系統(tǒng)漏洞 北京購車搖號中標信息可修改

　　北京首次機動車搖號剛剛結束，就有人發(fā)現(xiàn)，在網上打開自己的中標通知書后，可以將其他的中標人申請編碼復制到地址欄，獲取他人中標通知書上的駕照信息，用這些信息，進入交管局網站修改對方的聯(lián)系方式。對此，北京市交通委表示，在獲知信息被泄后，已經協(xié)調技術人員對申請人信息加密。

　　網上可查中標人信息

　　首輪搖號結果公布后，楊先生登錄該系統(tǒng)查詢得知自己幸運“中簽”。

　　但隨后，楊先生和其他中簽者發(fā)現(xiàn)，登錄系統(tǒng)后通過網頁瀏覽的方式查看中標通知書時，自己的申請編碼顯示在頁面地址欄的ID中，如果將其他中標者的申請編碼(搖號結束后已公示)在ID上替換，也會看到該中標者的通知書，“這意味著我們的姓名、身份證號、駕駛證檔案編號都可能被泄露。”

　　一旦有人掌握了這些信息，可以進入交管局網站的駕駛員個人信息修改系統(tǒng)，輕易修改自己的聯(lián)系方式，“包括個人電話和家庭住址。”

　　中標第一人信息被修改

　　與此同時，某視頻網站報道了“中標第一人”私人信息泄密遭修改。

　　筆者用朋友的賬號登錄小客車指標調控管理信息系統(tǒng)，找到了第一位搖中者的中標通知書，根據(jù)通知書上顯示的個人信息，登錄交管局駕駛員個人信息修改系統(tǒng)里發(fā)現(xiàn)，當事人的聯(lián)系電話被改成一個兩位數(shù)的重復數(shù)字，而家庭住址和電子郵箱被改成了泄憤的臟話。

　　筆者多次試圖聯(lián)系該中簽者，但均未成功，其他中簽者的電話也為空號。

　　交通委加密申請人信息

　　北京市交通委員會工作人員表示，他們在了解小客車網站申請人信息被泄露的情況后，立即協(xié)調技術人員進行后臺處理，對申請人信息加密，當天下午，小客車搖號申請網站已無法查到其他申請人信息。

　　1月26日下午16時45分，筆者再次登錄小客車指標調控管理信息系統(tǒng)，查看他人中標通知書時，頁面彈出“已超時，操作失敗”的提示，網頁沒有顯示中標通知書。

　　技術分析：給編碼“加鎖”可避免泄密

　　對此，某網站網絡技術研究人員分析稱，因為一個編號對應一個人，所以中簽者登錄自己的頁面，通過修改ID參數(shù)值(即申請編號)，就可以在系統(tǒng)的數(shù)據(jù)庫里，查到與編號對應的個人信息，“就像在收搜引擎中輸入關鍵字，找你要的資料一樣。”

　　這位研究人員說，如果技術人員不在搜索和結果之間進行設計，就會導致類似的事情發(fā)生;相反如果技術人員在后臺服務器中，對申請編碼進行身份認證的技術處理，就可以輕易避免查到非本人編碼的信息，“等于給編碼加密了。”

　　交管局回應：聯(lián)系方式被修改，不影響駕駛人核心注冊信息

　　北京市交管局有關部門負責人表示，獲知有部分駕駛人的檔案編碼泄露，及時采取了措施，防止不法人員惡意在交管局網站篡改他人信息。

　　駕駛人檔案編碼，是駕駛人考取駕照后，從交管部門獲取的具有唯一性的身份認證碼，結合駕駛人姓名、駕駛證號等信息，可以通過交管局外網“駕駛人信息修改”欄目，更改駕駛人的個人信息。該欄目可以顯示，駕駛員檔案編號、姓名、駕駛證號、郵寄地址、聯(lián)系電話、郵政編碼、所在省市、電子郵件等多項個人。

　　“他人惡意修改的部分，僅是聯(lián)系方式。”該負責人介紹，如果驗證信息正確，進入頁面后，市民僅可以在網站頁面上直接修改聯(lián)系人電話、地址、電子郵件等聯(lián)系信息。這些信息，在市民取得駕駛證件時被要求填寫，主要用于交管部門郵寄或電話通知駕駛人違章、駕駛人變更等信息。“這個頁面上的修改，不會影響到駕駛人的核心注冊信息。”該負責人解釋稱，也就是說，即使駕駛員的信息被人惡意篡改，也不會影響其正常的驗證、換本等車務辦理。

　　交管局相關負責人表示，出于準確服務的考慮，交管局連夜對這次搖號產生的17600名駕駛員的聯(lián)系信息進行審核，確實有被修改的將及時恢復。同時，交管局提示，這次搖號獲得指標的駕駛員，主動上網對自己的聯(lián)系信息進行一次確定。（互聯(lián)網綜合編譯）