信息來源：4hou

日常生活中，我們?nèi)绻惺裁床欢膯栴}，很自然的會(huì)Google或百度一下，Google或百度現(xiàn)在已經(jīng)成為了搜索的另一種稱呼，今年發(fā)生了許多賬號(hào)泄露和酒店信息泄露的事件，我想你現(xiàn)在一定非常想知道你的賬號(hào)是否被泄露了，那你應(yīng)該去哪里才能搜索到這些被盜的信息呢？去Google或百度嗎？我想Google或百度目前的搜索還不可能這樣專業(yè)。所以這個(gè)時(shí)候，我們就需要使用像數(shù)據(jù)泄露索引服務(wù)公司LeakedSource和Have I Been Pwned這樣的專業(yè)搜索服務(wù)了。

LeakedSource主頁面

Have I Been Pwned主頁面

截至目前， LeakedSource的數(shù)據(jù)庫總共收集了超過30億被黑客攻擊的泄露賬戶信息。

2016年是數(shù)據(jù)泄露的爆發(fā)元年，各種泄露事件層出不窮，泄露的數(shù)據(jù)量級(jí)也越來越大，轉(zhuǎn)眼2018就快要過完了，在比較有名的這些社交網(wǎng)站和網(wǎng)絡(luò)服務(wù)公司中，你還記得有哪些公司的數(shù)據(jù)被黑客入侵過，有哪些沒有？由于人總是容易忘卻的，一些在當(dāng)時(shí)轟動(dòng)一時(shí)的信息泄露事件隨著時(shí)間的推移，不論是公司還是個(gè)人都很難跟蹤到那些泄漏的具體數(shù)據(jù)了，并且由于用戶經(jīng)常在多個(gè)網(wǎng)站和服務(wù)使用相同的登錄信息，受害者往往很難確定自己哪些賬號(hào)信息已經(jīng)泄露，需要更改哪些信息。為了解決這個(gè)問題，一些泄露賬戶信息的一站式聚合網(wǎng)站就出現(xiàn)了。像LeakedSource和Have I Been Pwned這樣的工具就可以幫助我們查詢這些被泄露的信息，讓公司能夠查找的具體的信息然后查缺補(bǔ)漏。

LeakedSource是一個(gè)黑客數(shù)據(jù)檢索引擎，它會(huì)提供一種基本的服務(wù)，不管是公司還是個(gè)人都可以在該平臺(tái)注冊(cè)和搜索黑客數(shù)據(jù)庫，LeakedSource會(huì)向用戶以電子郵件的形式通知信息泄露的消息，這些都是免費(fèi)的，但該平臺(tái)還提供了更加高級(jí)的黑客數(shù)據(jù)庫搜索功能，這個(gè)就需要收費(fèi)了，另外LeakedSource還為企業(yè)提供了付費(fèi)服務(wù)，就是當(dāng)注冊(cè)的企業(yè)的數(shù)據(jù)發(fā)生泄漏時(shí)，它可以提醒企業(yè)，讓他們提醒那些具體的受到黑客攻擊影響的用戶，這個(gè)收費(fèi)服務(wù)開始于2015年年底。LeakedSource的發(fā)言人稱，已在2016年初發(fā)布總計(jì)20-30個(gè)被黑客攻擊過的網(wǎng)站的數(shù)據(jù)，大約1.05億條。

LeakedSource的發(fā)言人表示：

我們最初開始這個(gè)項(xiàng)目的時(shí)候，是因?yàn)楹芏喙臼遣桓嬖V用戶他們的信息被黑客攻擊了，另一方面95％被黑客攻擊過的公司都沒有注意到他們被人攻擊了，因?yàn)楣静粫?huì)時(shí)時(shí)刻刻都盯著數(shù)據(jù)庫的后臺(tái)。有了這個(gè)專門揭露黑客數(shù)據(jù)的搜索平臺(tái)后，一旦某個(gè)平臺(tái)被攻擊后，不論是個(gè)人還是團(tuán)體，都可以在這里迅速的跟蹤他們帳戶中的哪些帳戶被盜，公司的哪些數(shù)據(jù)已失竊。至少，可以幫助他們跟蹤到哪些密碼容易被攻破，提示他們進(jìn)行密碼更改。LeakedSource也允許人們看到具體的關(guān)聯(lián)數(shù)據(jù)，如他們失竊的電話號(hào)碼是否和他們的名字進(jìn)行了關(guān)聯(lián)。這么多的信息反饋，甚至連用戶當(dāng)時(shí)注冊(cè)的時(shí)候都未必注意過。

LeakedSource的發(fā)言人接著說：

我們的平臺(tái)維護(hù)人員來自世界各地，其中很多都是兼職，有的還在學(xué)校上學(xué)，但他們都在運(yùn)營平臺(tái)，管理數(shù)據(jù)庫和分析數(shù)據(jù)，現(xiàn)在還沒有人知道LeakedSource的服務(wù)器位于哪？因?yàn)檫@樣就可以防止黑客攻擊我們。

除了LeakedSource之外，還有“Have I Been Pwned”，“Have I Been Pwned”搜索網(wǎng)站成立已經(jīng)5年了，2016年安全研究人員Troy Hunt想為全世界的安全人員帶來點(diǎn)福利，于是決定把網(wǎng)站的絕大部分?jǐn)?shù)據(jù)共享出來。

Hunt表示分享這些數(shù)據(jù)是為了研究人員做分析，不想給任何人帶來風(fēng)險(xiǎn)。由于擔(dān)心有人受到傷害，Hunt去掉了數(shù)據(jù)集中的三項(xiàng)敏感信息：

1.所有的個(gè)人身份信息；

2.所有賬戶的域名；

3.所有敏感的數(shù)據(jù)泄露信息。

Hunt表示：

現(xiàn)在，我正在構(gòu)建一個(gè)平臺(tái)，以快速整合未來數(shù)據(jù)泄露的信息，并讓可能受影響的用戶可以快速搜索這些信息，幫助用戶來應(yīng)對(duì)未來的數(shù)據(jù)泄露事故。我們這么做就是要強(qiáng)迫那些信息泄露的公司要對(duì)他們的用戶負(fù)責(zé)，而不是通過媒體泛泛的表示公司的數(shù)據(jù)泄露了等不負(fù)責(zé)任的做法。

LeakedSource和Have I Been Pwned網(wǎng)站都聚合了多起安全泄露事故中泄露的賬號(hào)信息，而不只是只針對(duì)于特定的事件。比如LeakedSource就有交友網(wǎng)絡(luò)（Friend Finder Network）網(wǎng)站20年來的信息。LeakedSource和Have I Been Pwned網(wǎng)站的功能基本類似，就是讓潛在的受害者可以查詢電子郵件地址（沒有存儲(chǔ)密碼信息），然后該網(wǎng)站會(huì)確定這個(gè)地址是否在泄露賬號(hào)信息數(shù)據(jù)庫中。

不過對(duì)于LeakedSource和Have I Been Pwned這樣的網(wǎng)站，還有企業(yè)有反對(duì)的聲音，2016年8月，LeakedSource就報(bào)道過黑客利用vBulletin論壇中存在的多個(gè)SQL漏洞，對(duì)其發(fā)動(dòng)了攻擊，并泄露了來自10多個(gè)網(wǎng)站中約2700萬用戶的個(gè)人信息。事后Mail.ru公司的發(fā)言人這樣說道：

在事件原因尚未水落石出之時(shí)，我們已經(jīng)發(fā)現(xiàn)有大量的媒體在報(bào)道此事，使我們公司陷入到了輿論大眾口誅筆伐的漩渦之中，影響極其惡劣。而爆料人正是LeakedSource公司。現(xiàn)在，廣大媒體都在奉行著這樣一個(gè)潛規(guī)則，即：有些數(shù)據(jù)服務(wù)公司在公開披露一個(gè)安全漏洞之前，不是先通知相關(guān)的服務(wù)商，要求其進(jìn)行修復(fù)；而是將自己所掌握的信息迅速爆料給媒體，讓其大肆報(bào)道，毫不顧及相關(guān)公司的感受和利益。這對(duì)每一家IT公司的名譽(yù)都會(huì)造成不可估量的影響。而正是由于有類似于LeakedSource這樣的公司存在，使得這種潛規(guī)則橫行?，F(xiàn)在，全球范圍內(nèi)的很多白帽黑客也開始效仿他們的這一做法了。

所以像LeakedSource和Have I Been Pwned這樣的商業(yè)模式是否道德還有待進(jìn)一步觀察，除了道德之外，它們還受到了來自其它方面的懷疑，比如平臺(tái)如何盈利的問題，是否涉及披露機(jī)密信息，是否與執(zhí)法機(jī)構(gòu)進(jìn)行合作等。對(duì)此我們一一進(jìn)行了分析，在何盈利的問題上，LeakedSource和Have I Been Pwned的產(chǎn)品會(huì)向用戶提供個(gè)性化的關(guān)聯(lián)數(shù)據(jù)，滿足了用戶的好奇心，比如用戶可能會(huì)花費(fèi)幾美元來檢測(cè)一下他們的哪個(gè)用戶名被泄露了或哪個(gè)電子郵件被攻擊了，但是安全咨詢公司Casaba Security的首席科學(xué)家John Michener卻表示：

這樣的具體信息查詢，也可能為黑客提供了另一個(gè)查詢個(gè)人信息的渠道，幫助犯罪分子進(jìn)一步利用泄露的信息就行犯罪，另外LeakedSource這樣的公司在某種程度上是利用泄露的公共信息來盈利，然而讓安全問題更糟。

在是否涉及披露機(jī)密信息這個(gè)問題上，LeakedSource的發(fā)言人表示：

在任何情況下，我們都不會(huì)銷售用戶在其網(wǎng)站上搜索的數(shù)據(jù)。而且我們發(fā)布的數(shù)據(jù)都是已經(jīng)公開的被盜竊信息，另外，我們的做法是完全非政治性的，如果人們要了解那些泄露的機(jī)密信息還是去維基解密吧。

安全咨詢公司Casaba Security的首席科學(xué)家John Michener表示：

LeakedSource和Have I Been Pwned網(wǎng)站基本上試圖以靠買賣敏感信息來賺錢，這會(huì)進(jìn)一步加劇黑客的攻擊，另外，這些信息如何賣給執(zhí)法機(jī)構(gòu)，則情況會(huì)更糟。

但LeakedSource的發(fā)言人表示：

我們會(huì)把這些泄露的數(shù)據(jù)存儲(chǔ)在折中的數(shù)據(jù)庫中。

不過事情并不像LeakedSource的發(fā)言人說的那么光明，2016年10月LeakedSource本身也被黑客給攻擊了，一位名叫“Chris Poole”（@ codingplanets）的用戶在pastebin上發(fā)表了一份帖子并在帖子中聲稱自己成功入侵了Leakedsource.com的兩臺(tái)網(wǎng)絡(luò)服務(wù)器。他不僅在其網(wǎng)絡(luò)系統(tǒng)中發(fā)現(xiàn)了該網(wǎng)站用于記錄用戶搜索信息的日志，而且還發(fā)現(xiàn)該網(wǎng)站的支付系統(tǒng)中存在安全問題。除此之外，他還獲取到了該網(wǎng)站用于存儲(chǔ)用戶資料的數(shù)據(jù)庫內(nèi)容。

對(duì)此LeakedSource的支持者Netsparker（一個(gè)便于使用的Web應(yīng)用漏洞掃描工具，可以爬行、攻擊并識(shí)別各種Web應(yīng)用中存在的漏洞）公司的營銷經(jīng)理Robert Abela表示：

他們并沒有做什么非法的行為，他們這樣做只是想為他們的用戶提供更好的服務(wù)。

總的來說，像LeakedSource和Have I Been Pwned這樣的平臺(tái)并不是想利用泄露的數(shù)據(jù)來賺取多少利潤，而是想整合那些已經(jīng)被泄露的信息，讓個(gè)人方便的查詢自己賬戶信息的安全狀態(tài)，用Hunt 話來說就是：

現(xiàn)在，攻擊者和其他想要利用數(shù)據(jù)泄露事故的人能夠迅速獲得和分析數(shù)據(jù)，但一般用戶卻不能輕松地獲取千兆字節(jié)的壓縮賬戶信息，以確定他們的信息是否被泄露，所以現(xiàn)在，我正在構(gòu)建一個(gè)平臺(tái)，以快速整合未來數(shù)據(jù)泄露的信息，并讓可能受影響的用戶可以快速搜索這些信息，幫助用戶來應(yīng)對(duì)未來的數(shù)據(jù)泄露事故。

我相信這樣的特殊化服務(wù)在將來大家極其重視安全的年代一定很有發(fā)展前景，相信你也迫不及待的想檢查一下自己的賬戶是否安全？

據(jù)cnbeta的一則9月的報(bào)道，Mozilla正式推出了一個(gè)名為Firefox Monitor的獨(dú)立隱私數(shù)據(jù)泄露通知服務(wù)。用戶只需導(dǎo)航到Firefox Monitor并提供您的電子郵件地址即可。然后將它自動(dòng)與您的瀏覽數(shù)據(jù)與Have I Been Pwned的超過31億個(gè)已確認(rèn)的出現(xiàn)安全問題網(wǎng)絡(luò)地址的龐大數(shù)據(jù)庫進(jìn)行比較。比如，在火狐的Firefox Mnitor上查詢一個(gè)結(jié)果，它會(huì)顯示“泄露數(shù)據(jù)由 Have I Been Pwned 提供”。