其實人臉識別技術仍未成熟，但世界各地執法機關已經一致看好，中國就係其中一個？究竟人臉識別技術會令世界更加美好，抑或變得縛手縛腳？背後有何隱憂？最近科技網站 ZDNet 發表咗一篇關於澳洲政府看待人臉識別嘅文章，睇下有乜嘢啟示同借鑑？ 反恐為由，硬推人臉識別 唔少政權都喜歡以「反恐」為由去提升國防、安檢權限同技術。昆士蘭州警察局（QPS）於去年黃金海岸嘅英聯邦運動會（Gold Coast Commonwealth Games）推出人臉識別系統，作為防範恐怖襲擊之用。點知轉個頭，已經被警方用來進行一般警務調查；雖然被權限所約束，只能接觸有限資料，但已夠引起大眾關注及不安。 如果話套架生未發展成熟，又未諗到全個配套，貿然上馬絕對不智。昆士蘭大學資訊科技及電機工程學系 Brian Lovell 直斥當局呢個決定 complete failure，徹底失敗。Brian Lovell 指，昆士蘭州警察局完全無喺 deployment 下工夫，完全無認真咁為鏡頭擺位、部署考慮過，而且背後亦無做好基建 support，反而會製造出私隱危機。Brian Lovell…

有上過 WeWork 呢類 co-working space 共享工作空間，或實際上已經租咗嚟用，係咪都會覺得喺嗰度做嘢又 chic 又 chill，自己返工都要開始注重下衣著品味同打扮咁呢？但如果話你知喺呢類共享工作空間做嘢，佢哋嘅 Wi-Fi 網絡原來唔多安全，好易俾其他人攔截到傳輸嘅機密檔案，咁你仲會唔會咁安心做嘢呢？ 提供共享工作空間服務嘅 WeWork， 今年想透過 IPO 公開集資上市，不過因為經營模式嘅賺錢能力受到公眾質疑，所以 WeWork 已宣布延遲上市。另一方面，WeWork 入面嘅 Wi-Fi…

上次邀請了網絡安全保險專家盧子頴，講解這類保險的保障範圍，以及哪一類企業應該盡快考慮投保。不過，原來並非想買就可以買到，因為保險公司會先評估投保人有沒有做足安全措施，除了影響投保成功投保率，更會左右保費。 三大因素影響投保 網絡安全保險供應商智咨詢集團執行董事盧子頴指出，雖然遇到的個案不多，但間中也會有投保人以為只要有錢就可投保，但其實保險公司也需要核保，評估投保人受到網絡攻擊的風險。「如果店鋪連門鎖也沒有，試問怎會有保險公司受保？」他指出保險公司首先會檢查企業現有的網絡安全措施，例如有沒有裝設防火牆、防毒軟件、登入權限管理、升級硬件及軟件韌體的政策、個人私隱保管政策、遙距登入管制等等，「如果企業完全沒有做，保險公司會建議對方先做好基本的網絡安全措施，之後才考慮投保，因為即使轉投其他保險公司，相信也不會成功。」盧子頴補充說，其實投保不能賺錢，只能減少損失，所以如果站在預防被攻擊的立場，企業都應先做好防禦工作。 除了檢查安全措施，盧子頴表示保險公司還會考慮企業的業務性質，如屬於高風險行業，例如涉及加密貨幣交易，又或處理的個人私隱數據太多，就並非所有保險公司就會受保。另外，一些規模較細的保險公司，如投保企業每年的生意額太高，也可能因為承受不到風險而無法接單，這些因素就與投保企業無關。 上述的考慮因素，不單只會左右投保成功率，同時也會影響保費，「因為全部同風險有關，簡單來說，風險愈高的生意，保險公司收取的保費就會愈高。」盧子頴解釋跟傳統保險服務一樣，保費高低還要因應保額、墊底費及保障內容計算，如前文提及的增值保障如勒索贖金、外判商失誤等，便會提高投保費用。記者問如企業內擁有考獲 CISSP、CEH 等證書的網絡安全專家，安全度理應較高，是否可成為減保費的因素？他說理論上是，但同時間代表企業的業務複雜性較高，而且亦可能有較多監管要求，所以保費最終也要視乎實際情況而定。 「雖然保險費用很難有參考價格，但視乎選購的保險計劃，保費可低至每年五六千元。」盧子頴建議企業管理者不用想得太多，如認為業務受到攻擊的風險頗高，應邀請保險公司進行評估，之後再考慮是否購買也不遲。

根據華盛頓郵報報導，加州州長 Gavin Newsom 將會簽署法案，限制執法人員喺隨身拍攝鏡頭內加入人臉辨識技術，有份動議呢項法案嘅成員話，原本裝備呢啲鏡頭有助改善警民關係，但如果人臉辨識技術會破壞信任關係，令人憂慮會變成監控工具，咁就寧願唔好有呢項功能住，所以法案會強制禁止執法機關喺 2023 年或之前安裝人臉辨識，真係令人拍爛手掌。其實唔好話有無人臉辨識，要市民信得過呢啲鏡頭，除咗儲存影片嘅方法具透明度，唔可以隨便攞嚟用或銷毁之外，仲要小心存放，否則就好易洩露市民私隱。 好似 Miami 嘅執法機關就唔係好靠得住，早排 Black Alchemy Solutions Group 行政總裁 Jasun Tate 就喺自己個 Twitter 度報料，話網上搵到條公開連結，係人撳入去都可以睇到晒警方隨身鏡頭嘅影片，數量仲有成 1TB…

僵屍網絡係其中一種黑客最常用嘅攻擊方法，因為受感染及操控嘅僵屍電腦真係好使好用，唔單只可以用嚟發動 DDoS 攻擊，亦可以借用嚟挖礦，每部機借少少運算能力出嚟，黑客幾乎乜都唔使做就有加密貨幣收，而且中招者亦唔易發覺，難怪成為黑客愛用手段。不過，最近一個由黑客控制嘅 Command & Control（C&C） Server，就俾法國警方成功搗破，一下子解放咗 85 萬部僵屍電腦，認真功德無量！ 今次事件嘅幕後功臣係防毒軟件公司 Avast 嘅專家，因為佢哋發現咗網上其中一個惡意程式 Retadup 嘅 C&C 伺服器設計上存在漏洞，如果能夠好好利用，就可以將佢由黑變白，遙距移除受害人電腦內嘅惡意程式。 偷襲C&C伺服器 不過，瓦解黑客集團嘅過程都唔簡單，由於 Avast 專家發現…

驚住仔女、年長父母、寵物走失，所以買個 GPS 追蹤器俾佢哋，原意係好，但如果罪犯都睇到佢哋嘅位置，係咪仲唔安樂？ 網絡安全軟件公司 Avast 研究員 Martin Hron 發現，估計喺 Amazon 上發售、價錢介乎港幣 200 至 400 蚊嘅 GPS 追蹤器材當中，有大約 60 萬部存在安全漏洞，可以俾罪犯掌握佩戴者嘅即時位置、暗中啟動收音咪，甚至篡改衛星定位位置，令用家誤以為佩戴者喺「安全」地方活動。 Martin 特別指出一系列由 Shenzhen…

雲端應用雖然已大行其道，不過，不少企業管理者仍然無法信任其安全性。最近一份針對亞太地區企業進行的安全調查報告《Data Security APAC 2019》顯示，發展成熟的企業當中，只得 27% 認為公共雲（Public Cloud）有足夠的網絡安全功能。而整個亞洲區的企業中，有 73% 受訪者認為資料外洩是無可避免，這可能跟超過 75% 企業管理者未能了解如何可安全保護業務有關。 增加攻擊難度 企業要提升公共雲的防禦力，可從設定嚴緊的登入措施及加密數據著手。首先企業管理者要釐清各員工的登入權限，可有效阻止未獲授權的員工接觸重要的文件或作業；不過，如登入帳戶資料被盜取，黑客一樣可以登入雲端應用竊取資料，所以企業亦應考慮採用多重因素認證（Multi-Factor Authentication）機制，例如以 USB、藍牙硬體鎖作為 Security key，員工登入帳戶時必須持有這硬體鎖，這樣即使登入名稱及密碼外洩，黑客亦無法登入帳戶，減少公司機密資料被盜取的風險。 另一方面，雖然公共雲供應商有提供網絡安全措施，但客戶並不能單純依靠對方的防護，因為客戶本身存有分擔責任（shared responsibility），必須採取足夠的手段去保護儲存在雲端的資料，否則亦難以追討賠償。而要確保數據安全，最好便是選用加密技術，例如 tokenisation 或 cyptographic 等工具，將數據亂碼化或以金鑰作保護，即使數據被盜用，或於轉送中褒被攔截，黑客亦難以破解及還原數據的內容。 雖然 MFA 或 Tokenisation 都是非常有效的保護公共雲手段，但在今次調查報告中，企業的採用率都不高，前者少於 50%，後者更少於 20%。隨著全球各地陸續立法管制數據安全，資料外洩已不單只會影響商譽，更有可能為企業帶來災難性的金錢賠償，要避免企業營運陷入困境，由今日開始，就要立即採取措施，守好雲端上的數據。 （article sponsored by Edvance)

睇子華嘅最鍾意嗌「回水」，不過冇一次得到正面回應。而最近有黑客被補之後，起返之前呃落嘅 110 萬 Bitcoin 贓款，當局決定將贓款歸還苦主，實現真正嘅回水！ 是咁的，英國警方花咗兩年時間調查，終於响 2017 年 9 月成功捉到 Grant West（aka Courvoisier），行動外號叫「Operation Draba」。 Grant West 被判監 10 年零 8…

數碼轉型的好處，相信毋須特別多提；不過隨著愈來愈多企業將重要工作或數據轉移雲端，網絡安全的問題亦陸續浮面，例如難以把握的多雲(Multi-Cloud)架構、複雜的存取權限管理，特別是「影子 IT」」（Shadow IT）應用失控，每走一步似乎都可以引發難以預計的洩密風險。既要繼續移雲，但對網絡安全又有大量疑雲，應該如何自處？ 發展過快 監管困難 先來看看現時企業管理者面對的難題，愈趨複雜的多雲架構及存取權限問題都較易理解，但到底「影子IT」應用又是什麼一回事？它其實代表未經企業 IT 部門允許的應用軟件。根據最新發表的一份網絡安全調查顯示，企業管理者認為員工使用的雲端應用軟件數量為 452 種，但實際上卻是 1807 種，足足接近 4 倍之多，完全低估了實際使用情況，這些影子 IT 應用既然未被允許使用，企業 IT 部門所採購的網絡安全設備自然難以洞察及堵塞其漏洞，大大增加黑客潛入的門路。 除了雲端應用「失控」， BYOD（Bring…

收集人臉、指紋特徵，話就話可以方便大家出入私人地方或購物，甚至推動智慧城市；但一旦負責機構唔小心外洩，受害人係無得改呢啲「個人密碼」㗎！ 又唔係話完全無可能，只要整容或換指紋就得，不過睇完都覺得荒謬啦，人哋唔小心洩漏咗客戶嘅生物特徵，竟然要受害者二次遇害？所以每個人都要小心，喺選擇係咪授權其他機構採集及使用自己嘅生物特徵時，真係要諗清楚係咪必須，好似如果只係方便買嘢、出入閘口等等，特別係信唔過或唔知邊個機構負責管理呢啲資料，都係用返相對傳統嘅方法例如感應式支付卡、密碼或門匙好啲。 指紋特徵公開存放 點解突然咁講呢？唔係因為沙田第一城撤回人臉識別系統測試，而係因為外國真係出咗事。一間開發指紋識別系統 Biostar 2 嘅公司 Suprema，喺 8 月初被網絡安全公司 VPNMentor 嘅研究員發現超過 100 萬筆指紋資料被公開存放於網絡上，部分更有姓名、住址、履歷、相片等，大部分受影響嘅都係英國公司，中招者包括英國警方用嚟出入禁區或特殊機關嘅資料，絕對有可能被恐怖份子所利用。 VPNMentor 研究員發現呢堆合共 23GB 嘅資料後非常震驚，因為只要黑客攞到生物特徵資料，受害者真係一世受困擾，於是第一時間想通知 Suprema 處理，不過打齊官網上所有電話，都搵唔到負責人士，搞到呢堆資料喺網上公開存放在…