[求助]拍賣網站資訊安全

分享至

[求助]拍賣網站資訊安全

榮譽勳章：

鯷魚

初學者

點數：290

2011-05-27 01:02:41

簡介Yahoo!拍賣代號機制：Yahoo!奇摩為提升拍賣交易平台的安全性以及避免買賣家帳戶的資料外洩，於100年5月25日正式啟動「拍賣代號安全機制」。拍賣代號為一組系統隨機派發的序號，其格式為「Y+10碼序號」，未來買賣家在拍賣交易平台所顯示的資訊將由拍賣代號、暱稱、拍賣代號+暱稱來取代現有顯示的拍賣帳號位置，例如：問與答、下標、評價等。Yahoo!奇摩預期此機制的推出可以確保會員個人資訊隱密性及安全性，並達到杜絕詐騙及有效防堵垃圾信件氾濫的目標。

這個機制的推行，讓每個Yahoo!奇摩拍賣的買賣家都會用有自己專屬的拍賣序號，我認為比起原來的帳號顯示，似乎能夠降低個人資料外洩的機率以及有效防堵垃圾信件。但我比較好奇的是，拍賣序號雖然是由系統隨機派發產生，但如果每個會員的拍賣序號在未來都是固定不變的情況下，當交易記錄變多時，是否也容易讓有心人士藉由這個固定不變的拍賣序號去竊取會員個人資料呢？另外，想要請問其他拍賣平台，例如：露天或是PChome購物等，是否也有建立類似的機制？其成效如何呢？謝謝。

資料來源：
http://tw.promo.yahoo.com/2011auction/safeid/index.html

回覆會員暱稱：RC
點數：300
等級：初學者

榮譽勳章：初學者
發文篇數：12
回文時間：2011-05-29 22:06:42

關於露天拍賣，亦設置了資訊安全的類似機制，例如個人安全電腦、個人安全密碼、手機號碼認證以及限制從國外登入。所謂個人安全電腦，是一種保護使用者帳號使用安全的免費功能。保護功能開啟後，使用者只能在自己設定的電腦，才可以「刊登、編輯商品」與「修改個人資料」。個人安全電腦能降低帳號被盜用的風險，有效防止他人在其它電腦使用使用者的帳號做個人資料修改、編輯及刊登商品，不僅能大幅減低帳號被盜用的機會，也讓使用者在使用露天服務時多一層保障。當使用者第一次完成個人安全電腦設定後，保護功能就會一直開啟，確保使用者的帳號在刊登、編輯商品和修改個人資料的安全，除非使用者點選個人安全電腦中心的"關閉功能"，帳號保護才會停止。拍賣會員於註冊時必須認證手機號碼，亦即必須輸入正確的手機號碼，系統會自動發送一組認證碼至會員輸入的手機號碼，收到認證碼後將其輸入系統才能完成註冊。另一方面，註冊時會員必須設定一組個人安全密碼，當會員在登入露天後，若要「執行及變更重要的資料時（如變更會員資料）」，系統會要求會員輸入一組個人安全密碼，輸入正確後，才能進行變更，以保障會員資料的安全。此外，為了讓會員有更安全的交易環境，露天拍賣推出的限制從國外登入的功能，以降低帳號被盜用的風險。使用者若要從國外登入，必須先使用國內IP設定該帳號可由國外登入，否則系統會直接擋下國外IP登入的帳號，以提升會員帳號的資訊安全。

資料來源：

http://mkt.ruten.com.tw/safe_pc/index.html

http://www.ruten.com.tw/system/?type=class&no=140

http://www.ruten.com.tw/system/?type=class&no=261

回覆會員暱稱：Dott
點數：250
等級：初學者

榮譽勳章：初學者
發文篇數：10
回文時間：2011-05-27 22:32:05

關於網路購物的資訊安全，站在業者的角度來看，個人認為主要有三大影響要素，分別是「人員」、「資訊」和「技術」。人員面是指內部人員的作業疏失或擅自揭露客戶資料；資訊面則包括網站未使用加密機制、網頁內容受到惡意竄改；技術面則為網路遭受阻斷服務攻擊、網站應用程式有安全漏洞、網站伺服器缺少安全防護等。只要其中有任何一項因素沒有加以注意，那麼業者很容易就會發生資安事件而登上媒體版面。因此，建議業者利用以上提到的安全檢視方法，先從作業流程來著手，找出可能的安全問題，以及是否存在安全漏洞。當然，各家業者的作業方式都不會相同，也就需要由業者本身針對既定的作業流程中，可能會觸及到敏感資訊的人事物，一一地作安全的清查與確認。如果流程方面沒問題了，再針對人員的訓練、資訊的保護、技術的加強，來進一步提升資安的防護。所以，網路購物業者的資安防護策略到底是什麼？簡單的說，就是要找出網路購物流程中，可能存在的安全弱點，以及會利用弱點而造成傷害的威脅，然後實施對應的控制方法來減少弱點並降低威脅，將資安風險降到可接受的程度。最後還要注意在這個過程之中，千萬不要忽略了內部人員的安全訓練，資料的傳遞保護，以及資安技術的防護，如果能夠確實控管資安風險的話，相信對於網路購物業者，將會創造更多商機，同時建立起消費者的信心與口碑。

資料來源：
http://jackforsec.blogspot.com/2010/05/blog-post.html