一开始的事
是在今年大概五月的时候
板务站长sallykoi向法务站长DonaldLam借用Ptt2的id
并使用这个id的权限 (批万跟批兔的权限是不互通的)
将某使用者的密码更改后登入其帐号并阅读信箱中的信件
并删除部分信件
之后采用取回旧记录的方式 取回原帐号密码
以上就是发生了的事实 接下来是后续
约过一两周后 in2在admin板po出两行log
为当初此更动密码的记录(更改使用者资料、权限、密码等 都会自动留下log)
并要求更动的人主动提出说明
再过了约三天后 sallykoi主动在板上承认前述事实 并向站长群道歉
DonaldLam则表示确有出借id一事 然对sallykoi所为事先并无所知
并强调其仅为无辜第三人 没有犯意 也非共犯 要求不予处分
in2即公告要求各站长发表对sallykoi与DonaldLam之处分
发表方式为各站长私下寄信给in2
由其除去id并更动部分语气后再发表于admin板
各站长意见各有不一
约一周后 再于admin板办理投票决议
决议为sallykoi自行提出辞呈后解职 DonaldLam不处分
并决议此一处置当即执行 并不公开于sysop等公开板
这是后来的处份情形
接下来是有关使用者资料的部分
一 有没有可能个人资料被站长外泄 当然有可能
就跟警察有可能会开枪打死无辜百姓 户政事务所有可能出卖资料给传销一样
但这是不是就表示警察不能带枪 或是户政业务该整个废掉呢? 当然不是吧
今天我们可以确保的只有在 将您提供的资料仅用于良善目的使用上
像如果忘了id密码 要查回来的方法就是提供你的资料给我们察核阿
或是如果有别人在板上诽谤了你 法官来找我们要资料 我们才能给他阿
使用者资料的原则in2也说过了
除非是法院、检警等单位出文来调 不然我们是谁也不给的
之前还有过儿子意外死了 父母来要帐号
讨论之后 也是决定不给 除非他们能让法院要求我们提供
不然私下请托一概不可
另则 站长要更动使用者的资料 都会留下记录
不论是密码、认证信箱、权限、甚至id大小写 都要留下记录ip并申报理由
五月的事情 一开始也是in2在admin上问DonaldLam他id的异常log问题
之后sallykoi才承认是她借用了id去做了事情
二 这次的事情有没有个人资料外泄
是没有的 因为sallykoi只是动了密码 进去看信
但是并没有把资料公布在其他地方
像是公布在色情网页上叫大家去找她援交这类行为
顶多只有sallykoi非法入侵id 并经由盗/使用DonaldLam的id为此事
三 站方当场与事后处理
in2直接就在板上要大家发表意见如果处分了
决不是企图掩盖 有所回护sallykoi或是DonaldLam
而DonaldLam坚称其确实不知sallykoi将用其id为不法行为
本来更改id密码时是不能知道原密码的
所以改完之后是改不回去的 原使用者就会知道被改了
这个是本站原来就有的安全机置
而这sallykoi是利用系统可以取回id备分资料的方式
提回原id之密码 来回避不知道入侵id原密码的问题
自以为神不知 鬼不觉 因为当事人还是可以正常登入 不会发现有异
虽然在信箱里有砍人家的信 但据我知当事人一下子也还没发现
反倒是因为更改使用者资料改的太可疑 站上主动调查要求DonaldLam说明
(因为log上是写DonaldLam更动资料) 这件事才被查出来
而就我所知 现在这个洞已经被补起来了 同样的搞法不会再发生了
也就是说 我们永远无法担保不会有哪个疯子站长滥用权限侵入你的id
但我们可以担保的是
一 他绝不可能神不知鬼不觉的做这种事
二 站方查到绝对不会不追究 不处理(不论是公开或非公开)
三 处理过后 同样的漏洞一定在程式上设法补强
至于LUKAKA所提超然问题
敝人自认当初讨论经过从头看到尾
也有人寄了一份将要公开的资料内容给我参考了
就是我当初看过的admin上的讨论串 再少掉一些文章
对此事可算相当状况内
而处分之讨论与投票部分
因为敝人仅为活动部负责人 对板务问题了解不深 也没有板主以上经验
一般对板务问题只看不说 以尊重其他高阶站长权限范围
这个事件 我没有转任何意见给in2代发 之后也没有参与投票
我想 我应该也可以算是超然
虽然我认为这样说并不恰当
因为即便决议有瑕疵 也不代表参与的人就都是坏人 共犯结构
当然更不表示当初沉默的人就是唯一干脆的好人 或是现在才有发言权
甚至可以置身事外 一句"我那几个月没管事"就推的一干二净
我想那不是工作团队一份子应有的态度
而这也是我选择跳下来解释 而不是继续沉默的原因
批踢踢对我来说 不论是管理者 或是使用者的立场
都是太宝贵 太重要的一个地方了
我不能容许老鼠屎来坏我的粥 也不接受别人因为这两颗老鼠屎
就把整锅好的粥都说成是一样的黑屎
时间点与确切日期 因已事过数月 不复记忆 或有局部出入
然事实大要 与发生时序 当无大谬
先po这两段 我再慢慢大E补充
(哇 应该是补完了 不会再E了)
欢迎转载
路过的非板务站长 allyours