一開始的事
是在今年大概五月的時候
板務站長sallykoi向法務站長DonaldLam借用Ptt2的id
並使用這個id的權限 (批萬跟批兔的權限是不互通的)
將某使用者的密碼更改後登入其帳號並閱讀信箱中的信件
並刪除部分信件
之後採用取回舊記錄的方式 取回原帳號密碼
以上就是發生了的事實 接下來是後續
約過一兩週後 in2在admin板po出兩行log
為當初此更動密碼的記錄(更改使用者資料、權限、密碼等 都會自動留下log)
並要求更動的人主動提出說明
再過了約三天後 sallykoi主動在板上承認前述事實 並向站長群道歉
DonaldLam則表示確有出借id一事 然對sallykoi所為事先並無所知
並強調其僅為無辜第三人 沒有犯意 也非共犯 要求不予處分
in2即公告要求各站長發表對sallykoi與DonaldLam之處分
發表方式為各站長私下寄信給in2
由其除去id並更動部分語氣後再發表於admin板
各站長意見各有不一
約一週後 再於admin板辦理投票決議
決議為sallykoi自行提出辭呈後解職 DonaldLam不處分
並決議此一處置當即執行 並不公開於sysop等公開板
這是後來的處份情形
接下來是有關使用者資料的部分
一 有沒有可能個人資料被站長外洩 當然有可能
就跟警察有可能會開槍打死無辜百姓 戶政事務所有可能出賣資料給傳銷一樣
但這是不是就表示警察不能帶槍 或是戶政業務該整個廢掉呢? 當然不是吧
今天我們可以確保的只有在 將您提供的資料僅用於良善目的使用上
像如果忘了id密碼 要查回來的方法就是提供你的資料給我們察核阿
或是如果有別人在板上誹謗了你 法官來找我們要資料 我們才能給他阿
使用者資料的原則in2也說過了
除非是法院、檢警等單位出文來調 不然我們是誰也不給的
之前還有過兒子意外死了 父母來要帳號
討論之後 也是決定不給 除非他們能讓法院要求我們提供
不然私下請託一概不可
另則 站長要更動使用者的資料 都會留下記錄
不論是密碼、認證信箱、權限、甚至id大小寫 都要留下記錄ip並申報理由
五月的事情 一開始也是in2在admin上問DonaldLam他id的異常log問題
之後sallykoi才承認是她借用了id去做了事情
二 這次的事情有沒有個人資料外洩
是沒有的 因為sallykoi只是動了密碼 進去看信
但是並沒有把資料公布在其他地方
像是公布在色情網頁上叫大家去找她援交這類行為
頂多只有sallykoi非法入侵id 並經由盜/使用DonaldLam的id為此事
三 站方當場與事後處理
in2直接就在板上要大家發表意見如果處分了
決不是企圖掩蓋 有所迴護sallykoi或是DonaldLam
而DonaldLam堅稱其確實不知sallykoi將用其id為不法行為
本來更改id密碼時是不能知道原密碼的
所以改完之後是改不回去的 原使用者就會知道被改了
這個是本站原來就有的安全機置
而這sallykoi是利用系統可以取回id備分資料的方式
提回原id之密碼 來迴避不知道入侵id原密碼的問題
自以為神不知 鬼不覺 因為當事人還是可以正常登入 不會發現有異
雖然在信箱裡有砍人家的信 但據我知當事人一下子也還沒發現
反倒是因為更改使用者資料改的太可疑 站上主動調查要求DonaldLam說明
(因為log上是寫DonaldLam更動資料) 這件事才被查出來
而就我所知 現在這個洞已經被補起來了 同樣的搞法不會再發生了
也就是說 我們永遠無法擔保不會有哪個瘋子站長濫用權限侵入你的id
但我們可以擔保的是
一 他絕不可能神不知鬼不覺的做這種事
二 站方查到絕對不會不追究 不處理(不論是公開或非公開)
三 處理過後 同樣的漏洞一定在程式上設法補強
至於LUKAKA所提超然問題
敝人自認當初討論經過從頭看到尾
也有人寄了一份將要公開的資料內容給我參考了
就是我當初看過的admin上的討論串 再少掉一些文章
對此事可算相當狀況內
而處分之討論與投票部分
因為敝人僅為活動部負責人 對板務問題了解不深 也沒有板主以上經驗
一般對板務問題只看不說 以尊重其他高階站長權限範圍
這個事件 我沒有轉任何意見給in2代發 之後也沒有參與投票
我想 我應該也可以算是超然
雖然我認為這樣說並不恰當
因為即便決議有瑕疵 也不代表參與的人就都是壞人 共犯結構
當然更不表示當初沉默的人就是唯一乾脆的好人 或是現在才有發言權
甚至可以置身事外 一句"我那幾個月沒管事"就推的一乾二淨
我想那不是工作團隊一份子應有的態度
而這也是我選擇跳下來解釋 而不是繼續沉默的原因
批踢踢對我來說 不論是管理者 或是使用者的立場
都是太寶貴 太重要的一個地方了
我不能容許老鼠屎來壞我的粥 也不接受別人因為這兩顆老鼠屎
就把整鍋好的粥都說成是一樣的黑屎
時間點與確切日期 因已事過數月 不復記憶 或有局部出入
然事實大要 與發生時序 當無大謬
先po這兩段 我再慢慢大E補充
(哇 應該是補完了 不會再E了)
歡迎轉載
路過的非板務站長 allyours