不必下載檔案或是連上可疑網站就會駭人的概念證明病毒: Chameleon

最近這則新聞駭客入侵嬰兒監視器,遠端嚇小孩!,報導指出根據美國Fox News報導,有一對家長發現,駭客入侵了他們為10個月女兒所準備的嬰兒監視器(baby monitor)。該駭客除了遠端操控該監視器的錄影角度,還大聲對著小孩喊叫。嬰兒的爸爸衝進女兒房間後,發現房內並無他人,但看到嬰兒監控器的鏡頭在轉動,嚇到直接把監視器的插頭拔掉。據使用者論譠上披露,該款無線IP攝影機所使用的韌體含有安全漏洞,該款攝影機最多可支援8個帳號,一旦有帳號留白,那麼不用輸入帳號或密碼就能存取該攝影機所拍攝的內容。

Hacker APT

物聯網(IOT或萬物聯網IOE)是近來盛行的科技流行語之一,從Google搜尋趨勢就可以看得出來。這名詞指的是日常物品數位化的增加 – 任何新科技產品在設計時都會考慮到連接性,不管是智慧型電視、或是智慧型烤麵包機。隨著越來越多設備連上網路,防護這些設備也成為資安的下一個大挑戰。(本部落格相關文章物聯網(IOT或萬物聯網IOE)會遭受攻擊嗎?)

易被滲透的公共熱點和不安全的路由器讓類似Chameleon的威脅值得被重視。最近有一家安全廠商所發布的報告指出,在Amazon.com排名前50名最暢銷的路由器中有四分之三有駭客可以加以攻擊的漏洞。這問題再加上了大多數使用者不會更改無線基地台的預設密碼或IP地址,讓它們在遭遇大規模攻擊時非常的脆弱。

一個最近所出現的惡意軟體讓使用者不必下載檔案或是連上可疑網站就會讓系統受害。Chameleon,這是個在目前還只是概念證明的惡意軟體,但它強調了散播網路攻擊的載體範圍在不斷地擴大。具體地說,它結合了無線網路監聽程式和病毒,可以經由網路取得身份憑證,並且分析無線基地台的弱點。

Chameleon,網路安全和物聯網

Chameleon因為它的感染模式而被比喻成一種感冒,但其治療方式(它的設計曾被網路犯罪份子模仿)可是比喝大量的水和更多休息還要複雜。因為Chameleon是停留在網路上而非單一端點,許多防毒軟體可能很難加以察覺。

「當Chameleon攻擊無線基地台時,並不會影響它的正常運作,卻可以收集和回報所有連上之無線使用者的身份憑證。接著,病毒會找到其他可連上的無線基地台並加以感染」,利物浦大學的網路安全教授Alan Marshall如此說道。「這雖然只是假設,但之前並無法開發病毒來攻擊無線網路,但我們現在證明了這是可能的,而且可以快速地蔓延。」

在未來,安全專家很可能可以找到方法來監控Chameleon。但真正的問題並不只是此特定威脅。Chameleon特別的攻擊媒介 – 無線基地台,顯示出其已經漸漸地成為網路基礎設施的中心。它既是物聯網的骨幹,也是需要更加注意其安全的東西。

Chameleon的難以捉摸讓它成為值得注意的網路威脅之一,而且包含病毒讓它和直接駭入無防護的網路攝影機、路由器或其他物聯網設備進行基礎設施攻擊有所區別。然而,這些看來不同的危險也明顯地說明出攻擊者是如何地將注意力從獨立硬體(電腦、智慧型手機或是平板電腦)轉移到網路上,攻擊有漏洞的設備,或有時會集中所劫持的資源來進行之後的攻擊活動。

要防範Chameleon後繼者和其他網路惡意軟體需要面面俱到。一開始,使用者需要強化密碼安全和良好的無線網路習慣。安全社群和設備製造商也必須將網路設備,甚至一般機器如冰箱和空調設備都當作個人電腦一樣的看待 – 因為這些機器也會被感染。

繼續閱讀

最近的技術問題讓雲端供應商們進行預設加密

在過去的一年裡,加密一直是個熱門話題,因為個人和企業越來越意識到監視活動的增加,還有像CryptoLocker勒索軟體這樣顛覆性的惡意軟體,讓加密變成一種破壞行為而非保護功能。在這期間,網路公司(如雅虎)終於開始預設提供SSL和HTTPS給所有的使用者,以確保通訊安全和更好的資料隱私。

Cloud3

 

不過加密並非廣泛地被使用,雲端儲存服務是最明顯的例子。Dropbox和SugarSync等產品已經在消費者心中具有相當大的佔有率,它們的普及率也開始滲透進企業,有越來越多企業開始熱衷於將簡單的檔案分享功能整合進IT運作。但這些最初設計給消費者的服務是否具備有足夠的安全性呢?

一個包含了第三方附加程式和替代方案的生態系統已經如雨後春筍般地湧現,好幫組織消除安全上的疑慮。比方說,Boxcryptor和Cloudfogger可以在本地端檔案上傳前先加以加密,而來自服務供應商(像Egnyte)所提供的企業級解決方案可以讓企業無縫地結合本地和遠端代管檔案管理。換句話說,企業檔案分享和雲端儲存持續進行著領土爭奪戰,而加密和安全機制成為了產品差異化的關鍵。為什麼會變成這樣呢?

雖然並不乏有廠商提供檔案加密功能,但Dropbox和類似服務迄今都沒有預設提供類似功能,成為雲端服務市場內一個顯著的弱點,不管有多少第三方補救措施出現。最近Dropbox的伺服器突發事件凸顯出確保雲端資料安全的高難度 – 雖然該事故短暫且相對無害,也讓人省思如果發生了惡意資料外洩事件,數以百萬未受保護的檔案會發生什麼事。

Dropbox突發事件可能讓加密變成預設

有些雲端儲存服務已經開始實施加密,也許是為了反應像美國國家安全局的監視計劃。Google Cloud Storage,該公司提供給開發者和企業運作在雲端的平台,在去年夏天變成預設加密,不過Google並沒有提供相同的功能給其面向消費者的Google雲端硬碟服務。

Dropbox,最古老也最為人所知的消費者雲端解決方案,目前擁有超過2億的使用者,並沒有預設加密。不過該公司指出,其員工工作在零認知的環境,意味著他們並不知道使用者儲存在服務內的任何檔案內容。

不過,Dropbox使用者很難去驗證這說法,該公司及其類似的儲存服務已經成為服務總是會加密的一個例外。加密憑證可以包含比之前更多的位元,而現在靜態資料(data-at-rest)加密可以透過硬體完成,讓網際網路的大部分在未來都經過加密變成可能。

雲端儲存供應商避免預設加密的原因仍然未明,雖然可能和法律審查或技術考量有關。不過都一樣,使用者被要求必須要高度的信任這些公司,並相信他們所說的會運作在安全的環境。

最近的事件顯示出雲端儲存公司在保護檔案方面還有事可做。在其所謂的例行維護期間,可以看到Dropbox有好幾天呈現出核心服務斷線或不穩的狀況。這不是Dropbox首次停止運作,2012年因為Amazon Web Services故障也導致了停機,桌面客戶端程式同步上傳檔案也在2013年初出現過問題。但這次後果可能最為嚴重,一些進階方案(如Dropbox for Teams)使用者對於缺乏溝通和延遲的長度感到失望,這是由於漫長的資料庫檢索操作所造成。

Dropbox事件和「駭客」無關,也沒有證據顯示敏感資料外洩或使用者受到傷害。但這事件顯示出超大規模服務的脆弱性 – 如果伺服器作業系統升級可能會出問題而影響到數百萬的使用者,那也值得讓我們思考一下,如果缺乏預設加密可能會導致的後果。

預設加密已經成為顯學 – 為什麼儲存供應商故步自封?

美國國家安全局透露,隨著近來零售業者出現的網路安全問題,已經讓一些網路公司強制預設加密。在今年初,雅虎信箱預設使用HTTPS,這是因為惡意軟體導致廣告以及出現入侵資料庫意圖等安全問題所做出的反應。 繼續閱讀

< 執行長的雲端隨筆 > 敵人是誰…

Eva

在飛往巴塞隆納參加 Mobile World Congress 2014 的飛機上,我重看了一部很喜歡的電影《 A Beautiful Mind(美麗境界)》。這是根據天才數學家、諾貝爾經濟學得主John Nash一生和妄想症共處的真實故事所改編的電影,我每次看都有一些新的領會。這一次,我特別對他拿下諾貝爾獎的「平衡論」感興趣!

片中提到,「平衡論」推翻馬克思的「資本主義論」,對競爭有新的詮釋。

平衡競爭的面相

「資本論」相信,若全世界每一個人都追求自己的最高利益,則總合而言,世界會因競爭而進步,因此得到最佳全體利益。所以「馬克斯主義」可說是主張物競天擇,適者生存。

John Nash的「平衡論」則主張,利益是多面化的,不能只以一個面向論輸贏,因此當有一個更高的群體利益時,則個人必須犧牲個人利益,才可能達到最高利益。這也許就像中國人所說的,「犧牲小我,完成大我」吧?!

「平衡論」後來被廣泛運用在談判學、反托拉斯法案等方面,成為資本主義社會中另一個平衡競爭的面相。

我不是數學家也不是經濟學家,我對這部分感興趣,是因為雲端計算和資安產業,都和這兩個理論有著很有趣的類似!

先從雲端計算的「大數據分析( Big data analysis )」來談,以前傳統電腦時代,受限於電腦計算能力的限制,都是以先後排序 ( sequential ) 為主的,計算時要在每個程式點上做出判斷 ( yes / no ) ,然後再往下走。基本上,這就像是適者生存的程序法則。

到了雲端大數據分析時代,由於計算力可低價且迅速地大幅擴展,因此可做到真正的平行計算 ( Parallel computing ) ,所以可將大量資料同時處理,找出其共同的特性和彼此的關聯性 ( Pattern or model ) 。

因此,我們得以看到big picture (完整的輪廓),並根據這個big picture去做出更好的決定。這便是為什麼近年來,大數據分析變成管理學的顯學!而這比較像John Nash「平衡論」中所主張的,先看到一個群體共同利益 ( big picture,或可稱之為大我),再以其關聯性找到各點的最佳化。

而在資安領域中,我也覺得John Nash的「競合理論」 ( Cooperative Competition Theory ) 很適合描述我們的行業。在資安產業中,我們的競爭對手不該是別家資安公司,而是破壞世界安全的駭客,就好像醫生之間雖然會有生意上的競爭,但基本上,共同的敵人是病毒、疾病,而不是別的醫生。

這也是為什麼在2008年,在一次媒體採訪關於防毒業者的偵測率時,我會衝口而出:防毒業者根本在打爛仗! ( Anti Virus industry sucks! )

弄清楚為何而戰

因為當時防毒業界天天比拚著增加病毒碼,誰在測試時多掃到幾隻病毒就沾沾自喜。但實情是,新式針對性攻擊,駭客的攻擊手法千變萬化,根本不是傅統病毒碼比較法可對付;即使掃毒偵測第一名,客戶依然會遇到中毒、資料被盜等風險。病毒碼比較法雖然贏了對手卻輸給駭客,這種競爭有何意義? 繼續閱讀

十個臉書,LINE 等社交網路安全使用守則

這個部落格的許多讀者也都是 Facebook 和 Twitter 的固定用戶,在這裡分享一下十個臉書,LINE 等社交網路安全使用守則。

手機 社群 FB 行動 Mobiel Social media

1  熟悉社交網站的隱私權設定與安全政策
如果你不滿意他們的作法,請立即停止使用其服務。

2012年Instagram 一度宣布改變其隱私權政策使用條款協議,讓他們自己有權利去分享使用者在任何目的下所公開發表的任何照片。Instagram可以有權力去從出售這些照片中獲利,而且很清楚的說明原本的擁有者將不會有任何補償。他們更進一步說明,他們對於你所提供的任何內容都沒有保密義務。
「Instagram對你所有的內容都沒有保密義務,Instagram也不會對任何你所提供的內容被使用或披露負任何責任」

請參考這篇文章 Instagram有權力出售你的照片?!
推薦閱讀:
防臉書帳號密碼被盜,必學Facebook隱私設定大全
 噓~下班後,不能在臉書說的話(多則先烈案例)~抱怨文”好友限定”設定只要一下指

隱私 個資外洩 FB

2 千萬不要照實填寫全部填寫所有的欄位
當你在建立個人網頁時,請仔細考慮你所提供的每一項資訊是否都絕對必要,是否與該網站相關。例如,你是否真的需要提供電話號碼,或許你的手機就能接收電子郵件或即時通訊,所以就不需提供電話號碼。考慮是否有實際上的必要,千萬不要只因為表格上有這些欄位就盲目填寫
再次提醒您,不管你在哪裡貼文,進行之前先問問自己:“如果有個陌生人打電話跟我索取這資料,我會很樂意地提供出去嗎?”如果你的答案是“不”,那就離你的滑鼠遠一點。

隱私 公開秘密 大聲公

推薦閱讀:

450萬名Snapchat用戶的使用者名稱和電話號碼被曝光
六個常在 Facebook上犯下的錯誤與案例(詳盡案例說明)

3回應別人的文章時,你發表的內容是公開的
當你在發表文章、聊天、寫信、回應別人的文章,或者在別人的個人網頁發表意見時,要記住你所發表的內容將完全沒有私密性。即使你已經開啟所有可用的隱私權設定,你還是無法保證你的內容不會遭到複製、轉貼、下載或透過其他方式分享至其他你所不知道的地方。

4重設密碼要小心你的「安全提示問題」

曾為美國副總統參選人的Sarah Palin莎拉裴林的案例, 2008 年駭客使用教科書中最老舊的手法之一 – 利用密碼重設功能 – 入侵了美國副總統候選人莎拉裴琳(Sarah Palin)的 Yahoo! 個人帳號(請參考:Sarah Palin’s E-Mail Hacked),還把他入侵成功的證據公諸於世。據新聞報導指出,駭客在 Yahoo! 的身分確認問題清單中正確地選擇了「你在何處遇見未來的另一半?」這個問題,然後試過一些 “Wasilla High School” 的不同表示方式之後,最後成功猜出 “Wasilla high” 這個答案。

隱私 公開秘密 密碼 帳號

大多數的網站都會提供一種方式讓你在忘記密碼時重設密碼。但這也是最常見的帳號入侵方式之一。如果你要設定所謂的「安全提示問題」來保護你的帳號,請確定這些問題是否真的安全。所謂的安全是指只有你自己才知道問題的答案。如果可以的話,請自行建立你自己的安全提示問題。如果問題是「你寵物的名字?」,並不表示答案不能設定為「我是大美女」

如果你被迫使用一些標準問題,例如:「第一個學校」或「第一隻寵物」,請記得,你不需據實回答,只要填上你可以記住的答案就行。:你所選擇的問題,必須讓駭客無法藉由在線上搜尋你的背景資料而猜出答案,此外你還必須確定他人無法透過公開的來源取得太多關於你個人的資訊。人們現在不需花費太多功夫即可取得經常用於識別身分的資料,例如郵遞區號、就讀的高中、你的愛犬等等。
試想,你曾不曾在Facebook 張貼你寵物的名字?你就讀的學校是不是在你的個人檔案一目了然?

密碼提示問題1.:我寵物的名字? 設定的答案1:現在是下午5:00

密碼提示問題2.:我就讀的高中? 設定的答案2:今年冬天會很冷

粉絲建議:

「你母親的姓氏?」我覺得還不錯啊…但我設定的答案是…”卡好”。
「我寵物的名字?」我都寫 我老婆英文名字。

推薦閱讀:
1位副總統候選人,2位總統 , 3位大明星,猜猜哪位用 12345 當密碼?

 

5 切勿在不同的網站使用相同的密碼

萬一有某個帳號遭到入侵,你才不必擔心其他帳號的安全問題。建立複雜的密碼,混合使用大小寫、數字和特殊字元,如:$%&!。想辦法區分你每個網站所用的密碼,例如,將網站名稱的第一個和最後一個字母分別加在密碼的開頭和結尾。
(秘訣:許多自動化暴力破解工具都沒有將 £ 符號列入清單當中,因此這是一個不錯的選擇。要在非英國鍵盤上打出這個符號,可以按住 Alt 鍵然後再輸入 0163)。

alt0613  £ 符號 密碼

推薦閱讀:
密碼別再12345,521314(我愛你一生一世)了~PE_MUSTAN.A 病毒鎖定 246 組弱密碼刪除檔案
密碼管理 e 指通,再多的密碼也不用記小抄(含七個密碼帳號管理小秘訣)

6 如果你收到不認識的人所發的請求,請先直接和那個人連絡,再決定要不要將該人加入你的好友圈。

高雄一名清秀女大生,接受陌生女子邀請加入朋友,結果身份、照片遭到盜用,對方就把姓名、照片都改得和她一樣,發送不堪入目的色情照片以及援交訊息,讓他被親朋好友誤會,女大生不堪其擾只好報警處理。報導指稱因為陌生人是表哥共同好友,不疑有他接受確認邀請,卻展開了一場惡夢,對方拷貝盜用她照片和個資,在交友網站留言,還邀請女大生朋友加她為好友,之後亂標記朋友在不堪入目的照片裡。

警方推測可能是色情業者假冒李同學的身分在臉書上公然攬客。

網路危機女主角名字春光乍洩防毒廣告隱私妹白歆

提醒大家若收到交友邀請,勿貿然加入,問問他如何知道你的聯絡資料,看看是否有詐。這不僅是為了保護你自己的隱私,也是保護你朋友。 繼續閱讀

Heartbleed漏洞提供了APT 攻擊者新武器!!

只要等待受影響的網站進行更新,接著變更再自己的密碼就沒事了 ?
錯了,Heartbleed漏洞比心血管疾病還要致命一千倍。

Heartblee 心淌血d漏洞提供了APT 攻擊者新武器

Heartbleed漏洞,這是個因為被廣泛使用OpenSSL加密程式庫內的編碼錯誤所造成的漏洞。該漏洞在過去幾天內佔領了所有新聞的頭條,這是理所當然的,因為其對消費者和企業的資訊安全都帶來巨大的風險。

因為它主要的涵蓋範圍可能會讓你認為,只要等待受影響的網站進行更新,接著變更再自己的密碼就沒事了。錯了,Heartbleed漏洞比心血管疾病還要致命一千倍。它的的確確是到目前為止影響最廣的立即風險,這是因為可能受到此漏洞影響的人數,因為受影響網頁伺服器所會暴露的敏感資料(可能包括了密碼和session cookie)。即便是第一波的修補完成,剩餘的風險還是相當巨大。

OpenSSL並不只限於網頁伺服器在用,電子郵件協定、聊天協定和安全虛擬私有網路服務也都有用到。它也可以在世界各地的大量網路和安全產品內找到,所以要解決的路還很長。許多廠商已經開始調查其產品和服務是否存在會受此漏洞影響的OpenSSL版本,而確認受到影響的產品列表還在持續成長中。這注定會是開放給針對性攻擊的季節。 繼續閱讀