數以百萬的iOS 越獄,你怎麼知道執行長沒有一支被駭過的iPhone?

一個針對蘋果iOS的例子,FinFisher International的FinSpy Mobile,可以監視使用者位置、聯絡人清單、電話、網路歷史記錄、簡訊,甚至在特定位置打開iPhone麥克風來進行竊聽。

你怎麼知道執行長沒有一支被駭過的iPhone?你怎麼知道有多少「沉默的聽眾」參加最新一次的董事會議?在過去幾年裡,不僅僅是美國能源部(設計和製造核子武器的部門),還有美國聯邦儲備委員會和華爾街日報也都被駭客攻擊。你憑什麼認為你們的高階主管不會受到相同的待遇?

 作者:Cesare Garlati

Apple iOS被越獄的紀錄大概就跟它本身的歷史一樣長,但是IT主管們依然低估了這個問題.以及它對企業資料和網路所帶來的安全風險。

 

最新的iOS 6.1越獄程式在二月四日被釋出。根據將最新破解程式公布在evasi0n.com的作者 – Cyril(又稱pod2g)所提供的網站統計數字,僅僅在前四十八小時就有高達五百萬次下載。在這頭兩天,這些網站出現四千萬次的點閱率。其中有超過一半不重複訪客(約兩百五十萬)來自美國。

這個和我在數月前,在舊金山JailbreakCon 2012(全世界越獄界的代表大會。沒錯,的確有這大會)上遇到Jay Freeman(又稱Saurik)時所得到的數字相符合。Jay Freeman是Cydia的創始者,這是個完全合法而獨立的應用程式商店,以滿足那些解放他們Apple設備的使用者。Jay向我說明,根據他的網站統計資料,無論在什麼時候,都有約5%到10%的Apple iOS是越獄過的。

這有什麼好擔心的呢?因為這代表這些設備很脆弱。Apple如此有名的安全措施可以在短短幾天內就被破解 – iOS 6.1是在一月廿八日正式發表:只花了Cyril和他的朋友們不到一個禮拜的時間就打了Apple一巴掌。即使越獄社群並不是為了金錢目的而這樣做,但我們可以確信壞傢伙們(有組織的犯罪集團和商業間諜軟體廠商)都準備好要加以利用了 – 事實上,可能已經這樣做了。

從根本來說,越獄是當你太過限制使用者時會發生什麼事情的典型例子。他們會加以反抗。我們在許多其他消費性電子產品上都看到類似的模式,從電視遊樂器到電視機上盒都有。蘋果的問題在於它想要完全控制這生態系統的每個環節,從印表機到使用者可以下載的應用程式。這些使用者喜歡他們的Apple設備,但他們卻被當成小孩子對待。有了Android,使用者被當成大人對待:他們被允許下載任何應用程式,從任何自己信任的來源下載。Android作業系統的安全功能和權限模型固然並不完美,使用者被要求透過彈跳視窗來授權應用程式去存取使用者的行事曆、電話簿等。而Apple會事前審閱所有的應用程式,所以沒有這樣的彈跳視窗。但我們將在後面了解到,這會因為越獄過的設備而出現不好的後果。

順帶一提,不要將越獄和解鎖搞混了,解鎖是因為行動設備有綁約特定電信商,為了讓它可以使用其他電信商的網路而作。在另一方面,越獄則是去破壞或繞過iOS設備的安全措施。它可以跟下載一樣地簡單,今天的越獄數量也在不斷地成長,因為有專門的越獄社群會在最新iOS版本出來時,盡快地合作加以破解。

所以使用者因為被當成小朋友對待,被告知可以安裝和下載什麼應用程式,而採取極端手段來反抗,但這有什麼壞處呢?在法律上,因為數位化千禧年著作權法案的關係,越獄智慧型手機是完全合法的(Android上的越獄被稱為Root),但在平板電腦上是違法的。蘋果顯然強烈地反對使用者(還有開發商)透過這方式來掙脫其控制,也警告這會帶來縮短電池壽命、資料不穩和其他不好的後果。而在其中百分百正確的是,越獄的確會帶來不可接受的安全風險

繼續閱讀

五個保持線上遊戲安全的秘訣

「電腦遊戲」曾經只是當你在工作時,自己偷偷玩的紙牌接龍。但是到了網路新時代,線上遊戲已經演變成了龐大的產業,充斥著各種多人線上遊戲,聚集了來自各行各業的玩家們,在這精心打造的世界裡熱血奮鬥著。這很酷,但也存在著一些風險。

 

這裡有五個可以幫助你面對在遊戲中可能會遇到的一些較明顯威脅的秘訣:

一、保持匿名。不要給出你的真實姓名或實際位置。如果你被要求建立個人檔案,確認你沒有提供任何可以用來在現實生活中找到你的資料,像是你的電子郵件地址、實際地址、你的名字或年齡。

二、語音聊天時要小心。有些遊戲可以讓你透過耳機麥克風和其他玩家交談。如果你決定要這樣做,可以考慮使用聲音變造功能來偽裝你的性別和年齡。

三、知道如何對付網路惡霸。確保你知道如何通知管理員,如果遇到有玩家失控的狀況時。你還可以封鎖騷擾你的玩家,最好先知道該如何做,這樣當你遇到一個令你不快的玩家時,就可以盡快地封鎖他了。 繼續閱讀

讚、連結和經驗教訓 關於社群網路,中小企業應該知道的五件事

龐大到媒體帝國,平民至便利商店,每家公司都紛紛將自己推到網路上,用最快也最具成本效益的方式來接觸他們的客戶。這是社群網路所帶來的好處,也是企業們駐足的地方。但你知道社群網路對企業來說是有風險的嗎?不管它們的規模大小。

關於社群網路,中小企業應該知道的五件事
關於社群網路,中小企業應該知道的五件事

事實一

各種規模、類型的企業都正在採用社群媒體。

並不是只有大型企業才會使用社群媒體,小型企業也會。在美國,大多數(58%)中小企業主會在社群媒體管道上發展網路及進行互動。註1

Facebook上的公司網頁對中小企業來說是排名最高的社群媒體管道(29%),其次是在Facebook社團上互動或張貼消息(23%),然後是在產業相關社群上互動(19%)。這不難知道原因,因為這些基本上都是免費的行銷,只需要有電腦跟網路就可以了。

中小企業肯定能夠透過社群媒體來接觸到大量的消費者。跟據ComScore統計,全球的網路人口中有84%會使用社群網站。註2 大多數人會花費五分之一的網路時間在社群網站上。在美國,社群網路的使用量幾乎增加了一倍,而在中國也增加了一半(53%)。註3

事實二

越來越多人在工作時瀏覽社群網站。

Salary.com最近一項關於浪費工作時間的全球性調查中發現,幾乎有三分之二的人(64%)承認自己在工作時連上與工作無關的網站。在這些網站中,Facebook是最受歡迎的虛擬聚會場所(41%),其次是LinkedIn(37%)。註4

這消息其實並不令人驚訝。事實上,一項趨勢科技在美國針對709名受訪者所做的IT資安人員問卷調查中發現,有54%的員工在工作時因為個人因素而使用社群媒體。而中小型企業的員工中有超過五分之三這樣做。註5

圖一、使用者會否因為個人因素而在工作時使用社群媒體的比例
圖一、使用者會否因為個人因素而在工作時使用社群媒體的比例

46%的人:在工作時不會因為個人因素使用社群媒體

54%的人:在工作時會因為個人因素使用社群媒體

事實三

社群網路威脅即使對小型企業也是一視同仁。

中小企業應該要知道,不管是大是小,它們也不能倖免於社群媒體威脅。中小企業員工就跟其他多數使用者一樣,也會落入社群媒體上的惡意陷阱。

假WhatsApp Facebook網頁>詐騙訊息顯示其他應該是WhatsApp的使用者>網頁導向偽造的星巴克行銷網頁>假Facebook版WhatsApp網頁 繼續閱讀

重複使用密碼是幫了網路犯罪份子大忙

作者:Christopher Budd

最近Twitter被駭的消息,其中最重要的就是攻擊者大約竊取了廿五萬個帳號內的資料。

Twitter被取走的資料是「有限度的」 – 只有「用戶名稱、電子郵件地址,   連線代碼(Session Token)加密/加料過的密碼。」他們接著說,他們已經重置了受影響帳號的密碼。所以如果你有受到影響,那應該已經接到通知(我在上週六接到通知)。

你可能會覺得奇怪:到底是發生了什麼事?你該怎麼辦?

雖然Twitter說明被偷了什麼,但如果人們看到「有限度的」,就認為並沒有什麼好擔心而不做任何動作是很危險的。這將會是個錯誤。我們看到這些被偷的資料,其實是會對你其他的帳號帶來危險的,如果你在多個網站上都使用相同的密碼。

被拿走的資料組合起來,可以讓攻擊者能夠去入侵你的其他帳號。如果你已經收到Twitter的通知並且重置了你的密碼,事情還沒有結束。你應該更進一步地去更改任何使用相同密碼的網站。最好是將每個密碼都設成不一樣,可以避免未來發生一樣的事情。

但是除了變更密碼,我會希望有其他種做法,比如密碼管理軟體。

 

重複使用密碼是幫了網路犯罪份子大忙
重複使用密碼是幫了網路犯罪份子大忙

雖然我們已經說了很多年,重複使用密碼是有風險的,但是要管理許多組密碼也是件困難的工作,這也是為什麼許多人會使用一樣的密碼。在過去,你可以重複使用密碼而不會遇上什麼太糟糕的事情。網站會好好地保護使用者帳號。

但是這過去的一年顯示出網路犯罪份子開始佔得上風,可以輕易地獲得數以百萬計的帳號資料。在過去的一年,我們看到網站像是LinkedIn、Last.fm、Formspring和Yahoo等的帳號資料被盜。每次只要發生這種情況,任何重複使用密碼的人資料都有被竊的風險。 繼續閱讀

< 雲端運算 >十大AWS亞馬遜網路服務安全祕訣:第一條,用IAM保護你的資源

在接下來的幾個星期,我們將會探討如何防護AWS(亞馬遜網路服務)環境的最佳做法。在我們深入到防護你的虛擬機器、應用程式和資料之前,讓我們從最頂端開始。

作為AWS共享責任安全模型的一部分,AWS消費者防護好自己的服務可以發揮重要的作用。早在二〇一二年十一月的AWS re:invent大會上,Max Ramsay就將AWS與CSIS廿個關鍵安全控制對應,作為進一步了解AWS和客戶端(你)之間共同責任的框架。關鍵控制的第十二項是控制管理權限使用,負起保護責任是身為AWS用戶的你所必須加以正視的。在接下來的幾個星期,我們會聚焦在你所需要負起責任的關鍵控制。

在虛擬化或雲端世界,管理權限就好比是作業系統上的管理者帳號。不過,現在你有更多組強大的身份需要管理,好存取AWS控制台和API。

收起你的AWS管理者(root)帳號,利用IAM(身份存取管理)來啟動存取權限

當你開始使用AWS,你會獲得一組帳號和密碼。這個帳號擁有存取你所有AWS資源和帳務資訊的權限。不要跟任何人分享!我知道有某個經理跟他的團隊共享帳號,他們很快就發現可以用經理的信用卡在Amazon.com上買東西!

確認該帳號安全後,接著進到控制台上的IAM 選項,開始定義群組和使用者。

一般情況下,你會需要兩種類型的使用者:

  • 需要帳號密碼存取AWS控制台的人
  • 使用存取密鑰帳號(Access Key Id)和秘密存取金鑰(Secret Access Key)來存取API的程式

在這兩種情況中,你會想透過群組來分配所需的最低權限給使用者。AWS會幫你提供一些策略範本。例如,你可能會想提供操作人員「Power User Access」權限,而給開發人員「EC2 Full Access」權限。 繼續閱讀