四川
大家好，我是小銳！
一名安全研究員通過(guò)注冊(cè)國(guó)際足聯(lián)公開(kāi)的足球經(jīng)紀(jì)人平臺(tái)賬號(hào)，意外進(jìn)入世界杯后臺(tái)系統(tǒng)。該注冊(cè)過(guò)程無(wú)任何門(mén)檻，賬號(hào)被自動(dòng)加入內(nèi)部多系統(tǒng)共用的賬號(hào)體系。
登錄足球數(shù)據(jù)平臺(tái)時(shí)，前端顯示無(wú)權(quán)限，但服務(wù)器端默認(rèn)允許索取數(shù)據(jù)，讓他順利進(jìn)入世界杯流媒體管理后臺(tái)，看到各機(jī)位攝像機(jī)信號(hào)和流媒體密鑰。
極端情況下，他甚至能替換視頻信號(hào)，比如在球員進(jìn)球前暫停直播。此外，該賬號(hào)還可進(jìn)入評(píng)論員信息管理系統(tǒng)和比賽管理系統(tǒng)，修改比分、球員介紹、評(píng)論員提示等關(guān)鍵數(shù)據(jù)，這些數(shù)據(jù)會(huì)下發(fā)給轉(zhuǎn)播臺(tái)評(píng)論員，影響直播內(nèi)容。
這位安全研究員本想上報(bào)漏洞獲取獎(jiǎng)勵(lì)，卻發(fā)現(xiàn)國(guó)際足聯(lián)既無(wú)漏洞獎(jiǎng)勵(lì)機(jī)制，也未留聯(lián)系方式。
他無(wú)奈聯(lián)系流媒體供應(yīng)商、FBI 等機(jī)構(gòu)，第二天漏洞被默默修復(fù)，但國(guó)際足聯(lián)至今拒絕回應(yīng)。這種情況凸顯安全研究員的白帽困境：發(fā)現(xiàn)漏洞卻無(wú)處反饋，付出努力卻得不到認(rèn)可或獎(jiǎng)勵(lì)。
近年來(lái)大型體育賽事數(shù)字化程度越來(lái)越高，云服務(wù)、VAR 等技術(shù)提升賽事效率，但也帶來(lái)更大安全風(fēng)險(xiǎn)。本屆世界杯的攝像機(jī)、VAR、比分系統(tǒng)、評(píng)論員平臺(tái)等連入同一系統(tǒng)，風(fēng)險(xiǎn)像鐵鎖連環(huán)般傳導(dǎo)，一個(gè)賬號(hào)漏洞可能影響直播，場(chǎng)館被攻擊可能阻礙球迷入場(chǎng)。
過(guò)往案例敲響警鐘：2018 年平昌冬奧會(huì)開(kāi)幕式遭網(wǎng)絡(luò)攻擊，WiFi 和官方 APP 停擺，2024 年巴黎奧運(yùn)會(huì)場(chǎng)館 IT 系統(tǒng)遭勒索，2026 年米蘭冬奧會(huì)黑客侵入運(yùn)動(dòng)員酒店。這些事件說(shuō)明，大型賽事不能只依賴(lài)科技，忽視安全防護(hù)。
賽事網(wǎng)絡(luò)安全防護(hù)不能僅靠防火墻和漏洞掃描。需要將安全意識(shí)落實(shí)到服務(wù)器層，對(duì)云廠(chǎng)商、轉(zhuǎn)播商、酒店等所有關(guān)聯(lián)方建立統(tǒng)一安全體系，同時(shí)建立順暢的漏洞報(bào)告機(jī)制和應(yīng)急響應(yīng)機(jī)制，不能依賴(lài)安全研究員的自發(fā)行動(dòng)。世界杯有補(bǔ)時(shí)，但網(wǎng)絡(luò)攻防戰(zhàn)沒(méi)有補(bǔ)救時(shí)間，安全體系建設(shè)刻不容緩。
特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺(tái)“網(wǎng)易號(hào)”用戶(hù)上傳并發(fā)布，本平臺(tái)僅提供信息存儲(chǔ)服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
