葉亞明萬(wàn)萬(wàn)沒(méi)有想到，他在攜程網(wǎng)大干快上的技術(shù)改造升級(jí)給其OpenStack團(tuán)隊(duì)造成巨大壓力。這位攜程網(wǎng)新任技術(shù)副總裁自上任始，便對(duì)整個(gè)技術(shù)構(gòu)架進(jìn)行大刀闊斧的改革。
成也蕭何，敗也蕭何。
烏云漏洞平臺(tái)上披露的一則信用卡支付“漏洞”，讓雄心勃勃的葉亞明絆了個(gè)大跟頭。這個(gè)漏洞散列是：bf9165488f5e2ea3ca02ec6b310446b0。
雖然在此前，烏云網(wǎng)已經(jīng)連續(xù)披露京東商城、支付寶、網(wǎng)易等國(guó)內(nèi)著名互聯(lián)網(wǎng)企業(yè)在用戶信息安全防護(hù)中存在高危漏洞。然而，此次對(duì)于攜程漏洞的詳細(xì)描述——“通過(guò)信用卡支付的攜程網(wǎng)用戶姓名、身份證號(hào)碼、銀行卡類(lèi)別、銀行卡卡號(hào)、銀行卡CVV碼等信息已有可能被黑客所讀取”挑起了公眾的敏感神經(jīng)。
對(duì)于信用卡的這個(gè)“驚天漏洞”此前已陸續(xù)有媒體曝光，在線OTA網(wǎng)站無(wú)卡無(wú)密碼支付也是行業(yè)通病，但卻使攜程落馬了。
攜程的技術(shù)研發(fā)部和信息安全部在業(yè)界頗具聲名，完全自建的攜程IT系統(tǒng)包括網(wǎng)站系統(tǒng)、在線交易系統(tǒng)、采購(gòu)系統(tǒng)等子業(yè)務(wù)系統(tǒng)，從復(fù)雜性上來(lái)說(shuō)，能與之媲美的唯有淘寶。
但關(guān)鍵是技術(shù)研發(fā)部與信息安全部之間存在微妙的博弈關(guān)系，攜程的漏洞表面上源于部門(mén)員工偶然的失誤，實(shí)際則是OTA（在線旅游代理）企業(yè)惡性競(jìng)爭(zhēng)的必然結(jié)果。
他們的解釋
在線旅游市場(chǎng)群雄逐鹿，占有市場(chǎng)份額最大的攜程作為先行者一度領(lǐng)跑，過(guò)著一家獨(dú)大的好日子。然而，隨著藝龍、去哪兒等競(jìng)爭(zhēng)對(duì)手的崛起，其龍頭地位早已岌岌可危。商業(yè)模式上，攜程依然仰仗著十幾年前創(chuàng)業(yè)之初確立的呼叫中心帶來(lái)業(yè)務(wù)量，而老對(duì)手藝龍?jiān)缫言诟锩�，砍掉線下發(fā)卡渠道全力發(fā)展線上銷(xiāo)售。
而攜程依然按兵不動(dòng)，直到葉亞明的出現(xiàn)。
作為OTA行業(yè)的老大，經(jīng)過(guò)十多年的發(fā)展，攜程逐步構(gòu)建出自己的護(hù)城河——強(qiáng)大的IT系統(tǒng)。而這個(gè)核心部門(mén)一直以來(lái)頗為神秘，理財(cái)周報(bào)（微信公眾號(hào)：Money-week）記者輾轉(zhuǎn)找到內(nèi)部人士也拒絕媒體采訪。理財(cái)周報(bào)記者遂多方打聽(tīng)，試圖揭開(kāi)其鮮為人知的一角。
攜程的IT系統(tǒng)復(fù)雜且龐大，完全靠?jī)?nèi)部一步一步搭建。葉亞明到任后，在攜程完成了幾次重要的技術(shù)改進(jìn)。據(jù)中國(guó)軟件開(kāi)發(fā)聯(lián)盟CSDN公開(kāi)資料顯示，攜程技術(shù)改造升級(jí)分別布局于前后端。在網(wǎng)站前臺(tái)進(jìn)行頁(yè)面改版，后臺(tái)以O(shè)pen API（開(kāi)放應(yīng)用程序編程接口）的方式開(kāi)放平臺(tái)資源，同時(shí)成立數(shù)據(jù)中心進(jìn)行大數(shù)據(jù)處理。
云技術(shù)只是葉亞明的小試牛刀，他更大的野心在對(duì)公司技術(shù)架構(gòu)的革新，目前的攜程已經(jīng)采用OpenStack這一云計(jì)算平臺(tái)來(lái)搭建。
他在布一個(gè)長(zhǎng)遠(yuǎn)的局。
在葉亞明眼中，無(wú)線端的業(yè)務(wù)增長(zhǎng)速度在未來(lái)將會(huì)遠(yuǎn)遠(yuǎn)超過(guò)呼叫中心。在新的架構(gòu)下，可以將實(shí)體機(jī)器完全虛擬化。比如增加300個(gè)人，產(chǎn)生300個(gè)虛擬機(jī)器就可以了，雖然人數(shù)增加，但管理機(jī)器的數(shù)量沒(méi)有變化，這就會(huì)提升效率。
可以想見(jiàn)，如果這一切都萬(wàn)無(wú)一失的話，這堪稱(chēng)葉亞明在攜程的偉大戰(zhàn)役。
但是，理財(cái)周報(bào)記者查閱中國(guó)軟件開(kāi)發(fā)聯(lián)盟CSDN的公開(kāi)資料時(shí)發(fā)現(xiàn)，攜程的OpenStack團(tuán)隊(duì)總共加起來(lái)不到二十人，其中核心技術(shù)人員只有六七名，相比龐大的呼叫中心和無(wú)線端業(yè)務(wù)人員可謂九牛一毛。
千里之堤，毀于蟻穴。
就是這個(gè)搭建了龐大系統(tǒng)的部門(mén)，不久前卻因技術(shù)人員操作不謹(jǐn)慎，被黑客抓住把柄。
3月22日下午，烏云漏洞平臺(tái)發(fā)布消息稱(chēng)，攜程系統(tǒng)存在技術(shù)漏洞，可導(dǎo)致用戶個(gè)人信息、銀行卡信息等泄露。當(dāng)晚11點(diǎn)，攜程技術(shù)人員對(duì)漏洞進(jìn)行確認(rèn)。23日早上7點(diǎn)，攜程官方消息稱(chēng)漏洞已經(jīng)修補(bǔ)。
據(jù)烏云網(wǎng)的說(shuō)法，攜程將用于處理用戶支付的服務(wù)接口開(kāi)啟了調(diào)試功能，使部分向銀行驗(yàn)證持卡所有者接口傳輸?shù)臄?shù)據(jù)包均直接保存在本地服務(wù)器。
而攜程公關(guān)部針對(duì)事件原因接受理財(cái)周報(bào)記者采訪時(shí)表示：“漏洞是攜程技術(shù)人員在對(duì)某個(gè)服務(wù)器進(jìn)行系統(tǒng)問(wèn)題排查時(shí)，留下臨時(shí)日志未及時(shí)刪除所致。”
關(guān)于技術(shù)排查，相關(guān)網(wǎng)站技術(shù)人員對(duì)理財(cái)周報(bào)記者進(jìn)行了詳細(xì)描述：“所有網(wǎng)站在這一點(diǎn)上都是類(lèi)似的，網(wǎng)站技術(shù)人員會(huì)定期對(duì)每個(gè)服務(wù)器進(jìn)行掃描，主要為了發(fā)現(xiàn)潛在的漏洞，并進(jìn)行修補(bǔ)。這種掃描，有些網(wǎng)站由自己完成，也有會(huì)通過(guò)第三方機(jī)構(gòu)掃描，由他們出具漏洞清單和修補(bǔ)意見(jiàn)。”
這種掃描漏洞的部門(mén)又稱(chēng)為信息安全部或者是風(fēng)險(xiǎn)控制部門(mén)，在攜程內(nèi)部有獨(dú)立的信息安全部門(mén)專(zhuān)門(mén)負(fù)責(zé)漏洞掃描和排查工作，但此次的漏洞卻為第三方平臺(tái)烏云網(wǎng)所發(fā)布。
攜程公關(guān)部對(duì)此向記者表示：“這部分信息也是處于加密狀態(tài)，即使拿到信息也要通過(guò)破解才能讀取。”這對(duì)黑客而言并非難事。
與此同時(shí)，理財(cái)周報(bào)記者致電另一家OTA企業(yè)，在其網(wǎng)站支付時(shí)與攜程一樣無(wú)卡無(wú)密即可成功。其CEO表示：“我們不是明文保存的，我們是加密保存的，攜程這個(gè)案例我們也看了，但具體情況不是很清楚。”對(duì)于當(dāng)時(shí)未付款的客戶信息，也沒(méi)有規(guī)定保存客戶敏感信息7天，具體也是由研發(fā)和審計(jì)法務(wù)的風(fēng)控部門(mén)負(fù)責(zé)。
“拇指”+“水泥”
攜程事件只是冰山一角。
無(wú)卡無(wú)密碼便可支付的信用卡支付已是普遍現(xiàn)象。不管你是在攜程網(wǎng)，還是在同程網(wǎng)、藝龍網(wǎng)、芒果網(wǎng)等OTA網(wǎng)站，使用信用卡支付時(shí)同樣只需要卡號(hào)、有效期和CVV碼，并不需要密碼和卡。
“無(wú)卡無(wú)密這種支付方式是合理存在的，是行業(yè)規(guī)定的。像酒店預(yù)訂，以及攜程和類(lèi)似的商旅網(wǎng)站通常會(huì)使用。原則上來(lái)講，商旅網(wǎng)站不應(yīng)該保存CVV等信息，這是違規(guī)的，但銀行方面不了解網(wǎng)站是不是這樣做。”建行信用卡部辦公室工作人員肖瑞娟這樣告訴理財(cái)周報(bào)記者。而招行信用卡專(zhuān)員也肯定了這一說(shuō)法，并稱(chēng)采用這種支付方式的渠道很多，目前無(wú)法提供一個(gè)完整的列表。國(guó)外交易網(wǎng)站大部分也是通過(guò)卡號(hào)、卡面有效期、背面后三位碼就可以完成了。但有些網(wǎng)站需要萬(wàn)事達(dá)或VISA驗(yàn)證服務(wù)的話，會(huì)要求輸入查詢密碼來(lái)驗(yàn)證。
但攜程的錯(cuò)誤在于違規(guī)保存客戶敏感信息如CVV碼等，這明顯違背了央行規(guī)定。
根據(jù)央行《銀行卡收單業(yè)務(wù)管理辦法》第28條規(guī)定，收單機(jī)構(gòu)不得以任何方式存儲(chǔ)銀行卡磁道信息或芯片信息、卡片驗(yàn)證碼、卡片有效期、個(gè)人標(biāo)識(shí)碼等敏感信息。并應(yīng)采取有效措施防止特約商戶和外包服務(wù)機(jī)構(gòu)存儲(chǔ)銀行卡敏感信息。
對(duì)此，攜程方面對(duì)理財(cái)周報(bào)記者表示：“我們將在交易完成后刪除客戶的CVV信息，不再保存。以前保存的那些CVV信息，正在予以刪除。曾經(jīng)存留的信用卡信息在傳輸和保存始終處于加密狀態(tài)，任何未經(jīng)授權(quán)的人員都無(wú)法取得這些資料。”
但為什么攜程要違規(guī)保存客戶信用卡的敏感信息呢？
“記錄信息處于的思考層面會(huì)比較多，方便用戶是其中之一，方便自己做一些調(diào)試等目的也是有的，但是我們也很難知道它具體還有其他什么目的�？梢钥隙〝y程不會(huì)自己盜刷用戶的卡。按理來(lái)說(shuō)，這些知名的與支付有關(guān)的網(wǎng)站是可信的，他們不會(huì)做危害用戶的行為，只是有些規(guī)定并沒(méi)有執(zhí)行好，是他們工作上的失誤。”國(guó)內(nèi)最早提出網(wǎng)站安全云監(jiān)測(cè)及云防御的北京知道創(chuàng)宇公司研究部總監(jiān)余弦這樣告訴理財(cái)周報(bào)記者。
此次攜程漏洞就是因?yàn)殚_(kāi)發(fā)人員開(kāi)啟了調(diào)試，留下了臨時(shí)日志導(dǎo)致信息有外泄的可能性。開(kāi)啟調(diào)試功能對(duì)開(kāi)發(fā)人員意味著什么？“因?yàn)槌绦蜷_(kāi)發(fā)中，如果開(kāi)啟了調(diào)試功能，則有利于程序員更精準(zhǔn)地定位整個(gè)支付環(huán)節(jié)中的一些問(wèn)題，可能會(huì)有利于他們的業(yè)務(wù)改進(jìn)。不僅是開(kāi)發(fā)新的產(chǎn)品，包括現(xiàn)有的支付環(huán)節(jié)，有可能在邏輯上有一些缺陷，比如BUG。調(diào)試有利于程序員或者開(kāi)發(fā)人員進(jìn)一步改進(jìn)他們的工作。”余弦這樣解釋道。
這就涉及到研發(fā)部門(mén)與安全部門(mén)普遍存在的一個(gè)矛盾：開(kāi)發(fā)為了滿足業(yè)務(wù)可能會(huì)疏忽了安全線。而安全部門(mén)可能會(huì)要求開(kāi)發(fā)人員執(zhí)行一些安全標(biāo)準(zhǔn)，但當(dāng)執(zhí)行這些標(biāo)準(zhǔn)的時(shí)候又可能會(huì)影響開(kāi)發(fā)進(jìn)度。“它們是兩個(gè)互相補(bǔ)充的部門(mén)，如果相互之間能配合好的話就不會(huì)出現(xiàn)攜程事件了。”余弦向理財(cái)周報(bào)記者說(shuō)道。
為此，有業(yè)內(nèi)分析人士認(rèn)為，攜程此次用戶信息泄露事件，可能是無(wú)線研發(fā)推進(jìn)過(guò)快而變相導(dǎo)致的。曾經(jīng)參觀考察過(guò)攜程的大眾點(diǎn)評(píng)網(wǎng)技術(shù)部負(fù)責(zé)人也對(duì)攜程產(chǎn)品研發(fā)更新速度表示欽佩。攜程CEO梁建章在去年回歸后的第一個(gè)重點(diǎn)就是推出“拇指+水泥”戰(zhàn)略，將更多資源偏向移動(dòng)互聯(lián)網(wǎng)，所有最新的豐富旅游產(chǎn)品都優(yōu)先在移動(dòng)領(lǐng)域嘗試。梁建章表示，無(wú)線客戶端代表的移動(dòng)互聯(lián)網(wǎng)將是攜程突圍的一個(gè)關(guān)鍵點(diǎn)。在攜程內(nèi)部，無(wú)線業(yè)務(wù)亦被因此稱(chēng)為“二次創(chuàng)業(yè)”。
但余弦認(rèn)為與市場(chǎng)競(jìng)爭(zhēng)關(guān)系并不大，“這與開(kāi)發(fā)人員的安全意識(shí)有關(guān)”，余表示。
“擦邊球”基因
既然無(wú)卡無(wú)密碼支付是行業(yè)常態(tài)，這個(gè)信用卡支付的“漏洞”早就有媒體曝光，但為什么攜程的一個(gè)“漏洞”卻引起如此大的關(guān)注和討論？
“一是跟公民的財(cái)產(chǎn)有關(guān)系，用戶很在意；二是信用卡的快捷支付很方便，跟銀行卡不同，信用卡甚至都不用密碼；三是這個(gè)事情有很多黑公關(guān)炒作的成分在里面，大肆渲染，不負(fù)責(zé)任地放大這件事。你有聽(tīng)說(shuō)這幾天有誰(shuí)被盜刷了嗎？”余弦這樣反問(wèn)記者，作為安全圈的一員，他直言黑客根本不會(huì)盜刷炒作得人盡皆知的事情。
作為在線旅游市場(chǎng)的龍頭，攜程的用戶波及面極廣。據(jù)悉，每天在攜程訂票的人數(shù)約80多萬(wàn)。
從2012年藝龍?zhí)翎厰y程引起國(guó)內(nèi)OTA價(jià)格戰(zhàn)開(kāi)始，攜程就被動(dòng)地處在各個(gè)小OTA公司的聯(lián)合圍剿中，先后投入這場(chǎng)戰(zhàn)爭(zhēng)的有藝龍、同程、去哪兒、芒果等。
惡戰(zhàn)一年多后，OTA的格局并未改變。攜程雖然折兵損將，但依然穩(wěn)居老大地位，2013年的財(cái)報(bào)也頗為亮眼，根據(jù)財(cái)報(bào)顯示：攜程2013年凈營(yíng)業(yè)收入為54億元人民幣（約合8.9億美元），相比2012年增長(zhǎng)30%。而藝龍2013年凈虧損1.68億元?jiǎng)?chuàng)下歷史新高。
除了真金白銀的價(jià)格戰(zhàn)，口水戰(zhàn)也幾乎沒(méi)有停止。攜程此次出現(xiàn)如此低級(jí)錯(cuò)誤，更是難得的反擊時(shí)機(jī)。
拋開(kāi)行業(yè)競(jìng)爭(zhēng)的大環(huán)境，攜程本身攜帶“違規(guī)打擦邊球”的基因也許早就為此次事件埋下了伏筆，看似偶然的事件也凸顯了必然性。
攜程正是從“違規(guī)”中誕生的。十年之前，從行業(yè)來(lái)說(shuō)，跨地區(qū)買(mǎi)飛機(jī)票是違反規(guī)定的，但攜程卻敢于推出一個(gè)全國(guó)性的網(wǎng)絡(luò)訂票平臺(tái)。“這個(gè)違規(guī)是商業(yè)規(guī)則不成熟的表現(xiàn)。為什么要改革，就是要改掉這些不合理，看上去合法，實(shí)際上它真的是違規(guī)的東西。所以攜程十年前做了這樣一個(gè)突破。”在攜程信用卡支付漏洞的前一天，CEO范敏曾這樣公開(kāi)說(shuō)道。
正是這樣的“甜頭”讓范敏更加大膽。
據(jù)知情人士透露，2009年以前，攜程服務(wù)器并不留存用戶CVV碼，用戶每次購(gòu)買(mǎi)機(jī)票，預(yù)訂酒店都需要輸入CVV碼；但2009年，范敏為了簡(jiǎn)化操作流程，優(yōu)化客戶體驗(yàn)，拍板決定在攜程服務(wù)器上留存CVV碼。
如今看來(lái)，正是當(dāng)時(shí)范敏的這個(gè)決定為今天的“漏洞”埋下了隱患。
而攜程對(duì)本次事件最新的處理決定是：“我們將會(huì)按照監(jiān)管部門(mén)的要求，盡快優(yōu)化完善用戶的支付流程。加強(qiáng)內(nèi)部排查所有可能存在漏洞，邀請(qǐng)國(guó)內(nèi)知名網(wǎng)絡(luò)安全專(zhuān)家對(duì)攜程系統(tǒng)進(jìn)行會(huì)診。同時(shí)，我們已經(jīng)啟動(dòng)了CFCA和PCI的認(rèn)證程序，以期更好地符合監(jiān)管要求。”
問(wèn)題是，此前攜程曾有意向接入該認(rèn)證程序，但是公司工作人員去考察之后發(fā)現(xiàn)，攜程自身系統(tǒng)要整改難度太大，業(yè)務(wù)種類(lèi)多且交叉多，如果按照該系統(tǒng)接入而整改會(huì)使架構(gòu)都會(huì)有所變化，導(dǎo)致至今未引入CFCA和PCI認(rèn)證標(biāo)準(zhǔn)。
“但是PCI也并非法律條款，只是支付卡大亨自己制定的規(guī)范，通過(guò)PCI不代表就能保存用戶的敏感信息，還要根據(jù)國(guó)內(nèi)的規(guī)定。”PCI-DSS在中國(guó)的合作伙伴北京航天億展公司的工作人員這樣告訴理財(cái)周報(bào)記者。
而接下來(lái)，攜程面臨的不僅是引入PCI-DSS標(biāo)準(zhǔn)的技術(shù)考驗(yàn)，更是如何重樹(shù)安全支付信任、重拾消費(fèi)者信心的問(wèn)題。
