Equifax 數據泄露事件原因查明：未知證書過期

近期發布的國會調查報告披露了2017年Equifax 1.48億條個人數據被盜事件的細節，事件根源是證書 設備上的一張過期SSL 可見性設備失效。報告中的總結如下：

「攻擊者針對這48個數據庫發起了9000次查詢，先後265次成功定位到未加密的個人可識別信息（PII）。攻擊者在Equifax完全不知情的情況下將這些數據傳出了Equifax環境。Equifax未能發現數據外泄，是因為用於監控ACIS網絡流量的設備因一張安全證書過期，已停用長達19個月。2017年7月29日，Equifax更新了這張過期證書，隨即發現了可疑網絡流量。」

在廣受關注的愛立信故障事件（該事件導致O2、軟銀等營運商數百萬用戶的流動服務中斷） 事件發生後不久，全企業範圍的自動化證書管理需求已愈發清晰。上述兩起事件中，證書過期都引發了災難性故障，導致企業在聲譽、客戶信任和直接經濟損失方面付出了沉重代價。如果當時有自動化系統來發現、跟蹤和續期證書，這類問題本可以避免。

當然需要注意的一點是，在這兩起問題發生前，涉事機構完全沒有意識到自身存在漏洞。這正是未知或被遺忘證書的風險之一：它們是隨時會爆炸的計時炸彈，會毫無徵兆地導致關鍵應用癱瘓。每家企業都應當自省：哪些關鍵系統明天可能發生類似的災難性故障？又要如何提前發現這些未知證書，避免等到故障發生才被動應對。

[2018年12月13日更新] 我們在報告後續內容中發現了如下細節：

「但在泄露事件發生時，Equifax已有至少324張SSL證書過期，其中79張過期證書部署在負責監控業務關鍵域名的設備上。」