三個良好的近距離無線通訊(NFC)使用習慣

作者:Ben April(資深威脅研究員)

我在瑞士的hashdays安全會議上談論了關於近距離無線通訊(NFC)的安全性。具體來說,是關於個人和企業可以如何安全地使用它。

雖然NFC技術還沒有被廣泛的使用,但早期採用者(像是這部落格的許多讀者)已經在生活裡開始使用。有些手機製造商也開始宣傳著他們的行動設備有加入NFC技術。在我的談話裡,我討論了哪些NFC應用可以被視為安全,而哪些還只是「方便」而已,以及企業可以做些什麼來保護他們的客戶安全。和哪些NFC功能應該被設計實現或完全避免。

安全 safty first

對於一般使用者,我談話裡最重要的一部分是他們可以如何保護自己的安全。養成良好的NFC使用習慣是從來不嫌早的。哪些習慣可以讓你保持安全呢?它們就是:

 

  1. 將行動設備上鎖。一般來說,設備必須要開啟或解鎖時才可以讀取NFC標籤。只要簡單地將螢幕上鎖(即使沒有設定密碼)就可以保護使用者免於這些威脅。
  2. 至於被動標籤,可以利用RFID/NFC阻斷裝置(像是錢包)。被動標籤會在NFC範圍下發射固定的訊息,這代表如果隨身攜帶這些設備而沒有使用阻斷裝置會有些微的隱私風險(防靜電袋也可以阻斷RFID設備)。對於行動設備來說,因為設備上鎖時將會自動關閉NFC讀取器,所以就沒必要進行這項預防措施。
  3. 在行動設備上使用NFC讀取應用程式。在預設狀況下,如果有在NFC標籤內偵測到網址的話,大多數行動設備就會去打開它。如果你無法確認這標籤的話,就不應該盲目地打開它。可以利用像NFC TagInfoNFC TagInfo by NXP的應用程式來預先讀取標籤。這應用程式可以告訴你標籤上有什麼資訊。可以幫助你判斷是不是要去掃描它。 繼續閱讀

< 網路危機 > 從臉書的社交圖表搜尋(Graph Search),再談網路隱私

Facebook擁有超過一億的活躍使用者,這些人每個月至少會登入一次。不管我們喜不喜歡,這世界已經因為Facebook社交圖表搜尋(Graph Search)的出現而變得更加緊密。簡單地說,它讓你可以利用社交工程在Facebook內進行詳細的搜尋。這新搜尋引擎的可能結果就跟它字面上一樣令人興奮。

FB 臉書交友邀請

只要簡單地在搜尋欄中輸入查詢字串就可以完成社交圖表搜尋:

 

如果你的放大鏡已經改變了,代表你現在使用的是社交圖表搜尋。

試著輸入「我的朋友的朋友的朋友」,你會很驚訝地發現可以看到什麼。

這裡可以使用到三度分離。你也可以輸入「不是我朋友的人」來看看誰可能是潛在的朋友。

右手邊會出現一個新的「加強搜尋」對話框:

 

 

 

這正是最有趣的地方

突然間就有了全新的選項。現在,為了避免我太太想跟我離婚前先聲明,這次搜尋只是為了實驗目的,真的!

我有個朋友剛剛抵達墨爾本,他想要找個理想的對象:我現在可以細化搜尋結果,比方說「我朋友的朋友的朋友」,並且具備以下條件:

  1. 女性
  2. 單身
  3. 23-29歲之間
  4. 住在澳州墨爾本

 

突然間,我的朋友有了超過100個可能的約會對象,只要透過Facebook的社交圖表搜尋!

社交圖表搜尋的危險在於,你所喜歡或不喜歡的任何事物、宗教或政治觀點,現在都可以用來識別你。

繼續閱讀

間諜軟體利用偷來的Opera電子憑證來隱藏自己

作者:Alvin Bacani

Opera 表示有攻擊者入侵了他們的網路,並且偷走了至少一個的過期Opera程式碼簽章用憑證。攻擊者再拿這個憑證來簽章自己的惡意軟體,以騙過目標系統,甚或是安全軟體去認為這檔案是合法的。

hacker with mask2

 趨勢科技取得了上述惡意軟體的樣本,這個惡意軟體(被偵測為TSPY_FAREIT.ACU)帶有過期的Opera電子憑證(見下面的截圖)。就跟Opera所報告的類似,我們所收到的樣本會偽裝成Opera的更新程式。

一旦執行,TSPY_FAREIT.ACU會從特定FTP客戶端程式或檔案管理程式竊取重要資訊,包括使用者名稱、密碼和伺服器名稱。

圖一、被竊的舊Opera電子憑證截圖

 

除了FTP客戶端程式外,TSPY_FAREIT.ACU還會從瀏覽器收集更多儲存

在這些瀏覽器內的資料(包括Mozilla Firefox、Google Chrome還有Opera)。這些資料通常是社群網站、銀行和電子商務網站等的登錄憑證。有了這些資料,這惡意軟體的幕後黑手就可以掌握你的各種網路帳戶,甚至進行未經授權的交易。他們也可以將這些偷來的資料賣給地下市場以賺取利潤。 繼續閱讀

《 CTO 看趨勢》漏洞揭露 – 開放還是保密?

作者:Raimund Genes(技術長)

在五月底,兩個Google安全工程師宣布來自Google總部關於零時差漏洞和揭露的新政策。他們強烈建議,已經出現在外的零時差漏洞資訊,廠商應該要在被通知後不超過七天內公布出來。理想狀況下,公告或修補程式都應該由廠商提供,但他們也表示,如果廠商沒有動作,研究人員應該要自己公布詳細的資訊。

這是個非常積極的作法。以微軟為例,對於重要修補程式並沒有設定公布期限:這需要在品質和時效性間尋求一個平衡點。要平衡這兩者並不容易。一方面,仍在活躍中的可攻擊漏洞會讓惡意軟體作者知道廠商的漏洞。另一方面,快速推出的修補程式可能會對應用程式和整體系統有負面影響,讓其更加脆弱。

幾乎每個安全廠商都曾經因為不小心而出現誤報。我們有許多的安全措施,像是白名單比對,但總是會有莫非定律。讓我們的產業因此影響了使用者的電腦。作業系統廠商在進行修補時要更加小心。他們需要有適當的品質保證,因為修補程式將會影響到數百萬台的電腦。

在我看來,七天後揭露的作法是合理而可行的,但期待在這時間內推出修補程式就不合理了。讓我們來看看Google本身會怎麼做。目前,有一個Google Android木馬程式正在擴散,它可以在「設備管理程式」中隱藏自己,讓安全軟體無法看到或試圖去清除它。這有可能是因為Android內的一個安全漏洞造成。Google可以在七天內解決這個問題嗎?讓我們拭目以待…

繼續閱讀

自帶設備(BYOD)的三個黑暗面 – 隱私、個人資料遺失和設備遭竊

作者:Cesare Garlati

很多員工並不了解使用個人設備對工作的影響。很多企業也不明白他們事實上為其後果承擔了責任。這篇文章涵蓋了你對自帶設備計畫想知道卻不敢問的事情。

好消息:你的公司提供自帶設備(BYOD)計畫。你終於可以停止使用那無聊的公司配電話,而在工作中使用自己最炫的新iPhone。更棒的是,你現在可以在家裡邊用三星平板檢查公司電子郵件,同時看著YouTube影片。你的公司負擔了部分費用,甚至提供企業級的技術支援服務,來幫你使用這些新玩意。這些看來都是無法拒絕的好處。

 ipad

壞消息:你加入了公司自帶設備計劃。有天早上你醒來,拿起你的iPad想要看信,但是卻打不開。你的iPad已經掛了,變成磚塊了。在家裡快速地調查了一下,你發現是因為家裡的小傢伙想要在你醒來前猜你的密碼,好去玩憤怒鳥。糟糕的是,企業郵件帳號的安全政策會強制讓iPad進行自我毀滅,以防止敏感的企業資料未經授權被存取。現在比那些有名的鳥們還憤怒了嗎?等一下之後你會發現設備本身還是可以救回來,企業資料也都可以回復。但你的照片、影片和歌曲都不見了。永遠消失。註:上述例子是個真實故事,我兒子的名字是Luca。

如果你已經被嚇到了,那就不要再看下去了。這些還並不是會發生在你資料、隱私和設備上最壞的狀況。用自己的個人設備來工作的員工大多會驚訝地發現,他們的智慧型手機、平板電腦和筆記型電腦可能牽扯進公司的訴訟案件。員工可能會被要求交出他們的個人設備(包括裡面的瀏覽記錄、個人資料和他們建立的文件),因為它們可能會在訴訟過程中受到第三方團體審查。

當你加入公司自帶設備的計畫時,如果你太過心急而沒有仔細閱讀使用政策就加以接受,或你那時根本也不想知道到底會遇到什麼,現在可能是個好時機去詳讀文件或聯絡你的IT/HR部門以確認詳情。這裡有三件關於公司自帶設備需要確認的事情,不要害怕問出口:

  1. 個人資料遺失。當你將個人的智慧型手機、筆記型電腦或平板電腦用在工作上(像存取公司電子郵件、行事曆或企業目錄),公司很有可能會用內建功能和額外的軟體工具來保護和管理你設備內的資料。作為第一道防線,很多公司都會強制執行ActiveSync策略,這被預裝在大多數消費性行動設備內,來強制密碼保護、遠端刪除和鎖定。更先進的IT部門可能會要求安裝另外的行動設備管理軟體,好讓企業IT可以將管控延長到你設備上的應用程式和功能。雖然安全性和可管理性是公司所該關心的事,大多數自帶設備計畫所用的工具並不會明確地區隔開個人和企業的資料與應用程式。結果就是,當未經授權存取事件發生時(真正發生或推測),設備內的內容或多或少會被自動刪除,設備本身也會變得無法使用。如果你不害怕答案,你應該要問下列問題:我在設備上的資料很容易就被自動或遠端刪除嗎?什麼事件會觸發自動刪除?遠端刪除是標準離職步驟的一部分嗎?遠端刪除會告知我或需要我同意嗎?在自動或遠端刪除後,我的個人資料還會保留嗎?公司有提供恢復已刪除個人資料的方法嗎?我可以要求因為個人內容,像是歌曲、影片或應用程式刪除所造成損失賠償嗎?
  2. 隱私。從法律角度來看,你擁有個人設備這件事和訴訟本身無關。為了要發掘和保存證據,法院可能需要鑑識審查訴訟中所有相關的設備。自帶設備計劃的參與員工可能會被要求交出個人設備給第三方團體檢查。你將被迫讓所有儲存在你設備上的個人資料被存取。這包括網站瀏覽記錄、下載和播放過的歌曲和影片、金融交易副本、你的個人聯絡人以及你和他們之間的電子通訊(包括個人電子郵件、個人電話、簡訊和各種社群媒體活動,包括Facebook、Twitter和VoIP服務,像是Skype等等)。這會延伸到任何共用該設備的其他家庭成員或第三方人士的個人資料。儲存在設備中的個人資料並不是唯一要擔心的隱私問題。你的位置和網路活動也可能會透漏給你雇主所知。 繼續閱讀