《炼石:2021密码应用技术白皮书-V1.0.0(452页).pdf》由会员分享,可在线阅读,更多相关《炼石:2021密码应用技术白皮书-V1.0.0(452页).pdf(452页珍藏版)》请在三个皮匠报告上搜索。
1、12021 密码应用技术白皮书声明北京炼石网络技术有限公司V1.0.03前言2022 年 1 月,国务院印发“十四五”数字经济发展规划(以下简称“规划”),明确了“十四五”时期推动数字经济健康发展的指导思想、基本原则、发展目标、重点任务和保障措施。规划指出,数字经济是继农业经济、工业经济之后的主要经济形态,是以数据资源为关键要素,以现代信息网络为主要载体,以信息通信技术融合应用、 全要素数字化转型为重要推动力, 促进公平与效率更加统一的新经济形态。业务伴生风险。 数据要素是数字经济深化发展的核心引擎, 数据对提高生产效率的乘数作用不断凸显,成为最具时代特征的生产要素,数据的爆发增长、海量集聚蕴
2、藏了巨大价值, 数据的开发利用为经济社会发展提供了强大动力。 安全是发展的前提,传统业务需求侧重于“希望发生什么”,而安全需求侧重于“不希望发生什么”,从而“确保发生什么”。因此,凡是有数据开发利用的场景,总会伴生着数据安全风险,都会产生数据安全需求。风险驱动密码。数字时代呼唤安全创新,密码是国之重器,是数字技术发展的安全基因, 是保障网络与数据安全的核心技术, 也是推动我国数字经济高质量发展、构建网络强国的基础支撑。从实战需求看,日趋严峻的网络与数据安全威胁使得数字经济迫切需要密码技术这个“压舱石”,以有效抵御外部黑客攻击、防止内部人员泄露。 从合规需求看, 以密码应用安全性评估为抓手落实
3、密码法 ,并结合网络安全法数据安全法个人信息保护法等法律法规,也在持4续拉动密码应用新需求。实战与合规叠加的需求成为安全产业发展的关键动力,推动新密码市场加速形成。密码融入业务。 密码作为直接作用于数据的安全技术, 只有融入数据处理流程才能有效防范业务风险。从技术路线上,传统“外挂式”密码产品采用开发改造应用的模式门槛高、周期长、风险大,用户面临“难用、难管”等挑战。“面向切面安全”等新模式提出“内嵌式”密码技术创新,将安全与业务在技术上解耦、但又在能力上融合交织,提供轻量级改造应用的实施模式,有效防护企业应用与数据,让密码“好用、好管”。本白皮书以“用密”为主线展开介绍密码技术、产品、服务、
4、集成、合规等密码相关知识, 希望为需求和供给两侧从业者提供密码应用参考手册。 作为重点部分,从业务视角归纳了 20 种密码应用模式,尝试在保密性、完整性、真实性、不可否认性等的基础上, 从数据开发利用场景提炼更直观的密码使用方案。 进一步的,对全面开展中的密评工作,梳理了典型的密评改造技术方案,为密评工作者提供参考。由于编者水平有限,时间仓促,白皮书中不妥和错漏之处在所难免,敬请各位读者批评指正和提出宝贵意见。 在此也欢迎业界专家和同仁拨冗参与本白皮书下一版本改进完善,共同为密码技术应用推广贡献力量!本白皮书编写过程中获得了腾讯云鼎实验室等众多专家和机构的指导与帮助,在此特别致谢。5目录声明.
5、1前言.31. 数字经济伴生安全风险.151.1. 数字经济定位为主要经济形态.151.2. 数据资源已成为关键生产要素.151.3. 数据处理伴生着安全威胁风险.171.3.1. 数据收集风险.171.3.2. 数据存储风险.201.3.3. 数据使用风险.241.3.4. 数据加工风险.271.3.5. 数据传输风险.281.3.6. 数据提供风险.291.3.7. 数据公开风险.322. 密码产业护航数字经济.342.1. 数字经济呼唤创新密码应用.342.1.1. 密码技术是数字安全压舱石.342.1.2. 实战合规是密码建设指南针.362.1.3. 密码创新是数字安全领头雁.382.
6、2. 密码产业进入黄金发展时代.402.2.1. 顶层战略引导数字经济安全建设.412.2.2. 国家法律加速密码应用推广普及.452.2.3. 行业地区出台密码技术应用要求.512.3. 密码技术筑牢数字安全屏障.812.3.1. 密码技术进步促进应用融合.812.3.2. 信息技术升级促进产品演进.822.3.3. 攻防演练对抗促进实战发展.832.3.4. 数据要素市场促进密码创新.832.4. 业务视角归纳密码应用模式.85(一) 身份鉴别及密钥管理.872.4.1. PKI 信任体系. 8762.4.2. IBC 信任体系.922.4.3. 预共享密钥的身份鉴别.952.4.4. 基
7、于数字签名的身份鉴别.98(二) 数据传输(通信安全).1042.4.5. 离线通信消息加密.1042.4.6. 代理重加密受控分发消息.1072.4.7. 在线通信消息加密.1102.4.8. 可感知窃听的专线通信.117(三) 数据存储(数据资产安全).1202.4.9. 应用内数据加密.1202.4.10. 数据库存储加密.1252.4.11. 文件存储加密.131(四) 数据使用(数据共享与安全兼得).1342.4.12. 基于差分隐私的数据匿名化.1342.4.13. 基于属性加密的访问控制.1372.4.14. 锚点解密的防绕过数据安全.1422.4.15. 不可信环境中的数据运算
8、.1452.4.16. 可验证结果的计算外包.1552.4.17. 封装业务逻辑的可信运算环境.1582.4.18. 基于密码的数字水印追溯.1632.4.19. 基于密码校验的防篡改.1682.4.20. 基于私钥签名的责任认定.1733. 密码技术集聚创新原力.1773.1. 基础算力类.1773.1.1. 密码卡.1773.1.2. 密码套件.1803.1.3. 智能密码钥匙.1833.1.4. 服务器密码机.1863.1.5. 签名验签服务器.1893.2. 应用场景类.1923.2.1. 数字证书认证系统.1923.2.2. CASB 数据加密平台. 1953.2.3. 金融数据密码
9、机.19973.2.4. VPN 虚拟专用网络.2003.2.5. 电子签章系统.2023.2.6. 身份鉴别系统.2043.3. 管理支撑类.2073.3.1. 密钥管理系统.2074. 密码能力融入业务流程.2144.1. 数据安全本质是对数据重建访问规则.2144.2. 安全技术从基础设施演进到业务应用.2174.3. 密码安全融合打造面向业务实战防护.2185. 密评合规重构安全防护.2235.1. 密码应用典型性问题分析.2235.1.1. 密码应用不广泛.2235.1.2. 密码应用不规范.2245.1.3. 密码应用不安全.2245.2. 密评为密码合规提供基线.2255.2.1
10、. 密评发展历程.2255.2.2. 密评开展依据.2275.2.3. 密评适用对象.2295.2.4. 密评政策法规.2335.2.5. 密评遵循标准.2405.2.6. 密评核心内容.2555.2.7. 密评等保关系.2565.2.8. 密评机构名单.2595.3. 密码应用安全性评估标准.2635.3.1. 密评测评要求.2635.3.2. 密评测评过程.2765.3.3. 密评高风险项.2855.3.4. 密评评分规则.2955.3.5. 密评测评结论.3065.4. 密评改造专业化技术方案.3075.4.1. 密改总体框架.3075.4.2. 密改技术方案.3095.4.3. 密钥管
11、理方案.33185.4.4. 安全管理方案.3405.4.5. 安全合规分析.3525.4.6. 密改方案效果.3555.4.7. 密改设备清单.3586. 附录.3616.1. 密码基本知识.3616.1.1. 密码算法.3616.1.2. 密码协议.3836.1.3. 密码认证.3876.1.4. 密钥管理.3986.1.5. 密码价值.4066.2. 密码相关标准.4126.2.1. 国家标准.4126.2.2. 行业标准.445参考文献.454作者介绍.4599图目录图目录图 1企业信息化技术演进示意图.39图 2政务信息系统密码应用与安全性评估实施过程示意图.63图 3密码产业组成示
12、意图.85图 4信任体系威胁示意图.87图 5信任体系 PKI 防护模型示意图. 88图 6用户申请证书过程示意图.90图 7用户申请证书过程示意图.91图 8信任体系 IBC 防护模型示意图.92图 9基于 IBC 的安全邮件示意图.94图 10身份认证威胁示意图.95图 11预共享密钥防护模型示意图.96图 12Windows 中基于 L2TP/IPSec 的 VPN.97图 13基于单一设备签名的身份鉴别威胁示意图.98图 14基于单一设备签名的身份鉴别防护模型示意图.99图 15银行 U 盾使用过程示意图.100图 16基于协同签名的身份鉴别威胁示意图.101图 17基于协同签名的身份
13、鉴别防护模型示意图.102图 18手机盾认证系统架构示意图.103图 19离线通信威胁示意图.104图 20离线通信防护模型示意图.105图 21PGP 邮件加密发送示意图.106图 22PGP 邮件接收解密示意图.106图 23代理重加密威胁示意图.107图 24代理重加密防护模型示意图.108图 25云上密文共享示意图.109图 26在线通信攻击模型.110图 27在线通信防护模型.111图 28HTTPS 传输加密示意图.113图 29两类常见 VPN 产品.114图 30同步链路密码机应用模式.116图 31通信传输攻击模型.11710图 32通信传输防护模型.117图 33基于 BB
14、84 协议的量子密钥分发.119图 34明文数据在各个阶段都面临被窃取的风险.121图 35使用密码技术防止应用内威胁.122图 36应用内加密(集成密码 SDK)技术原理.123图 37CASB 代理网关技术原理.123图 38应用内加密(AOE 面向切面加密)技术原理.124图 39存储的数据面临被窃取的威胁.126图 40使用密码技术保护存储的数据.126图 41数据库外挂加密技术原理.128图 42透明数据加密技术原理.129图 43数据库加密网关技术原理.130图 44透明文件加密技术原理.132图 45FDE 磁盘加密系统组成.133图 46基于隐私的数据匿名化示意图.137图 4
15、7隐私数据泄露威胁.138图 48细粒度访问控制防护模型.139图 49ABAC 机制框架示意图.141图 50ABE 机制框架示意图.142图 51数据访问控制机制被绕过.143图 52基于密码控审一体化的防绕过机制.143图 53密码控审一体化.144图 54不可信服务端对明文进行计算示意图.145图 55不可信服务端环境运算示意图.146图 56全同态加密的一般性应用框架.147图 57基于全同态的数据检索过程.149图 58传统数字水印与基于全同态加密的数字水印的区别.151图 59外包计算威胁.155图 60可验证外包计算流程.156图 61外包计算模型.157图 62应用运行环境存
16、在风险.158图 63TPM 硬件构成.159图 64TEE 系统架构.16011图 65数据违规外发.163图 66基于时间戳实现可追溯数字水印.164图 67数字水印处理系统基本框架.164图 68数字水印嵌入模型.165图 69数字水印恢复模型.166图 70电子签章系统的组织架构.168图 71数据获取过程中存在被篡改威胁.168图 72基于密码校验的防篡改.169图 73文件完整性验证过程.172图 74否认导致责任难认定.173图 75基于私钥签名责任认定防护模型.174图 76数字签名方案的基本组成.175图 77PCI-E 密码卡.177图 78智能密码钥匙应用逻辑结构图.18
17、4图 79典型的服务器密码机软/硬件架构.186图 80服务器密码机密钥体系结构.187图 81数字证书认证系统的逻辑结构图.192图 82数字证书认证系统在电子商务中的应用.193图 83数据动态脱敏.198图 84电子签章系统在电子公文领域的应用.203图 85身份鉴别系统密码应用部署图.206图 86密钥管理系统密码应用部署图.209图 87密钥管理系统的密码应用工作流程.212图 88网络/主机和数据分别是两个正交的维度.215图 89网络与数据并重的新安全建设体系.216图 90数据安全从以基础设施为抓手,演进到以应用为抓手.217图 91数据安全密码防护体系.219图 92CASB
18、 的三种交付模式部署对比.221图 93GM/T 0054 标准基本要求架构图.241图 94GB/T 39786 标准基本要求架构图.243图 95等保和密评评估对象以及关基三者之间的关系.257图 96测评实施过程.276图 97测评准备活动的工作流程.27812图 98方案编制活动的工作流程.280图 99现场测评活动的工作流程.282图 100分析和报告编制活动的工作流程.283图 101国标 GB/T39786 密码应用基本要求.308图 102国密改造整体密码应用技术框架.309图 103物理和环境改造图.314图 104网络和通信改造图.317图 105设备和计算改造图.322图
19、 106应用和安全改造图.329图 107三层密钥体系图.339图 108方案效果图.355图 109对称密码加密和解密基本流程.361图 110序列密码和分组密码的加密流程.362图 111ECB 模式的加密和解密流程.363图 112CBC 模式的加密和解密流程.365图 113CTR 模式的加密和解密流程.366图 114GCM 模式的加密流程.367图 115ZUC 算法结构.368图 116迭代加密算法的基本结构.370图 117SM4 算法结构图.370图 118M-D 结构.380图 119经典 Diffie-Hellman 密钥交换协议.384图 120单向散列函数.387图
20、121使用单向散列函数检测软件是否被篡改.388图 122消息认证码.392图 123基于 MAC 的消息完整性保护过程.407图 124基于数字签名的消息完整性保护流程.408图 125基于密码的鉴别方案的基本框架.40913表目录表目录表 1企业需遵循的密码相关法律法规.36表 22016-2020 年商用密码产业总体规模及同比增长率.41表 3定级要素与安全保护等级的关系.60表 420 种密码应用实战模式汇总.85表 5不同类型的密码机所要遵循的技术和检测规范.199表 6密钥管理系统对称密钥列表.210表 7密钥管理系统非对称密钥列表.211表 8CASB 的三种交付模式技术对比.2
21、21表 9等级测评和密评的主要参考标准和评估内容.258表 10商用密码应用安全性评估试点机构目录.260表 11物理和环境密评测评要求.265表 12网络和通信密评测评要求.265表 13设备和计算密评测评要求.266表 14应用和数据密评测评要求.267表 15信息系统等级保护 1 级到 4 级的密码要求强度.273表 16测评实施流程的各环节.277表 17密码算法、密码技术、密码产品和服务的高风险项.286表 18物理和环境安全的高风险项.288表 19网络和通信安全的高风险项.289表 20设备和计算安全的高风险项.290表 21应用和数据安全的高风险项.292表 22密码应用管理要
22、求的高风险项.294表 23测评对象评分量化规则.295表 24测评单元的权重.298表 25安全层面相应的权重.301表 26身份鉴别单元测评对象得分情况.304表 27物理和环境测评单元得分情况.304表 28各安全层面得分.305表 29物理和环境安全风险.31014表 30物理和环境应用测评指标.311表 31网络和通讯安全风险.315表 32设备和计算安全风险.319表 33设备和计算测评指标.321表 34应用和数据安全风险.324表 35应用和数据测评指标.326表 36密钥管理机制.334表 37IPsec/SSL VPN 安全网关密钥管理机制.335表 38堡垒机设备密钥管理
23、机制.335表 39业务系统密钥管理机制.336表 40工作密钥管理机制.337表 41密码应用合规对照表.352表 42密改软硬件设备建设清单.358表 43AES 基本特性.372表 446 种版本的 SHA-2.390151. 数字经济伴生安全风险1.1.1.1. 数字经济定位为主要经济形态数字经济定位为主要经济形态2022 年 1 月 12 日,国务院印发的“十四五”数字经济发展规划中明确指出:数字经济是继农业经济、工业经济之后的主要经济形态,是以数据资源为关键要素,以现代信息网络为主要载体,以信息通信技术融合应用、全要素数字化转型为重要推动力,促进公平与效率更加统一的新经济形态。1数
24、据作为一种新型生产要素较早被写入到国家顶层规划中, 体现了互联网大数据时代的新特征。 当前数字经济正在引领新经济发展, 数字经济覆盖面广且渗透力强,与各行业融合发展,并在社会治理中如城市交通、老年服务、城市安全等方面发挥重要作用。 而数据作为基础性资源和战略性资源, 是数字经济高速发展的基石,也将成为“新基建”最重要的生产资料。数据要素的高效配置,是推动数字经济发展的关键一环。加快培育数据要素市场,推进政府数据开放共享、提升社会数据资源价值、 加强数据资源整合和安全保护, 使大数据成为推动经济高质量发展的新动能, 对全面释放数字红利、 构建以数据为关键要素的数字经济具有战略意义。1.2.1.2
25、.数据资源已成为关键生产要素数据资源已成为关键生产要素在数据时代, 以大数据为代表的信息资源向生产要素形态演进, 数据已同其他要素一起融入经济价值创造过程。 与其他资源要素相比, 数据资源要素具有如16下特征:一是数据体量巨大。且历史数据量不断累积增加,通过流转和共享对社会发展产生重要价值, 基于数据创新的商业模式或应用不断演进。 二是数据类型复杂。不仅包含各种复杂的结构化数据,而且图片、指纹、声纹等非结构化数据日益增多;三是数据处理快,时效性要求高。通过算法对数据的逻辑处理速度非常快,区别于传统数据挖掘,大数据处理技术遵循“一秒定律”,可以从各种类型的数据中快速获得高价值的信息。 四是数据价
26、值密度低。 数据价值的高度与精确性、信噪比有关,在海量数据面前有价值的数据所占比例很小。在获取高价值数据的过程中, 往往需要借助数据挖掘等方法深度分析海量数据, 从中提取出对未来趋势与模式预测分析有价值的数据。基于以上四个特性分析,数据在参与经济建设、社会治理、生活服务时,具有重要意义。一是数据作为一种生产性投入方式,可以大大提高生产效率,是新时期我国经济增长的重要源泉之一。 二是推动数据发展和应用, 可以鼓励产业创新发展,推动数据与科研创新的有机结合,推进基础研究和核心技术攻关,形成数据产业体系,完善数据产业链,使得大数据更好地服务国家发展战略。三是数据安全是数据应用的基础。保护个人隐私、企
27、业商业秘密、国家秘密等。在加强安全管理的同时,又鼓励合规应用,促进创新和数字经济发展,实现公共利益最大化。从合规要求看,数据安全成为国家顶层设计,相关法律政策明确提出加强网络安全、 数据安全和个人信息保护, 数据安全产业迎来前所未有的历史发展机遇。最终用户对于主动化、自动化、智能化、服务化、实战化的安全需求进一步提升,在此需求推动下,数据安全市场未来五年将继续维持高增速发展。根据赛迪咨询数据测算,2021 年我国数据安全市场规模为 69.7 亿元,预测在 2023 年我国数据安全市场规模将达到 127 亿元。 从实战需求看, 日趋严峻的网络安全威17胁让企业面临业务风险, 数字产业化迫切需要数
28、据安全能力, 而产业数字化转型带来数据安全新需求。当前,我国数据安全产业处于起步期,相比于西方发达国家,我国尚有很大增长潜力,这既是短板也是市场机会。随着实战化和新合规的要求逐步深入,数据安全将迎来广阔的市场空间。1.3.1.3.数据处理伴生着安全威胁风险数据处理伴生着安全威胁风险数据这种新型生产要素, 是实现业务价值的主要载体, 数据处理必然要求数据在应用系统中流动,而流动的数据必然伴随风险。可以说,数据安全威胁时刻伴随业务生产。 结合到企业或机构的信息系统中, 数据安全则来自于业务处理中的风险映射。 从时间维度看, 数据在流转的全生命周期中的各个环节都会有相应的安全需求。从空间维度看,数据
29、在基础设施层、平台层以及应用层之间流转,不同层次会有不同颗粒度的防护需求。数据安全法提出“数据处理,包括数据的收集、存储、使用、加工、传输、提供、公开等”,为数据生命周期的各环节提供了明确定义,数据在各环节均面临诸多泄露威胁与安全挑战。1.3.1. 数据收集风险数据收集风险在数据收集环节,风险威胁涵盖保密性威胁、完整性威胁等,以及超范围采集用户信息等。保密性威胁指攻击者通过建立隐蔽隧道,对信息流向、流量、通信频度和长度等参数的分析,窃取敏感的、有价值的信息;完整性威胁指数据伪造、刻意篡改、数据与元数据的错位、源数据存在破坏完整性的恶意代码。(1)(1)国内国内181 1)某程集团因涉嫌违规采集
30、个人信息被诉至法院)某程集团因涉嫌违规采集个人信息被诉至法院司法机关:浙江省绍兴市柯桥区人民法院案例描述: 2021 年 7 月, 浙江省绍兴市柯桥区人民法院开庭审理了胡某诉上海某程集团侵权纠纷案件。 胡某以上海某程集团采集其个人非必要信息, 进行 “大数据杀熟”等为由诉至法院,要求某程集团 APP 为其增加不同意“服务协议”和“隐私政策” 时仍可继续使用的选项。 法院审理后认为, 某程集团的 “服务协议”和“隐私政策”以拒绝提供服务形成对用户的强制。其中,“服务协议”和“隐私政策” 要求用户特别授权某程集团及其关联公司、 业务合作伙伴共享用户的注册信息、交易、支付数据并允许某程集团及其关联公
31、司、业务合作伙伴对其信息进行数据分析等内容属于非必要信息的采集和使用, 无限加重了用户个人信息使用风险。 据此, 法院判决某程集团应为原告增加不同意其现有 “服务协议” 和 “隐私政策”仍可继续使用的选项,或者为原告修订“服务协议”和“隐私政策”,去除对用户非必要信息采集和使用的相关内容,修订版本须经法院审定同意。22 2)北京某借网络贩卖个人信息被罚)北京某借网络贩卖个人信息被罚执法机构:江苏省仪征市人民法院法律依据:中华人民共和国刑法第二百五十三条之一第一、四款,第二十五条第一款,第二十六条第一、四款,第二十七条,第六十七条第一、三款,第四十五条,第七十二条第一、三款,第七十三条第二、三款
32、,第五十二条,第五十三条第一款,第六十四条和中华人民共和国刑事诉讼法第十五条案例描述: 2016 年, 贤某成立北京某借网络科技有限公司 (简称 “某借网络” ) ,并担任法定代表人,从事贷款超市等业务。2018 年 1 月至 2019 年 7 月间,贤某19与公司技术部负责人赵某等人共同商议孵化“一键贷”项目。在明知公司没有贷款资质的情况下,贤某及相关负责人仍开发“一键贷”贷款申请页面投放网络,诱骗他人申请注册,收集个人信息,在未取得受害人同意的情况下,向下游多家不特定信息服务公司出售包含姓名、身份证号、手机号等个人信息,非法盈利共计 316.96 余万元。买方涉及多家知名公司,如某普惠、某
33、拍贷、某我贷等。最终法院判决智借网络犯侵犯公民个人信息罪, 判处罚金 320 万元。 主犯贤某犯侵犯公民个人信息罪,判处有期徒刑三年,缓刑三年,并处罚金 30 万元。34(2) 国外国外1 1)ZOOMZOOM 因涉嫌非法泄漏个人数据而被起诉因涉嫌非法泄漏个人数据而被起诉法律依据:加州消费者隐私法案例描述: 根据 2020 年 4 月在加利福尼亚州圣何塞市联邦法院提起的诉讼,用户安装或打开 Zoom 应用程序时收集信息,并在没有适当通知的情况下将其共享给包括 Facebook 在内的第三方。Zoom 的隐私权政策并未向用户说明其应用程序包含向 Facebook 和潜在的其他第三方披露信息的代码
34、。 投诉称, 该公司的 “程序设计和安全措施完全不足,并将继续导致未经授权而泄露其用户个人信息”。根据加州消费者隐私法规定,任何消费者如其在第 1798.81.5 节(d)条(1)款(A)项下所定义的未加密和未经处理的个人信息,由于企业违反义务而未实施和维护合理安全程序以及采取与信息性质相符的做法来保护个人信息, 从而遭受了未经授权的访问和泄露、盗窃或披露,则消费者可提起民事诉讼并请求。为每个消费者每次事件赔偿不少于一百美元(100 美元)且不超过七百五十美元(750 美元)的损害赔偿金或实际损害赔偿金,以数额较大者为准。201.3.2. 数据存储风险数据存储风险在数据存储环节,风险威胁来自外
35、部因素、内部因素、数据库系统安全等。外部因素包括黑客脱库、数据库后门、挖矿木马、数据库勒索、恶意篡改等,内部因素包括内部人员窃取、不同利益方对数据的超权限使用、弱口令配置、离线暴力破解、 错误配置等; 数据库系统安全包括数据库软件漏洞和应用程序逻辑漏洞,如:SQL 注入、提权、缓冲区溢出;存储设备丢失等其他情况。(1)(1)国内国内1 1)某东电商平台确认)某东电商平台确认 12G12G 用户数据泄漏用户数据泄漏案例描述:2016 年 2 月,国内媒体一本财经报道称一个超过 12G 的数据包正在黑市流通,数据包信息包括用户名、密码、真实姓名、身份证号、电话号码、QQ 号、邮箱等多类个人用户信息
36、。这个数据包已在黑市上明码交易,价格在 10万-70 万不等,黑市买卖双方表示该数据包来源为某电商平台。某东电商平台表示,黑客利用了 Struts 2 的漏洞对某电商平台数据库进行了拖库。52 2)济南)济南 2020 万孩童信息以每条一两毛被打包出售万孩童信息以每条一两毛被打包出售案例描述:2016 年,济南 20 万名孩童信息被打包出售,每条信息价格一两毛。泄漏信息包括孩子的姓名、年龄、性别、父亲姓名以及父母联系电话、家庭住址(全部精确到户)等。济南警方侦破案件,系黑客入侵免疫规划系统网络,4 名嫌犯被抓获。63 3)某论坛)某论坛 23002300 万用户信息泄露万用户信息泄露21案例描
37、述:2015 年 1 月,名为“蓝猫超人”的白帽子向“漏洞盒子”提供编号为“vulbox-2015-01928”的漏洞数据验证,直指某论坛的 2300 万用户的信息遭到泄露,包含用户名、邮箱、加密密码等。论坛称这些被指泄露的数据属于2013 年泄露的老数据,同时建议用户升级密码。“蓝猫超人”表示,虽然无法确认用户数据由该论坛直接泄露, 但验证过程表明数据属实。 某论坛掌握众多用户个人信息和敏感个人信息, 应采取相关技术保护个人信息安全, 防止用户信息泄漏。74 4)乌云漏洞报告某易用户数据库疑似泄露(亿级)乌云漏洞报告某易用户数据库疑似泄露(亿级)执法机构:北京市第一中级人民法院法律依据:网络
38、安全法第 42 条案例描述: 2015 年 10 月, 国内安全网络反馈平台 WooYun(乌云)发布消息称,某易的用户数据库疑似泄露,影响数量共计数亿条,泄露信息包括用户名、MD5密码、密码提示问题/答案(hash)、注册 IP、生日等。某易邮箱过亿数据泄漏(涉及邮箱账号/密码/用户密保等)。根据网络安全法第 42 条相关规定,网络运营者不得泄露、篡改、毁损其收集的个人信息;未经被收集者同意,不得向他人提供个人信息。但是,经过处理无法识别特定个人且不能复原的除外。网络运营者应当采取技术措施和其他必要措施, 确保其收集的个人信息安全, 防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、
39、毁损、丢失的情况时,应当立即采取补救措施, 按照规定及时告知用户并向有关主管部门报告。 某易产品收集大量用户信息和重要数据, 应该采取相关措施保护数据安全, 防止数据泄露事件发生。8225 5)某物流公司)某物流公司 1010 亿条用户信息数据被出售亿条用户信息数据被出售案例描述:2019 年,暗网一位 ID“f666666”的用户开始兜售某物流公司10 亿条快递数据,该用户表示售卖的数据为 2014 年下旬的数据,包括寄(收)件人姓名、电话、地址等信息,10 亿条数据已经过去重处理,数据重复率低于20%,数据被该用户以 1 比特币打包出售。9(2)(2)国外国外1 1)FacebookFac
40、ebook 证实证实 4.194.19 亿用户的电话信息被泄露亿用户的电话信息被泄露案例描述:2019 年 9 月 Facebook 证实,存储了超 4 亿条与 Facebook 账户关联的电话号码数据库被曝光,每条记录都包含一个用户的 Facebook ID 和连接到他们账户的电话号码。同样,2018 年 3 月“剑桥分析丑闻”首次被曝光Facebook8700 万用户数据泄露,一家名为剑桥分析的公司通过这些数据影响了美国选举。最终,美国联邦贸易委员会(FTC)宣布与 Facebook 就该事件达成一项 50 亿美元的和解协议。2 2)微软泄露)微软泄露 2.52.5 亿条客户支持记录和亿条
41、客户支持记录和 PIIPII(个人验证信息)(个人验证信息)案例描述:2020 年 1 月,微软意外地在网上曝光了 2.5 亿条客户服务和支持记录。泄漏的数据包含客户电子邮件地,IP 地址,地点,CSS 声明和案例的描述,案例编号,解决方案和备注等。微软确认此数据泄漏,并揭示此问题是由微软内部案例分析数据库的配置错误而导致。3 3)57005700 万名优步司机信息遭泄露万名优步司机信息遭泄露执法机构:美国伊利诺伊州司法部23法律依据:国家消费者保护法案例描述:据环球网科技综合 2018 年 9 月报道,美国科技公司优步 2016年泄漏约 5700 万名乘客与司机个人资料,在长达一年的时间里,
42、优步未能通知司机该平台遭受黑客袭击导致司机们个人信息被泄漏一事,而且隐瞒盗窃证据,并向黑客支付赎金以确保数据不会被滥用。美国 50 州及华盛顿特区官员向该公司提起集体诉讼,之后优步与各州达成和解协议。2018 年 9 月优步宣布:将支付 1.48 亿美元罚金,并承诺加强数据安全管理。和解要求优步遵守维护个人信息的国家消费者保护法, 并在发生信息泄漏情况下立即通知相关部门, 保护第三方平台用户数据, 并制定强有力的密码保护政策。 优步还将聘请一家外部公司对优步的数据安全进行评估,并按照其建议进一步加固数据安全。4 4)美国第二大医疗保险公司)美国第二大医疗保险公司 AthemAthem 泄露泄露
43、 80008000 万个人信息万个人信息法律依据:国家消费者保护法案例描述:人民网旧金山 2015 年 2 月 5 日报道,美国第二大医疗保险公司Anthem(安塞姆)2 月 5 日向客户发邮件称,公司数据库遭黑客入侵,包括姓名、出生日期、社会安全号、家庭地址以及受雇公司信息等 8000 名用户个人信息受到影响。这已经不是 Anthem 第一次遭遇黑客攻击。另据 Threatpost 网站 2017年 8 月 1 日报道, 2017 年 7 月, Anthem 就此次信息泄露事件达成了 1.15 亿美元的和解。5 5)雅虎曝史上最大规模信息泄露)雅虎曝史上最大规模信息泄露 5 5 亿用户资料被
44、窃亿用户资料被窃案例描述:2016 年 9 月,美国互联网公司雅虎证实,至少 5 亿用户的账户信息在 2014 年遭黑客盗取,创造了史上最大单一网站信息遭窃的纪录,泄漏信24息包括:受影响用户的姓名、邮箱地址、电话号码、出生日期、密码以及部分取回密码时的安全问题。受事件影响,雅虎股票午盘下跌 0.3%至 44.02 美元,Verizon 股价反而上升 1%至 52.39 美元。6 6)英国电信运营商)英国电信运营商 CarphoneWarehouseCarphoneWarehouse 240240 万用户个人信息泄露万用户个人信息泄露法律依据:数据保护法案案例描述:据华尔街日报杂志版 2015
45、 年 8 月报道,英国电信运营商Carphone Warehouse 表示,在近来备受外界关注的黑客入侵事件中,约有 240万在线用户的个人信息遭到黑客入侵,包含姓名、地址、出生日期和加密的信用卡数据。根据数据保护法案规定:处理过程中应确保个人数据的安全采取合理的技术手段、组织措施,避免数据未经授权即被处理或遭到非法处理,避免数据发生意外毁损或灭失(“数据的完整性与保密性”)。控制者有责任遵守以上第 1 段,并且有责任对此提供证明。(“可问责性”)违反相关规定,英国信息专员办公室有权对违反该项数据法的公司施以高达 1700 万英镑(约合人民币1.49 亿元)的罚款,或者征收该公司 4%的全球营
46、业额。1.3.3. 数据使用风险数据使用风险在数据使用环节,风险威胁来自于外部因素、内部因素、系统安全等。外部因素包括账户劫持、APT 攻击、身份伪装、认证失效、密钥丢失、漏洞攻击、木马注入等;内部因素包括内部人员、DBA 违规操作窃取、滥用、泄露数据等,如:非授权访问敏感数据、非工作时间、工作场所访问核心业务表、高危指令操作;系统安全包括不严格的权限访问、多源异构数据集成中隐私泄露等。25(1)(1)国内国内1 1)湖南某银行)湖南某银行 257257 万条公民银行个人信息被泄露万条公民银行个人信息被泄露执法机构:绵阳市公安局网络安全保卫支队法律依据:刑法、关于办理侵犯公民个人信息刑事案件适
47、用法律若干问题的解释案例描述:湖南某银行支行行长,出售自己的查询账号给中间商,再由中间商将账号卖给有银行关系的“出单渠道”团伙,再由另外一家银行的员工进入内网系统,大肆窃取个人信息,泄漏的个人信息包括征信报告、账户明细、余额等。2016 年 10 月,绵阳警方破获公安部挂牌督办的“526 侵犯公民个人信息案”,抓获包括银行管理层在内的犯罪团伙骨干分子 15 人、查获公民银行个人信息 257 万条、涉案资金 230 万元。根据最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释 中规定, 未经被收集者同意,将合法收集的公民个人信息向他人提供的,属于刑法规定的“提供公
48、民个人信息”;第四条规定,违反国家有关规定,通过购买、收受、交换等方式获取公民个人信息,或者在履行职责、提供服务过程中收集公民个人信息的,属于刑法规定的“以其他方法非法获取公民个人信息”。根据刑法的相关规定:违反国家有关规定,向他人出售或者提供公民个人信息,情节严重的,处三年以下有期徒刑或者拘役,并处或者单处罚金;情节特别严重的,处三年以上七年以下有期徒刑,并处罚金。违反国家有关规定,将在履行职责或者提供服务过程中获得的公民个人信息,出售或者提供给他人的,依照前款的规定从重处罚。10(2)(2) 国外国外261 1)伟易达被曝)伟易达被曝 480480 万家长及儿童信息泄露来源万家长及儿童信息
49、泄露来源法律依据:美国儿童网络隐私保护法 COPPA案例描述:2015 年,全球最大的婴幼儿及学前电子学习产品企业伟易达,被曝出其存在安全漏洞, 致使数百万家长和儿童的数据曝光, 包括家长注册账号使用的姓名、住址、邮件、密码等。 2018 年,美国联邦贸易委员会(FTC)宣布对伟易达(VTech)2015 年因安全漏洞导致数百万家长及孩子的数据泄露事件进行处罚,宣布处以 65 万美元的罚款。美国儿童网络隐私保护法 COPPA规定,运营者需建立并维护合理的措施以保护儿童个人信息的保密、 安全和完整性。 采取合作的措施保证仅向有能力保护儿童个人信息的保密、 安全和完整性并为其提供保障的服务提供商和
50、第三方披露儿童个人信息。作为对照,我国个人信息保护法规定,个人信息处理者处理不满十四周岁未成年人个人信息的, 应当取得未成年人的父母或者其他监护人的同意。 个人信息处理者处理不满十四周岁未成年人个人信息的, 应当制定专门的个人信息处理规则。发生或者可能发生个人信息泄露、篡改、丢失的,个人信息处理者应当立即采取补救措施,并通知履行个人信息保护职责的部门和个人。2 2)ZoomZoom 超超 5050 万个万个 ZoomZoom 账户泄露并在账户泄露并在 DarkDark WebWeb 出售出售案例描述:2020 年 4 月,Zoom 被爆出漏洞,黑客通过凭据注入攻击收集,在 Dark Web 和