15年前開發盲點竟成資安爆雷

就在截稿之際，臺北市資訊局傳出了一個令人意外的資安事件。有位網路警察在雅虎搜尋網頁上，看到了臺北市幾個單位的員工薪資清冊網址，打開連結一看，竟然是員工薪資資訊，甚至還有敏感的轉帳帳號和身份證號。臺北市資訊局接獲通報後，只花了10分鐘就找出了釀災系統，立刻下線清查問題，孰料，隔天媒體大幅報導，批評恐怕全臺北市政府員工資料都可能外洩了。

不過，北市資訊局清查後發現，只有最近一批產生的薪資報表檔案，約190筆報表連結上網曝光，而非所有員工的資料。但釀災的關鍵就是這個已經用了15年的薪資發放管理系統。

為了讓分散臺北市各地的出納人員方便使用，這個報表系統透過網頁連結來提供臨時性的報表檔案，但當時預設只有內部人員才會取得這些連結，就像現在不少網路分享服務，都可以提供「私密連結分享」的形式，只要拿到連結就能打開檔案的作法類似。

但為何這些應該只有政府內部少數人員才能經手的網址，卻只在雅虎搜尋網站上曝光，而在Google或其他搜尋網站都找不到。臺北市資訊局查了半天，推測可能是有些出納人員電腦的瀏覽器上，安裝了雅虎搜尋的工具列，將這些出納人員的私人網頁瀏覽記錄，上傳到搜尋引擎中，成為索引資料之一，連出納人員都沒有發現，自己看過的網址記錄都成了公開可查的資料。所以，雅虎搜尋網站才會秀出這些連結，進而讓外部人員，可以存取到這些內部的檔案。

後來，臺北市資訊局重新啟用這個老系統後，在連結打開時，多加了一道身份驗證手續，才徹底根除了問題。

為何15年前的系統會有這樣的設計盲點？極可能當時的開發者誤以為，「只有」內部人員才能取得這些網址，所以也就少了驗證程序的設計。

15年過去了，都沒有人發現這個問題。因為這是一個程式碼的邏輯漏洞，是程式允許的合法行為，所以，在臺北市資訊局例行的資安漏洞掃描，都無法發現這個問題，直到這次，雅虎的瀏覽器外掛搜尋工具，會自動蒐集瀏覽記錄，才將這些內部網址外洩出去而爆發。

15年前的老舊報表系統，經過自動化掃描工具檢測安全無虞，除非到了要翻新系統的時候，否則很少有開發人員會重新審視原始碼來檢查資安漏洞，更遑論是人力有限的政府資訊部門。

資安問題最棘手的考驗之一，就是這類深埋在系統中的未爆彈，尤其駭客技術越來越先進，攻擊手法越來越多變，總是每隔一段時間，就會爆出新的零時差漏洞，深埋在系統中的老地雷，每每都成了企業資安防護網的缺口，想防都不知要從何防起。只有加快反應速度和應變能力，預設「自己一定會遭駭」的前提，事先備妥緊急應變措施才是上上之策。