谈剑峰 | 天底下最没用的就是你设置的密码

作者 | Talk君

K

大数据时代

大家都在平台化、大数据

但是往往大家都忽视了一个很重要的

就是信息安全

因为他们没有关注到安全

或者是没有真正重视到安全

这是一刻talks的讲者、上海众人网络安全技术有限公司创始人谈剑峰的演讲。

你以为只有自己知道的银行卡密码，其实早已不是个人隐私；你以为独一无二的人脸识别、指纹识别，其实早已有无数种破解方法；你以为短信消息认证最能证明你是你，其实谁都可成为你。随着网络社会发展，网络信息化就是建立在沙漠上的海市蜃楼，四处都潜伏着信息泄露的危机。

天底下最没用的就是你设置的密码

大家好，我是来自一刻的讲者，我是来自上海众人科技的谈剑峰。我从事着一个特殊的领域，叫网络信息安全。可能现在大家越来越关注安全了，因为他，认识吗？他叫Snowden，因为他，因为Snowden事情，所以我们开始关注网络安全，重视网络安全了。过去总以为网络安全好像跟我们没什么关系，好像这是政府的事，国家的事情。但是从棱镜事件开始，它告诉你，其实跟我们息息相关，特别是我们今天，都在用移动设备，特别用移动设备支付，带来了很多隐患。

让我们看点数据，这是今年的中国互联网大会公布的一组数据，因为信息泄露、电信诈骗以及手机短信验证码等不安全的因素，造成总体损失是905亿人民币，其中78.2%的人的个人身份泄露过，63.4%的人上网行为记录被泄露过。

我先问一个问题，你们觉得915亿大不大这个数字？大。很不幸，这个数字在全球里面还不算大。2014年国际刑警组织，公布了全球黑产（黑色产业）的数字，从那年开始，黑产成为了全世界第一犯罪，超过了全球毒品销量，那个数字是3万亿美金。可能大家没有3万亿美金的概念，那我告诉各位，2014年，印度全年的GDP正好是3万亿美金，这就是这个数字。

再给大家公布一组最新的数据，这是国家公布的一组数据。上面很多数据已经让你眼花缭乱。那我念最后一组，大家知道钓鱼网站，很多人曾经可能都上过钓鱼网站的当。而在中国，每一天新增钓鱼网站的数量是5千到8千个。因为有这么多的钓鱼网站出现，所以也一定有人上当受骗，去点击它，每半天的点击量超过一亿人次。中国是世界第一互联网大国，所以我们上网的人群也确实很多，我们上网交易的人的数量也是最大的。

咱们来看看这个，上网的时候你有邮箱、游戏账号、社交网络等。各位在座的，你在网上的用户名密码，我想想不少于二三十个吧。我就问一个问题，在座的有五组密码以上的，请举手，就你设置过五组密码以上，很少。可能你们用脑子记，也可能你用本子记，不幸的是你用本子记，那就不要密码。刚才在座更多的人是不举手的，因为你们在五组密码以内，甚至有的人，我相信更多的人是一组密码。比如说你有五六张信用卡，我相信你可能用一个密码走天下。很多人都是这样的，所以今天我们的密码这么不安全。

你们都绑信用卡在网上了，可是我很不幸的告诉你，没有被偷可能只是没有轮到你。因为什么？我举个例子你就明白，你拿一个纸和笔，抄下你现在信用卡，抄下你现在信用卡后面的3位数校验码。把这个信用卡收起来，拿这张纸，你看网上能不能支付？我告诉你，一定能支付。那既然是这样的，我们现在的APP，我们现在网站，只要带支付的，为了所谓的便捷，你只要输入一次，下次就不用登陆，不用记住这个，只要输一个固定的密码。而固定密码是很容易就被人家截获的。

那么在这种情况下，其实2014年，因为我不好报这个出现问题的公司名字，2014年、2015年，特别2014年，我们国内的大部分的旅游网站，而且是一线的旅游网站，全部被受到攻击，因为是OpenSSL的这个“心脏滴血”漏洞造成的对吧？那么那个数据库早没了。当时有通知说，凡是在某某旅游网上买过机票，订过酒店的，请你换信用卡，为什么？就是因为这种情况。所以便捷和安全就是一个矛盾体，把它完全做成一个平衡点很难，可是现在又要吸引你的客户，打动你这个客户。

我再举一个例子，让你更惊讶。世界上有一个黑客大会，每年有，在拉斯维加斯，叫黑帽大会。2014年美国一个黑客，把心脏起搏器给破解了。你可以想象一下，坐在家里，敲一个回车键，就能把你干掉，你说那个感觉怎么样？对吧？然后，2015年，我们的中国的黑客团队，破解了特斯拉汽车，让它前进、倒退无人驾驶。如果20年以后，我们真的无人驾驶的时候，现在害你还得去拔那个处理刹车是吧？我现在不用了，我回家在家里控制一个回车键就行了。我喜欢开玩笑，我就开个玩笑，那你活着就得小心翼翼的了，别得罪人，万一成了一个黑客，你就麻烦了。

其实很多人以为，是不是我的密码在我的手机上，在我的电脑上就容易被盗了？不完全是，更多的是因为服务器容易受到攻击。因为当服务器受到攻击的时候，数据库一旦被脱库，你的用户名、密码都没了。

而在2014年、2015年有很多的安全事件，已经告诉我们，中国有好多的网站，特别是大型网站的数据库，曾经发生过被脱库的现象，那么很多数据就没了。那我今天没有公布这个数字，我告诉各位，每年在中国的黑产，地底下的买卖账户超过20亿个。

在网络里边，由这四个数字来决定你的身份，那就是你的手机。然后现在我们用的手机，绑定几乎所有的网络上的网站等，给你发个验证码，就代表是你了，或者是以前的邮件，或者身份证号码。很不幸，各位在座的，我相信你们说，你们都登记过类次这四组数字，在网络里面，就是靠这四组数字来证明你是你。同样也很不幸，在座的从来没收到一个垃圾短信的，或者是垃圾电话的请举手。没有，那我也很不幸的告诉你，你的信息已经被泄露了。

很多数据都是来源于你们的手机，来源于你们的电脑。美国人给你们的手机做了一个称呼，那叫什么？叫你戒不掉的毒品。

如果今天我的分享不够精彩，5分钟你就不会关心我了，你就关心你的手机，那叫碎片时间。当你的这些信息被人家利用的时候，很不幸，在网络上你只能百口难辩，你不能证明你自己，因为虚拟世界里边，只能通过这些东西来证明你，而在现实社会中，你拿着身份证，你可以到银行柜台面签，那可以证明你，因为你是实实在在存在的一个实在的实体。

看看金融IC卡，现在很多都在换金融IC卡，可能今年的首都安全周，然后做了一些攻防演示，其中有一个是用一个硬币大小的设备，在你的钱包里，旁边走过，就可以把你的这张卡里的最近交易记录，全部读出来。可能很多人认为，啊？这么不安全。是不是我的账号就丢了？没有，只是把你的信息拿到了，但是对你也很重要，因为中国是最大的线上交易。什么是线上交易？各位在座的很多人应该收到过类似的短信，某某某，这是昨天我们聚会的照片。下面有一个链接，我相信你们很多人不会去点。但是如果发来一条短信是这么些的，某某某，这是刚才你在某某地方，消费了多少金额，是你本人消费请点这个链接。不是你本人消费，请点另外一个链接。请问，你点的机会大不大？那我告诉你，这两个链接都是木马，只要你中了这个木马，之后你的账户信息、密码，全部就交给了黑客。所以，安全无处不在，我们最好的防范不是技术，就是今天通过我们的分享，希望大家有一个安全的神经，提高安全意识才是最根本的。

看看你们的手机验证码，通过收集木马，通过伪基站近距离攻击，还有运营商给大家提供的一个服务，叫自动短信同步功能等。受到攻击后，你都可能拿不到你的验证码，甚至或者你的验证码发给了黑客。

大数据时代，商家可以比父母更了解自己的儿女。2014年有个案例，在美国，一个15岁的孩子怀孕了，然后她到亚马逊网站上去找孕妇使用的指甲油，后来亚马逊公司送去了这个孕妇使用的产品。这家父母把亚马逊公司告上法庭，那我想说的是后者，后面的话，他胜诉了。如果在中国也许很难，因为我们现在正在制定相关的法规、法律，安全要靠法律和法规来保护我们。

这里我放了一只智能手表，我讲两个案例。第一个案例，在美国一个大学的实验室里，20个房间里面，20个人，做不同的20个动作。戴着这个智能手表，通过数据采集，通过它的这个感应的设备的数据。提取以后分析，80%的准确率，能知道每个人在房间里做的是什么动作。无独有偶，一个美国黑客，用这个方法，破解了别人在ATM机前面输入的密码，然后把钱盗走了。

在通过性别、年龄、血型，就能通过现有的数据终，分析出你81.7%的个人隐私。这里没有你的名字，但是已经能基本上知道这个数据是出自于谁，可能甚至知道是谁。那么这里，我要问一个问题先，在座的认为，现在很火的生物认证，比如说指纹、视网膜、你的脸形，认为这个安全的请举手。不多，谢谢。你们有安全意识，因为生物认证在网络里面使用是最不安全的，为什么？很简单，你的信用卡丢掉的时候，你的密码丢掉的时候，你可以再去补一张，你可以换一个密码，你的生物特性是换不了的，它是唯一性的，不可再生性的，所以并不能拿生物认证放在网络使用。而它适合用在局域地方，比如说门禁，这个金库、保险箱等等，因为它不上网。

你想象一下现场，大家想象一个物理线下的状况，当你睡着的时候，当你喝多的时候，别人想看你的手机，现在手机几乎都是指纹的，拿着你的手机，放在他的手上一碰，放在您的手上一碰，手机开机了。我想这个场景你们很能想象到，很容易想象到，没有安全感吧？我之后再做一个动作，如果这个人有坏心的话，因为你们买来新机器的时候，会设指纹，这个功能也就那个时候你会用，之后你再也不会去看。那个人再把自己的指纹录入在你的手机里的话，他永远随时可以打开你的手机。老天眷顾你，给你12个手指，你比别人多两次机会，千万别做傻子，拿你的10个手指，都存在你的手机里面，好可怕。因为现在从手机到APP，每一个都在搜集你的信息，这就是大数据。

大数据时代，大家都在平台化、大数据，但是往往大家都忽视了一个很重要的，就是信息安全，因为他们没有关注到安全，或者是没有真正重视到安全。而我们的数据现在这么大的泄露，造成我们没有安全，特别是我们最关心的，付钱的时候，咱的钱得保护好，多少案例都证明了，网上交易这么不安全。

看我们这个世界就在裸奔，这张照片很能证明我们现在的网络状况，地基、核心技术，都在别人的手上。所以我们的互联网+，目前还建立在沙漠之上的海市蜃楼，希望我们更多的科技工作者，能做出核心技术，把我们的坚固的地基打牢，我们才能造出更美的、更壮观的高楼大厦。

没有网络安全就没有国家安全，没有信息化就没有现代化。网络安全是地基产业，我希望今天通过我的分享，大家关注网络安全、支持网络安全的发展，只有这样，我们的互联网发展，才能更好、更壮大。安全就是矛和盾的关系，所以没有绝对安全，也就没有绝对安全的技术，就要靠大家有一个安全意识，提防自己，实实在在地告诉自己，你身边安全随时都是隐患，让自己成为一个有意识的，使用互联网的、拥抱互联网的用户。 谢谢，我的分享完了。

优质养育资源！

尊荣尽享，即刻拥有！

赶紧关注视频号@一刻talks吧！