交通委:国拍将升级沪牌拍牌系统 杜绝漏洞保证公平

22.04.2015  07:53

  

  图片说明:图为网传的疑似机房

  “一下子被黄牛拍去近千张牌照,我们怎么能够拍得中?”上周六沪牌竞拍后,一张配图的传闻在网上流传。图片中显示,一大型机房内,百余台电脑被电线交织,三名男子留影配字:“三剑客,本月拍中985张,高科技是王道”。这传闻引起不少市民的关注,纷纷表达了质疑。

  昨天,上海市交通委相关人士再次表态,正进一步调查网络传闻的“黄牛利用上百台电脑代拍上海车牌”事件。

  该人士同时透露,沪牌拍卖所使用国拍系统目前正在进行升级前的调试和压力测试。上述工作完毕后,升级系统将正式投用,将增强牌照拍卖的公平性。

  市交通委透露,调查工作将围绕竞拍者使用的IP地址、网络足迹等查询展开排摸。市公安局、市通信管理局会对国拍公司后台数据展开调查。“曾经也发现并查实过,有类似黄牛在自己家中,抢秒拍牌。对此予以查处过。”相关人士表示,目前还未判定,网络爆料内容是否完全真实。根据现行拍牌规则,每台电脑仅能注册一个投标号。如果一次拍中“985张”,意味着“黄牛”使用的电脑超过千台。市机动车额度管理办公室强调,如查证确认该消息系不实信息,将依法查处造谣者。

  据悉,沪牌拍牌系统优化的工作也已经展开,目前处于调试阶段。“上线前,还需要接受压力测试等环节。估计很快就更新了。”该部门相关人士介绍,升级后的拍卖系统将在近期投用。届时,沪牌拍卖的公开、公平性将进一步增加,目的就是进一步杜绝钻空子拍牌行为。

  但市民的疑问依然没有答案,为此记者昨日采访了信息专家、顶级“白帽子”等专业人士,解析“黄牛用百余台电脑拍牌中了近千张”的可能性。

   [三大疑问解析]

  疑问1:可能三人一下中标近千张牌照吗?

  “一下子拍到近千张牌照,应该是假的。”昨日,上海市交通委社会宣传处副处长黄晓勇表示,一台电脑只能拍一张牌,照片描述是百余台电脑,怎么可能拍到985张牌照?他告诉记者,虽然调查仍在进行,但即使真是黄牛利用此类设备代拍,传闻也有夸大其辞的成分。

  复旦大学信息学院副教授凌力对照片的说辞也深表怀疑。“一次拍中985张,百余台机器,那么一台机器同时为几个账号拍牌,进程多少个任务才行啊?”凌力表示,本月中标率是5.4%,假设黄牛中标率为10%,已经很高了,中985张,至少要有上万人委托拍牌,“机器代替人操作,的确比人精确,但时间窗口只有几十秒,差别不会这么大。拍牌不是抢火车票,先下手为强,机器快就行,拍牌还要根据价格变动等情况,所以中标率不会那么高。

  “用机器拍的事情可能是存在的,但数字没有那么高,更多的是想做广告拉生意吧。”凌力认为。

   疑问2:这样的机房可能存在吗?

  上海市信息安全行业协会副秘书长张凯说,他也在网上看到了这张照片。“第一感觉,不是正规的IDC(数据中心)的做法,不是专业人士做的。从供电、配线、屏幕来看,是地下作坊、山寨的感觉,可能是地下黑色产业链深入到车牌拍卖。

  张凯表示,网站很难做到100%的安全,利用程序软件从技术上来说有可能性,像以前铁路12306网站车票被软件抢走,微信抢红包用外挂软件。

  “程序软件的输入速度是毫秒级的,手动输入是秒级的,利用程序软件确实能够提升中标率。”张凯说,这种程序软件使验证码有被破解的可能性,但并不是一种黑客工具。相对于验证码来说,动态密码的安全性更高,也就是银行常采用的U盾。不过,张凯也坦言,拍牌系统没必要动用如此高的技术能力。

  张凯说,目前黄牛代拍牌处在灰色地带,发现漏洞的前提是要利用程序、工具扫描拍牌系统,如果没有对方的授权允许就扫描,就是非法行为。

   疑问3:用外挂软件中标率能提高多少?

  昨日记者采访了上海碁震云计算科技有限公司高级研究员宋宇昊,该公司曾派出“白帽子”团队“KeenTeam”在今年温哥华举办的全球顶级安全赛事Pwn2Own 中,连续攻破IE环境下运行的Flash与Reader两大插件,实现在该项赛事上的三年五冠。

  “对于车牌代拍这个行业,我并不很熟悉,只能对外挂软件的基本原理解释一下。”宋宇昊谦虚地表示,他并没有见识过代拍黄牛使用的软件和硬件,很难判断对方到底有多大功力。不过他表示,国拍这样的拍卖系统,和12306一样,如果使用外挂软件,确实会提高一些成功概率。

  “有了软件,确实可以达到不用人工操作,就可以抢拍商品或抢票。”他解释道,外挂软件可以自动帮你输入验证码、并自动识别和出价,相对人工操作来说,肯定是要快一点。他也表示,诸如一些网站抢购商品之类,如果抢购者服务器距离网站机房较近,因为减少了网络延时,也会提高成功率。

  “但只是提高概率问题,很难说成功率会高多少。”宋宇昊强调,无论你的硬件、软件多厉害,如果国拍的接入口很小,大家纷纷争抢接入,千军万马过独木桥,运气还是要占据很大成分。

  专家建议:

  限制同一个IP地址登录拍牌账号的数量

  宋宇昊表示,无论是国拍还是123036网站,对于是人工提交还是软件提交申请,都无法辨别。一般来说,类似系统防范外挂软件的方法就是“验证码”,使用软件难以辨识的验证码。记者也了解到,12306网站现在为了防止抢票软件,验证码已经升级为“看图选图”。

  凌力也认为,既然有此传闻,国拍行应该改进技术,让机器拍牌的事儿越少越好,更公平公正。“像同一个IP地址,一个点上来那么多个登录,肯定有问题。一般家庭一个IP地址拍3张车牌很厉害了吧。IP地址是稀缺资源,就算做虚拟IP 地址,也做不了那么多,肯定会露马脚。”他提议,同一台电脑不能用多个账号,限制同一个IP地址登录拍牌账号的数量,防止“拍牌站点”的事儿出现。此外他也建议加大验证码的难度。

   黄牛心态:

  太张扬了,中标率有3成已是很好的了

  “政府在查黄牛代拍的事情,下个月帮我拍没问题吧?”近日,不少市民看到新闻后,一方面对代拍者这种“抢占资源”的做法表示了不满,一方面却又担心自己所托黄牛出现问题。不过黄牛们却纷纷“报平安”,“我们没这么张扬,有自己的团队,这次不会受到影响。”一位徐姓黄牛说。

  “我觉得网上这次号称拍到千张的事情是吹牛的。”对代拍车牌颇有研究的老张说,现在每次拍牌都在10万人左右,这个月更是15万人,里面大部分都是“装备精良”的代拍者,中标成功率能达到3成左右已经是很好的了。

  老张表示,虽然收费标准不同,但其实中标率相差不会很大。很多黄牛开出2万多元的高价,甚至不中还会赔偿,“其实都是拉拢客户”。

  老张说道,黄牛只要手里超过10个客户,中标率能保证10%左右,即使赔付部分客户,也已经可以赚钱了。

   记者手记:

  哪个黄牛如此靠谱?请告诉我联系方式

  “一次能拍中985张车牌?这黄牛真可恶,请把他的联系方式告诉我!”“黄牛百余台电脑拍牌中标近千张”的传闻在网络疯传后,一位爱车已经光屁股半年的朋友如此和记者调侃。他这种无奈和对“靠谱黄牛”的渴求,相信诸多久拍不中的市民都感同身受。

  4月19日本报曾头版报道,高女士连续13次拍沪牌,13次都等来相同的回复:您没有成交。不知所措的她通过本报呼吁:相关部门能不能给拍了一年以上的人出台一些适当倾斜的政策?

  现在的这套拍牌政策已是煞费苦心,既抑制拍牌价格快速上涨,又不是“摇号”那样纯粹碰运气。但是弊端也越来越明显,随着竞拍者的增多,一定程度上已变成“拿着钱摇号”。记者认为,相关部门应该深入听取一下诸如高女士这样市民的呼声,继续开动脑筋优化拍牌流程,不然“高女士们”唯一能做的依然是继续求助黄牛。