Google 上星期公佈，新一代智能手機作業系統 Android 10 即將推出，新 OS 雖然喺保護個人私隱上落咗唔少功夫，但現時表明仍有 193 個漏洞有待解決，對 Android 超級粉絲嚟講，真正嘅考驗嚟喇！ 新一代 Android 一改以往用甜品嚟命名嘅作風，今次就咁叫做 Android 10，官方解釋話嚟到第十個版本，加上有 25 億裝置用緊 Android，係時候要改變咁話。喺確認推出日期之餘，Google 同時喺…

數碼轉型的好處，相信毋須特別多提；不過隨著愈來愈多企業將重要工作或數據轉移雲端，網絡安全的問題亦陸續浮面，例如難以把握的多雲(Multi-Cloud)架構、複雜的存取權限管理，特別是「影子 IT」」（Shadow IT）應用失控，每走一步似乎都可以引發難以預計的洩密風險。既要繼續移雲，但對網絡安全又有大量疑雲，應該如何自處？ 發展過快 監管困難 先來看看現時企業管理者面對的難題，愈趨複雜的多雲架構及存取權限問題都較易理解，但到底「影子IT」應用又是什麼一回事？它其實代表未經企業 IT 部門允許的應用軟件。根據最新發表的一份網絡安全調查顯示，企業管理者認為員工使用的雲端應用軟件數量為 452 種，但實際上卻是 1807 種，足足接近 4 倍之多，完全低估了實際使用情況，這些影子 IT 應用既然未被允許使用，企業 IT 部門所採購的網絡安全設備自然難以洞察及堵塞其漏洞，大大增加黑客潛入的門路。 除了雲端應用「失控」， BYOD（Bring…

VLC media player 喺上個月被德國 CERT 及世界安全組織 MITRE 指軟件有漏洞，開發者 VideoLAN 就出嚟澄清，同時指責 MITRE 冇 Fact Check。事實上 VideoLAN 又好坦白，剛啱自爆修補咗 15 個漏洞，有錯就認，抵讚！ 呢 15…

ASUS、Huawei、Intel、NVIDIA、GIGABYTE、ASRock、MSI、Toshiba……講明先唔係大清算，只係合共廿幾個電腦硬件品牌嘅驅動程式被發現有漏洞，可以俾黑客攞到 Ring 0 最高權限，快啲睇下自己有無份先。 DEFCON 網絡安全大會嘅好玩之處，係過程中有好多黑客會發表獨家調查報告，而且仲會好詳細咁分析保安事故發生嘅原因，有時呢啲錯誤真係低級到難以置信會發生喺一啲大企業身上，所以特別適合花生友睇。 電腦安全公司 Eclypsium 研究員今年就喺 DEFCON 上發表報告，佢哋研究咗各大電腦硬件公司推出嘅硬件驅動程式（drivers），當中發現有廿幾個品牌、40 個驅動程式存在高危級別漏洞，黑客可以通過呢啲漏洞，將登入 Windows 作業系統嘅權限由 Ring 3 一口氣提升至最高嘅 Ring 0，令到黑客可以喺電腦內為所欲為，例如整死部電腦、安裝後門等惡意軟件、盜取資料等等。而最大嘅問題係，呢啲 drivers…

糾纏 8 年，一單關於視像監視系統漏洞嘅訴訟終於有結果，Cisco 答應付出 860 萬美元進行和解。今次訴訟嘅內容，原來係有承包商前僱員指控 Cisco 明知系統有漏洞但無處理，仲喺兩年半期間繼續賣出去，客戶當中仲有美國國家安全局、空軍海軍添，唔通真係咁大膽？ 今次訴訟事件針對嘅軟件 Video Surveillance Manager（VSM），係由 Cisco 喺 2008 年所開發及推出，用戶可以通過呢套軟件嘅中央伺服器，去控制分散喺唔同地方嘅視像監視畫面。不過，Cisco 其中一個承包商 Net Design 嘅員工…

Visa 信用卡嘅非接觸式感應付款技術，早於上年已被研究人員警告，因為其付款金額限制功能唔夠穩陣，只要有辦法繞過認證機制，限制交易金額嘅保護機制就會形同虛設，黑客就可以實現「真‧無限簽帳」喇！ 網絡安全公司 Positive Technologies 研究人員 Leigh-Anne Galloway 與 Timur Yunusov 最近完成測試，成功利用漏洞繞過 Visa 信用卡感應式付款驗證限制，而且試埋用英國 5 間主要銀行所發出嘅信用卡，全部都可以做到，理論上，其他英國銀行應該都無一倖免。 研究人員嘅攻撃方法，係利用一部裝置攔截信用卡同終端機之間嘅訊號，即係中間人攻擊（man in the middle…

歐洲航空安全局（EASA）早前更新咗對 Airbus A350-941 型號客機嘅適航指令（airworthiness directives），指呢架客機存在安全問題，連續著機 149 個鐘就要 reboot 系統一次，但查實呢個指令兩年前已推出，而 Airbus 足足兩年都無修補到⋯⋯ 適航指令係由全球各地嘅民航監管機關所發出，當監管機關發現某型號飛機或系統存在安全隱憂，就會發出強制性指令俾飛機所有者及操作者，要佢哋跟住指令嘅內容執行。而 EASA 向 Airbus 發出嘅適航指令，指出呢款客機喺連續著電 149 個鐘前，就要熄機 reboot 一次，否則機上嘅航空設備或網絡就會失聯，甚至影響某啲核心功能嘅模組失控。根據資料顯示，受影響嘅控制模組，具有管理燃油系統、調整機艙壓力、供氧、機翼除冰以及降落等等，換句話即係非常重要嘅模組嚟，如果失控，真係好大件事。…

企業數碼轉型的好處多不勝數，誘因包括存取資料方便、雲端應用服務選擇多、部署快速、節省硬件成本開支等等。既然有這麼多好處，自然一窩蜂移雲。不過，不少企業決策者選用雲服務後，才發現情況並非想像中完美，連接公司與雲端伺服器原來並不簡單，同時亦無法把握儲存於雲端的數據安全性。要解決問題，選取合適的雲端存取安全代理 (Cloud Access Security Broker, CASB) 服務是最簡單快捷的方法。 網絡安全客戶有責 大部分企業的數碼轉型第一步，都會由採用 Office365、G Suite 等一站式雲端應用服務開始。當中有企業決策者對這些雲端服務存有誤解，以為供應商必須確保客戶的數據得到保障，可免受黑客攻擊或遭遇私隱洩漏。事實上，使用者與服務供應商存有明確的分擔責任（shared responsibility）概念，使用者亦須採取足夠手段，例如嚴謹的登入帳戶措施、明確的存取檔案權限，去保護存放在雲端上的數據。 要達到網絡安全標準，卻有不少問題要解決，因為單點式解決方案（point solution）無法照顧各應用層面，例如電郵收發、檔案分享、數據存取等；設立 proxy 或 gateway，網絡延時又有可能拖垮工作進度，而編寫 API 亦需要一定的技術人員和時間，反而有違數碼轉型快捷便利的初心。…

美國食物及藥物管理局（FDA）早前發出警告，指出美國醫療科技公司 Medtronic 推出嘅胰島素自動注射器 MiniMed 嘅舊型號有安全漏洞，可以俾黑客無線修改注射劑量，隨時搞出人命。漏洞被揭兩年，但專家發現對方竟然無主動回收，專家於是實實在在寫隻殺人 app 出嚟，警告對方唔係講玩㗎！ 殺人 app 暴力破解連接 糖尿病患者有唔同類型，有啲糖尿病人無法分泌足夠胰島素（Insulin），亦有糖尿病人係因為出現胰島素阻抗（Insulin Resistance），對血液中嘅糖份敏感度下降，最終導致血糖累積。如果病情嚴重，病人就需要口服或注射胰島素藥物，醫生會調校藥劑，維持體內嘅胰島素量，過多或過少都會對人體造成傷害，甚至有性命危險。 QED Security Solutions 研究員 Billy Rios 同埋 Jonathan…

雖然 iOS 系統比較封閉，安全性一直較 Android 為高，但始終唔可能百分百安全，好似最近又被網絡安全專家發現，黑客可以利用一種名為 URL Scheme 嘅漏洞，透過惡意應用程式去盜取用戶登入其他應用程式，例如 WeChat 嘅個人資料，如果用戶一個唔留神，仲有可能幫黑客嘅消費找埋數添！ URL Scheme 基制提升客戶體驗 為咗防止應用程式暗中讀取其他應用程式嘅執行數據，Apple 喺 iOS 作業系統上利用咗沙盒（Sandbox）功能，將每個應用程式放置喺隔離空間執行，咁就可以防止互相讀取資料嘅行為。不過，為咗方便用戶喺用緊一個應用程式時，點擊一個功能鍵或網址連結就可以打開另一應用程式，或透過 Facebook、Gmail、WeChat 帳戶作為登入其他應用程式嘅認證，Apple 就喺…