【IT168 评论】TJX数据泄漏事件最新细节显示了一个令人恐惧的情形——在整个事件中TJX可能已采取了所有正确的防护措施。若真如此，那就没有哪家企业可说是安全的了。
先偷拷贝再绕过加密 窃贼双管齐下
TJX数据泄漏事件又有最新消息，包括电子窃贼是通过一方面窃取软件密钥的一份拷贝，另一方面在数据还未加密前就窃取数据，这样双管齐下而绕过加密技术的防护网。这些最新消息正对整个安全产品零售世界造成重大冲击。
不过，这最新发现也开始对TJX在整个事件中的责任赋予新说法。经确认，尽管仍有太多未知事实无法确定TJX是否是个尽责的消费者私人数据保护者，但最新信息提高了TJX已真正尽到责任的可能性。
原先由于有万事达信用卡公司（MasterCard）证实TJX是有违反PCI标准，再结合业界推测，就出现了种种TJX没有正确对数据进行加密的说法。确实，TJX仍有可能没加密某些数据，不过据它提呈的有关计算机窃贼避过TJX加密技术的联邦档案报告显示，TJX公司确实实施了数据加密，甚至比假定的还要多。
有种观点认为，TJX的被偷窃的数据有数年历史证明TJX保留数据时间过长。不过现在这种观点被这个最新档案给否决了。这份档案中提到：TJX有定期地删除数据，不过是入侵者在TJX系统中设置的一个欺诈程序预先就窃取和复制了这些数据。这份档案虽不能确定TJX是否确实没有保留数据太长时间，不过它倒是提高了“TJX一直采取的措施十分正确”的可能性。
而且这还引发一个更加令人不安的想法——倘若它反映了TJX在所有时间内已确实做了应采取的所有措施，这意味着什么？换句话来说，倘若它所证明的是这个事件的发生是由于TJX粗心造成的可能性更小得多，是由于入侵者变得聪明、足智多谋且持之以恒的可能性更大得多，这意味着什么？
用前联邦检查长、现任FTI咨询公司执行总监马克.拉希（Mark Rasch）的话来说即是：“要说是TJX搞砸的那事情就容易了。怕就怕责任不在TJX这边。”
怕就怕TJX的IT管理人员都是模范的IT人员，责任不在他们，那么这将真正意味着今天的计算机窃贼可以在任何时候对任何主要零售商实施这样一个巨大的泄漏事件。现在让我们陷入这种可怕情况之前，先看看TJX在其呈交的政府文档中所披露的最新细节。
TJX已发布一个相当冗长的文档来说明TJX在整个事件所有情况，其中看起来有大量新的细节。说实在的，它的确提供了许多新的内容。不过它每披露1个新细节，相应就会多出10个问题。这就好比一个聪明年轻的大学生发现他学的越多，他所意识到不知道的也就越多。
现在闲话少说，让我们继续深入探讨一下。据TJX报告：“我们相信入侵者使用了TJX用的加密软件的解密工具。”对此，无法确定的是TJX的调查是如何得出这个结论的，而且没有任何迹象显示入侵者是如何拥有这个解密工具的使用权，甚至连相关推测也没有。是来自企业内部吗？调查中所有资料显示并不是。那是访问者在其它地方获得了这个工具，得知这是用于TJX的系统，然后就决定利用它来针对TJX进行攻击？有这种可能。
此外，还有一种更大的可能性是入侵者在侵入TJX公司的同时发现了这个加密密钥。之所以这种可能性更大是由于许多零售商IT部门会将加密密钥与所加密的数据保存在同一个服务器中。虽然这样对零售商的IT员工来说是使用方便了，但对所有入侵者来说也同样方便。
现在，我们再回头说一下TJX是否履行了安全可靠的计算技术。加密密钥的新发现并未真正清晰说明密钥情况。一方面有可能是攻击者相当聪明地通过一些其他途径获得密钥，或者用预期没人能防护得了的某种聪明方式取得了密钥。从另一方面来说，密钥可能被留在一个容易发现的文件中，也许甚至就在软件被安装的默认文件中。没有关键的细节，这些情况都无从得知。
其次最新发现是：窃贼们可能在事务数据被加密前就窃取了这些数据，从而有效地避开了加密技术的安全防护网。这几乎不能算是一个新战略，而且大多数系统也是就基于这一点考虑而为其系统增添实质的安全防护。至于TJX的系统又是如何强化的？再一次重申，没有那些细节，也就难以评估TJX是否已采取了适当的安全防御。
有关此次泄漏事件影响大小有些新的数字，但实质上没有多大出入，还是一直所知那样。
此外这份档案证实我们已报导的一些情况，比如，当在去年12月中旬发现数据泄漏时，权威人士认为这个窃贼仍有定期访问这些服务器，而这意味着他们随时有机会设置一个陷阱，因而TJX曾被联邦经济情报局要求暂时不将情况外传。
现在，让我们暂时先不讨论TJX在这个事件所应负责任。说说TJX报告中所给出的战术对于零售IT主管们有何暗示？对于加密程序来说又意味着什么？
Aberdeen公司零售分析师撒希尔.安纳德（Sahir Anand）认为这是一种信号，表示所有程序必须被再次重新检查。"没有适合消费者的安全交易环境。整个网络安全的概念显然需要进行重新审查，"安纳德表示。"从认证点直到POS数据是如何被进行处理的都得审查。"
不过，多数行业观察员表示，仅需作些小小的改动。唯一必须坚持一点是要安全的计算程序，包括采取极端预警功能来安全防护加密密钥（比如，将加密密钥保存在单独的未连网硬件中），并且确保永不仅采用加密技术作为唯一的安全防护技术，即便使用它也许就已足够。
总部设于马萨诸塞州贝德福德市的安全公司Application Security的战略副总裁特德.朱利安（Ted Julian）则保持中立的观点。"这次TJX事件所发生细节突显了加密技术的基本局限性，"朱利安表示。"虽然加密技术一直以来是极为吸引人的，常被视为一项万灵丹似的安全措施，但其实要将安全工具比作一个长凳，加密只是其中一只凳脚。其他几只凳脚包括可强化数据库对抗攻击能力的漏洞评估功能，可标记出攻击、误用及弊端情况的行为监控功能。"
前检查长拉希对此深表赞同。"加密技术仍是一项至关紧要的工具，只是必须认识到它只是诸多工具中之一。"他表示。"加密造成了一个错误的安全感觉，人们往往将密钥与所保护数据保存在同一台设备上。理想来说，密钥应保存在单独硬件设备上，并且仅在需要时使用。经常有人把密钥保存在系统的某个地方。这就也比使用的是真正的好锁却将钥匙藏在垫子下。
