作者clsshan2010 (livingroom)
看板Soft_Job
标题[新闻] 未用 HTTPS、明文传输密码，pay.taipei
时间Wed Jun 28 09:11:33 2017
未用 HTTPS、明文传输密码，pay.taipei 北市府支付平台安全性不及格
更新：
台北市政府资讯局 27 日晚间 发出声明 ，表示已於 6 月 27 日下午 2 时发现 app 存
在资安风险，背景资料未采用较安全的方式传输，并於当日下午 4 时 做应变处理完毕。
因系统上线仍有资料更新及修正所需时间，网站会 在 6 月 27 日完成更新重新上线，而
app 暂停服务会需要 2 到 3 天左 右的时间再度上线提供服务。
原本预计 5 月初上线，由台北市政府推行的一站式缴费平台 pay.taipei 经历延後推出
，终於在 6/25 正式上线。
然而上线後网友却不太满意，从图示、logo 太丑，到使用体验太差的意见都有，也可以
从 Google Play 上 1.4 颗星的评价看出，底下光登入流程都会卡住的留言绝非个案。
https://goo.gl/7RTW6j
更严重的问题是，身为政府支付平台，pay.taipei 的 app 安全性严重不足，更可能将大
众的资讯暴露於危险当中。Gandi.net 亚洲区总经理 Thomas Kuiper 试用後， 发文 指
出 pay.taipei 的 app 连 https 都没用上，密码还是以纯文字传送，而且用固定 IP 传
输资料。他也向 INSIDE 补充，「就算专案预算『只有』700 万台币 ，资料防护不是可
有可无的选项之一而已。」（Data protection is not only an option, even if the
budget of a project is "just" 7 million NT$.）
http://imgur.com/a/rmnrT
台北市资讯局长李维斌在今年 2 月的 记者会 上，表示 pay.taipei 平台企图整合各类
缴费项目，并且支援多家支付业者，除了提供民众更多元的缴费方案以外，也能推广台湾
的数位支付使用情境，系统由蓝新科技建置，也耗费了不少时间与各家支付业者协调及介
接系统。
尽管可以理解统整资源来建置统一缴费入口 pay.taipei 并不容易，而且根据李维斌所说
，主要为面向支付业者提供资源，但市政府自家 app 资料传输的安全性却是不容妥协与
忽视的问题，除了应尽速修补外，对於 pay.taipei app 整体的使用体验和目的性可能要
再多花点心思及专业来重新考量。
原网址连结:
https://www.inside.com.tw/2017/06/27/pay-taipei-failed-on-safety-levels
心得:
听说连Layout都不是自己拉的，还是从Github载下来
https://github.com/Friend-LGA
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 125.227.21.55
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Soft_Job/M.1498612295.A.559.html
※ 编辑: clsshan2010 (125.227.21.55), 06/28/2017 09:13:35
※ 编辑: clsshan2010 (125.227.21.55), 06/28/2017 09:16:43
1F：推 jsgolang: 包商:再追 我就要森77惹 06/28 09:18
2F：→ robler: 哈 明文传密码 这是哪家学生的作业阿 06/28 09:28
3F：→ faintbreeze: 未用 HTTPS、明文传输密码 这以为是做静态网页喔 06/28 09:30
4F：推 snowwolf725: 拿香蕉请来的猴子做的别太苛责猴子好吗? 06/28 09:30
5F：推 sofasoso: 反正就外包给外包再外包给外包 06/28 09:53
6F：推 crossdunk: 外包就蓝新啊 以前做金流的公司 06/28 10:06
7F：推 mdkn35: 700万 @Q@ 06/28 10:08
8F：推 sofasoso: 蓝新再外包出去 那个外包公司 只能说厂厂 06/28 10:09
9F：→ t64141: 蓝新阿，之前面试感觉非常差 06/28 10:11
10F：推 s8911090: 这真的很夸张 当成学生专题在做吗 06/28 10:14
11F：→ femlro: 乾脆发包code job搞不好都做的比较好 06/28 10:16
12F：推 sun84041: 超扯！这怎麽验收的呀 06/28 10:16
13F：→ manaup: 公务员只发包不负责的 验收计划不都乙方负责写的吗 没事儿 06/28 10:20
14F：→ abc0922001: 验收只要逼了会付钱，对方也有收到，就算过了吧XDD 06/28 10:22
15F：→ abc0922001: 这样公司才能赚MA钱XDD 06/28 10:23
16F：→ alog: 这个连PCI DSS认证都过不了吧 搞什麽支付平台 ☺ 06/28 10:29
17F：推 tsao1211: 新手中的新手才这样干 夸张 06/28 10:32
18F：推 abc9635741: 好奇蓝新下包是哪一间 06/28 10:37
19F：推 sing10407: 外包厂工程师很可怜DER 不要再B他们了 06/28 10:41
20F：→ ssccg: 什麽叫未采用较安全的方式，这叫采用不安全的方式吧 06/28 10:48
21F：推 kenwufederer: 什麽水平… 06/28 10:57
22F：推 Huffman: 职训中心 资策会 没有老师会这样教 06/28 11:04
23F：推 devilkool: 就算是资策会，老师也有教不要用明码啊... 06/28 11:23
24F：嘘 robber1234: 垃圾 06/28 11:46
25F：推 yesyesyesyes: 这应该是学生的作业吧... 06/28 11:57
26F：推 ppppman: 满屌的 06/28 12:01
27F：推 luciferii: 八成是合约没说要加密，厂商乾脆就省下这个钱不作 06/28 12:24
28F：→ luciferii: 昨天上报才临时弄个免费的应付一下 06/28 12:24
29F：推 luciferii: 刚看到契约书，原来有写，那混的就是验收的北市府了 06/28 12:31
30F：→ alog: 只能说 蓝新搞到这样真的很丢脸 06/28 12:31
31F：→ alog: 验收打混的也是王八这样 06/28 12:31
32F：推 ChungLi5566: 因为还没验收阿 06/28 13:15
33F：→ chrome: 不知有没有转包 06/28 13:24
34F：→ remmurds: 蓝新不意外 06/28 13:45
35F：推 Ekmund: 700万发包到最後剩7万给学生做才能变这样吧... 06/28 14:02
36F：→ Ekmund: 不对...有在打线上游戏的学生也知道密码不能明文 06/28 14:03
37F：→ newversion: letsencrypt 都给你免费了! 还在明文 = = 06/28 16:13
38F：→ gpctv: 让我想起过去有个PM说,不管啦,先能跑然後上线再说啦!!! 06/28 17:47
40F：推 now99: 80port挡了就好了啊 06/28 19:41
41F：推 orange7986: XDDDD 06/28 20:41
42F：推 mathrew: 跟 N年前 某家银行的网银一样 06/29 07:57
43F：→ RadiationXen: 不只是技术问题了，开发过程和验收根本有鬼 06/29 09:16
44F：→ alan3100: 看了一下截图 搞不好又是买硬体送软体.. 06/29 13:42
45F：推 neo5277: 科科科科科科科科嘶 06/30 19:46