美國(guó)密蘇裏州近期發生了(le／liǎo)一(yī / yì ／yí)起引發巨大(dà)讨論的(de)“安全漏洞”事件。

根據 Ars Technica 的(de)報道(dào)，《聖路易斯郵報》的(de)一(yī / yì ／yí)名記者在(zài)使用由密蘇裏州中小學教育部 (DESE) 維護的(de)網站查詢教育工作者的(de)資格證時(shí)，發現了(le／liǎo)一(yī / yì ／yí)個(gè)會暴露教師和(hé / huò)其他(tā)學校員工社會安全号碼 (SSN) 的(de)安全漏洞。

這(zhè)裏所謂的(de)安全漏洞其實就(jiù)是(shì)記者通過使用浏覽器自帶的(de)「查看源代碼」、「查看頁面源代碼」此類功能，發現教師的(de)社會安全号碼直接暴露在(zài) HTML 源代碼中（後文會提到(dào)這(zhè)些信息經過了(le／liǎo) base64 轉碼，但沒被加密）。

記者發現漏洞後，随即向維護該網站的(de)政府教育部門進行報告。同時(shí)，記者所屬報社也(yě)做出(chū)承諾，在(zài)修複漏洞期間不(bù)會發布任何相關信息。

然而(ér)政府接下來(lái)的(de)操作卻讓人(rén)匪夷所思。他(tā)們先是(shì)關閉了(le／liǎo)網站的(de)訪問權限，接着召開新聞發布會，并表示準備起訴發現漏洞的(de)記者。州長在(zài)發布會上(shàng)直言報社“企圖讓國(guó)家難堪并爲(wéi / wèi)新聞頭條不(bù)擇手段”。他(tā)還說(shuō)道(dào)，“政府不(bù)會成爲(wéi / wèi)新聞媒體的(de)棋子(zǐ)。政府會通過法律制裁任何一(yī / yì ／yí)個(gè)入侵我們系統的(de)人(rén)，追究所有幫助這(zhè)個(gè)人(rén)的(de)其他(tā)人(rén)和(hé / huò)雇用他(tā)們的(de)媒體公司的(de)責任。”

由于(yú)在(zài)此期間，網絡安全教授 Shaji Khan 幫助記者驗證了(le／liǎo)漏洞的(de)存在(zài)，所以(yǐ)他(tā)後面也(yě)遭受到(dào)了(le／liǎo)政府的(de)無端調查和(hé / huò)指控。

Shaji Khan 做了(le／liǎo)這(zhè)樣的(de)操作：

• 訪問任何人(rén)都可以(yǐ)訪問且無需登錄的(de)公共網站

• 查看公開的(de)源代碼（任何人(rén)都可以(yǐ)使用「查看」菜單選項在(zài)任何網頁上(shàng)輕松完成）

• 識别被稱爲(wéi / wèi)"View State"的(de)可疑源代碼片段，其中可能包含此次事件中的(de)所謂安全漏洞

• 将已被轉碼的(de)信息轉換成可讀的(de)純文本，這(zhè)也(yě)是(shì)任何人(rén)都可以(yǐ)完成的(de)操作

Shaji Khan 指出(chū)，任何人(rén)都可以(yǐ)在(zài)短短幾分鍾内完成整個(gè)過程。沒有任何數據被加密，也(yě)不(bù)需要(yào / yāo)密碼，密蘇裏州沒有采取任何措施來(lái)保護該州自動發送給每個(gè)網站訪問者的(de)教師社會安全号碼。

對于(yú)州政府新聞稿中聲稱一(yī / yì ／yí)名“黑客”訪問了(le／liǎo)教師社會安全号碼的(de)說(shuō)法，Shaji Khan 指出(chū)這(zhè)種描述是(shì)錯誤的(de)，因爲(wéi / wèi)實際情況是(shì)“密蘇裏州自動将教師社會安全号碼傳輸給每個(gè)網站訪問者。發現并報告此安全漏洞的(de)人(rén)沒有試圖未經授權訪問或‘入侵’網站”。

此外 Shaji Khan 還指出(chū)，州政府違反了(le／liǎo)“禁止公開披露公民身份證号碼”的(de)法律，且未遵循“告知數據洩露受害者事件相關準确信息”的(de)另一(yī / yì ／yí)項法律規定。

▲ Shaji Khan 教授

Shaji Khan 聘請了(le／liǎo)一(yī / yì ／yí)名律師爲(wéi / wèi)自己辯護，反對政府的(de)指控。他(tā)要(yào / yāo)求州政府保留與此事件有關的(de)所有記錄，作爲(wéi / wèi)訴訟保留的(de)一(yī / yì ／yí)部分，停止“對 Shaji Khan 教授進行毫無根據的(de)調查”，并“補償他(tā)爲(wéi / wèi)自己免受各方毫無根據的(de)指控辯護而(ér)産生的(de)合理律師費，以(yǐ)及因爲(wéi / wèi)各方給他(tā)造成的(de)巨大(dà)壓力和(hé / huò)幹擾”。

到(dào)目前爲(wéi / wèi)止，Shaji Khan 教授向政府提出(chū)的(de)終止調查指控以(yǐ)及索要(yào / yāo)賠償和(hé / huò)道(dào)歉要(yào / yāo)求并未得到(dào)回應。Shaji Khan 表示，如果訴求得不(bù)到(dào)滿足，他(tā)将會考慮起訴政府，探索各種途徑在(zài)法庭上(shàng)解決不(bù)當行爲(wéi / wèi)。

有關網友的(de)讨論可查看 reddit 上(shàng)的(de)兩個(gè)帖子(zǐ)

• https://www.reddit.com/r/programming/comments/qeuaxf/digging_around_html_code_is_criminal_missouri/

• https://www.reddit.com/r/programming/comments/qhg9yh/viewing_website_html_code_is_not_illegal_or/