對美國國家安全局和憤怒鳥感到憤怒嗎 ?

資料隱私日(一月二十八日)這天,很多新聞討論最近被披露的美國國家安全局(NSA)收集資料的事件,特別是針對熱門遊戲憤怒鳥。資料隱私日這一天是為了致力於提高對於網路隱私和保護個人資料的意識。最近所披露的這事件肯定也提高了意識。不過雖然有很多談論重點放在美國國家安全局和憤怒鳥,但如果將重點放在它們身上,這不僅是個錯誤,還會錯失了良機。最近的這些爆料應該刺激出對行動世代隱私狀態更廣泛的討論,特別是行動設備和應用程式所收集的那些資料,被用來做什麼和是否提供清楚的告知。

隱私 個資外洩 FB

從最近這些爆料中所學到的教訓並非只是美國國家安全局是否做得太超過(這需要另一分開而關於政策的討論),或憤怒鳥廠商Rovio是否幫助了他們(這也在討論中)。真正該學到的是各式各樣的行動設備和應用程式收集了比自身所需還要更多的資料,透過不明確的方式使用,用來做些大多數我們(如果不是全部)都不了解的事情。更重要的是,我們應該更進一步,討論即將到來的物聯網(IoT),這些問題在那時將變得更加嚴重。

隱私的兩個關鍵原則是告知資料收集以及同意。好的隱私做法依賴這兩個原則來幫助使用者清楚地了解哪些資料被收集,被拿來做什麼(告知),並選擇是否接受該產品或服務(同意)。對於需要同意的告知,清楚而能夠理解的資訊是必須的。不然我們就會面臨我稱為「噢!該死」的一刻:就像是「噢!該死!當我同意時,我不知道你會將拿到的資料這樣使用。」

當我們讀到關於美國國家安全局從行動設備和應用程式(包括但不限於憤怒鳥)收集資料的消息,它就像是一個大大的「噢!該死!」。根據The Guardian的故事:

根據使用者所提供和文件所指示的個人檔案資料,該單位幾乎能夠收集使用者生活的每個關鍵細節:包括母國、當前位置(通過地理位置)、年齡、性別、郵政號碼、婚姻狀況(有「單身」、「已婚」、「離婚」、「可換偶」及其他更多選項)、收入、種族、性取向、教育程度和子女數量。

這份報告明確指出這些資料並非來自系統內的惡意軟體:它來自使用者自己願意安裝的這些表面上合法的應用程式。也就是說,這些使用者已經同意這樣的資料收集。然而,幾乎每個讀到這列表的人都感到衝擊和驚訝。為什麼呢?

這有兩個原因。首先,告知並不清楚。其次,很明顯地,行動設備和應用程式收集了比它們所需還要更多的資料。而且這次的事件顯示出這些資料並沒有被好好的保護,因為美國國家安全局聲稱收集到該資料是因為它被「外洩」了。

清楚告知是長久以來業界的一個問題。人們知道這是個問題:最近一項微軟的研究顯示,人們對於讀取隱私政策感到無奈。但到目前為止,人們還是會接受並不清楚的狀況,最後都會按下同意(只有25%的人在研究中表示自己會閱讀隱私聲明)。不過雖然明確告知的問題在過去的PC時代可能被接受,在行動時代,因為現在能夠收集到的資料數量和類型,讓這成為更加嚴重的問題。

行動設備將我們自身實體和網路結合的更加緊密。就其本質而言,它們可以收集比電腦還要更多關於我們是誰和我們正在做什麼的資料。而且行動設備和應用程式廠商對資料採取的做法是 – 「有問題時就收集它」,就如同現在這些事件所顯示的一樣。如果我們對於知道我們的行動設備和應用程式收集什麼資料而感到十分震驚,那它也代表告知的做法失敗。

應用程式所「外洩」資料的問題,就跟這裡所說的是非常普遍。在趨勢科技所分析的近600萬應用程式裡,有超過25%有某種形式的資料外洩。

 

 

當人們都專注在美國國家安全局是否應該去收集這些資料時,就忽略了更大的問題。不管他們有沒有或應不應該,還是會有其他機構,像政府機關、私人企業和非政府單位會為了自身目的而在我們一無所知下去收集資料。他們會這樣做是因為他們可以,是因為行動設備和應用程式廠商讓他們能夠這樣做。如果我們不喜歡聽到我們的資料被收集和使用,我們需要將討論這些資料收集放在第一位。 繼續閱讀

趨勢科技協助 FBI 定罪 SyEye 銀行木馬駭客背後的故事

loveme、kissme、抓我、試試看

圖片來自dprotz,透過創用授權使用

最近美國聯邦調查局(FBI)發表一份新聞稿關於對Aleksandr Andreevich Panin(一名俄國人,更為人所知的名稱是「Gribodemon」或「Harderman」,在網路上跟惡名昭彰的SyEye銀行木馬連結在一起)和Hamza Bendelladj(一名突尼西亞人,網路綽號為「Bx1」)所進行的法律行動。Panin已經為進行線上銀行詐騙的指控認罪,而針對Bendelladj的控訴還在進行中。美國聯邦調局的新聞稿裡也感謝趨勢科技的前瞻性威脅研究(FTR)團隊協助此次調

Bendelladj被指稱經營至少一個 SpyEye 的命令和控制伺服器,雖然我們的TrendLabs部落格和我們的調查已經明確指出他的參與還要更為深入。他在2013年1月5日在曼谷機場被逮捕,而Panin是在去年7月1日飛經亞特蘭大時被捕。

趨勢科技的前瞻性威脅研究團大概在四年前就開始對SpyEye的幕後黑手進行調查。在這段調查期間,我們描繪出支援該惡意軟體的基礎設施,確認該基礎設施的弱點,並找到若干重要線索指出這惡意銀行木馬背後的個人身份。當我們覺得已經有足夠的資訊時,我們和執法單位合作以達到今日你所見到的圓滿結果。

我們進行中的研究有著相當豐富的資料,許多因為法律行動還在進行中而不適合分享出來,但你可能會有興趣知道這些被告最常使用的密碼包括了「loveme」、「kissme」和「Danny000」。我讓你自己去想想有關安全實作的結論。

去年的逮捕行動和最近的認罪再次證明了趨勢科技針對網路犯罪幕後黑手 繼續閱讀

什麼能真正推動雲端運算大規模的成長?

作者:Dave Asprey(趨勢科技雲端安全副總)

當大多數IT專家談論到雲端運算,他們會想到基礎設施即服務(IaaS)或平台即服務(PaaS)。不太容易去想到的是,有很大比例的IaaS是用來推動軟體即服務(SaaS)產品,而SaaS本身占了雲端運算市場的最大部分。

Cloud5

David Linthicum在InfoWorld上引用了一篇Capgemini的報告,顯示雲端運算市場規模從2009年的174億增長到2013年的442億。而有趣的是,SaaS的市佔率也從69 %降低到58%,歸因是由於IaaS的成長。

我並不同意。現在越來越難去將一個應用程式歸類到一個特定類別。如果它依賴其他幾種雲端技術,那它是軟體即服務,還會變成混合雲?如果它被銷售為基礎設施即服務產品,但管理是靠軟體即服務呢?你的內容傳遞網路(CDN)是基礎設施即服務產品或軟體即服務產品?我也不知道。

而我馬上浮現到腦海裡的是趨勢科技Deep Security產品。它非常的具有彈性,讓你能夠從自己的私有雲、公共雲或趨勢科技所代管的服務上來執行管理主控台。它可以管理橫跨實體伺服器、虛擬機器、私有雲和公共雲上的安全性。你可以基於使用量(即SaaS)來計費,或是實行企業合約。

你告訴我 – 這是SaaS產品?或是IaaS?不管是什麼,它都有一定的規模,而且越來越成長,而且它並不是簡單的SaaS/PaaS/IaaS,這我們在2006年所發明的層次架構,用來解釋我們自從代管和應用服務供應商(ASP)在1997年崛起後所做的事情。

你雲端策略所該做的是不要太關心某個東西是否在這三個類別之中。相反地,要注意你該如何進行管理,以及你要如何付費。這將會讓你從戰術決定前進到戰略規劃和實施。

@原文出處:What is really driving the massive growth of cloud computing?

450萬名Snapchat用戶的使用者名稱和電話號碼被曝光

趨勢科技全球安全研究副總裁 Rik Ferguson

在舊時代,一切都還是黑白分明的時候,如果有陌生人在街上接近你,跟你要通訊錄副本的話,你肯定覺得他瘋了。如果有店員堅持要你用100名朋友的資料來換取優惠券也會是一樣奇怪的要求。不知什麼時候,資料本身數位化了,而且傳輸過程無形且無痛,讓這些成為完全可以接受的行為。與其繼續讓隱私被侵蝕,這類服務的使用者最好將手機用在其長期被忽略的原本目的上,或許打電話給那些朋友們,甚至安排見個面(!)好親自聊聊你所發現很棒的新應用程式,而不是一股腦地將你的朋友賣掉。

超過450萬名Snapchat用戶的使用者名稱和電話號碼被發佈在名為SnapchatDB.info的網站上。根據TechCrunch,SnapchatDB表示攻擊者是利用一個在2013年12月23日所披露的漏洞。

DLP

 「我們這次發佈背後的動機是為了提高公眾意識在解決該問題上,也將公眾壓力帶給Snapchat,好讓此漏洞獲得修復。高科技初創公司的資源有限是可以理解的,但安全和隱私不該是次要目標。安全的重要性就跟使用者體驗一樣」

當然,這並非第一次在 Snapchat 服務或應用程式上發現漏洞。在最近幾個月內,各種偷偷儲存照片或恢復已刪除照片的方法已經成為好幾次的頭條,這些都是應用程式本身的漏洞,在使用者設備上攻擊漏洞。最新的這次攻擊是利用Snapchat自己伺服器上API的弱點,該API用來讓 Snapchat伺服器和 Snapchat客戶端進行通訊。

這些弱點可以讓自動化系統在短時間內對 Snapchat伺服器進行大量的查詢,發掘特定號碼是否存在 Snapchat 的資料庫內,並檢索與該號碼相關聯的其它資料,當然這號碼就是行動電話號碼。這次攻擊,再加上進一步的資料採礦(像透過社群媒體),可以輕易地建立出非常巨大的個人資料庫,用在各種進一步的攻擊或用來轉售。雖然Snapchat在幾個月前就意識到這些漏洞,GibsonSec – 概念證明漏洞攻擊碼的公布者聲稱他們仍然可以輕易地加以攻擊,而Snapchat DB證明了這一點。 繼續閱讀

物聯網(IOT或萬物聯網IOE)會遭受攻擊嗎?

物聯網(IOT或萬物聯網IOE)是2013年最盛行的科技流行語之一,從Google搜尋趨勢就可以看得出來。這名詞指的是日常物品數位化的增加 – 任何新科技產品在設計時都會考慮到連接性,不管是智慧型電視、或是智慧型烤麵包機。隨著越來越多設備連上網路,防護這些設備也成為資安的下一個大挑戰。

遊戲玩家和擴增實境

在2014年,有一大列有趣的技術正在排隊等待出發。玩家也相當的期待:不僅最新一代的主機大戰開始,Valve也利用Steam主機帶出Linux遊戲,Oculus Rift可能會讓互動遊戲產生革命性的變化。遊戲已經成為不法份子有利可圖的目標,遊戲帳號經常在地下論壇進行交易。如果Steam主機可以普及,Linux惡意軟體的增加也成為可能。

attack

2014也可能是擴增實境(AR)的一年,開始在日常生活中變得常見。現在在智慧型手機上已經有許多你可以玩的AR應用程式,但手機並不太適合AR。你需要把它從口袋裡拿出來、解鎖、打開一個應用程式、瞄準你感興趣的對象 – 更別提你用的是4或5吋的較小螢幕。

充分沈浸才能讓AR有最好的效果 – 而這也正是Google眼鏡SpaceGlasses等穿戴式技術發揮的地方。有許多有趣的技術,甚或是心理攻擊可以攻擊這類的裝置。比方說,這些設備的使用者(白話地說)在頭上連著攝影機走來走去。不法份子去特製銀行惡意程式來擷取銀行密碼並不是件很難的事情。

火線下的SCADA(資料採集和監控系統)

自從Stuxnet蠕蟲出現,ICS/SCADA社群受到資安產業的嚴格審查。大多數安全大會現在都至少會有一個主題談論SCADA系統的安全性。趨勢科技的前瞻性威脅研究團隊在2013年發表了一系列相關主題的報告,並且證明了SCADA系統攻擊並不只是個理論,而是正在發生的現實。

這在2014年肯定會繼續下去,特別是目標攻擊、或是勒索性攻擊。對於安全研究人員和駭客來說,這真的是一個開始熱起來的領域 – 關於無線電通訊的整個領域。因為無線電沒有線而在空中進行傳輸,所以很多人認為(錯誤地)它是安全的。

在今年,趨勢科技秀出用於船舶追蹤的AIS標準有許多問題 – 其他研究人員也發現類似的問題出現在ADS-B(用於航空)上。我們預期在2014年會看到更多此類研究的發表。有更多技術在設計時並沒有考慮到安全性,或可以輕易地從遠端存取 – 突然就連到網路上,讓它們的安全漏洞顯現給大家看。 繼續閱讀