有許多板友質疑隱私權是不是會被侵犯，個人信件會不會被看光光，容我花 一點篇幅來解釋這次事件所用的手法以及相關的修正。下面文章使用的「站 長」一詞指非擁有系統權限的站長。 1.使用手法－為什麼個人的信件會被看到呢？ 在批踢踢的程式裡，只有登入的那個人可以看到自己的信件 (以及包括水球 記錄、聊天記錄、暫存檔等等) ，站長是沒有辦法看到使用者信件的。並且， 所有的密碼都是經過單向加密後才進行儲存，所以理論上是沒有辦法得知每 個人設定的密碼是什麼 (註一) 。 那這次為什麼會有使用者的信件被看到呢，這是因為透過兩個站長可以使用 的功能，就可以達到這個效果： a.透過「使用者設定－設密碼」，直接寫一份新的密碼上去。 a1. 於是現在手上就有該使用者的新密碼，透過這一份密碼登入，程式 認可這是該使用者合法的帳號及密碼，所以就放行，包括進入郵件 選單。 b.透過「查閱備份使用者資料」，取該使用者的資料備份蓋回，於是密碼 又回到原始狀態。 2.所以為了保護使用者，應該取消這兩個功能嗎？ 答案是否定的。 因為如果取消了「使用者設定－設密碼」，忘記密碼的使用者就只能等著四 個月後被砍帳號然後重新註冊，同時他所有的信件、金錢文章數五子棋等等 記錄就全拿不回來了。 因為如果取消了「查閱備份使用者資料」，如果有使用者因當機或其他因素， 帳號資料遺失或毀損的時候，站方就沒有辦法處理 (所以可能又是放著四個 月後讓他被砍帳號？) 基本上，科技本身是中性的，端看你怎麼來用它。核能可以拿來發電也可以 拿來炸掉地球，這兩個功能可以拿來救發生奇怪狀狀的人，也可以合起來侵 權。 3.那未來是不是可能又被濫用導致類似事件呢？ 從技術的關點上來說，是的。 但是在這個同時，我們盡力避免這件事情的發生： a.所有對使用者資料╱密碼╱權限更動，都會留下記錄，包括日期、時間 、由哪一位站長、對哪一位使用者進行更動。這份資料會保留在站務區， 供所有站長檢查。同時沒辦法進行修正。 b.程式已經修正「使用者設定－設密碼」的同時： b1. 程式會自動發信給三位提供保證的使用者告知站長修正該使用者密碼。 b2. 程式部門目前正在修正相關的程式，只有讓有「帳號管理員」權限 的站長得以使用本功能。盡量讓只有最少的人有這個權限，相對的 就可以減低發生這種事情的風險。 預計在一週內會將相關修正完成的程式上線。 c.程式已經修正「查閱備份使用者資料」取回時，會延用最新的密碼。所 以如果又有其他站長嘗試使用上面這個方式，使用者將發現自己的密碼 不正確，即可調閱相關上站記錄以及帳號密碼更動記錄檢查是否有問題 發生。 d.如果懷疑自己的帳號有可能被不明人士入侵，本站提供完整的上站 ip 記錄可供查詢。 4.「我的信件到底被偷看沒？」 所以現在只有一種情況可以偷看到你的信件，即拿到你的密碼 (不管是你原 來設的密碼被別人知道了，或是有站長幫你設上去) ，接著用你的帳號登入。 但是只要登入成功一定會留下登入記錄，例如說你這半年都只在台大裡面登 入批踢踢，突然有一個從清大登入成功的記錄，那顯然就是有問題。 如果說您對這方面有疑慮的話，建議您： a.定期更改密碼，並且用較複雜的密碼。 b.跟帳號部門調閱上站資料，我們提供完整的日期時間 ip 登入記錄。 註一: 當然如果你拿到加密後的密碼，可以用暴力法把密碼跑出來，這要花 點時間。同時越複雜的密碼理論上要花更久的時間才能被跑出來。建議密碼 包括大寫及小寫英文字母，配合上數字空白及特別符號。 in2 Sun Oct 9 00:27:18 CST 2005 ------------------------------------------------------------------ ok，此線以下不算在公告的部份，我發表一些個人的看法。 我忘了在哪邊看到有人批評說站上不受法律管轄的，這是完全錯誤的想法， 也許小莎接下來就要面對法律的訴訟。容我再次提醒所有的人 (包括所有 的服務團隊) ，法律不是開玩笑的，同時希望不要再有其他人會須要面對 法律的制裁。 有些朋友很強硬一直要分誰是「官」，誰是「民」，分成兩大群體互相對立， 我個人想 (或說希望) 這在批踢踢上不成立，在這個平台上面，你可以貢獻 自己的心力讓這個社會更美好。 例如說，你去修了某堂課覺得真是爆爛，所以你就在 NTUcourse板上貼了一 篇文章，於是就救贖了眾多的學弟妹免被荼毒；例如說，你覺得某個板主實 在當的太差，這樣子實在欠網友一個交代，你可以接替他的位置，好好管板， 給網友一個交代。你要是覺得現在的制度實在有夠差，fine，你可以毛遂自 薦，提一套新的制度，在一定的程序同意後 (當然現在並沒有這種程序，你 也可以提一個) ，新的制度上線，於是大家就有一個更好的制度可以用。你 要是覺得現在的程式寫的實在爆差， bug一堆，功能不夠，你可以自己動手 來寫修改程式，有人會負責 review 你的程式然後 commit ，於是我們就有 更多的功能或更少的 bug，事實上這樣子會比你在 PttSuggest 板快很多 XD 你現在所用的一切，是前人的貢獻累積下來的；現在，你有這個機會可以替 未來的人做點事情，或是可以讓現在的你過的更愉快－例如說擺脫某個有夠 笨的板主，換成聰明的你取而代之。 最後，批踢踢實業坊永遠不會商業化，不會成立公司，也不會拿來營利。 :) --

※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 140.112.90.74