本文总结一下我对信息泄露的理解
0x01 信息泄露与个人的关系
本文会将主要内容分为三个层次去写，适用于个人、企业、像我这样的安全从业者等。
最近看了很多“通过信息泄露”打开漏洞旅程的渗透测试案例。关于个人的安全在网络上并没有普及太多，大多数网民还不知道“网络安全与个人”之间的直接、间接关系。这一节就给大家剖析一下我个人对个人安全的定义。
首先回到生活中，我们要消费、工作、社交，这一系列行为都有信息的交互，但是谈到信息泄露，必然是和个人隐私、机密信息有着密切的联系。
假设我们的常用密码、常用ID、常用手机号、身份证号被泄露了，有能力的人能够使用这些有效信息进行网络身份画像，知道你现实生活中的好朋友、家人、公司、喜好、住所、习惯…等等。
有一部电影《我是谁：没有绝对安全的系统》
《我是谁：没有绝对安全的系统》是由Baran bo Odar执导的推理片，埃利亚斯·穆巴里克、沃坦·维尔克·默林、汤姆·希林领衔主演。
该影片讲述了主人公本杰明和马克思,史蒂芬,保罗组建了黑客组织CLAY，并引起德国警察、俄罗斯黑帮的注意的故事。 —— 百度百科
该电影我看了不下五次，很喜欢里面的节奏，一种极客天性、爱自由、狂热、奔放，如果我有两条命，我一定会加入CLAY….
电影中，CLAY在电影情绪高涨的时候完美的发挥了社会工程学的力量，他们在垃圾场里去捡快递单、包裹包装袋、邮件，寻找攻击突破口。
最终马克斯在垃圾堆中找到了一个邮箱+名字，他们开始在互联网上搜索这个人，看她的社交平台内容，知道了她喜好小动物。
于是，伪造了一个钓鱼邮件，让她打开，控制她的计算机
这个过程中，搜集信息的工作在国内称之为“人肉”……
德国电影《我是谁：没有绝对安全的系统》大篇幅地描写一群黑客如何在网络世界中攻城略地、兴风作浪的故事。这部独立制片的成本不高，把黑客世界描绘成另一个武侠江湖，同样用到现实与虚拟来区分黑客在现实和网络的二次元世界，黑客用攻陷防范级别越来越高的网络系统来区分江湖地位，但原来最具挑战的系统是人心，没有比人心更难的安防系统。
电影链接：https://pan.baidu.com/s/1vHPArmh-agA2o2Zslv9NIw 密码：a1vd
那么说了这么多，我们有哪些信息是已经被暴露在互联网上的呢？
- 常用网名（ID）
- 常用邮箱
- 社交账号（QQ、微信号）
- 手机号
关于常用ID，这里涉及到心理学，就是网络有一种匿名属性，你可以一吐为快，不用在乎你是不是你，亦或者保留着一种神秘感。但是人为了表现自己的独一无二，ID往往不喜欢和其他人一样，起码在网上账号必须是唯一的。
既然唯一的可能比较大，那我可以很快的搜索到你。
在某些情况下，会利用网络这种能力的人，都很聪明。有的人还在偷偷关注前任 :) 当然，我不是其中的一位，哈哈～
其次 ，就是邮箱，邮箱为什么放到个人这层来写呢？ 因为现在网络上大部分比较自由的系统都使用邮箱作为账号，其次就是用户质量较高的平台会使用手机号来作为邮箱。
知道邮箱以后，我可以用你的生日+常用数字当做密码，逐个登录用户量大的、且与生活密集交互的平台。
在一线城市的人，信息泄露最为严重，因为生活严重依赖互联网、也必须依赖互联网。
说到社交账号（QQ、微信）这类已经和我们生活离不开的社交平台中间存在很多关于我们生活、地理位置、近况的信息，甚至还包括你的记忆，如果允许被“路人”查看，无非就是像脱了衣服的舞郎在跳舞。
尽可能的公布对你影响最小的信息
手机号，大家经常接到电销，前几年还好，运营商的号码都是新的，电销的人没办法抓住精准用户，那时候电销都是随机的，频率并不高。
作为一个网民，你要有一个意识：“当你的手机号被电销，那无疑是你的信息被泄露了。”
未来的电销将更加精准。举个例子，假设我注册了一个美食网站，而美食网站没有很好的保护用户数据，隔了几日，我接到了关于美食相关的电销电话…… 这发生的一切并不罕见，我遇到过很多次，所以目前只有一个房地产电销在经常打，没有其他的电销。是因为我这个手机号之前的机主在某市有房子，然后房地产平台、中介平台会把用户信息售卖给其他需要这批数据的新型投资行业。
总结一下
- 个人网民还是要定期的更换密码、要多重多样，降低密码与自己身份信息的粘度即可。
- 在网络上少发地理位置，因为通过这个也能知道你下周的几点可能在哪里。然后就是经常换网名，这个没坏处的。
- 不要随便给别人手机号
- 注册平台的时候能用邮箱就用邮箱，尽量不要使用手机号
- 要有备用邮箱，分别用来注册平台、和办公
- 建议不要使用免密支付、分期之类的杂七杂八的东西，越简单的东西越危险，要学会适度体验。
个人的先写到这里，我要暴露一下我的微信号了，毕竟信息的交换让人更有亲近感。
微信：Guest_Killer_0nlis
0x02 信息泄露与企业的关系
对于一个企业，势必要秉承客户至上的理念，尤其是互联网企业，要不断培养用户习惯、打造自己独特的用户生态。而这个生态中少不了用户数据的奠基，有数据就能有更多的创新。
企业可能会搜集我们的地理位置、喜好（其他数据计算）、习惯、常用密码、手机号等等。
2017年6月1号，国家颁布了《网络安全法》 规定了网络运营者（可以囊括目前互联网企业）的基本安全义务
《网络安全法》明确网络运营者的安全义务。为符合网络安全法规，要求网络运营者：
- 1）保障网络安全、稳定运行、维护网络数据的完整性、保密性、可用性；
- 2）遵守法律、行政法规，履行网络安全保护义务;
- 3）接受政府和社会的监督，承担社会责任;
第一条中的“完整性、保密性、可用性”指的就是网络运营者必须肩负起信息安全的责任。
那么对于用户这块必然要做好安全的，另外一面就是企业自身的安全，要定期的进行安全检测、资产梳理、安全加固等等。为了杜绝黑客入侵、窃取企业本身商业数据和用户数据，要付出不少成本，国家还规定了等级保护认证。
在企业中，对自身的数据安全，要抱着一个积极的态度，而不是为了检查而做“安全”。逢场作戏终究会出现乱子。
积极的态度不能太过亢奋，这会影响管理成本和自身企业内部的文化。这就涉及到一个问题：“体验”与“安全”。把握好尺度是最好的，这里还是想吐槽一下12306的验证码……
说了这么多有的没得，总结一下：
- 网络运营者应当持积极态度做安全
- 把握“体验”与“安全”的尺度
- 严格执行法律法规
0x03 信息泄露与安全从业者
不管是技术管理层、技术实施层的朋友一般都会有很好的职业习惯，这些习惯就是我们自己的荣耀，毕竟自己很少受害。
原本想偏向技术实施这类去写信息泄露的利用方式的，但是既然分好层了，就以一个全面的格局去写。
安全从业者一般会做一些攻防、渗透测试等模拟黑客行为的入侵。前期必然会信息搜集，了解目标。
在这里不谈Web安全这一小类。看的更宏观点，我来分一下类别：
- 用户信息
- 目标系统指纹
- 意外的泄露
首先，用户信息包含了目标所在的环境、规章制度、企业文化、身份标识、常用密码、网站等。
目标系统指纹涉及到技术层面，例如服务的banner、端口、网络协议、系统版本等。
意外的泄露，大多和内部人员管理有很大的关系，例如：代码托管平台上的源代码泄露。
真是一个强行分类，勉强理解吧，这一小节都是给同行业的人看的，表达的不好不至于被喷。
作为一个安全从业者，应当在做到0x01中的个人习惯的前提下，要更好的保护个人隐私。
合理使用“云服务”，私有云和公有云差别还是很大的，我们不怕麻烦，就怕不安全。
这里就不啰嗦了，可能各位大佬有很多怪癖的好习惯～
总结就个性一点：
- 你知道你被黑过吗?
- 你有没有觉得你被黑过，但是你不知道？
- 黑过其他人，自己有什么感受？
- 被黑的时候，心里有什么感受？
我来回答最后一个吧！
答案：是真TM的难受