广州公积金账户网上查询系统刚一上线，即被网友指出有漏洞存在。原因是该查询系统初始登录时只需要个人的姓名和身份证号码即可。事发之后，公积金中心承认漏洞的存在，但相应的整改措施中依然没有改进初始登录方式，只是压缩了部分信息项目。然而，半个月后，广州社会保险费查询功能在市地税网站上线提供服务，与公积金查询系统相似的漏洞竟然再次出现。(南方都市报www.nddaily.com SouthernMetropolisDailyMark 南都网)
从应用简便性的角度看，使用身份证号码作为登录账号及初始密码，确实易于操作。但由于身份证号码在社会生活中被随意滥用，已然成为“公开的秘密”，因此谈不上任何安全性。以身份证号码作为该类系统的初始登录账号及密码，事实上已经为恶意行为提供了便利途径，也为账户所有者增加了烦恼。
以我浅薄的应用系统设计经验，此类系统的设计要满足安全与易用并不困难，关键要做好初始登录的校验工作。以公积金查询系统为例，可使用公积金银行账号为初始账号，身份证号码为初始登录密码，首次登录后，如马上修改密码，下一次登录即可更改为使用身份证号码作为登录账号，否则依然要求以银行账号作为登录账号。由于银行账号具有较高的私密性，这样既保证了密码的安全，同时也方便了用户的使用。
用微信“扫一扫”，精彩内容随时看
