popvote存漏洞罔顾香港个人隐私安全

内地网站「FreeBuf黑客与极客」近日发表一篇名为「CloudFlare防护下的破绽：寻找真实IP的几条途径」的文章，图文并茂列出突破全民投票所CloudFlare服务器过程，更展示一批疑似投票者电话和身分证号码。警方证实上周二及周三，分别接到一名61岁姓陈女子，及一名55岁姓施男子报案，发现自己身份证号码和手提电话被盗用参加「6.22公投」，案件暂列作「求警调查」，由商业罪案调查科科技罪案。 港大民研总监锺庭耀向公众「声明」，PopVote系统和电子科技系统已经做足保安工作，没有出现数据外泄。但警方公布，「6.22公投」期间港大研的PopVote计算机系统多次被非法入侵。「占中」行动发起人之一的戴耀廷曾亲口承认收到约10宗身份证疑被盗用的个案，港大民研PopVote系统安全防护问题上简直是自说自话、自相矛盾。 港大民研在历次举行的「全民投票」活动中，发布「个人数据收集声明」，所有以电子方式收集的个人数据会于传送时使用SSL进行加密，并会以不能还原的散列代码形式记录于服务器，以确保有关数据实际上无法被人破解和还原。所有个人数据将在投票结束后一星期内于服务器完全删除。但据警方报道，港大民研因PopVote系统安全存在漏洞，遭黑客入侵已经唔系第一次。好似前年3月举行「民间全民投票」网上选特首，就因为手机程序同网站双双遭黑客入侵。2013年5月，港大民研PopVote系统载有大批系统使用者的个人数据，包括姓名、身分证号码、出生日期、地址、电话号码、电邮地址及银行账户等，数度遭到黑客入侵，受影响人数多达二千三百人，「占中行动」组织方不肯定这些账户，是否是向市民及义工发放车马费的账户。上述情况既违反香港个人资料私隐专员公署颁行的法例，亦使香港普罗大众严重质疑港大民研「公信度」。 关于计算机系统的保安问题，以现时的电子科技和国际网络环境，要无绝对把握抵御黑客入侵。「6.22公投」期间，港大民研启用世界最大的Cloud Flare公司为PopVote系统，提供云端防火墙保护，号称「投票者的香港身份证号码及手机号码在储存于数据库前已全部变成不能还原的散列函数，用户与服务器之间的数据经SSL加密的渠通传送，第三者绝不可能直接存取、查阅或更改服务器数据」。不过，在较早前，壹传媒主席黎智英于最新一期《壹周刊》首次详尽解释被窃私隐及政治捐款事件，踢爆该集团由Cloud Flare公司提供安全防护的网络服务器被黑客入侵了，窃取了十多年来所有文件档案，包括其私人账目和文件，可见Cloud Flare公司云防护不是「安全之盾」。华尔基利信息安全研究组织计算机保安研究员赖灼东指出，黑客网站描述的方法，是利用SQLMAP工具入侵数据库，虽然方法非常耗时，但「用碰」、「用撞」的方法也有入侵读取资料的可能，港大民研简直是「越瞄越黑」。 上述香港普罗大众个人隐私资料遭泄露个案虽是冰山一角，但戳穿了港大民研PopVote系统「公投程序和数据库有特殊加密，肯定没有任何个人资料泄漏的」的谎言，更暴露港大民研在举办「全民投票」活动中，自说自话、自相矛盾，缺乏职业操守和诚信，违反香港个人资料（私隐）条例，收集数据的目的及方式、使用方式、保密等六项原则，罔顾香港市民个人隐私安全，泄露的个人隐私资料被窃取，被冒用，带来多次“失窃”和经济、名誉方面的侵犯。 http://blog.dwnews.com/post-804440.html