還記得這周二(1/27)Facebook、Instagram 斷線一事嗎?

當機的那一剎那真的是讓全球的網民都「驚」了一下,網路上也出現一股「臉書恐慌潮」,隨即有消息傳出這可能是著名駭客組織「蜥蜴部隊」(Lizard Squad)所為。

儘管隨後臉書出面澄清表示:當機是他們自己造成的,與第三方無關。但顯然這一次的事件也提醒了我們網路世界中「駭客」可以如何深遠的影響我們的生活。

更不用說之前北韓為了《刺殺金正恩(又名:名嘴出任務)》駭入 Sony 的事件,更是讓人發現原來這樣一個龐大、資產豐富的企業在網路攻擊面前如此不堪一擊。

這些案例都在在凸顯出現階段我們對於「資安」的無視、無知,以及不顧「資安」的恐怖後果。說到底,一般大眾還有企業享受著網路的日漸發達,卻對於網路可能的反噬、資安的重要懵懵懂懂。

  • 當我們愈聯網,才愈知道我們對「資安」的無知與怠慢

上個月,歐洲知名的防毒軟體企業「芬安全」首席資安研究長,同時也是國際刑警資安顧問的 Mikko Hyppönen 來台訪問,我們做了一個簡短的訪問,與他聊了聊資安科技的趨勢。

關於 Mikko,大家比較熟悉的可能是去年時,他曾協助揭發小米將用戶資訊回傳中國主機一事,當時他曾說:「小米原本在做的事顯然是不對的:他們在搜集你的通訊錄資料,而且沒有獲得你同意就將資料回傳給他們自己。」他說:「更糟的是,這還是在未加密情況下傳送。」

Mikko Hyppönen 小檔案:

○ 1991 年因為同事寄送了一個病毒樣本給他,原本擔任程式設計師的他決定轉職程病毒獵人
○ 2003 年成功關閉當時引發全世界病毒恐慌的 Sobig_f worm 病毒,網路知名度持續提高
○ 2004 首位向全球提出「殺手病毒」警告
○ 2007 年獲《PC World》雜誌評選為全球 50 大重要人物
○ 2010 年榮獲十年一度 Virus Bulletin 最佳資安教育大獎
○ 2011 年與歐巴馬並列為全球百大教育思想家
○ 多次受邀 TED 演講,傳布與建立資安的重要性
○ 為國際刑警資安顧問,持續協助美國、歐洲、亞洲法務部門處理數位犯罪

以下就來看當天我們交流的幾個重點:

● 很多亞洲人/企業太不 care 資安,軟體應該升級了還死不換

在亞洲還是有許多個人、企業、政府的系統都還是用傳統的 Windows XP,Mikko 表示他看到太多亞洲人不單是台灣都不愛升級系統(突然想到上次去 ATM 領錢,那個系統畫面貌似還是 XP 的啊 … … )。

以資安的角度來看,這其實是很糟糕的;因為一來就系統常有許多漏洞,容易被攻擊,二來系統落後也代表服務商(例如微軟)他們不再提供維護。

這情況和歐美的狀況就差距甚多,絕大多數的歐美人民與企業還是較樂意升級系統。至於為什麼會有這樣的觀念差異,主要可能是因為在歐美多數人的認知是「新的」系統「問題比較少」,也就是安全性更高、更保險;所以他們願意更換。

● 資安缺失不應該怪罪使用者,企業應該要一肩擔起

在這一點上,Mikko 還特別提出一點就是有很多廠商都認為安全議題上的疏失是「蠢笨使用者」的錯,他覺得這很不合理,因為使用者不了解、沒有訓練與教育是正常的。很可能是大多數的人不知道不升級、繼續使用 XP 會有問題(頂多就是跑很慢)。

所以他特別提出,以企業的角度不應該期待每個人都知道怎麼用、用得安全。這是企業需要去負責的。這也是他一直提倡的概念,資安就是要在企業端做好設計、做好安全措施,使用者是定然會犯錯的;所以只有當企業肩負這樣的責任,資安的防範才能提升、風險才能下降。

● 在使用 Google、Dropbox 等服務時,謹記你的一切其實都可以被美國政府看到

在資安的議題上,亞洲人對於資安的敏感度也的確較低。

簡單來說,現在全世界的資訊很傾頹,大多數的服務,像是雲端、email 等等「民生服務」都來自美國企業,這樣的狀況就造成幾乎全世界的資訊都掌握在「美國手裡」;而對於美國政府的立場來說,他認為「可以監控一切美國企業的資訊」,這樣就演變為美國政府他監控了許多非美國國民的個人隱私,而這也就是當初 Snowden 會被美國政府追殺的原因,也是為什麼他告訴我們「別再用 Google、Dropbox」,他們真的是毫無保密可言。

所以問題變成「我們不是美國人,你美國政府憑什麼可以監控我們的資料?」這是在歐洲很普遍的認知,因為這對隱私權來說是很大的侵犯;可是相對這樣的觀念在亞洲就比較薄弱。

不過 Mikko 也說了,要讓大家不用也是天方夜譚,現在整個市場的結構與實情就是多數人還是會用,只是我們應該還是要在內心有這個認知與提醒。

● 想要不讓市民擔心政府開放的資安問題,唯一的建議就是「透明化」程序

Mikko 唯一的建議就是推動程序「透明」,沒有秘密,以此贏得市民的信任,透明的給大家看程序是怎麼運作、怎麼建立的。而這其實就是「開放政府」的觀念:開放、分享。

當你的程序透明時,一大家比較不會有疑慮,有問題大家就可以公開講;那很多的原始碼部分的模組,大家可以一起去溝通討論,一起去進化它,這樣一來成本相對的還比你發包出去低。

透明化的好處就在於至少你有一個公開的立場,甚至說在做安全的一個部分,你可以有一個透明的機制跟他提出我是怎麼樣保護你的隱私。而且重點是現在很多機制透明的未必有危險,如果你又時常開放、讓大家定期討論,這樣建立起的體系也比較經得起考驗

● 資安狀況越來越嚴峻,但人才卻相對稀缺

Mikko 肯定地表示他們強烈的相信教育、教育下一代的重要性;他說不管是芬蘭、台灣還是全世界都需要更多的人才,讓更多人了解資安產業。特別是現在資安的議題相較以前更為嚴峻,網路上的攻擊也越來越多,所以提升這一塊人才的培養很重要。

隨著網路的發展,現在線上的攻擊頻率、複雜性、組合越來越多,整個業界事需要更多的專業人士。所以培養年輕人變得格外重要。

● 物聯網正夯、資安狀況更惡劣,企業也需要覺醒

很多製造商都需要被再教育。Mikko 解說在現階段其實大家還是知道「資安」的重要性,但是因為他不是最重要的,所以很多品牌商會為了成本去掉「安全」這一塊,因為對他們來說他已經提供了主要的服務(功能),對於他們來說安全就不是一個立即性的考量之一。

「現在越來越多東西被冠上『智能』二字,但對我來說不管是什麼,他就是代表了可能被入侵、資安的問題。」

● 怕被對岸偷資料?其實你只要捫心自問「天下有白吃的午餐嗎?」

很多人愛使用中國的免費軟體,卻又害怕被偷竊個資;或是更多人就只看到「免費」,卻忘了免費背後的真相。Mikko 說這是很簡單的問題,「天下沒有免費的午餐,你問你自己你有什麼是他們要的。」答案顯而易見。

Mikko 舉例,像 Google 就已經搜集用戶資訊超過 15 年的時間了,「這是很恐怖的,所以免費是什麼?

● 以下可以聽聽 Mikko 在《TED》的精彩演講:

隨著雲端、大數據、物聯網一個個被我們講爛了,網路也早已是我們生活中不可或缺的一部份,但是對於網路多數的我們至今仍是予取予求,卻忘了這背後可能有多大的安全問題。

現在已經是網路時代了,全網路的日子也不遠了,對於資安、對於自身安全的保護,我們都該好好思考了。

  • 延伸閱讀

世界駭客攻擊即視圖:中國最愛駭人、美國是全球公敵

前 CIA 雇員 Snowden 叫我們別再用 Google、Dropbox 了,真的就是那麼容易洩密!

【點矽成章:鄭志凱專欄】從食安到政治,台灣缺乏的就是資訊透明的 guts

(參考資料:iThome路透社;圖片來源:Mikko HypponenErvins Strauhmanis,CC Licensed)