9月29日，教育部官网通过媒体再次向公众保证了IME没有任何信息泄漏。这是继5月30日在教育部官网专门就“教育技术服务平台”APP公开发布关于“全国教育技术服务平台”有关问题答复后，又一次强调了学生信息的安全性。
据教育部在9月29日向媒体披露的数字，全国中小学生学籍信息管理系统目前已完成1.9亿学生信息入库，并且该数字会一直增加，最终覆盖全国28万多所学校，所有的信息都要通过“教育技术服务平台”（简称“IME")的应用进行上传。
“不经意”的尝试，小白如何获取"IME"的管理员账号？
我本想亲身体验一下这款超级应用，却发现需要使用学生的注册码才能注册使用。
由于无法登录进行体验，于是我希望通过搜索引擎寻找其他详细信息，却无意中在某处发现一份介绍“IME”使用方法的文档中有一张这样的图片（注：原图不带马赛克）
图片中暴露了使用者的帐号和密码位数为六位数，于是我猜测这个密码可能是很常见的弱密码123456，结果在尝试之后居然成功登录：
并且我发现这款软件并没有设置验证码和任何限制重复登录的措施，于是使用123456作为密码尝试其他相近的帐号，看看有没有更多的人使用123456作为密码。结果在尝试短短几分钟的手动输入后，居然成功登录了3个帐号，均为管理员。
随后，我已向相关部门反馈了弱口令问题的情况，但同时也引发了相关的思考：
一方面，IME的用户自身安全意识不强，使用简单密码导致帐号可能被盗；
另一方面也暴露了该应用在信息安全方面的不完善。
按照上面的操作，即使是一个不懂任何黑客技术的小白，也可能可以通过单纯尝试就成功登录管理人员的帐号。如果是黑客通过撞库、社工或是暴力破解等手段进行大规模尝试，后果可想而知，一旦引发大规模的信息泄漏事件，责任由谁来担？
用户因弱口令问题泄漏信息，谁负责？
弱口令，也就是简单密码，如今已经成为了网络安全问题中最常见、危害最大、也是最容易被黑客利用的问题。在网络安全防范意识普遍较弱的今天，为图方便而使用简单密码的做法很常见。
2011年发生的CSDN密码明文泄漏事件中的统计数据显示，纯数字密码超过2890000个，纯小写字母密码超过740000个，123456789做密码的超过230000。若不是亲身试验用123456登录成功，原本我也并不太相信这些数据的真实性。
关于弱口令知识，可参考此前雷锋网的科普文：密码123456，意味着什么？
IME平台账号分为超级管理员、学籍系统管理员、学籍系统普通用户三种类型。如果是因为管理员使用弱口令（前文中的几个账号均系管理员）而导致对应的学生及家长信息泄漏，该由谁来负责呢？而一旦出现稍具规模的学生信息因泄漏而开始在网络黑市流通，谁又能区分究竟是“IME"的运营公司“天天艾米”将学生信息用于商业用途，还是因为管理员的个人原因或黑客攻击而导致的泄漏呢？恐怕到时候舆论又将“IME”的管理者推向风口浪尖。
如何保护密码安全？
关于类似该平台出现的问题，此前我和前DNSPod创始人、网络安全专家吴洪声私底下聊过。他也提出了几点看法：
”首先，如果不对登录次数进行限制，就存在暴力破解的可能性（尽管“IME”要求在登陆十多次之后会要求输入验证码，然而......你懂的）；
其次，在申请账号时应当限制用户密码长度和复杂性，因为现在网民的安全意识普遍不高，所以如果应用不主动限制的话，很多用户图方便好记就使用简单密码，留下隐患；
另外，你可以使用自己的设备登录他人账号，也说明该应用没有异地登陆保护、设备保护等风控措施。"
关于解决方案，其实，对密码复杂度进行限制、登陆入口设置验证码、设置异地登陆、设备保护等方式都可以提高账号的安全性。生物识别技术近年来发展迅速，尝试使用人脸、声音、指纹识别来代替密码登录，也可以很好的解决该问题，用生物特征替代密码是今后的趋势。而吴洪声本人现在自己创业，推出用生物特征识别替代密码的身份验证产品——"洋葱令牌“，也是基于这方面的考虑。
随着生物识别技术的普及，越来越多的身份验证场景开始使用生物识别，比如微信、手机百度中都已加入“声音锁”功能。作为一个拥有海量用户和学生、家长隐秘信息的超级应用IME，在账号安全性方面还有待提高。
另一方面，用户密码使用习惯也直接决定了安全性，提高用户防范意识方面，可以在推广“IME”的同时加强对老师、家长及学生关于网络安全知识的普及，起码在要求用户安装使用"IME"时，提醒其注意相关网络安全。
2014年，英国政府就曾发起Year of Code活动，鼓励区域内每一所学校至少教小学生们1小时基础编程知识的活动。美国总统奥巴马在今年年初也曾呼吁“每个美国人都应学习编程”。
置疑之后，更应理性对待
不知为何，但凡政府部门出的应用，质疑声从来都少不了，铁道部的12306如此，教育部的IME也是如此，我想即使“IME”真的集成“洋葱令牌”这类用人脸、声音、指纹等生物信息替代密码以解决弱口令问题的产品功能，恐怕又会有人质疑其“企图收集用户生物信息用于商业用途”。质疑总会有，但不应该阻止创新和进步。
无论存在多少舆论和质疑，IME的出现不是偶然，而是我国互联网和教育信息化发展到一定阶段的结果。因为无论公众存在多少质疑，这样一个平台和应用的出现确实能为教育从业者、家长和学生提供更好的服务，也确实对我国教育信息化的进程起到很大的推进作用。
免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。