葉亞明萬(wàn)萬(wàn)沒(méi)有想到，他在攜程網(wǎng)大干快上的技術(shù)改造升級給其OpenStack團隊造成巨大壓力。這位攜程網(wǎng)新任技術(shù)副總裁自上任始，便對整個(gè)技術(shù)構架進(jìn)行大刀闊斧的改革。
成也蕭何，敗也蕭何。
烏云漏洞平臺上披露的一則信用卡支付“漏洞”，讓雄心勃勃的葉亞明絆了個(gè)大跟頭。這個(gè)漏洞散列是：bf9165488f5e2ea3ca02ec6b310446b0。
雖然在此前，烏云網(wǎng)已經(jīng)連續披露京東商城、支付寶、網(wǎng)易等國內著(zhù)名互聯(lián)網(wǎng)企業(yè)在用戶(hù)信息安全防護中存在高危漏洞。然而，此次對于攜程漏洞的詳細描述——“通過(guò)信用卡支付的攜程網(wǎng)用戶(hù)姓名、身份證號碼、銀行卡類(lèi)別、銀行卡卡號、銀行卡CVV碼等信息已有可能被黑客所讀取”挑起了公眾的敏感神經(jīng)。
對于信用卡的這個(gè)“驚天漏洞”此前已陸續有媒體曝光，在線(xiàn)OTA網(wǎng)站無(wú)卡無(wú)密碼支付也是行業(yè)通病，但卻使攜程落馬了。
攜程的技術(shù)研發(fā)部和信息安全部在業(yè)界頗具聲名，完全自建的攜程IT系統包括網(wǎng)站系統、在線(xiàn)交易系統、采購系統等子業(yè)務(wù)系統，從復雜性上來(lái)說(shuō)，能與之媲美的唯有淘寶。
但關(guān)鍵是技術(shù)研發(fā)部與信息安全部之間存在微妙的博弈關(guān)系，攜程的漏洞表面上源于部門(mén)員工偶然的失誤，實(shí)際則是OTA（在線(xiàn)旅游代理）企業(yè)惡性競爭的必然結果。
他們的解釋
在線(xiàn)旅游市場(chǎng)群雄逐鹿，占有市場(chǎng)份額最大的攜程作為先行者一度領(lǐng)跑，過(guò)著(zhù)一家獨大的好日子。然而，隨著(zhù)藝龍、去哪兒等競爭對手的崛起，其龍頭地位早已岌岌可危。商業(yè)模式上，攜程依然仰仗著(zhù)十幾年前創(chuàng )業(yè)之初確立的呼叫中心帶來(lái)業(yè)務(wù)量，而老對手藝龍早已在革命，砍掉線(xiàn)下發(fā)卡渠道全力發(fā)展線(xiàn)上銷(xiāo)售。
而攜程依然按兵不動(dòng)，直到葉亞明的出現。
作為OTA行業(yè)的老大，經(jīng)過(guò)十多年的發(fā)展，攜程逐步構建出自己的護城河——強大的IT系統。而這個(gè)核心部門(mén)一直以來(lái)頗為神秘，理財周報（微信公眾號：Money-week）記者輾轉找到內部人士也拒絕媒體采訪(fǎng)。理財周報記者遂多方打聽(tīng)，試圖揭開(kāi)其鮮為人知的一角。
攜程的IT系統復雜且龐大，完全靠?jì)炔恳徊揭徊酱罱āＨ~亞明到任后，在攜程完成了幾次重要的技術(shù)改進(jìn)。據中國軟件開(kāi)發(fā)聯(lián)盟CSDN公開(kāi)資料顯示，攜程技術(shù)改造升級分別布局于前后端。在網(wǎng)站前臺進(jìn)行頁(yè)面改版，后臺以Open API（開(kāi)放應用程序編程接口）的方式開(kāi)放平臺資源，同時(shí)成立數據中心進(jìn)行大數據處理。
云技術(shù)只是葉亞明的小試牛刀，他更大的野心在對公司技術(shù)架構的革新，目前的攜程已經(jīng)采用OpenStack這一云計算平臺來(lái)搭建。
他在布一個(gè)長(cháng)遠的局。
在葉亞明眼中，無(wú)線(xiàn)端的業(yè)務(wù)增長(cháng)速度在未來(lái)將會(huì )遠遠超過(guò)呼叫中心。在新的架構下，可以將實(shí)體機器完全虛擬化。比如增加300個(gè)人，產(chǎn)生300個(gè)虛擬機器就可以了，雖然人數增加，但管理機器的數量沒(méi)有變化，這就會(huì )提升效率。
可以想見(jiàn)，如果這一切都萬(wàn)無(wú)一失的話(huà)，這堪稱(chēng)葉亞明在攜程的偉大戰役。
但是，理財周報記者查閱中國軟件開(kāi)發(fā)聯(lián)盟CSDN的公開(kāi)資料時(shí)發(fā)現，攜程的OpenStack團隊總共加起來(lái)不到二十人，其中核心技術(shù)人員只有六七名，相比龐大的呼叫中心和無(wú)線(xiàn)端業(yè)務(wù)人員可謂九牛一毛。
千里之堤，毀于蟻穴。
就是這個(gè)搭建了龐大系統的部門(mén)，不久前卻因技術(shù)人員操作不謹慎，被黑客抓住把柄。
3月22日下午，烏云漏洞平臺發(fā)布消息稱(chēng)，攜程系統存在技術(shù)漏洞，可導致用戶(hù)個(gè)人信息、銀行卡信息等泄露。當晚11點(diǎn)，攜程技術(shù)人員對漏洞進(jìn)行確認。23日早上7點(diǎn)，攜程官方消息稱(chēng)漏洞已經(jīng)修補。
據烏云網(wǎng)的說(shuō)法，攜程將用于處理用戶(hù)支付的服務(wù)接口開(kāi)啟了調試功能，使部分向銀行驗證持卡所有者接口傳輸的數據包均直接保存在本地服務(wù)器。
而攜程公關(guān)部針對事件原因接受理財周報記者采訪(fǎng)時(shí)表示：“漏洞是攜程技術(shù)人員在對某個(gè)服務(wù)器進(jìn)行系統問(wèn)題排查時(shí)，留下臨時(shí)日志未及時(shí)刪除所致。”
關(guān)于技術(shù)排查，相關(guān)網(wǎng)站技術(shù)人員對理財周報記者進(jìn)行了詳細描述：“所有網(wǎng)站在這一點(diǎn)上都是類(lèi)似的，網(wǎng)站技術(shù)人員會(huì )定期對每個(gè)服務(wù)器進(jìn)行掃描，主要為了發(fā)現潛在的漏洞，并進(jìn)行修補。這種掃描，有些網(wǎng)站由自己完成，也有會(huì )通過(guò)第三方機構掃描，由他們出具漏洞清單和修補意見(jiàn)。”
這種掃描漏洞的部門(mén)又稱(chēng)為信息安全部或者是風(fēng)險控制部門(mén)，在攜程內部有獨立的信息安全部門(mén)專(zhuān)門(mén)負責漏洞掃描和排查工作，但此次的漏洞卻為第三方平臺烏云網(wǎng)所發(fā)布。
攜程公關(guān)部對此向記者表示：“這部分信息也是處于加密狀態(tài)，即使拿到信息也要通過(guò)破解才能讀取。”這對黑客而言并非難事。
與此同時(shí)，理財周報記者致電另一家OTA企業(yè)，在其網(wǎng)站支付時(shí)與攜程一樣無(wú)卡無(wú)密即可成功。其CEO表示：“我們不是明文保存的，我們是加密保存的，攜程這個(gè)案例我們也看了，但具體情況不是很清楚。”對于當時(shí)未付款的客戶(hù)信息，也沒(méi)有規定保存客戶(hù)敏感信息7天，具體也是由研發(fā)和審計法務(wù)的風(fēng)控部門(mén)負責。
“拇指”+“水泥”
攜程事件只是冰山一角。
無(wú)卡無(wú)密碼便可支付的信用卡支付已是普遍現象。不管你是在攜程網(wǎng)，還是在同程網(wǎng)、藝龍網(wǎng)、芒果網(wǎng)等OTA網(wǎng)站，使用信用卡支付時(shí)同樣只需要卡號、有效期和CVV碼，并不需要密碼和卡。
“無(wú)卡無(wú)密這種支付方式是合理存在的，是行業(yè)規定的。像酒店預訂，以及攜程和類(lèi)似的商旅網(wǎng)站通常會(huì )使用。原則上來(lái)講，商旅網(wǎng)站不應該保存CVV等信息，這是違規的，但銀行方面不了解網(wǎng)站是不是這樣做。”建行信用卡部辦公室工作人員肖瑞娟這樣告訴理財周報記者。而招行信用卡專(zhuān)員也肯定了這一說(shuō)法，并稱(chēng)采用這種支付方式的渠道很多，目前無(wú)法提供一個(gè)完整的列表。國外交易網(wǎng)站大部分也是通過(guò)卡號、卡面有效期、背面后三位碼就可以完成了。但有些網(wǎng)站需要萬(wàn)事達或VISA驗證服務(wù)的話(huà)，會(huì )要求輸入查詢(xún)密碼來(lái)驗證。
但攜程的錯誤在于違規保存客戶(hù)敏感信息如CVV碼等，這明顯違背了央行規定。
根據央行《銀行卡收單業(yè)務(wù)管理辦法》第28條規定，收單機構不得以任何方式存儲銀行卡磁道信息或芯片信息、卡片驗證碼、卡片有效期、個(gè)人標識碼等敏感信息。并應采取有效措施防止特約商戶(hù)和外包服務(wù)機構存儲銀行卡敏感信息。
對此，攜程方面對理財周報記者表示：“我們將在交易完成后刪除客戶(hù)的CVV信息，不再保存。以前保存的那些CVV信息，正在予以刪除。曾經(jīng)存留的信用卡信息在傳輸和保存始終處于加密狀態(tài)，任何未經(jīng)授權的人員都無(wú)法取得這些資料。”
但為什么攜程要違規保存客戶(hù)信用卡的敏感信息呢？
“記錄信息處于的思考層面會(huì )比較多，方便用戶(hù)是其中之一，方便自己做一些調試等目的也是有的，但是我們也很難知道它具體還有其他什么目的。可以肯定攜程不會(huì )自己盜刷用戶(hù)的卡。按理來(lái)說(shuō)，這些知名的與支付有關(guān)的網(wǎng)站是可信的，他們不會(huì )做危害用戶(hù)的行為，只是有些規定并沒(méi)有執行好，是他們工作上的失誤。”國內最早提出網(wǎng)站安全云監測及云防御的北京知道創(chuàng )宇公司研究部總監余弦這樣告訴理財周報記者。
此次攜程漏洞就是因為開(kāi)發(fā)人員開(kāi)啟了調試，留下了臨時(shí)日志導致信息有外泄的可能性。開(kāi)啟調試功能對開(kāi)發(fā)人員意味著(zhù)什么？“因為程序開(kāi)發(fā)中，如果開(kāi)啟了調試功能，則有利于程序員更精準地定位整個(gè)支付環(huán)節中的一些問(wèn)題，可能會(huì )有利于他們的業(yè)務(wù)改進(jìn)。不僅是開(kāi)發(fā)新的產(chǎn)品，包括現有的支付環(huán)節，有可能在邏輯上有一些缺陷，比如BUG。調試有利于程序員或者開(kāi)發(fā)人員進(jìn)一步改進(jìn)他們的工作。”余弦這樣解釋道。
這就涉及到研發(fā)部門(mén)與安全部門(mén)普遍存在的一個(gè)矛盾：開(kāi)發(fā)為了滿(mǎn)足業(yè)務(wù)可能會(huì )疏忽了安全線(xiàn)。而安全部門(mén)可能會(huì )要求開(kāi)發(fā)人員執行一些安全標準，但當執行這些標準的時(shí)候又可能會(huì )影響開(kāi)發(fā)進(jìn)度。“它們是兩個(gè)互相補充的部門(mén)，如果相互之間能配合好的話(huà)就不會(huì )出現攜程事件了。”余弦向理財周報記者說(shuō)道。
為此，有業(yè)內分析人士認為，攜程此次用戶(hù)信息泄露事件，可能是無(wú)線(xiàn)研發(fā)推進(jìn)過(guò)快而變相導致的。曾經(jīng)參觀(guān)考察過(guò)攜程的大眾點(diǎn)評網(wǎng)技術(shù)部負責人也對攜程產(chǎn)品研發(fā)更新速度表示欽佩。攜程CEO梁建章在去年回歸后的第一個(gè)重點(diǎn)就是推出“拇指+水泥”戰略，將更多資源偏向移動(dòng)互聯(lián)網(wǎng)，所有最新的豐富旅游產(chǎn)品都優(yōu)先在移動(dòng)領(lǐng)域嘗試。梁建章表示，無(wú)線(xiàn)客戶(hù)端代表的移動(dòng)互聯(lián)網(wǎng)將是攜程突圍的一個(gè)關(guān)鍵點(diǎn)。在攜程內部，無(wú)線(xiàn)業(yè)務(wù)亦被因此稱(chēng)為“二次創(chuàng )業(yè)”。
但余弦認為與市場(chǎng)競爭關(guān)系并不大，“這與開(kāi)發(fā)人員的安全意識有關(guān)”，余表示。
“擦邊球”基因
既然無(wú)卡無(wú)密碼支付是行業(yè)常態(tài)，這個(gè)信用卡支付的“漏洞”早就有媒體曝光，但為什么攜程的一個(gè)“漏洞”卻引起如此大的關(guān)注和討論？
“一是跟公民的財產(chǎn)有關(guān)系，用戶(hù)很在意；二是信用卡的快捷支付很方便，跟銀行卡不同，信用卡甚至都不用密碼；三是這個(gè)事情有很多黑公關(guān)炒作的成分在里面，大肆渲染，不負責任地放大這件事。你有聽(tīng)說(shuō)這幾天有誰(shuí)被盜刷了嗎？”余弦這樣反問(wèn)記者，作為安全圈的一員，他直言黑客根本不會(huì )盜刷炒作得人盡皆知的事情。
作為在線(xiàn)旅游市場(chǎng)的龍頭，攜程的用戶(hù)波及面極廣。據悉，每天在攜程訂票的人數約80多萬(wàn)。
從2012年藝龍挑釁攜程引起國內OTA價(jià)格戰開(kāi)始，攜程就被動(dòng)地處在各個(gè)小OTA公司的聯(lián)合圍剿中，先后投入這場(chǎng)戰爭的有藝龍、同程、去哪兒、芒果等。
惡戰一年多后，OTA的格局并未改變。攜程雖然折兵損將，但依然穩居老大地位，2013年的財報也頗為亮眼，根據財報顯示：攜程2013年凈營(yíng)業(yè)收入為54億元人民幣（約合8.9億美元），相比2012年增長(cháng)30%。而藝龍2013年凈虧損1.68億元創(chuàng )下歷史新高。
除了真金白銀的價(jià)格戰，口水戰也幾乎沒(méi)有停止。攜程此次出現如此低級錯誤，更是難得的反擊時(shí)機。
拋開(kāi)行業(yè)競爭的大環(huán)境，攜程本身攜帶“違規打擦邊球”的基因也許早就為此次事件埋下了伏筆，看似偶然的事件也凸顯了必然性。
攜程正是從“違規”中誕生的。十年之前，從行業(yè)來(lái)說(shuō)，跨地區買(mǎi)飛機票是違反規定的，但攜程卻敢于推出一個(gè)全國性的網(wǎng)絡(luò )訂票平臺。“這個(gè)違規是商業(yè)規則不成熟的表現。為什么要改革，就是要改掉這些不合理，看上去合法，實(shí)際上它真的是違規的東西。所以攜程十年前做了這樣一個(gè)突破。”在攜程信用卡支付漏洞的前一天，CEO范敏曾這樣公開(kāi)說(shuō)道。
正是這樣的“甜頭”讓范敏更加大膽。
據知情人士透露，2009年以前，攜程服務(wù)器并不留存用戶(hù)CVV碼，用戶(hù)每次購買(mǎi)機票，預訂酒店都需要輸入CVV碼；但2009年，范敏為了簡(jiǎn)化操作流程，優(yōu)化客戶(hù)體驗，拍板決定在攜程服務(wù)器上留存CVV碼。
如今看來(lái)，正是當時(shí)范敏的這個(gè)決定為今天的“漏洞”埋下了隱患。
而攜程對本次事件最新的處理決定是：“我們將會(huì )按照監管部門(mén)的要求，盡快優(yōu)化完善用戶(hù)的支付流程。加強內部排查所有可能存在漏洞，邀請國內知名網(wǎng)絡(luò )安全專(zhuān)家對攜程系統進(jìn)行會(huì )診。同時(shí)，我們已經(jīng)啟動(dòng)了CFCA和PCI的認證程序，以期更好地符合監管要求。”
問(wèn)題是，此前攜程曾有意向接入該認證程序，但是公司工作人員去考察之后發(fā)現，攜程自身系統要整改難度太大，業(yè)務(wù)種類(lèi)多且交叉多，如果按照該系統接入而整改會(huì )使架構都會(huì )有所變化，導致至今未引入CFCA和PCI認證標準。
“但是PCI也并非法律條款，只是支付卡大亨自己制定的規范，通過(guò)PCI不代表就能保存用戶(hù)的敏感信息，還要根據國內的規定。”PCI-DSS在中國的合作伙伴北京航天億展公司的工作人員這樣告訴理財周報記者。
而接下來(lái)，攜程面臨的不僅是引入PCI-DSS標準的技術(shù)考驗，更是如何重樹(shù)安全支付信任、重拾消費者信心的問(wèn)題。
