第一百八十一章：安全漏洞（3）

周二一大早，徐木升和牧云婉一起到学校参加信息化办案系统V3.0的讨论会。信息化办案系统由公安厅联合江北科技大学共同研发，实际上是公安厅出研发经费做需求管理，江北大承担绝大部分开发工作。校领导对这个项目极为重视，责成电子信息工程系和计算机系调集最优秀的师资力量成立联合实验室进行承接，由电子信息工程系的系主任王国鸿亲自挂帅。该系统自去年九月上线以来屡次在大案中发挥重要作用。今年年初江北公安厅将相关成果上报公安部，公安部已将其上升为国家级项目在全国公安系统内推广。这个项目作为高等院校和政府部门成功合作的典范，同时也得到教育部的通报表扬。王国鸿教授非常有信心在教育部新一年的科研经费预算里也分到一杯羹。

        会议地点在南三楼的阶梯教室，王教授首先激情洋溢的回顾过去一年所取得的成绩，随后承诺如果成功申请到教育部的科研经费，实验室所有成员的项目补贴提升百分之五十。等大家伙儿潮水般的掌声退却，他宣布本次会议是一次集思广益的诸葛亮会，在举手得到同意后就可以发言，所提建议一经采纳会给予奖励。有了如此重赏在前，项目组的同学们都争先恐后的举手发言。

        木云婉拿手肘轻轻顶了一下徐木升，柔声问她：“有什么好点子吗？”

        徐木升摇摇头。设计V2.0的时候他大大小小提了差不多有十条优化意见，那才是三月份的事情，到现在都还没完全实现呢，怎么可能这么快就有新点子？

        “你呢？”徐木升从来不会小看云婉。用于植入目标手机的定位插件，这个主意就是她想出来的，真的是太好用了。

        牧云婉也抿嘴摇摇头。“想了点扩展性的意见，但没有特别好的。”

        一套系统平台的后续发展大致有两个方向，一是对现有功能进行优化、深化，使得这些功能更实用更好用；二是进行功能扩展，使其功能更为丰富更为综合。例如信息化办案系统的最初设计是对接三大运营商的平台，快速查询嫌疑人开户信息并对其进行实时的追踪定位，设计V20版本时牧云婉提出做一个小插件利用OTA技术植入用户手机里，转LBS三角定位为CPS卫星定位，定位误差从二十米缩小至一米，这就属于功能深化；徐木升提出与城市安全摄像头进行对接，在跟踪嫌疑人的时候可以看到实时画面，这就属于功能扩展。功能扩展可以天马行空的发散思路，而功能深化不但需要扎实的技术功底，更需要深入一线在实际使用中积累需求。从思考的角度来说，提功能深化方案要比提功能扩展方案的难度大很多。

        同学们陆陆续续列出十多条意见，有建议和网吧监控平台对接的，有建议和各大酒店的住宿登记系统对接的，王国鸿逐一看下来发现都是功能扩展类的意见。这些扩展功能如果实现，的确能大充信息化办案系统的查询范围，但多不一定就好用，他期待的是那种使现有平台功能再上一个档次，能够显著提升办案效率的点子。

        “徐木升，你可是代表咱们学校参与过案件侦破的，你有什么想法？”

        王国鸿打一开始就在期待徐木升发言，可徐木升却一直坐着不啃声。他觉得徐木升肯定是揣着好点子想要在其他人说过之后再一鸣惊人，结果他连问两遍“还有谁要补充”，徐木升都稳如泰山。

        “嗯……”迫于已经问到自己头上，徐木升缓缓站了起来。他也料到王国鸿不会轻易放过自己，一直在努力思索，但是真没想出什么好点子，于是随口说道：“我觉得我们可以开发一款手持终端，通过无线网络与系统后台互动。”

        “我们不是已经开发了配套的手机app用来接受系统消息吗？”后排的一位同学嚷道。

        立即就有人符合：“对啊，多一个东西就多一份重量。你没看智能手机普及之后，MP3、mp4、GBA都消失了吗？既然手机能实现这个功能，干嘛还要多背个东西在身上。”

        一位计算系的老师站起身说：“我记得开发专属手持设备的提议在设计第一版系统的时候就已经否决了。现在都强调多屏复用的概念。小徐你这个提议简直就是一种倒退。”

        徐木升皱起眉头。他本来只是提个建议，不同意就不同意呗，干嘛这么挤兑人！

        “各位，我一开始也觉得有app客户端就够了，但跟着警方出过两次外勤之后，我发现在一定环境下专属终端还是有市场的。首先，有时候警员需要长时间蹲守，这个过程中难免用手机打发时间，但智能机带电量有限，等真正有情况发生的时候，可能就没电了。其次，有些重要任务本来规定是不允许带手机的，现在为了能接受系统的定位信息，只能让警员都把手机开着，这就有很大的风险，比如说有人忘记关静音，在接近犯人时突然电话铃响了。”

        “你说的这些情况真的发生过吗？”计算机系的那位老师问。

        “手机电有多不经用，相信大家都有体会。现在出外勤时警队领导都会反复强调要把手机调到静音，所以到目前为止倒是没出过意外。”徐木升实话实说。“除了我刚才说的那些情况，受限于手机的处理能力以及app不可能做得太大，我们只能在app上使用最基础的信息加密技术，这也是个隐患。为了防止外人使用信息化办案系统，我们在公网上只开放了单向通信能力，我们的app只能接受系统发过来的信息，不提供主动查询功能。我每次跟他们出外勤还得背着笔记本电脑，然后走加密的VPN链接后台。如果是专业客户端，我们完全可以使用专业的加密芯片来确保通信安全。”

        “可你也知道我们实验室以软件开发见长，如果要开发硬件设备就要增补相关专业的成员，而且硬件的研发、开模和测试都耗时耗力，还会增加甲方的后期采购成本。”

        徐木升笑着说：“甲方增加后期采购成本不就意味着有钱赚吗？”

        王国鸿听了这话眼睛一亮，拍怕手说：“这是徐木升结合一线经验提出的建议，我觉得有一定道理。我们回头和公安厅那边核实一下需求，如果他们确实觉得需要有专业的终端，我们就列这个为v3.0的开发重点。”

        现在学校都提倡创收，他已经在盘算即便公安部按1:10的比例为全国警察采购信息化办案系统的定制终端，那将会是多么庞大的一个市场。

        就在王教授为V3.0版本的研发找到方向的时候，坐在教室最后排的一个学生举手，却生生的说：“老师，我，我有一个建议。”

        “你说！”王国鸿示意他站起来。

        徐木升听声音还以为是个女孩子呢，回头一看是个面目清秀的小男生，他不太认识。“你们系的？”他问牧云婉。

        “嗯，是我后面一届少年班的，今年才加入实验室，叫戴桐，很聪明，就是太内向，像个小女孩。我们系的好多妹纸都喜欢逗他。”

        戴桐站起身，清瘦，个头不高。“徐师兄刚才说我们的app和后台之间的通信存在安全隐患，我这段时间在做系统维护，我觉得系统内部的安全隐患更大。我们的账号权限管理做得很粗，操作权限和管理权限没有完全分开。另外就是，日志留存也做的不够严谨，日志文件里只记录了关键操作而且是明文的。初级管理员账号就可以查看和修改。我前两天清理日志的时候发现有几篇日志是缺了内容的，也不知道是人被删掉了，还是存丢了。”

        不会吧！此话一出，整个阶梯教室就炸了锅。戴桐这不是在提建议，而是在进行批评。

        稍微懂点软件技术的人都应该知道，账号权限管理对一套软件系统来说是多么重要。比如说一款网络游戏，普通账号只能进行游戏；管理员账号能对普通账号进行管理，比如禁言、封号、奖励等等；开发账号更可以修改游戏人物、武器的模型参数甚至更改游戏规则。如果不小心把开发权限赋予普通账号，那么普通玩家就可以把自己的游戏人物修改成无敌状态或者给自己用不完的游戏货币，这个游戏里其他玩家就没法玩了。

        同样，日志留存功能虽然不是软件系统的核心功能，却是不可或缺的安全防控功能。它会详细记录软件的运行情况、各个账号的操作痕迹。例如某位警员的账号几点几分登录信息化办案系统，几点几分查过某具体号码的位置信息，这些都会记录在日志里。如果某警员拿信息化办案系统查自己女朋友的岗，或者对某明星进行定位，从日志里是可以看出来。

        为了确保日志本身的安全性，一般只赋予高级管理员账号查看日志的权限，同时对日志进行加密，只有通过对应的翻译软件才能转换明文。这些都是软件开发的常识。

        戴桐说信息化办案系统的账号权限管理混乱且系统日志没有加密。徐木升能够想到的最坏的情况是某人拿这套系统做坏事，然后再把相关日志给抹掉，这么一来想查都无从查起。

        一套给公安厅做的系统自身居然存在如此之大的安全隐患，这让在座各位开发者脸往哪里搁？

        计算机系的系主任张东方教授终于是坐不住了。他起身示意大家安静。“这位小同学反应的问题很可能是存在的。我们前期赶进度的时候把精力都放在主要功能上，账号、日志这些次要模块都是拿现成的代码凑的，这个不用等v3.0，我们在下个月的小版本升级就把这些问题给解决掉。”

        ***

        秦若莹陪父母吃过早餐，送父亲出门之后又安慰了一番为丈夫担忧的母亲，然后略作梳妆打扮，出门去拜访东方常青藤的老板金弘。

        错开了上班早高峰，滨江的主干道还比较畅通，只不过短短半小时的车程就看到两辆警车擦身而过还是让若莹感受到自己父亲以及专案组所承受的压力。

        和金弘约好的见面地点不是东方常青藤的写字楼，而是相距不远的新华广场一楼的星巴克。在星巴克对街下了车，若莹一眼就看到路边的墙上贴着周郝的通缉告示，而过了马路之后她还看到一组荷枪实弹的武警正在巡街。昨天夜里跟徐木升煲电话粥，徐木升说如果周郝还在滨江市，在如此强度的搜捕之下估计躲不了几天，胜负很快就会见分晓，看来是真的了。

        走进星巴克，金弘已经先到了。她一副OL打扮，显得特别干练，根本看不出是年过三十的人。两人各自点了杯咖啡，金弘抢着买单还要了一袋坚果，若莹也不跟她客气，落座之后跟她把事情大致说了一下。金弘听说是让她帮忙调查苏倩倩的海外资产，显得有些为难。

        “对于做我们这一行的来说，保护客户隐私是最基本的行业操守。之前答应提供给你们苏倩倩在我公司的办理业务情况，是因为作为企业我们有义务配合警方调查。但你让现在我让查的事情已经不是客户和我公司之间的业务往来，这就有点，”她抿抿嘴，“怎么说呢，我这里可不是私家侦探社。”

        若莹也知道这个要求有些为难，所以才没有在电话里说而是亲自登门。“这只是我们的一个猜测。绑匪认定苏倩倩有钱，一开始要五千万，虽然后来降到一千万也不是普通人承受得起的小数目。警方仔细调查了苏倩倩的经济情况，包括她的收入、房产、各大银行的账号，完全看不出她那样的支付能力。后来也是经一个朋友提醒，木升才想到她的资产可能在海外。”

        “也就是说，这只是你和徐学弟私下请我帮忙咯？”

        “如果你需要警方出具什么手续，我们也可以搞到，就是要花点时间。”

        “no，no，no。”金弘摇了摇她涂着咖啡红指甲油的手指头。“你完全搞错的意思了。我是想说东方常青藤是留学中介机构，不是侦探事务所，所以即便是警方让我协助调查非我公司的业务情况我也做不到，但如果是我学弟请我个人帮着打听点事情，我倒是可以顺口问问。”

        秦若莹恍然大悟，金弘这是想单独卖徐木升一个人情。“嗯，这事情和警方没关系，就是我们家木升好奇心重。”

        “可以，拿我就跟着八卦一下好了。”金弘眨眨眼睛。“美国、英国、加拿大、澳大利亚和新西兰我都可以托人问问，但是其他国家我就……”

        “这些就可以了，反正我俩也只是乱猜的。”若莹觉得如果是海外投资或者洗钱，应该跑不出这几个国家的范畴。

        “好，还有一点我要说清楚。既然是私下里的八卦，那这个事情就只限于你我还有徐学弟可以吗？”

        “ok！”若莹端起咖啡去欲和金弘碰杯，想以此表明这事情就这么定下了，可是金弘却在这时呆呆的望向窗外，整个人那一刻就像顿住了一样。

        “怎么了？”若莹感觉有些尴尬。

        “哦，对不起，只是说曹操曹操到。”金弘指了指对街。


　　https://www.msvvu.cc/99590/99590949/72612257.html


请记住本书首发域名：www.msvvu.cc。妙书屋手机版阅读网址：m.msvvu.cc