你聽到我所聽到的東西嗎?

這一篇最近被發表在通訊雜誌上的文章,替 BadBIOS 這把大火又添了些新柴。在 BadBIOS 的案例裡,已經指出各項設備是透過一般電腦的音效裝置來進行無線的溝通。這份報告明確地說明了這樣溝通的可行作法。即使這最終和BadBIOS沒有關係,它也有很好的潛力來作為一種資料外洩的方法。

首先,我要明確指出,這僅僅是一個通訊管道,並不是像某些文章可能會讓你聯想到能夠作為感染載體。在現在這時間點,沒有已公開的技術可以僅僅依靠聲音來超越距離的感染系統(你可能會想從現在起開始對Siri多尊重一點)。

這方法的工作原理跟一種用來進行水底通訊的舊系統一樣,利用接近人耳聽覺的音頻上限。人類聽覺所能接收到的頻率範圍通常是從20Hz到20KHz。為了做個比較,狗可以聽到高達60KHz的範圍。我們聽到高頻的能力會隨著年齡增加而變差。也因為如此,一般電腦硬體的設計規格(例如20Hz到20KHz)跟大多數使用者可以聽到的範圍(比方說此篇討論所設定的17KHz)之間就會自然地出現一個空間來。

經過一些初步的測試,我們發現,在我們20人的樣本裡,約有兩個可以聽到17.5KHz的鈴聲。到目前為止,我們的測試裡沒有人聽到18.5KHz。任何可以使用音效硬體的應用程式都能夠用這種方式交談。注意到,Mac和Linux系統可能需要不同的軟體做法。所有使用的硬體都是現成而且未改過。還有一點很有用,在我們的測試中,18.5KHz的音頻沒有辦法透過電話或視訊會議傳輸。

Hack-a-day用GNU Radio做出一段關於此作法很棒的示範。雖然可能很難將GNU Radio運行在它不屬於的系統上。在我們接下來的測試裡,我們要專注在範圍、可靠性和使用一般軟體的可能性。我們可以用一個簡單的Perl腳本將文字訊息轉換成18.5KHz的摩斯密碼音頻。在一個沒有特別準備過的環境下(例如有風扇聲、機器噪音、音樂等),我們可以很輕易地在超過6公尺或20英尺外,利用些簡單的頻譜分析軟體來進行解碼。

圖一、這個訊息是「This is a test(這是個測試)」,加上相同系統在同時所播放的音樂 繼續閱讀

管理多個設備:跨平台威脅的綜合防禦

管理多個設備:跨平台威脅的綜合防禦

64%的企業可能在未來幾年內接受Mac電腦

–          Ellen Messmer

資料來源:Network World

Mac在企業環境成長

今天的企業內部有著多設備、跨平台的IT環境。儘管自帶設備 ( BYOD )趨勢和IT消費者化帶來了一些問題,但這些趨勢也加速了員工的工作效率,能夠遠端存取企業資料並且提升工作靈活度。註1

越來越多企業在以一般個人電腦為主的環境內開始使用Mac。在2012年,幾乎有一半企業讓部分員工使用Mac電腦。註2 根據專家預測,Apple將會在2014年賣出價值80億美元的Mac電腦給企業環境。註3

隨著不同種類的設備和作業系統進入工作環境,想維持IT控管和保護企業資料也變得更加複雜。而各種作業系統對於安全的獨特相容性需求也讓這任務更加困難。

多平台的業務風險和影響

多平台環境所帶來的影響可以從惡意軟體和漏洞攻擊,到資料外洩和擴大的程式修補問題。減少IT管控能力是個會對企業造成影響的問題。

跨平台的威脅和漏洞攻擊

惡意軟體和漏洞攻擊可能會針對跨平台的組織,並且洩漏企業機密資料。沒有安全軟體的端點可能會成為惡意軟體感染和發動攻擊的載體。

 

分散式端點管理

維護不同的設備可能代表著需要有不同主控台來分開管理Windows設備和Apple產品。這種建置不但會消耗時間和資源,也會降低IT管控能力和對資料安全的可見度。

以端點來說,Mac電腦在硬體、軟體、IT人員和管理上需要更多的預算。下表顯示出Mac在維護成本上要比一般個人電腦要來得昂貴。

 

平均成本 MAC PC
硬體和軟體 1,622美元 1,513美元
IT人員 781美元 636美元

資料來源: 「Apple滲透工作場合,解放Windows對企業的束縛」

https://appleinsider.com/articles/12/06/06/mac_workplace_penetration_loosens_windows_stranglehold_on_enterprise

 

除了預算問題,多平台建置所造成的設備碎片化也讓IT管理員更難去監控資料在網路流動的走向。這會增加企業資料外洩和遺失的風險。沒有集中式的安全部署,企業機密資料會暴露在危險中。

一個整合而專注於資料的安全方法

多平台業務建置不只需要端點解決方案所組成的防禦策略,還要加上員工的資料安全政策。通過這方式,防護技術可以藉由涵蓋人們從不同設備存取資料的主動式安全加以補全。這些政策應該要為給定的企業環境進行客製化以符合既有的IT架構。例如,IT管理員必須限制員工存取高度機密的企業資料,以防止資料外洩。

以下的安全技術必須要整合進精心打造的防禦計劃內 ,以改善管理和保護跨平台環境內的資料:

  • 集中式主控台:通過單一主控台可以對碎片化威脅和橫跨多種端點和基礎架構層的資料保護策略有所幫助。它也可以讓政策執行變得更加容易和一致。
  • 完整而基於信譽評比的威脅情報:要發現和封鎖企業網路內的新興惡意軟體和漏洞攻擊,組織需要智慧化關連技術和服務,以利用內部和外部資源來主動檢查和分析威脅環境。
  • 資料加密和資料遺失預防:整合完整的資料安全產品,加密所有進出企業網路的資料。這是為了維護關鍵企業資料跨越各閘道和端點時的隱私。也要確保這些解決方案滿足法律規定。  繼續閱讀

從 Android 安全主管 Adrian Ludwig 在柏林 Virus Bulletin 大會的簡報談起

趨勢科技全球安全研究副總裁 Rik Ferguson

有兩個和Google Android作業系統有關的消息吸引了我的注意。首先是Android的安全主管Adrian Ludwig在柏林Virus Bulletin大會上所做的簡報,標題是「Android – 從無到有實作安全」。第二個就是Eric Schmidt親自加入論戰,並且宣稱Android比其主要競爭對手Apple iOS還「更加安全」。把它想成這只是句場面話來爭取支持也就可以接受了。

讓我們來看看Adrian Ludwig在柏林VB大會上的演說內容。Adrian拿出Google所擁有的Android設備安裝應用程式的大量資料,來說明只有0.001%的應用程式可以穿過Android所提供的「多層次安全防護」,有辦法實際去危害到使用者。對於一個如此應用廣泛又被犯罪份子所針對的作業系統來說,這實在是個令人印象深刻的說法。根據其演說內容,這幾層的安全防護是:Google Play,來源不明警告,安裝確認,驗證同意應用程式,驗證應用程式警告,執行分析和每個應用程式都必須運作於其中的基於權限沙箱技術。如果我對這些演講稿理解正確的話,以使用者的說法,這就等於是:Google Play,對話框,對話框,驗證應用程式,對話框,執行分析和對話框。

雖然Google的應用程式驗證技術有很大的突破,特別是現在已經和作業系統本身脫鉤,還是有許多惡意應用程式出現在Google Play上。事實上,根據最新資料( 2013年10月12日 ),有超過46 %被趨勢科技列為「惡意」(姑且不算入高風險)的應用程式直接來自Google Play。至於說到來源不明警告,安裝確認對話框以及權限/沙箱警告,我們可以這樣說,不僅應用程式開發人員常設計出過多的請求動作,使用者也很少會真的看要求的內容,甚至不會去了解他們授予權限所帶來的潛在影響。如果可以取得權限,那又有誰需要漏洞攻擊碼呢?有關應用程式授權問題只會要求一次,之後沒辦法再隨時的撤銷。不是全有就是全無,應用程式開發人員也都待在自己的世界裡,所以還是照著傳統電腦世界裡的「下一步、下一步、下一步」作法。

繼續閱讀

《 CTO 看趨勢》漏洞揭露 – 開放還是保密?

作者:Raimund Genes(技術長)

在五月底,兩個Google安全工程師宣布來自Google總部關於零時差漏洞和揭露的新政策。他們強烈建議,已經出現在外的零時差漏洞資訊,廠商應該要在被通知後不超過七天內公布出來。理想狀況下,公告或修補程式都應該由廠商提供,但他們也表示,如果廠商沒有動作,研究人員應該要自己公布詳細的資訊。

這是個非常積極的作法。以微軟為例,對於重要修補程式並沒有設定公布期限:這需要在品質和時效性間尋求一個平衡點。要平衡這兩者並不容易。一方面,仍在活躍中的可攻擊漏洞會讓惡意軟體作者知道廠商的漏洞。另一方面,快速推出的修補程式可能會對應用程式和整體系統有負面影響,讓其更加脆弱。

幾乎每個安全廠商都曾經因為不小心而出現誤報。我們有許多的安全措施,像是白名單比對,但總是會有莫非定律。讓我們的產業因此影響了使用者的電腦。作業系統廠商在進行修補時要更加小心。他們需要有適當的品質保證,因為修補程式將會影響到數百萬台的電腦。

在我看來,七天後揭露的作法是合理而可行的,但期待在這時間內推出修補程式就不合理了。讓我們來看看Google本身會怎麼做。目前,有一個Google Android木馬程式正在擴散,它可以在「設備管理程式」中隱藏自己,讓安全軟體無法看到或試圖去清除它。這有可能是因為Android內的一個安全漏洞造成。Google可以在七天內解決這個問題嗎?讓我們拭目以待…

繼續閱讀

自帶設備(BYOD)的三個黑暗面 – 隱私、個人資料遺失和設備遭竊

作者:Cesare Garlati

很多員工並不了解使用個人設備對工作的影響。很多企業也不明白他們事實上為其後果承擔了責任。這篇文章涵蓋了你對自帶設備計畫想知道卻不敢問的事情。

好消息:你的公司提供自帶設備(BYOD)計畫。你終於可以停止使用那無聊的公司配電話,而在工作中使用自己最炫的新iPhone。更棒的是,你現在可以在家裡邊用三星平板檢查公司電子郵件,同時看著YouTube影片。你的公司負擔了部分費用,甚至提供企業級的技術支援服務,來幫你使用這些新玩意。這些看來都是無法拒絕的好處。

 ipad

壞消息:你加入了公司自帶設備計劃。有天早上你醒來,拿起你的iPad想要看信,但是卻打不開。你的iPad已經掛了,變成磚塊了。在家裡快速地調查了一下,你發現是因為家裡的小傢伙想要在你醒來前猜你的密碼,好去玩憤怒鳥。糟糕的是,企業郵件帳號的安全政策會強制讓iPad進行自我毀滅,以防止敏感的企業資料未經授權被存取。現在比那些有名的鳥們還憤怒了嗎?等一下之後你會發現設備本身還是可以救回來,企業資料也都可以回復。但你的照片、影片和歌曲都不見了。永遠消失。註:上述例子是個真實故事,我兒子的名字是Luca。

如果你已經被嚇到了,那就不要再看下去了。這些還並不是會發生在你資料、隱私和設備上最壞的狀況。用自己的個人設備來工作的員工大多會驚訝地發現,他們的智慧型手機、平板電腦和筆記型電腦可能牽扯進公司的訴訟案件。員工可能會被要求交出他們的個人設備(包括裡面的瀏覽記錄、個人資料和他們建立的文件),因為它們可能會在訴訟過程中受到第三方團體審查。

當你加入公司自帶設備的計畫時,如果你太過心急而沒有仔細閱讀使用政策就加以接受,或你那時根本也不想知道到底會遇到什麼,現在可能是個好時機去詳讀文件或聯絡你的IT/HR部門以確認詳情。這裡有三件關於公司自帶設備需要確認的事情,不要害怕問出口:

  1. 個人資料遺失。當你將個人的智慧型手機、筆記型電腦或平板電腦用在工作上(像存取公司電子郵件、行事曆或企業目錄),公司很有可能會用內建功能和額外的軟體工具來保護和管理你設備內的資料。作為第一道防線,很多公司都會強制執行ActiveSync策略,這被預裝在大多數消費性行動設備內,來強制密碼保護、遠端刪除和鎖定。更先進的IT部門可能會要求安裝另外的行動設備管理軟體,好讓企業IT可以將管控延長到你設備上的應用程式和功能。雖然安全性和可管理性是公司所該關心的事,大多數自帶設備計畫所用的工具並不會明確地區隔開個人和企業的資料與應用程式。結果就是,當未經授權存取事件發生時(真正發生或推測),設備內的內容或多或少會被自動刪除,設備本身也會變得無法使用。如果你不害怕答案,你應該要問下列問題:我在設備上的資料很容易就被自動或遠端刪除嗎?什麼事件會觸發自動刪除?遠端刪除是標準離職步驟的一部分嗎?遠端刪除會告知我或需要我同意嗎?在自動或遠端刪除後,我的個人資料還會保留嗎?公司有提供恢復已刪除個人資料的方法嗎?我可以要求因為個人內容,像是歌曲、影片或應用程式刪除所造成損失賠償嗎?
  2. 隱私。從法律角度來看,你擁有個人設備這件事和訴訟本身無關。為了要發掘和保存證據,法院可能需要鑑識審查訴訟中所有相關的設備。自帶設備計劃的參與員工可能會被要求交出個人設備給第三方團體檢查。你將被迫讓所有儲存在你設備上的個人資料被存取。這包括網站瀏覽記錄、下載和播放過的歌曲和影片、金融交易副本、你的個人聯絡人以及你和他們之間的電子通訊(包括個人電子郵件、個人電話、簡訊和各種社群媒體活動,包括Facebook、Twitter和VoIP服務,像是Skype等等)。這會延伸到任何共用該設備的其他家庭成員或第三方人士的個人資料。儲存在設備中的個人資料並不是唯一要擔心的隱私問題。你的位置和網路活動也可能會透漏給你雇主所知。 繼續閱讀