https://www.youtube.com/embed/gNeQjEflwT4?wmode=transparent&rel=0&feature=oembed 成日話疑人勿用，疑檔勿開，只要防毒軟件或電郵防護軟件發出警示，就唔可以打開呢啲檔案或附件。但站於公司營運立場，係咪可以咁簡單？唔使講都知無乜可能，有啲檔案真係唔開唔得，舉兩個例子就知點解。 個案一：來歷不明電郵 但凡公司請人，人事部都會收到大量來自陌生人發出嘅CV。如果唔開電郵附件，點樣篩選適合人選嚟面試？ 個案二：日常往來伙伴 採購部日常工作就係收客戶訂單同邀請廠方報價，全部靠收發文件檔案去確認交易內容。即使係合作開嘅伙伴發出嘅電郵，點樣確認對方電腦系統仲係安全？ 既然有啲檔案係唔開唔得，管理層就要諗辦法處理。最新嘅網絡安全概念，已經唔係靠防毒軟件去分辨可信同不可信清單，而係將所有人視為不可信任。Content Disarm & Reconstruction (CDR)，就係將檔案「漂白」嘅最可靠方法，透過重組檔案內容，系統可以將大部分類型檔案內嘅隱藏病毒、 惡意代碼、釣魚網站連結全部清除，令用戶可以隨意開啟檔案而不用擔心被感染。市場上雖然有不少CDR軟件，但喺操作介面、運作速度、重組後檔案可保留嘅原始格式等方面都有好大分別。 想知道CDR軟件嘅威力有幾強有幾快，就要報名參加由 Edvance 舉辦嘅 ReSec 實戰工作坊，名額有限，先到先得。詳情如下： 日期：10 月 15…

收集人臉、指紋特徵，話就話可以方便大家出入私人地方或購物，甚至推動智慧城市；但一旦負責機構唔小心外洩，受害人係無得改呢啲「個人密碼」㗎！ 又唔係話完全無可能，只要整容或換指紋就得，不過睇完都覺得荒謬啦，人哋唔小心洩漏咗客戶嘅生物特徵，竟然要受害者二次遇害？所以每個人都要小心，喺選擇係咪授權其他機構採集及使用自己嘅生物特徵時，真係要諗清楚係咪必須，好似如果只係方便買嘢、出入閘口等等，特別係信唔過或唔知邊個機構負責管理呢啲資料，都係用返相對傳統嘅方法例如感應式支付卡、密碼或門匙好啲。 指紋特徵公開存放 點解突然咁講呢？唔係因為沙田第一城撤回人臉識別系統測試，而係因為外國真係出咗事。一間開發指紋識別系統 Biostar 2 嘅公司 Suprema，喺 8 月初被網絡安全公司 VPNMentor 嘅研究員發現超過 100 萬筆指紋資料被公開存放於網絡上，部分更有姓名、住址、履歷、相片等，大部分受影響嘅都係英國公司，中招者包括英國警方用嚟出入禁區或特殊機關嘅資料，絕對有可能被恐怖份子所利用。 VPNMentor 研究員發現呢堆合共 23GB 嘅資料後非常震驚，因為只要黑客攞到生物特徵資料，受害者真係一世受困擾，於是第一時間想通知 Suprema 處理，不過打齊官網上所有電話，都搵唔到負責人士，搞到呢堆資料喺網上公開存放在…

Google Assistant、Amazon Alexa、蘋果 Siri 及微軟 Cortana 相繼被揭發將用戶對話語音檔交予第三方，作轉錄抄寫並進行分析。剛剛 Facebook 亦承認，將 Messenger 用戶嘅語音通話交出去轉錄抄寫，美國五大科技公司一個不漏，齊晒！唔想私隱外洩？都係快快刪除語音助理通話紀錄啦！ Amazon 及 Google 早於年初被揭發同類問題，其 Echo 及 Google Assistant 嘅用戶對話語音檔被送去分析，雖然所有錄音都係喺功能啟動後先被記錄，但其內容仍然非常私人，如包括醫療資訊、毒品交易乃至親密情節。由於私隱問題備受爭議，Google、Apple…

Visa 信用卡嘅非接觸式感應付款技術，早於上年已被研究人員警告，因為其付款金額限制功能唔夠穩陣，只要有辦法繞過認證機制，限制交易金額嘅保護機制就會形同虛設，黑客就可以實現「真‧無限簽帳」喇！ 網絡安全公司 Positive Technologies 研究人員 Leigh-Anne Galloway 與 Timur Yunusov 最近完成測試，成功利用漏洞繞過 Visa 信用卡感應式付款驗證限制，而且試埋用英國 5 間主要銀行所發出嘅信用卡，全部都可以做到，理論上，其他英國銀行應該都無一倖免。 研究人員嘅攻撃方法，係利用一部裝置攔截信用卡同終端機之間嘅訊號，即係中間人攻擊（man in the middle…

勒索軟件事故頻頻，而且愈來愈大鑊，只計美國就有多個市政府、大學、醫院遭殃。最近南非第一大城市約翰內斯堡嘅電力公司 City Power 亦遭受攻擊，網絡系統、資料庫、應用程式全數被打包，更有部分用戶要忍受停電近 12 小時，非常濕滯。 City Power 透過 Twitter 公告，公司遭受勒索軟件攻擊，資料庫、應用程式及網絡系統均被加密，ICT 部門正在清除惡意程式及重啟所有受影響嘅應用程式。而受到今次攻撃影響，City Power 客戶無法透過預繳系統進行交易。雖然發電廠已經緊急調派人力維修，不過連系統都唔 work，所以維修進度大受影響。 最慘嘅係，出事之日，正正係南非大多數打工仔嘅出糧日，好多人都要趁出糧日去買下個月嘅用電，部分用戶被迫停電近 12 小時，而依家正值南半球嘅冬季，夜晚得攝氏幾度，真真正正叫雪上加霜。 據報導，現時 City…

VISA上月於中國舉辦的 VISA SECURITY SUMMIT 安全峰會上，提出為了加強信用卡客戶的安全保障，計劃讓全港合作商戶參與代碼化（Tokenization），將客戶的信用卡資料變成代碼，即使黑客攔截到這些代碼，也無法進行任何逆向破解。 VISA 在同場公布的港澳區「支付安全藍圖」內，更表明希望年交易宗數達 100 萬宗以上的商戶，可以在明年內採用資料代碼化，2021 年再擴展至所有合作商戶。到底這種代碼化技術有何獨到之處？ 加密與代碼化技術 近年網上購物平台大熱，再加上形形式式的電子支付應用程式，令香港人習慣了使用電子支付服務。不過在支付較為大額的費用時，不少消費者仍傾向使用信用卡付費。VISA 上月在安全峰會上就指出，港澳區的無卡支付欺詐交易比率在去年第三季急升，為了提升信用卡用戶的安全，VISA 就希望能加快在香港推行代碼化技術。 對於電子支付的安全問題，大多數人都以為傳輸過程是以加密（Encryption）技術，將信用卡號碼、到期日等數據以金鑰加密，即使黑客中途攔截交易數據，在沒有金鑰下也難以破解。不過，由於這些數據被加密後未必可以維持原始格式，處理時有需要修改資料庫或檔案格式，而且傳輸的資料亦是原始資料，所以一旦金鑰外洩，就可逆向破解出原始資料。 非演算亂數無法破解 代碼化技術則以相同格式的亂數進行傳輸，舉例原來的信用卡號碼為 16 個位，代碼化後的亂數依然保持 16 個位格式，再加上當中不涉及任何數學演算對應關係，所以即使黑客攔截到這組代碼，亦難以估計這組代碼是原始資料抑或亂數，以信用卡為例，黑客便無法知道這 16 位數字是原來的版本抑或亂數後的版本，達到客戶去識別化的效果。現時 Apple Pay、Google Pay、Samsung Pay 均採用代碼化技術去處理交易資料。代碼化技術的另一好處，在於它可免於受由信用卡組織制定的 PCI-DSS（Payment Card Industry Data Security Standard）金融機構安全認證審查，大大省卻投放於達成標準所需的準備費用之上。代碼化技術除了可以應用在電子支付之上，為應付全球各國日益提升的個人私隱法例，它還可提升其他個人敏感資料、病歷紀錄的安全程度。 事實上代碼化技術亦有很多種類，到底它與傳統的加密法各有什麼優勢？要引入這項技術，電商或信用卡組織伙伴有什麼需要準備？如何選擇合適的電子支付服務，才能提升公司的營業額？網絡安全應用方案供應商 Edvance X Thales，將於下月舉辦工作坊，詳細講解代碼化技術的應用及解答業內人士的問題。名額有限，如欲了解代碼化技術的詳情及應用範疇，請即點擊報名連結。 Edvance…

有炒開美國科技股嘅，一定有留意上星期上市嘅 Slack，掛牌第一日就升破招股價，最終收報 38.62 美元，較開市價高 48.5%。雖然第二日股價略為調整，但依然係今年美國上市第二高估值嘅科技公司，僅次於 750 億美元嘅 Uber，但就贏咗另一風頭躉 Lyft，巧威威！而 Slack 仲係第二間直接喺紐約證券交易所掛牌嘅公司，毋須公開集資，創辦人 Stewart Butterfield 話原因係佢哋唔缺錢，真係型到呢…… 正所謂樹大招風，喺 Slack 份上市文件入面都講到明，微軟係佢哋頭號競爭對手，咁微軟梗係唔會坐定定乜都唔做啦！就喺 Slack 上市當日，微軟就向員工發出內部通告，禁止十幾萬名員工使用 Slack…

雲端應用大行其道，企業在數碼轉型的大趨勢下，都開始進行各種部署，當中網絡安全就是其中一個考慮重點。早前硬體安全模組供應商 nCipher Security 與 Ponemon Institute 聯合發佈了一項名為《2019 港台加密趨勢研究》的調查報告，內裡指出有 48% 港台企業認為員工疏忽為數據安全的首要威脅，另外有 91% 港台企業表示希望數據加密技術可在企業內部及雲端環境中運作使用，反映管理者均意識到保護數據安全的重點——必須掌握主導權，而 BYOK（Bring Your Own Key）就是最可靠的方法。 獨立硬體演算省電腦資源 nCipher Security 大中華區業務總監戴文忠指出，互聯網上各種活動，簡單如發送及接收電郵或瀏覽網站，以至較複雜的電子支付等，都需要在執行指令前進行身份驗證，「舉例每部智能手機都有一張獨立的電子證書，證明這部手機的身份屬實及沒有被冒認，當核實了溝通雙方的身份後，才能執行之後的動作。」為了防止這張電子證書被冒認，製造商必須以數據加密的方法將它「鎖起」及存放起來，實際上就是通過密碼學（Cryptography）的各種演算法例如…

想俾人 head hunt，大家而家都識得主動出擊，利用 LinkedIn 呢類職場社交平台嚟增加曝光率及被搜尋機會，唔會再只係靠 agent 咁傻仔。而作為電腦程式高手，可能仲會多一個途徑，好似澳洲一個 13 歲嘅小朋友，以虛假帳戶登入 Apple 公司伺服器，偷走 90 GB 機密資料，目的就係搏 Apple 會請自己！ 另類求職方法 2015 年犯案時，呢個小朋友只係得 13…

講緊嘅唔係侵侵嗌停中美貿易談判引爆嘅華爾街股災，而係全球第二大暗網交易平台 華爾街市場（Wall Street Market）因為被歐美警方聯手搗破，搞到賣家及用戶人人自危嘅事件。今次行動能夠成功破獲呢個暗網（Dark Web）交易平台，原來全因一個管理員勒索用戶失敗，於是決定攬炒，將登入 華爾街市場 嘅資料公開，造就今次歐美警方嘅聯合行動大舉成功。 暗網保護基制隱藏身份 暗網交易平台，係指透過洋葱網絡（Tor）嘅層層隱身管道，成功製造出一個俾毒品、武器等違禁品賣家及買家聚集嘅網上空間，由於身份難以追蹤，所以全球警方要對付呢啲平台都唔容易，要喺上面販毒、售賣軍火、買兇都得，而平台就會收返啲服務費。當然為咗隱藏身份，就連交易都會用加密貨幣。 Silkkitie 被冚 華爾街市場 人流大增 今次歐美警方聯手搗破 華爾街市場 嘅行動雖然發生喺 4 月尾，不過，事件嘅導火線可以追溯至今年初芬蘭海關瓦解另一個暗網交易平台 Silkkitie 開始。由於芬蘭海關成功拉人封鋪，逼使原本喺…