Microsoft 被稱為 Section 52 的 Azure Defender for IoT 安全研究小組近日發現，物聯網和營運技術（Operational Technology，OT）裝置上，有一系列的記憶體分配漏洞，可用來執行惡意程式。這個目前盛行的漏洞名為 BadAlloc，與不正確驗證的輸入有關，而這個漏洞會導致堆溢出，並最終執行這些代碼。 研究小組在發文指，這些漏洞都源於使用記憶體容易受攻擊的功能，如 malloc、calloc、realloc、memalign、valloc、pvalloc 等。當傳遞外部輸入時，這些函數就會出現問題，因為這些外部輸入可能導致整數溢出或迴繞函數，折回的結果是重新分配記憶體緩衝區。小組又指，儘管折回而分配的記憶體不多，但令與記憶體分配相關的負載，超過了實際緩衝區分配，導致了溢出；缺乏輸入驗證令入侵者開採記憶體分配功能，造成堆積溢位，而令他們可於目標裝置上執行任意程式。 Microsoft 正與美國國土安全部合作，向受影響的供應商發出警報，並修復漏洞。在通報中所示的受影響產品來自 Google Cloud、Arm、Amazon、Red Hat、Texas…

除了 Bill Gates，《槍炮、病菌與鋼鐵》經典名著都警告過大家，別看輕傳染病的破壞力，不過全球精英學者專家，只有寥寥幾位能夠準確預測 COVID-19 下的 New Normal，但 New Normal 伴隨的重大資安危機與未明前景，早已淘汰了一群應變失敗的 IT 管理層。另一方面，具前瞻力的企管人，已經居安思危，正推敲下一個 New Normal 及其生存法則。 2015-2019 年及 2010-2019 年的平均溫度分別是有記錄以來最高的五年平均和十年平均，冰川融化水位上升，1／4 國土低於海平面的荷蘭，很有機會比馬爾代夫更早陸沉，介時被迫難開家鄉的氣候難民，將會加添收容國的資源分配壓力。要說…

無可否認，去年初爆發的新冠疫情成為了企業數碼轉型（Digital Transformation）的催化劑。在政府的抗疫措施下，企業無論是為了讓員工在家工作（Work From Home），抑或應付顧客網購習慣的轉變，均發現傳統的基礎架構及 IT 工具完全無法滿足營運上的需要，有必要來一次大翻新。 新常態下服務要快 香港系統整合商 Amidas 技術總監 Frieda Cheng 解釋：「傳統的 I&O（Infrastructure & Operations）架構都是內部部署（on-premise），以往企業要開展新計劃，單是購買硬件、軟件及鋪設網絡的 IT 前置工作，起碼也要籌劃半年，完成整個計劃更至少要一年時間，套用在今次疫情上，便會發現傳統 I&O 架構已與實際需要嚴重脫軌。」…

網絡安全公司 Kaspersky 公布調查結果，揭露最常遭受釣魚攻擊之苦的五個國家。列於榜首的是巴西，據研究結果顯示，在 2020 年每 5 個當地的網民中，就有 1 個網民至少被黑客盯上一次，幸而當地網民對網絡安全的意識正在增強。 Kaspersky 的網絡釣魚報告指出，緊隨巴西之後的國家分別是葡萄牙、法國、突尼斯和法屬圭亞那。該研究報告顯示，僅在 2020 年 2 月至 3 月期間，針對流動裝置的釣魚攻擊就增加了超過 120%。攻擊增加的因素主要是社交距離或隔離措施的推行，令互聯網的使用量和線上服務的需求增加，例如互聯網和網上銀行和線上購物，以及大規模採用遙距工作和對流行病的焦慮。 根據研究，流行病毒是 2020…

正在使用 Google Chrome 無痕模式（Incognito Mode）的你要注意了，Google因為「假無痕」，暗地裏仍有追蹤用戶數據，而在美國面臨集體訴訟，被要求賠償 50 億美元。據 Bloomberg 報道，加州地區法官裁定 Google 在「未通知用戶的情況下，在他們使用無痕模式瀏覽時，進行數據收集」。 Google Chrome 無痕模式原為讓用戶選擇在使用互聯網時，其網絡活動不被保存在瀏覽器或裝置上。一眾用戶於是上訴，並指 Google 有著「無孔不入的數據追蹤業務」。他們在訴訟中稱，「即使用戶採取措施保護自己的私隱，如在 Chrome 中使用無痕模式，或者在 Safari 和其他瀏覽器中使用私密瀏覽，追蹤仍會持續」。…

現時不少產品都會加入互聯網功能，就連成人玩具也不例外，齊齊加上連線功能加入物聯網 (IoT) 大軍。不過，網絡安全專家警告大部分性玩具也缺乏安全保護，可被黑客遙距取得操控權，例如推高自慰器轉速或振動幅度，甚至遙距鎖死電子貞操帶進行勒索，隨時命根不保。 物聯網產品千奇百怪，而且價錢又不會太昂貴，遇著功能有趣的產品，相信你我他也曾試過忍不住買來體驗。不過胡亂使用，隨時累人累己。防毒軟件公司 ESET 專家便警告，具備網絡連接功能的成人玩具如自慰器、電子貞操帶等，便有很大機會被黑客入侵。專家指出，這些成人玩具一般都可透過藍牙傳輸制式與智能手機專用 app 配對，以及經互聯網連接其他用家，由於缺乏安全保護，便將用家置身極大風險中。 ESET 專家以其中一款中國廠商 Lovense 生產的性玩具 Max 為例，它與同廠另一款 Nora 分別為男女用家提供自慰功能，而且專用 app 不單可調整速度，還可與另一用家連線，實時虛擬造愛。專家指出他們可於網上掃描這類藍牙產品並截取傳輸數據，由於上傳數據的加密技術薄弱，收發雙方亦沒有嚴謹的身份驗證機制，因此專家便可以暴力破解驗證密碼，發動中間人攻擊 (man-in-the-middle)，隨意修改操控指示，例如推高女性向自慰器的轉速，令女用家的敏感部位受傷，或令自慰器過熱引發火警。 此外，專家說如果專用…

微軟上周發出警告指，黑客使用一種名為 DearCry 的勒索軟件，現在將未有修補程式的 Exchange 伺服器作為目標，這些伺服器仍然存在四個漏洞，這些漏洞已被可疑的中國政府黑客利用。微軟再次警告 Exchange 客戶，應使用上周發布的緊急修補程式，以解決影響 Exchange 電郵伺服器的嚴重漏洞。 微軟早在 3 月 2 日時敦促客戶立即安裝修補程式，因為未來數周和數月內，將面對更多的網絡犯罪分子或有國家支持的黑客，利用這些漏洞入侵的風險。微軟指，現時的攻擊是由一個名為 Hafnium 的中國黑客組織所為。安全服務供應商 ESET 就指，至少有 10 個國家支持的黑客組織，正在嘗試利用未有修補程式的…

在數碼轉型之下，企業採用雲端服務已成主流，雲端服務為各大企業提供更具敏捷性和速度的存取架構，有效推進創新發展，以更大的可擴展性，增強生產力和降低運作成本。全球頂尖互連（interconnection）及數據中心公司 Equinix 推出混合雲策略方案（Hybrid Cloud Strategy Solution），方案可連同科技公司翹楚 Oracle（甲骨文公司）的 Database 使用：透過將 Oracle Exadata 數據庫放在與雲端服務提供商彼鄰，即 Cloud Adjacency，以與雲端相鄰的體系結構，為企業提供結合安全性及高可控性的服務，讓客戶靈活地存取 on-premises 及雲端數據。 Equinix 早前與 Oracle 舉辦 Rethink…

由 2 月 18 日起，政府有條件開放食肆晚市堂食、健身室、美容院等處所，要求進出以上處所人士，強制使用「安心出行」應用程式或登記個人資料作出入紀錄，否則將被罰停業。但此項防疫措施引起社會對私隱及監控問題的憂慮，同時亦再次令大眾關注應用程式索取的手機權限會否過量。wepro180 找來跨國資訊安全公司 wizlynx group 資訊安全服務總監盧振宇（Mike），探討安心出行權限注意位及其他應用程式的安全問題，以及使用時的自保方法。 「安心出行」應用程式最令人「不安心」的部分是要求存取的權限是否全部都具必要，根據該應用程式 Andriod 1.1.6 版本所列出的權限所需，包括相機拍攝功能、全面網絡存取權、擷取執行中的應用程式、控制震動、防止手機進入休眠狀態、啟動時執行及接收互聯網資料。雖然創新及科技局長薛永恒曾多次強調，程式沒有追蹤功能，政府亦不會刻意查看市民出行記錄，所有資料會存放在用戶手機，不會存在中央資料庫，但政府的說法仍未釋除市民疑慮，不少人仍對「安心出行」抱有戒心。 擷取執行中的應用程式成爭議點 「安心出行」最受爭議需索取的權限為「擷取執行中的應用程式（Retrieve running apps）」，意即「安心出行」可知道用家的電話同時在運行中的應用程式，由於政府沒有作出相關解說，因此難以推斷需要此權限的真正原因，網上亦引起不少猜測。Mike 估計，此權限或因程式開發人員編寫時用上第三方程式庫，例如需要配合其他應用程式使用，如掃描 QR code 時要用上第三方程式，便需要用到此權限；不過 Mike…

Philip Hue、Amazon Kindle、Apple Watch、Google Home Voice Controller、August Smart Lock、Kuri Mobile Robot、Dyson Pure Cool Link Air Purifer、NEST T3021US Learning Thermostat、WeMo Insight…