數位時代的隱私問題 但誰是資料的主人

在網路上,對於隱私權的擔憂是一直存在的,而最近的新聞事件將這問題更加的推到眾人面前。

儘管有許多團體(包括了法國歐盟的監管單位)都加以反對,但在本月早些時候,Google開始實施「新」的隱私權政策。新的隱私權政策讓Google可以整合使用者在所有服務間的資料,這是之前沒有過的。根據Google的說法,這是為了「更加簡單直覺的Google體驗」。

不只是搜尋引擎有隱私權的問題。在二月初,流行的行動軟體PathHipster被發現會將使用者的通訊錄上傳到他們的伺服器。後來iOSAndroid也都被發現在未經授權時,就會讓應用程式可以存取使用者的照片。

到目前為止,還沒有一套讓企業在握有我們的資料時,可以遵循以及負責的準則。基本上,當企業能夠存取我們的個人資料,並且將之存放到他們自己的設備來加以處理時,那對隱私的後果就可以想見了。

今年二月,許多廣告網路和龍頭網路公司,像是AOLGoogle,微軟和雅虎都同意實行「請勿追蹤」功能:基本上,它會讓網站(還有廣告網路)停止追蹤使用者。這也封鎖了廣告商的某些做法,像是個性化廣告。(我們之前在電子書 小心保護線上隱私」中討論過個性化廣告。)

這是根據白宮所提出的「消費者隱私權法案」,這份白皮書包括的各項原則,老實說都是些基本常識:他們讓使用者的線上資料得到和不是放在網路上的資料一樣的保護。從根本上,美國的做法是先呼籲網路公司和產業界去自願實行這些規範,然後再由監管單位來作強制執行。

這是否意味使用者再也不需擔心自己的隱私問題,而廣告商和網站也不會再濫用他們對使用者所知的一切?可悲的是,當然遠非如此。

請勿追踪宣言並沒有任何東西會被立刻實施。要如何實施請勿追蹤,而且它到底該如何運作,這些問題都還尚未完全清楚。總之,需要一點時間讓請勿追踪變成使用者可以真正去選的功能。 繼續閱讀

從荷蘭 ISP-KPN被入侵事件,看八年未更新的系統之後遺症

 作者:趨勢科技資深分析師Rik Ferguson

 2月荷蘭的大ISP – KPN宣告他們的網路被入侵了。KPN公司是在今年1月27日首次發現這次的入侵事件,也從那天開始和國家網路安全中心(Nation Cyber Security Centre)、監管單位 – 獨立郵政與電信管理局(OPTA)、資料保護局(Data Protection Agency)、經濟農業及創新部(Ministry of Economic Affairs, Agriculture & Innovation)、公共安全與司法部(Ministry of Justice and Safety)還有檢察官一起努力的控制住狀況和追踪入侵者。

 在一月時,他們決定不向一般民眾公佈這起入侵事件。很明顯地,有兩個可能原因來作出這個決定:為了增加調查成功的機會,也怕駭客會因為知道被發現而故意做出破壞。 

 在最初的公告裡,KPN承認有部分客戶資料可能會受到影響,但表示提供信用卡資料或密碼的伺服器並沒有受到損害。

而在KPN宣告後一天,一份包含537個KPN帳號的清單(包含名稱、地址、電子郵件地址以及密碼明文)被張貼到Pastebin上。我們並不清楚這份資料是從哪裡來的,而文章標題很簡單:「KPN的入侵證明,KPN houdt vol: geen klantgegevens gestolen」,後面兩句翻成中文就是「KPN堅持:沒有客戶資料被盜」,所以讓人覺得很明顯這兩起事件是有關連的。

因為這次資料外洩事件,KPN立刻關閉了兩百萬個一般使用者的電子郵件帳號(以作為預防措施)。花了整整25個小時,KPN才在週五晚上恢復使用者的電子郵件外寄服務,而一直到星期六,才開始分階段恢復電子郵件收信服務。同時KPN也提供額外頻寬和服務讓使用者可以在線上完成密碼重置程序。企業服務並沒有影響,雖然企業用戶也被強烈建議更改密碼。直到禮拜天中午,已經有超過十萬名客戶這樣做了。

 但從這文章裡,卻很清楚地知道這537個使用者帳號和這次攻擊並沒有關連。實際上,這些使用者帳號來自今年早些時候網路商店babydump.nl被偷資料中的一部分。這些被公佈的資料已經至少超過一年了,雖然有些名單上的受害者還不知道他們資料已經被竊或外洩了。 

KPN正在進行的調查中,根據承認發動攻擊的駭客所提供的資訊,入侵成功的原因是軟體未更新。根據這位駭客表示,第一次被入侵的系統是SunOS 5.8加上patch 108528-29,這已經是2004年的版本了,而原廠在下個月就不再支援SunOS 5.8了。此外,駭客們也宣稱已經至少下載了16GB的資料,而他們隨後也都銷毀了。並且在他們入侵的系統上,他們可以個別地控制客戶的網路連線。

KPN看起來有很大程度地同意駭客所言,他們聲明中說:「有許多專家在分析這次的入侵事件中表示,KPN使用了嚴重過時的系統,而且也沒有定期去更新系統」。荷蘭KPN的協理 – Joost Farwerck說:「當然,在我們這一行的變化非常快。也就是說,在最近幾個星期的研究裡,我們已經發現網路IT系統的維護並沒有一直做到最佳化。我們要吸取這個教訓,以提供我們的客戶更好更安全的服務。」 

如果Sony發生的慘劇還不夠,這裡又是另外一個血淋淋的教訓。有弱點和未即時更新的系統,如果沒有得到充分保護前是不該連上網路的。要去找出特定伺服器上的作業系統和應用程式版本是一件簡單的事情,而要去找出可用的漏洞更是容易。

 想要讓企業用戶可以將系統都做到即時更新可能有點不切實際。但是8年沒更新作業系統和應用程式,導致系統未受防護,這還是不可原諒的。就算是放在內部網路,在佈署好更新之前,企業還是需要利用有效的主機入侵防禦系統來對已知漏洞做好防護。佈署更新應該要盡可能的即時,不要成為下一個KPN。 

如果你認為你的帳號可能受到這次入侵的影響,可以使用這裡的密碼重置服務。雖然看起來似乎因為負載過重,所以我現在無法連上。你也可以參考我早些時候關於密碼所提出的建議(中文請參考:關於密碼千萬不要做的四件事與密碼設定小秘訣),並且避免重複在不同網站使用同一個密碼。

 @原文出處:KPN: The stolen data that wasn’t and the 8 year-old that was to blame

 

◎ 歡迎加入趨勢科技社群網站
 

<小心保護線上隱私與不當分享後遺症>臉書上罵老闆,判公然侮辱罪! 離婚官司從臉書蒐證

今天中午小編看到一則新聞說:有人PO 文侮辱店長像中國來的大嬸,而被提告,事實上法國一名電話客服男子在臉書上罵「爛老闆」法國男遭判公然侮辱罪,雖然男子強調是因為前一天有同事自殺,他才會做出這種貼文。不過,法院仍指出「該言論超出合理批評範圍」,判定他觸犯「公然侮辱罪」。該男子被判罰款500歐元(約1萬9千元台幣) 。最近的案例是臉書客家人高中生挨告 ,如果遇到道歉不能平復的事,像這樣道歉無效!新竹客家人控告高三女 就要傷腦筋了。

越來越多人會在網路上處理各種個人事務(像是網路購物和使用網路銀行)。你一定會想知道,到底有多少你的資訊可以在網路上被看到(包含你現在或未來的老闆;包含你打官司時對方的律師)。網際網路跟我們的日常生活已經結合的如此緊密,網路犯罪份子也會用更新、更有創意的方式來打破我們在網路上的隱私。

社群網站 過分分享的陷阱

 

一切都跟廣告有關

因為網際網路用途的大量增加,也讓網路公司很有興趣去追蹤大家都在網路上做些什麼。好讓這些公司可以據此來行銷產品和服務,多數人也都可以在社群網站、新聞部落格、線上娛樂頻道看到。事實上,網路廣告已經是大多數網站的金錢來源。

在2010年,Google披露了他們96%的收入來自廣告(放在自身網站或使用其廣告業務的網站上)。而社群網路巨頭Facebook的全球廣告收入也預估會在2011年上升104%,來到38億美元。

因為一些廣告服務供應商(像是Google AdSenseYahoo! Advertising Solutions)都提供客製化廣告的服務,你應該會發現服務供應商和廣告商是可以追踪你的線上活動的。廣告商會想辦法去收集資訊,比方說從你去過的網站和你填寫的線上個人資料中得知。

客製化廣告:仙丹還是毒藥?

大部分網站的廣告需求都是經由第三方廣告網路來管理。線上廣告或是廣告網路是中介廣告商和希望提供廣告的網站所有者間的橋樑,廣告網路使用集中伺服器去提供對的廣告給對的網站訪客,也會在網路上監看著使用者的活動。

廣告網路還可以讓第三方公司透過使用者的網頁瀏覽記錄來觀察他們的線上活動,進而了解他們的喜好。雖然對某些人來說,將使用者與可能引起他們興趣的網路廣告做配對不是什麼問題,但也有些人覺得這是種對隱私的侵犯。對多數賣家來說是很方便跟有用,但對於他們所監看的人來說卻是在侵犯隱私。

要在瀏覽網頁時保護個人隱私,牢記下面的秘訣:

· 定期刪除CookieCookies存放了網站相關資訊,所以有可能被網路犯罪分子所竊取利用。刪除Cookie有一個缺點,就是每當你再次訪問網站時,都會要求你重新輸入帳號名稱和密碼。

· 使用隱私瀏覽:瀏覽器提供這種特殊模式好讓你的網路活動得以保密,不被窺探。選擇隱私瀏覽會使用新的瀏覽器視窗,並且會在你關閉視窗時刪除所有的歷史記錄和cookie。但是要注意的是,如果你的視窗還是開著,並不保證可以保持匿名,會讓廣告商仍然可以追踪到你。

· 使用網路廣告促進會(NAI的選擇退出(Opt-out)工具。這個工具讓你可以選擇退出客製化廣告的目標。身為促進網路廣告自我節制的組織,網路廣告促進會(Network Advertising Initiative,NAI)讓你可以選擇不接受其成員公司的廣告行銷。因此,你可以不再被這些會量身打造廣告,但被你所封鎖的廣告公司所打擾。

社群網站 過分分享的陷阱

當廣告網路需要根據你的網站偏好和使用模式來猜測你會感興趣的內容時,社群媒體已經擁有了所有的資訊,他們只需要你自己不停的提供給他們。感謝社群媒體整合了多個網站,社群網站可以很簡單的找到你的好惡。

也因此,社群媒體「採礦」快速地成為業界的標準做法,尤其是對那些保險和人力資源(HR)公司來說。比方說,他們會監看社群媒體好找到可能的詐騙案子,特別是根據報導,這些詐騙案每年會讓保險業損失大約三千萬美元。

被貼到社群網站的內容,現在也會被拿來在法庭聽證會上作為證據。像是在離婚過程中,會利用上傳到Facebook的照片來證明丈夫的不忠。

在這個案例中美國法官命令1對離婚夫妻互換Facebook密碼,法院下令,申請離婚的夫婦必須向對方提供所有社交網站的密碼,以便於雙方律師能夠登錄尋找指控證據。根據法庭的命令,夫婦雙方都被禁止修改社交網站密碼,也不能刪除任何資訊。另外,他們也被禁止用對方的帳號發佈消息,弄虛作假或抹黑對方。

這是另一個案例,法國一名電話客服男子在臉書上罵「爛老闆」法國男遭判公然侮辱罪,法院裁定他的公然侮辱罪成立。(台灣有這個PO文辱店長像「中國來的大嬸」 挨告)
就職於法國西北部康城Webhelp電話客服中心的職員艾瑞克(Eric Blanchemain),2010年11月在公司工會的臉書上寫著 “Shitty day, shitty job, shitty company, shitty bosses”(很爛的一天、爛天氣、爛工作、爛辦公室、爛老闆。)發文後,他隨即遭到公司停職5天。

繼續閱讀

邁向更安全的工業控制系統(ICS)

作者:Paul Ferguson(資深威脅研究員)

 ICS(工業控制系統,Industrial Control Systems)網路最近的新聞鬧得很大。因為出現了一連串的弱點、熱門入侵外洩事件以及其他各種安全上的問題。

 ICS網路的定義是由各個在機電組件上控制和提供自動測量資料的元件所組合成的網路或網路集合。這些機電組件包括閥門、調節器、開關和其他機電設備,你可以在各種產業裡看到它們,像是石化與天然氣、自來水處理、環境控制、發電和配電、製造業、運輸業以及許多其他產業別。

 這裡並不需要深入探討各個特定產業,這些ICS應用環境都有一個共同特色,就是它們並不是「傳統」的IT網路環境,也不該被同等對待。而大多數ICS網路也因為它們的獨特性質而面對相同的安全問題。這些問題因為ICS元件和實體工業組件互動而變得更加複雜。

 如果不能妥善地控制或限制這些元件的存取可能會導致災難性的事故。許多這些元件所管理的工業系統被認為是「關鍵基礎設施(CI,Critical Infrastructure)」,被要求使用比傳統IT環境更特製化的安全架構。

 監視控制和資料擷取(Supervisory Control and Data Acquisition,SCADA)網路可以被定義為網路層,提供ICS網路和控制監視ICS網路元件的主機系統介面。

 SCADA / ICS網路和其他網路不同處只在於網路元件、管理平台和靈敏度。它們所會面對的一切都和其他網路上會遇到的威脅完全一樣,但可能會出現更災難性的後果。

 SCADA / ICS安全最大的問題是,ICS社群(大部分人)多年來都生活在「泡泡」裡 – 他們使用專有協定,特製和專有平台。專用低速通訊基礎設施(有些甚至是用撥號網路),並完全和其他網路分隔開(如網際網路)。

 現在,SCADA / ICS社群正努力解決使用一般商業化硬體和軟體(如微軟作業系統)以及連接其他外部網路(企業網路,最終可能是網際網路)所帶來的安全問題,還有混亂而失控的弱點披露制度(ICS的弱點也是攻擊的目標),跟許多其他一般IT安全產業已經面對多年的問題。

 是的,有些ICS網路營運商已經落後於時代潮流了。是的,有些已經要被這些狀況給擊倒了。但整體來說,SCADA / ICS社群正加緊地提昇他們的安全狀態。

 我整理出一份技術說明白皮書 – 「讓工業控制系統邁向更安全的狀態」,簡單扼要地討論這有利於這環境的一些基本安全架構元件。

 這報告介紹了我相信在每個 ICS網路整合時都必須考慮的元件。還包括了跟 SCADA和現行組織網路整合時的最佳實踐作法,以及每個建議架構元件的說明。它的目標並不是成為完整的ICS / SCADA安全指南,而只是以宏觀角度來提出在佈署ICS時,能增加安全狀態的一些基本架構元件。

 

@原文出處:Towards A More Secure Industrial Control Systems Security Posture

抽福袋

 

 

 

@開箱文與評測報告

防毒也防失竊趨勢科技行動安全防護軟體測試

[評測]趨勢科技行動安全防護for Android

TMMS 3.75 Stars in PC World AU

TMMS 動新聞.PNG

手機防毒不可不知 (蘋果動新聞 有影片)

雙重送活動一:複製留言輕鬆抽,參加辦法,按這裡

2011 資料外洩預言成真的五件事實

2011年對趨勢科技、其他資安產業還有和我們一起對抗網路犯罪的執法單位來說是充滿挑戰的一年,也是成果豐碩的一年。趨勢科技的預測之一已經成真,2011年會被稱為是資料入侵外洩的一年。我們看到了全球都有組織在目標攻擊下淪陷,而且失去了在數位時代的貨幣單位,也就是資料。

 

在為今年做好準備前,讓我們來看看有哪些趨勢科技對2011年的預言成真,以及我們做了哪些事情來幫助資安產業對抗網路犯罪。

 

趨勢科技預見了什麼… 出現了哪些事…
將會看到更多目標攻擊和網路間諜。 正如我們所預測,幾個世界性的組織在目標攻擊下淪陷,付出了昂貴的成本。RSA和Sony是 2011年最大的兩個APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)的目標。正如我們所預測,幾個世界性的組織在目標攻擊下淪陷,付出了昂貴的成本。他們失去了數百萬客戶的資料,光是完成修復就花費了鉅資。APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)的目標。他們失去了數百萬客戶的資料,光是完成修復就花費了鉅資。
將會看到更多行動設備上的攻擊。 Android 手機病毒/行動威脅的快速成長也讓行動威脅變得更加成熟。在2011年兩個最突出的惡意軟體家族 – RuFraud和DroidDreamLight變種的帶領下,木馬化和其他各種Android惡意應用程式不僅只出現在第三方的軟體商店上,也出現在Android Market上。
2011年回顧:手機病毒
2011下半年 Android 手機威脅月平均成長率高達 60%
將看到更聰明的惡意軟體活動。 網路犯罪分子在全世界的社群網路上製造更多的垃圾(SPAM)訊息和網路騙局,使用了更加吸引人的社交工程陷阱誘餌和更多創新的手法。數以千計的社群媒體使用者被各種詐騙所駭,最終損失的是他們的隱私,甚至他們的身份認證。
將看到利用弱點和攻擊碼的持續發展。 儘管被報告出來的弱點數量下降了,網路犯罪分子還是在2011年繼續使用弱點攻擊。三個最常被利用的弱點是CVE-2011-3402、CVE-2011-3544、CVE-2011-3414,毫無意外地是針對弱點攻擊前五名廠商的其中三名,微軟、甲骨文和Adobe。2011年回顧:漏洞和弱點攻擊
會看到舊病毒在網路犯罪地下世界內被持續散播和整合。 雖然現在只是威脅環境內不被注意的一環,傳統安全威脅還是繼續在使用者間肆虐著。所有攻擊的最終目的都是為了資料,錢和身份竊取。傳統安全威脅現在用著更新更好的工具以及誘餌來感染不知情使用者的系統和其他設備。

 

雖然我們沒有預見到駭客激進主義(Hacktivism)在2011年脫穎而出,我們看到了由AntiSec和LulzSec對於各個團體所作出的大規模入侵行為。為了表達政治意見,和對各種不同議題表達不滿,駭客激進主義團體持續地對使用者發動攻擊。

繼續閱讀