CMT0723_01

【我們為什麼關注這則新聞】

一銀盜領案告訴了我們一個系統漏洞所可能帶來的後果。但現在高手都在民間,企業卻未必能吸納成為資安戰力。如何營造一個報酬合理且制度完整的漏洞平台,將是台灣資安未來的一大重點。

(責任編輯:曾華銳)

國內最大資安及駭客技術研討會台灣駭客年會 (Hacks In Taiwan Conference,HITCON) 社群場於 7 月 23 日在中央研究院圓滿閉幕。

去年物聯網 (Internet of Things,IoT) 大行其道,HITCON 便將活動主題設定為”Security of Things”,提醒大家留意身週的物件可能造成的資安問題。而今年資安事件頻傳,一銀盜領案更是引起軒然大波,於是 HITCON 便將主題擴及至 “Security or Nothing”,也就是在這個網路世代如果不注重資訊安全,後果可能就是一無所有。

與惡意攻擊遽增的現象相對應地,企業對資安人才需求也年年上升,但資安高手卻仍被埋沒。有鑑於此,今年 HITCON CMT 扮演媒合平台,提供廠商與資安人才溝通接觸的機會,希望能讓台灣的資安領域更加蓬勃發展。

過去,企業面對熱愛四處挖掘系統漏洞的駭客,往往如臨大敵;但近年企業對此事態度逐漸轉為積極正面,希望能藉由與駭客的合作,使系統更加安全可靠。而在國外也有安全漏洞獎金 (bug bounty) 機制,鼓勵駭客協助找出系統弱點,facebook、Uber 與 Google 等大企業均提供這樣的獎勵。

HITCON 第二天 Keynote 議程「Bug Bounty 獎金獵人甘苦談」,便是由曾經挖掘出 Facebook、Google 漏洞的資安研究員 Orange 來分享舉報國外大型網站漏洞的心得。

Orange 表示,漏洞通報已經逐漸走向制度化,國外也有漏洞平台像是 Hackerone、Bugcrowd,專門為企業媒合資安研究員。不過,Orange 也感慨企業面對漏洞的態度頗為極端:部分企業收到漏洞通報不願修補弱點,而是立刻把機器下線;有些企業則是建立了完整的獎金和流程,以尊重回報者的態度,讓研究人員未來更願意回報弱點資訊。他也期待日後台灣漏洞平台能更趨成熟,企業能夠以正確的態度更快速地處理資安問題。

CMT0723_02

今年勒索軟體 (Ransomware) 災情頻傳,許多企業遭受攻擊,業務上的檔案被加密,只能交付贖款或放棄被加密的檔案,除了要求使用者主動頻繁備分資料以外,講者 Henry 也發表了偵測預防勒索軟體攻擊的技術,希望能降低企業損失。

部分講者透過節奏明快的閃電秀 (lightning talk),利用五分鐘的短講分享資安研究成果,風趣幽默地陳述生活周遭的安全議題,包括如何在不越獄 (Jailbreaking) 的情況下繞過驗證機制安裝熱門的手機遊戲、使用特殊技巧取得虛擬貨幣等。

為了鼓勵資安領域人士互動交流,較之於往年活動擴增了攤位類型,參展攤位包括企業人才招募、社群及個人攤位,社群提供了各式有趣的 Wargame 與實體開鎖練習,模擬駭客攻防的環境,讓初探資安領域的參與者能從中獲取破解系統漏洞的成就感。

駭客年會期待能扮演政府、企業、資安人才之間的橋樑,經由每年的年會活動,讓與會人員可以盡情地聽議程、學技術、交朋友。年會活動提供演講簡報下載,請至 HITCON 網站查詢。

(本文訊息由HITCON駭客年會提供,內文與標題經 TechOrange 修訂後刊登。新聞稿 / 產品訊息提供,可寄至:[email protected],經編輯檯審核評估合宜性後再行刊登。本文提供合作夥伴轉載。)