漏风险”等问题的热议。

XP停维

4月8日，微软正式停止对WindowsXP系统的技术支持。作为微软史上最长寿、历史占有率最高的操作系统，XP的停维让许多仍在使用这一系统的用户无法升级系统修复补丁。微软还表示，Windows XP系统的运行环境存在很大的漏洞，其发布的补丁不能有效抑制病毒的攻击。

eBay数据大泄漏

5月22日，eBay要求近1.28亿活跃用户全部重新设置密码，此前这家零售网站透露黑客能从该网站获取密码、电话号码、地址及其他个人数据。该公司表示，对这次网络攻击的调查显示，“没有证据”表明黑客攻破了该集团旗下的PayPal在线支付服务，且黑客得手的eBay数据库不包含客户任何财务信息——比如信用卡号码之类的信息。

OpenSSL心脏滴血

4月9日，OpenSSL的发出紧急安全警告，Heartbleed（意为“心脏出血”）的重大安全漏洞曝光。这项严重缺陷（CVE-2014-0160）的产生是由于未能在memcpy（）调用受害用户输入内容作为长度参数之前正确进行边界检查。攻击者可以追踪OpenSSL所分配的64KB缓存、将超出必要范围的字节信息复制到缓存当中再返回缓存内容，这样一来受害者的内存内容就会以每次64KB的速度进行泄露。

UC漏洞曝光

5月11日，UC浏览器存在用户敏感数据的漏洞被曝光。通过该漏洞，只要使用UC浏览器搜索并登录人人、新浪微博等网站，其提交的用户信息和密码都有可能被黑客截取。对此，公司相关人员表示，UC浏览器iPhone版以及8.x论坛公测版均存在以上漏洞，建议用户及时卸载或升级，以避免账户信息泄露。

免费WIFI藏危险

6月17日，央视的《每周质量报告》曝光了黑客通过公共场所免费WIFI诱导用户链接而获取手机中银行卡、支付宝等账户信息从而盗取现金的消息，引发了网民对于免费WIFI安全性的担忧。在节目中，央视联合金山毒霸安全工程师在多个场景实际测验显示，火车站、咖啡馆等公共场所的一些免费WIFI热点有可能就是钓鱼陷阱，而家里的路由器也可能被恶意攻击者轻松攻破。网民在毫不知情的情况下，就可能面临个人敏感信息遭盗取，访问钓鱼网站，甚至造成直接的经济损失。

“超级病毒”侵百万手机

8月初，一款名为“XX神器”的手机恶意程序软件几乎在一夜之间，就侵袭了全国上百万手机用户，不少用户的短信、通讯录、银行支付等信息被窃取。据受害手机用户反映，他们“中招”前均收到了一条来自通讯录好友的短信，内容为“XXX（机主姓名）看这个，ht：//********XXshenqi.apk”由于传播者是通讯录好友，大多数用户疏于设防而打开链接以致中招。

ISC 2014召开

9月24日，亚太信息安全领域最权威的年度峰会——2014中国互联网安全大会（ISC 2014）在北京召开。作为亚太信息安全领域最权威的年度峰会，此次大会齐聚国内互联网安全高官、国内外互联网安全技术专家，以及各个行业的信息安全主管与技术人员，对国家网络空间战略安全、移动安全、企业安全、云与数据安全、Web安全、软件安全、电子取证、工控安全以及APT与新兴威胁等互联网信息安全热点议题、技术进行深入研讨和交流。

中国快递1400万信息泄露

8月11日，有消息称，多家快递网站因存在漏洞遭黑客入侵，有1400万条个人信息在网络上被层层转卖。根据警方调查，这些泄露的个人信息是由黑客恶意通过快递公司网站漏洞获取。犯罪嫌疑人表示，如果某个快递公司网站存在漏洞，20秒就可以拿到这些数据。

首届国家网络安全宣传周启动

11月24日，中国首届国家网络安全宣传周正式启动。宣传周活动由中央网信办会同中央机构编制委员会办公室、教育部、科技部、工业和信息化部、公安部、中国人民银行、新闻出版广电总局等部门联合举办，以“共建网络安全，共享网络文明”为主题。这是我国第一次举办全国范围的网络安全主题宣传活动。

12306用户数据泄露

12月25日，漏洞报告平台乌云发布“高”危害等级漏洞报告称，12306的用户资料大量泄露，引发不少网友的担忧，纷纷登陆12306修改密码。而针对此次危机，12306通过微信等多个渠道发布公告表示，“已经认真审核，泄露信息全部含有用户明文密码。我网站数据库所有用户密码均为多次加密的非明文转换码，网上泄露的用户信息系经其他网站或渠道流出。”