天泽在线_网页版CS_CS对战平台_Cs1.6_amxx_sma插件_CS论坛

标题: 500美元的漏洞赏金廉价吗？以色列黑客为Google提交漏洞引争议 [打印本页]

作者: admin 时间: 2014-7-8 01:17
标题: 500美元的漏洞赏金廉价吗？以色列黑客为Google提交漏洞引争议
以色列“白帽”黑客奥伦•哈菲夫（Oren Hafif）发现Gmail存在严重的安全问题。

该问题可能导致所有的5亿个账号被盗用，黑客能够接入用户的邮箱账号和其他基于谷歌认证系统的所有网络服务账号。

哈菲夫发现并且记录下这个弱点，成功试验后把它报告给谷歌。谷歌按照其寻找漏洞奖励计划，给予了哈菲夫500美元的奖励。

哈菲夫是Trustwave公司（一家总部位于芝加哥的安全公司）以色列办公室的精英安全小组成员。

他向各大小型公司提供咨询服务，在他们的系统中检测安全漏洞，希望能够在其他黑客发现和利用这些漏洞之前找到它们。

哈菲夫说：“凭借着在几乎所有行业（包括金融、电信、医疗保健、交通等）超过300多次渗透试验和安全审查中积累的经验和知识，我的目标就是为客户提供更多的安全保障。”

谷歌很幸运，因为哈菲夫本周刚好在做这项工作，恰好在这时发现了这个被他称为“一个令牌控制一切”的漏洞。

Gmail并不像很多人想的一样，只是“谷歌邮箱”的缩写，它代表“全球主要身份认证和识别库” （Global Main Authentication and Identification Library）。

哈菲夫在一篇博客文章中说，“该库还被脸书、推特等站点和网上银行广泛使用。一个黑客做梦都想拥有网络用户的Gmail账号，因为这意味着从此以后，能够获得其他所有的账号。”

尽管这个漏洞没有把Gmail的密码暴露给黑客们，但会透露使用谷歌平台的认证地址。这就相当于打赢了获得访问权限整场战役的半场，因为黑客能够在程式里使用这些地址来猜测密码。

一旦确定了密码，这个认证信息就能够用于登录所有使用谷歌认证系统的服务。

这个入侵过程包括使用谷歌颁发的安全令牌来生成一系列的Gmail平台地址。令牌是一连串的文本和数字，十分宝贵，哈菲夫称之为“我的宝贵令牌”

他说，只要改变这个令牌的一个字符，他就能够得到37,000个Gmail地址。他还说，如果他想，“他能够在数周或者数天内提取出托管于谷歌的所有邮箱地址。”

应该注意的是，这项服务的许多地址并没有使用@gmail.com作为他们的域名地址。

谷歌的商业项目让企业在使用自己的域名的情况下也能够托管在谷歌的服务器上。哈菲夫说，这些也很容易受到攻击。

他说，谷歌的安全问题“现在已经是一个相当热门的话题”，这应该引起使用Gmail平台的企业的注意。“我们应该移向云端吗？我们应该使用Gmail作为我们组织的邮件管理器吗？关于企业邮件未来的争辩重点在安全性方面。泄漏的机构邮件会帮助黑客完成他们的钓鱼式攻击，最后公司面临持续的威胁。

”他说，“我宝贵的令牌能够获得这些邮件，尽管你从来没有把自己的邮箱地址告诉任何人。我可以得到所有的个人邮箱地址或者组织域名下的商务邮箱地址。

如果你的某些员工或者管理人员的邮箱地址是私密的，那么这就会引发问题。”

和“恶意”黑客做的事情不一样，作为一个“善意”黑客，哈菲夫用自己的力量做好事，侵入目的是为了帮助消除安全威胁。比如说，他向谷歌报告这个漏洞，谷歌就马上行动对其进行了修复。“谷歌安全小组修复了漏洞，并且给予我500美元的奖励。”
很多人对他的博客文章进行评论，他们认为，哈菲夫发现了这个存在多年的重大安全漏洞，谷歌却给予哈菲夫这么少的奖励，他们觉得很惊讶。一个评论者说：“我不敢相信谷歌这么廉价。

”这个评论还说谷歌应该给予哈菲夫更多的奖励，因为“如果用户的全部邮件数据库遭到泄露，那么将会造成难以估量的损害，也会严重损害谷歌的声誉。”其他人认为这个奖励“非常滑稽”而且“很丢脸”。

“谢谢大家的赞美。”哈菲夫回应说，他也希望得到更大的奖励，但是他明白为什么谷歌对此保持低调，尽管这次发现的安全漏洞比他们平时发现的还要严重。

“他们一定明白这件事情有所不同。但是，没有必要反复解释这样的事情。请永远记得要看到更大的方面。我的意思是，我一直都在观察，但是谁知道以后会发生什么事呢？”

小编注：
国内外公司对于漏洞赏金的水平不一，甚至差距比较大，这是一个值得讨论的问题。黑吧在最近阿里巴巴组织的安全会议上发表了议题《漏洞赏金计划的前世今生》，其中谈到了一个案例：

国外白帽子在黑吧旗下漏洞盒子提交了一枚国内厂商的漏洞，被国内厂商给予16美元的奖励。由于国内漏洞赏金无法与国外公司相提并论，进而引发该国外白帽子对国内厂商漏洞奖励计划的质疑。

作者: 圣骑士 时间: 2014-7-8 01:21
世界上那些最容易的事情中，拖延时间最不费力。

作者: 艾离恭彩 时间: 2014-7-8 17:54
活着，以死的姿态……

作者: 郭志远 时间: 2014-7-9 06:27
牛牛牛牛

作者: 郭先生 时间: 2014-7-9 07:22
人气还要再提高

作者: 郭磊 时间: 2014-7-9 13:19
文笔流畅，修辞得体，深得魏晋诸朝遗风，更将唐风宋骨发扬得入木三分，能在有生之年看见楼主的这个帖子。实在是我三生之幸啊。

作者: 爺彡霸道々刺心 时间: 2014-7-9 13:46
哎怎么说那~~

作者: asdasd1 时间: 2014-7-10 03:09
提示: 作者被禁止或删除内容自动屏蔽

作者: 黑贝 时间: 2014-7-10 05:23
谁都不容易啊 ~~

作者: 布莱克 时间: 2014-7-10 09:47
不错不错比我强多了

作者: 最初≯祥榕 时间: 2014-7-11 00:08
我好想升级

作者: 松哥哥 时间: 2014-7-11 01:27
彪悍的人生不需要解释。

作者: 小邹 时间: 2014-7-11 06:50
勤奋真能造就财富吗？

作者: 上将军 时间: 2014-7-11 20:02
呵呵，等着就等着....

作者: 冠行村加 时间: 2014-7-11 20:18
说的不错

作者: 神出鬼没 时间: 2014-7-12 03:35
你喜欢贴子还是发贴子的人

作者: 圣泓超 时间: 2014-7-12 06:05
这年头，分不好赚啊

作者: 内心的狂野 时间: 2014-7-12 14:41
我来了~~~~~~~~~ 闪人~~~~~~~~~~~~~~~~

作者: 小陈哥 时间: 2014-7-12 15:46
楼主的内容不管你信不信，反正我信了

作者: ①小尨の 时间: 2014-7-12 21:08
哈哈，看的人少，回一下

作者: 戈登_弗里曼 时间: 2014-7-13 09:17
支持你就顶你

作者: 苹果五袋 时间: 2014-7-14 03:49
谁都不容易啊 ~~

作者: 儒炎 时间: 2014-7-14 14:34
我好想升级

作者: -_- 时间: 2014-7-14 15:37
一个鸡蛋跑到青藏高原，结果它变成了氢弹；

作者: 熊大 时间: 2014-7-14 16:01
支持一下

作者: 贱是一种态度 时间: 2014-7-14 23:56
楼主也是培训师吗

作者: 戒烟战警 时间: 2014-7-15 13:04
都是那么过来的

作者: 飞机哥 时间: 2014-7-17 12:20
孜孜不倦，吾等楷模 …………

作者: 米奇 时间: 2014-7-17 13:31
真是佩服得六体投地啊

作者: 和平 时间: 2014-7-17 14:00
彪悍的人生不需要解释。

作者: 发抠 时间: 2014-7-17 16:00
谢谢分享

作者: 炜吾 时间: 2014-7-17 18:05
好像很厉害的样子哦

作者: ~！@ 时间: 2014-7-18 02:51
原来是这样

作者: 大神膜拜 时间: 2014-7-18 03:13
任何的限制，都是从自己的内心开始的。

作者: 黑色的可怜 时间: 2014-7-18 14:22
顶．支持，路过．．．．．

作者: /天晴 时间: 2014-7-18 20:29
我又回复了

作者: 不是 时间: 2014-7-19 03:04
努力,努力,再努力!!!!!!!!!!!

作者: 阿斯顿撒 时间: 2014-7-19 18:06
你加油吧

作者: 大爱天泽 时间: 2014-7-19 23:00
今天没事来逛逛，看了一下，感觉相当的不错。

作者: 月落 时间: 2014-7-19 23:34
说嘛1~~~想说什么就说什么嘛~~

作者: 你好嗎下 时间: 2014-7-20 11:50
一个子没看懂

作者: 小孩 时间: 2014-7-20 14:27
看或者不看，贴子就在这里，不急不忙

作者: liaohon520 时间: 2014-7-20 23:42
提示: 作者被禁止或删除内容自动屏蔽

作者: 龙破之 时间: 2014-7-22 14:22
楼主，支持！

欢迎光临天泽在线_网页版CS_CS对战平台_Cs1.6_amxx_sma插件_CS论坛 (https://bbs.tianzept.com/)