Trend Labs 趨勢科技全球技術支援與研發中心 – 第 14 頁

十大AWS安全祕訣：第二條，密碼策略和多因子身分認證

2013 年 03 月 12 日2013 年 12 月 24 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：Mark Nunnikhoven

在介紹如何利用AWS身份和存取管理來保護資源的文章裡，Justin介紹了AWS身份存取管理（IAM）的基本知識。今天我們要來看看如何使用IAM來設定密碼策略和多因子身分認證。

密碼策略（Password Policies）

使用強密碼的重要性是眾所周知的。大多數組織都已經有了密碼策略。這種策略通常會定義複雜度（像是包含多少個數字、特殊字元和密碼長度等），以及變更週期（像是每九十天就必須變更密碼）。

有些策略會更進一步，對於不同的設備或角色有不同的要求。CSIS的前廿項控制裡的第12項 – 「控制管理權限的使用」裡介紹了密碼策略的強化。就是要確保具有管理存取權限的人使用複雜密碼，並且必須一年變更好幾次。

IAM目前提供了一連串的設定來強制執行密碼策略。你可以為你的AWS帳號設定密碼策略。這策略可以讓你定義密碼的複雜度，但並不能設定變更週期。

現在就開始使用密碼策略是很棒，但你需要手動要求使用者定期變更密碼，或是採取別的方法加強……或是雙管齊下！

多因子身份認證

AWS的多因子身份認證（MFA）正是我們用來加強密碼策略的方法。

那麼，到底什麼是MFA？就是使用一個以上的認證因子來驗證誰是使用者。有三個常見因子：你知道什麼東西（something you know）、你擁有什麼東西（something you have）和你的生物特徵（something you are）。

我們的使用者已經具備了一個因子，就是密碼（使用者知道的東西）。對於AWS，第二個因子是使用者擁有的東西。可能是硬體認證裝置（可向AWS購買）或用軟體認證裝置，安裝在智慧型手機或其他設備上。

這些認證裝置會顯示隨機生成的數字，必須在使用者輸入自己的帳號和密碼登錄AWS管理控制台時輸入。這數字每隔幾秒鐘就會變化一次，以確保使用者在登錄時有認證裝置在身上。

現在想要認證成功，就必須輸入正確的帳號密碼，加上由正確認證裝置在使用者登錄當下所產生的數字。

繼續閱讀

數以百萬的iOS 越獄，你怎麼知道執行長沒有一支被駭過的iPhone？

2013 年 03 月 11 日2013 年 03 月 11 日 Trend Labs 趨勢科技全球技術支援與研發中心

一個針對蘋果iOS的例子，FinFisher International的FinSpy Mobile，可以監視使用者位置、聯絡人清單、電話、網路歷史記錄、簡訊，甚至在特定位置打開iPhone麥克風來進行竊聽。

你怎麼知道執行長沒有一支被駭過的iPhone？你怎麼知道有多少「沉默的聽眾」參加最新一次的董事會議？在過去幾年裡，不僅僅是美國能源部（設計和製造核子武器的部門），還有美國聯邦儲備委員會和華爾街日報也都被駭客攻擊。你憑什麼認為你們的高階主管不會受到相同的待遇？

作者：Cesare Garlati

Apple iOS被越獄的紀錄大概就跟它本身的歷史一樣長，但是IT主管們依然低估了這個問題．以及它對企業資料和網路所帶來的安全風險。

最新的iOS 6.1越獄程式在二月四日被釋出。根據將最新破解程式公布在evasi0n.com的作者 – Cyril（又稱pod2g）所提供的網站統計數字，僅僅在前四十八小時就有高達五百萬次下載。在這頭兩天，這些網站出現四千萬次的點閱率。其中有超過一半不重複訪客（約兩百五十萬）來自美國。

這個和我在數月前，在舊金山JailbreakCon 2012（全世界越獄界的代表大會。沒錯，的確有這大會）上遇到Jay Freeman（又稱Saurik）時所得到的數字相符合。Jay Freeman是Cydia的創始者，這是個完全合法而獨立的應用程式商店，以滿足那些解放他們Apple設備的使用者。Jay向我說明，根據他的網站統計資料，無論在什麼時候，都有約5%到10%的Apple iOS是越獄過的。

這有什麼好擔心的呢？因為這代表這些設備很脆弱。Apple如此有名的安全措施可以在短短幾天內就被破解 – iOS 6.1是在一月廿八日正式發表：只花了Cyril和他的朋友們不到一個禮拜的時間就打了Apple一巴掌。即使越獄社群並不是為了金錢目的而這樣做，但我們可以確信壞傢伙們（有組織的犯罪集團和商業間諜軟體廠商）都準備好要加以利用了 – 事實上，可能已經這樣做了。

從根本來說，越獄是當你太過限制使用者時會發生什麼事情的典型例子。他們會加以反抗。我們在許多其他消費性電子產品上都看到類似的模式，從電視遊樂器到電視機上盒都有。蘋果的問題在於它想要完全控制這生態系統的每個環節，從印表機到使用者可以下載的應用程式。這些使用者喜歡他們的Apple設備，但他們卻被當成小孩子對待。有了Android，使用者被當成大人對待：他們被允許下載任何應用程式，從任何自己信任的來源下載。Android作業系統的安全功能和權限模型固然並不完美，使用者被要求透過彈跳視窗來授權應用程式去存取使用者的行事曆、電話簿等。而Apple會事前審閱所有的應用程式，所以沒有這樣的彈跳視窗。但我們將在後面了解到，這會因為越獄過的設備而出現不好的後果。

順帶一提，不要將越獄和解鎖搞混了，解鎖是因為行動設備有綁約特定電信商，為了讓它可以使用其他電信商的網路而作。在另一方面，越獄則是去破壞或繞過iOS設備的安全措施。它可以跟下載一樣地簡單，今天的越獄數量也在不斷地成長，因為有專門的越獄社群會在最新iOS版本出來時，盡快地合作加以破解。

所以使用者因為被當成小朋友對待，被告知可以安裝和下載什麼應用程式，而採取極端手段來反抗，但這有什麼壞處呢？在法律上，因為數位化千禧年著作權法案的關係，越獄智慧型手機是完全合法的（Android上的越獄被稱為Root），但在平板電腦上是違法的。蘋果顯然強烈地反對使用者（還有開發商）透過這方式來掙脫其控制，也警告這會帶來縮短電池壽命、資料不穩和其他不好的後果。而在其中百分百正確的是，越獄的確會帶來不可接受的安全風險。

繼續閱讀

五個保持線上遊戲安全的秘訣

2013 年 03 月 08 日2014 年 04 月 25 日 Trend Labs 趨勢科技全球技術支援與研發中心

「電腦遊戲」曾經只是當你在工作時，自己偷偷玩的紙牌接龍。但是到了網路新時代，線上遊戲已經演變成了龐大的產業，充斥著各種多人線上遊戲，聚集了來自各行各業的玩家們，在這精心打造的世界裡熱血奮鬥著。這很酷，但也存在著一些風險。

這裡有五個可以幫助你面對在遊戲中可能會遇到的一些較明顯威脅的秘訣：

一、保持匿名。不要給出你的真實姓名或實際位置。如果你被要求建立個人檔案，確認你沒有提供任何可以用來在現實生活中找到你的資料，像是你的電子郵件地址、實際地址、你的名字或年齡。

二、語音聊天時要小心。有些遊戲可以讓你透過耳機麥克風和其他玩家交談。如果你決定要這樣做，可以考慮使用聲音變造功能來偽裝你的性別和年齡。

三、知道如何對付網路惡霸。確保你知道如何通知管理員，如果遇到有玩家失控的狀況時。你還可以封鎖騷擾你的玩家，最好先知道該如何做，這樣當你遇到一個令你不快的玩家時，就可以盡快地封鎖他了。繼續閱讀

讚、連結和經驗教訓關於社群網路，中小企業應該知道的五件事

2013 年 03 月 07 日2013 年 02 月 20 日 Trend Labs 趨勢科技全球技術支援與研發中心

龐大到媒體帝國，平民至便利商店，每家公司都紛紛將自己推到網路上，用最快也最具成本效益的方式來接觸他們的客戶。這是社群網路所帶來的好處，也是企業們駐足的地方。但你知道社群網路對企業來說是有風險的嗎？不管它們的規模大小。

事實一

各種規模、類型的企業都正在採用社群媒體。

並不是只有大型企業才會使用社群媒體，小型企業也會。在美國，大多數（58%）中小企業主會在社群媒體管道上發展網路及進行互動。^註1

Facebook上的公司網頁對中小企業來說是排名最高的社群媒體管道（29%），其次是在Facebook社團上互動或張貼消息（23%），然後是在產業相關社群上互動（19%）。這不難知道原因，因為這些基本上都是免費的行銷，只需要有電腦跟網路就可以了。

中小企業肯定能夠透過社群媒體來接觸到大量的消費者。跟據ComScore統計，全球的網路人口中有84%會使用社群網站。^註2 大多數人會花費五分之一的網路時間在社群網站上。在美國，社群網路的使用量幾乎增加了一倍，而在中國也增加了一半（53%）。^註3

事實二

越來越多人在工作時瀏覽社群網站。

在Salary.com最近一項關於浪費工作時間的全球性調查中發現，幾乎有三分之二的人（64%）承認自己在工作時連上與工作無關的網站。在這些網站中，Facebook是最受歡迎的虛擬聚會場所（41%），其次是LinkedIn（37%）。^註4

這消息其實並不令人驚訝。事實上，一項趨勢科技在美國針對709名受訪者所做的IT資安人員問卷調查中發現，有54%的員工在工作時因為個人因素而使用社群媒體。而中小型企業的員工中有超過五分之三這樣做。^註5

46%的人:在工作時不會因為個人因素使用社群媒體

54%的人:在工作時會因為個人因素使用社群媒體

事實三

社群網路威脅即使對小型企業也是一視同仁。

中小企業應該要知道，不管是大是小，它們也不能倖免於社群媒體威脅。中小企業員工就跟其他多數使用者一樣，也會落入社群媒體上的惡意陷阱。

假WhatsApp Facebook網頁>詐騙訊息顯示其他應該是WhatsApp的使用者>網頁導向偽造的星巴克行銷網頁>假Facebook版WhatsApp網頁繼續閱讀

重複使用密碼是幫了網路犯罪份子大忙

2013 年 03 月 06 日2013 年 06 月 18 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：Christopher Budd

最近Twitter被駭的消息，其中最重要的就是攻擊者大約竊取了廿五萬個帳號內的資料。

Twitter說被取走的資料是「有限度的」 – 只有「用戶名稱、電子郵件地址，連線代碼（Session Token）和加密/加料過的密碼。」他們接著說，他們已經重置了受影響帳號的密碼。所以如果你有受到影響，那應該已經接到通知（我在上週六接到通知）。

你可能會覺得奇怪：到底是發生了什麼事？你該怎麼辦？

雖然Twitter說明被偷了什麼，但如果人們看到「有限度的」，就認為並沒有什麼好擔心而不做任何動作是很危險的。這將會是個錯誤。我們看到這些被偷的資料，其實是會對你其他的帳號帶來危險的，如果你在多個網站上都使用相同的密碼。

被拿走的資料組合起來，可以讓攻擊者能夠去入侵你的其他帳號。如果你已經收到Twitter的通知並且重置了你的密碼，事情還沒有結束。你應該更進一步地去更改任何使用相同密碼的網站。最好是將每個密碼都設成不一樣，可以避免未來發生一樣的事情。

但是除了變更密碼，我會希望有其他種做法，比如密碼管理軟體。

重複使用密碼是幫了網路犯罪份子大忙

雖然我們已經說了很多年，重複使用密碼是有風險的，但是要管理許多組密碼也是件困難的工作，這也是為什麼許多人會使用一樣的密碼。在過去，你可以重複使用密碼而不會遇上什麼太糟糕的事情。網站會好好地保護使用者帳號。

但是這過去的一年顯示出網路犯罪份子開始佔得上風，可以輕易地獲得數以百萬計的帳號資料。在過去的一年，我們看到網站像是LinkedIn、Last.fm、Formspring和Yahoo等的帳號資料被盜。每次只要發生這種情況，任何重複使用密碼的人資料都有被竊的風險。繼續閱讀