CTO 技術長見解:加密技術有用 – 不要破壞它!

作者:Raimund Genes(趨勢科技技術長)

 

每隔一陣子,就會有搞不清楚狀況的政客站在麥克風前說著類似下列的話:加密技術會幫助到壞人(無論是恐怖分子,兒童色情或其他類似對象),因為執法單位不能看到壞人們在做些什麼,因為他們使用進階工具來加密。這麼說的政客會敦促科技產業「跟我們合作」來協助逮捕這些壞蛋。

不斷出現的加密技術後門要求已經不再令我感到驚訝。它來自對加密技術的一種誤解:它並非一組神奇程式碼讓程式開發者做任何想要它做的事情。這是有數學定義的工具:簡言之,只能做出數學上允許的事情。任何密碼學家都會告訴你:沒有什麼叫做安全而有後門的加密技術。

我很想找出能夠說服政客(跟自己)這種事情能夠做得到的人,可以用某種方式削弱安全性,只有讓好人才能破解加密。畢竟,世界各國的政府也都想要保持機密資料安全…哦,等等

我也想了解這樣建議背後的數據分析和邏輯。難道我們知道恐怖分子使用什麼樣的加密工具?有必要去削弱合法的服務?但恐怖份子卻很明顯地擁有自己的工具

我很確定有人會說好人沒什麼好隱瞞的,無須擔心。但事實並非如此,當然,只要看看每當一個重大資料外洩事件發生後會怎麼樣。最終每個人都還是需要擔心自己的資料。「沒什麼好隱瞞的」並非事實。

這些對加密的爭辯十分荒謬到要令人覺得好笑,如果不是人們是非常認真的提出加密後門,卻並不知道這種建議會產生什麼危害的話。

有許多辦法可以識別網路上的惡意分子,無論是網路犯罪份子或恐怖分子。這需要艱苦工作和訓練有素的研究人員,而且我們一直努力在提供世界各地執法機構這些的能力。

我們承認執法單位的工作也許因為加密技術而變得更加困難。但我們不能讓這樣的擔憂來破壞加密技術,這是強制後門會發生的事情。加密技術有用,而且是今日資料防護的基礎。不要破壞。

 

@原文出處:CTO Insights: Encryption Works – Don’t Break It!

▼ 歡迎加入趨勢科技社群網站▼

好友人數

 

《資料圖表 》因為創新,所以更安全- 趨勢科技始終保持創業精神,不斷開發最新的技術來保護客戶

客戶最在乎的是資安廠商能不能幫助他們防範最新威脅,防止系統遭到感染。趨勢科技自從 1988 年成立以來便一直深耕這塊領域,並且不斷創新,這正是為何我們能成為全球公認的頂尖資安廠商之一。身為一家專精資訊安全的廠商,我們持續投入大量的人員和技術來確保我們能領先駭客一步。我們的執行長暨共同創辦人 Eva Chen (陳怡樺) 一再對內部強調,我們的競爭對手已不再是資安廠商,而是試圖入侵客戶網路和電腦的駭客。

趨勢科技始終保持創業精神,不斷開發最新的技術來保護客戶

一份新的圖文解說清楚列出我們多年來所開發的一些創新科技與解決方案,其中有許多都是當時的業界先例。從全球第一個防毒晶片 (Chipaway Virus) 到最新的 AWS 雲端防護,透過這份圖文解說,您將清楚看到趨勢科技始終保持創業精神,不斷開發最新的技術來保護客戶。

資料圖表:趨勢科技的創新

(點小圖看全圖)

趨勢科技值得客戶信賴的另一點是,我們擁有充沛的人力和財力資源,因此能隨時掌握最新的威脅情勢。

不但如此,趨勢科技更持續挹注資金來擴充趨勢科技 Smart Protection Network™ 全球威脅情報網路。正因我們不斷翻新這套大數據分析平台的工具和技術,我們的資料分析師才能隨時掌握並預測駭客近年來的發展動態,例如:加密勒索軟體 Ransomware針對性攻擊/鎖定目標攻擊(Targeted attack )。我們有一份新的白皮書專門介紹趨勢科技主動式雲端截毒服務  Smart Protection Network如何產生全球威脅情報,讓我們實踐承諾,創造一個更安全的資訊交換世界。

趨勢科技 OfficeScan 解決方案一直在競爭對手之間維持著最高的平均總分

那麼,趨勢科技防範最新威脅的能力又是如何?您可參考獨立測試機構 AV-Test 過去一年半來的企業用戶端認證測試,趨勢科技 OfficeScan 解決方案一直在競爭對手之間維持著最高的平均總分 (防護、效能、使用方便性三方面滿分共 18 分)。

獨立測試機構 AV-Test 過去一年半來的企業用戶端認證測試,趨勢科技OfficeScan解決方案一直在競爭對手之間維持著最高的平均總分 (包含防護、效能、使用方便性三方面,滿分共 18 分最高分, 趨勢科技拿下 17.25)。
獨立測試機構 AV-Test 過去一年半來的企業用戶端認證測試,趨勢科技OfficeScan解決方案一直在競爭對手之間維持著最高的平均總分 (包含防護、效能、使用方便性三方面,滿分共 18 分最高分, 趨勢科技拿下 17.25)。

繼續閱讀

「 行動惡意程式數量將成長至 2,000 萬」, PC花了 21 年才累計達到這個數字

獨立測試機構 AV-Test.org 還特地統計了 PC 領域從 1984 年以來的惡意程式累積樣本數量,發現 PC 領域花了 21 年的時間才累計達到 2,000 萬個惡意程式。單就行動裝置來看,2012 年底的時候我們才發現 35 萬個行動惡意程式,沒想到短短幾年之內將會成長到 2,000 萬。由此可見,歹徒開發行動惡意程式的速度遠遠超越 PC 領域。同時也讓我們見識到行動裝置對網路竊賊有多大的吸引力。

手機 行動裝置

在「趨勢科技 2016 年資安預測:細微的界線」報告當中,我們的技術長 Raimund Genes 預測:「截至 2016 年底,行動惡意程式數量將因中國而成長至 2,000 萬;至於全球,則是新的行動支付方式將受到攻擊。」讓我們來仔細看看這項預測,並且從幾個不同的觀點來協助您了解行動裝置威脅情勢的發展。

首先,惡意及高風險的行動裝置應用程式數量大幅成長,這一點是肯定的,尤其在 Android 系統。然而,2016 年底將達到 2,000 萬個?這可是一個相當驚人的數字。為了和 PC 領域做比較,獨立測試機構 AV-Test.org 還特地統計了 PC 領域從 1984 年以來的惡意程式累積樣本數量,發現 PC 領域花了 21 年的時間才累計達到 2,000 萬個惡意程式。單就行動裝置來看,2012 年底的時候我們才發現 35 萬個行動惡意程式,沒想到短短幾年將會成長到 2,000 萬。由此可見,歹徒開發行動惡意程式的速度遠遠超越 PC 領域。同時也讓我們見識到行動裝置對網路竊賊有多大的吸引力。

然而,是否所有行動裝置使用者都因而陷入危險當中?這一點卻不盡然,因為絕大多數的行動惡意程式都是在中國製造,並且用於中國。這不令人意外,因為中國擁有最龐大的行動裝置用戶數,所以駭客也就擁有龐大的潛在受害者可攻擊。不僅如此,絕大多數的中國使用者都不透過 Google Play 商店來下載應用程式,而是經由非官方應用程式商店,或是直接從網站下載安裝檔案,因此更容易遭遇行動惡意程式,畢竟非官方來源的上架審查程序沒有官方 Google Play 商店來得嚴格。這讓中國以外的使用者學到了一點,那就是務必從官方 Google Play 商店下載應用程式。 繼續閱讀

加速SHA-1憑證棄用時間?

作者:Chris Bailey(趨勢科技SSL總經理)

 

SHA-1憑證更換成SHA-2憑證的期限可能會提早到2016年6月1,而非原先的2016年12月31日。

在2013年,微軟宣稱SHA-1憑證會在接下來幾年出現顯著的安全問題,因此在2016年1月1日過後不能再簽發。大多數瀏覽器在微軟的帶動下也表示將會在2017年1月1日停止支援SHA-1憑證,要求伺服器所有者在期限前升級到SHA-2憑證。Google Chrome已經在瀏覽器介面上對於會在2016年到期的SHA-1憑證顯示警告標誌(圖A),以及2016年後過期的SHA-1憑證顯示不安全標示(圖B)。

 

圖A

圖B

最近的發展

你可能在最近看過一篇學術研究表示SHA-1憑證易受駭客攻擊,所以憑證並不如之前所想的那樣安全。報導也舉用了這項研究。

因為此一對網站管理者的新安全風險,各大瀏覽器都在考慮要立即變更計劃。例如,Mozilla可能在2016年7月1日在其瀏覽器介面和應用程式棄用SHA-1憑證,而非2016底。微軟正在考慮提前緊急棄用日期到2016年6月1日。

Mozilla部落格:https://blog.mozilla.org/security/2015/10/20/continuing-to-phase-out-sha-1-certificates/

微軟部落格:https://blogs.windows.com/msedgedev/2015/11/04/sha-1-deprecation-update/

如果這些提前棄用日期被確認,你所使用的SHA-1憑證在2016年6月1日可能會導致使用者訪問你網頁在瀏覽器介面上出現安全警示。這些瀏覽器廠商甚至可能會要求憑證中心(CA)如趨勢科技在2016年6月1日的提早棄用日期撤銷所有SHA-1憑證。

 

給你的強烈安全建議

因為這些發展,如果你的伺服器仍在使用SHA-1憑證,趨勢科技強烈建議你在2016年5月31日前更換為SHA-2憑證。可以的話越早越好。

此外,當你確認已經安裝了新的SHA-2憑證,我們建議你接著要撤銷舊的SHA-1憑證。

在更換SHA-1憑證前,必須先檢查你的伺服器和系統軟體是否支援SHA-2憑證。以下是CA Security Council在2014年所列出支援SHA-2的部分系統:

 

https://casecurity.org/wp-content/uploads/2014/09/SHA256-Support-List.pdf

 

我們了解此一建議可能對產生額外的負擔,但我們相信對於你的系統安全會有顯著的改善。

 

Chris Bailey的自介:

Chris Bailey是趨勢科技SSL的總經理。在此之前,Bailey擔任憑證中心(CA) – AffirmTrust的執行長兼共同創辦人,於2011年被趨勢科技所收購。他同時也是GeoTrust的共同創辦人兼技術長,這是VeriSign在2006年所併購的世界主要憑證中心(CA)。Bailey也是CA/Browser論壇CA Security Council的創始會員之一。

 

@原文出處:Accelerated Deprecation Date for SHA-1 Certificates?

 < CTO 觀點 >針對性攻擊/鎖定目標攻擊(Targeted attack )與進階持續性滲透攻擊 (ATP) 有何差異?

作者:Raimund Genes (趨勢科技技術長,CTO)

前不久我上了由 Bill Murphy 主持的 RedZone Podcast 節目,談論到有關「 針對性攻擊/鎖定目標攻擊(Targeted attack )」和「進階持續性滲透攻擊」(Advanced Persistent Threat,以下簡稱APT攻擊)」之間有何差異 (當然還有其他主題)。這是一個過去我經常談到的一個話題,也是一個我經常在各種會議上被問到的問題。讓我來解釋一下我的意思。

APT攻擊一詞,大約是十年前從美國軍方流傳出來的一個用語。它有相當明確的定義,意指那些由國家所發動的攻擊。這些攻擊當然不會明確張揚其幕後的主使者。其程式碼也不會告訴你是哪個情報單位或國家所為。要追溯某項攻擊確切的幕後主使國家有其困難:畢竟,駭客很可能會透過重重的跳板來隱藏其真正的源頭。

攻擊,APT,目標攻擊

不過,在大多數情況下,當我們在檢視某個 APT攻擊所用的程式碼時可以發現,這些程式都擁有相當完整的設計。它們不像是由一小群個人所開發,反倒像背後有一整個開發團隊。此外,我們也無法在地下犯罪網路上找到這些程式的藍本,意思是:不論是誰所開發,這些都是他們自己的創作。

這一切所需的代價不斐。想想看您需要多少資源才能養得起這些開發人員。看看 Hacking Team 資料外洩 的例子,他們的產品在全球各國販售的價格在數十萬美元之譜。想像一下,若是一個國家要培養自己的「駭客團隊」要付出比這價格高出多少的代價。

然而,大多數人「並不」需要擔心 APT攻擊 的問題。除非您是某個政府機構或國防承包商的 IT 系統管理員,否則您大概不會需要擔心APT攻擊 威脅。您「真正」需要擔心的是資料外洩和 針對性目標攻擊(Target attack )。

針對性攻擊/鎖定目標攻擊(Targeted attack )」與 APT攻擊截然不同,它們不是由國家所發動,而是由全世界各個角落的駭客所為。他們的動機五花八門,包括:竊取資訊、從事信用卡詐騙、或者單純只是在您的企業內搞破壞。他們所用的工具基本上都能在地下市集上以合理的價格買到。其真正「精密」之處在於這些攻擊所用的社交工程技巧繼續閱讀