WhatsApp 固然多香港人用，但 Telegram 憑住各種私隱功能，近來亦大受用家歡迎。不過，大家要小心，事關近日接連出現關於 Telegram 及 WhatsApp 嘅負皮新聞，唔係講笑，睇吓係乜事先。 Android 版 Telegram 缺陷 日前網絡安全公司 Symantec 研究員指出，黑客可以利用 Media File Jacking 漏洞，於用戶開啟媒體檔案如相、錄音檔前，進行攔截。 受影響嘅…

VISA上月於中國舉辦的 VISA SECURITY SUMMIT 安全峰會上，提出為了加強信用卡客戶的安全保障，計劃讓全港合作商戶參與代碼化（Tokenization），將客戶的信用卡資料變成代碼，即使黑客攔截到這些代碼，也無法進行任何逆向破解。 VISA 在同場公布的港澳區「支付安全藍圖」內，更表明希望年交易宗數達 100 萬宗以上的商戶，可以在明年內採用資料代碼化，2021 年再擴展至所有合作商戶。到底這種代碼化技術有何獨到之處？ 加密與代碼化技術 近年網上購物平台大熱，再加上形形式式的電子支付應用程式，令香港人習慣了使用電子支付服務。不過在支付較為大額的費用時，不少消費者仍傾向使用信用卡付費。VISA 上月在安全峰會上就指出，港澳區的無卡支付欺詐交易比率在去年第三季急升，為了提升信用卡用戶的安全，VISA 就希望能加快在香港推行代碼化技術。 對於電子支付的安全問題，大多數人都以為傳輸過程是以加密（Encryption）技術，將信用卡號碼、到期日等數據以金鑰加密，即使黑客中途攔截交易數據，在沒有金鑰下也難以破解。不過，由於這些數據被加密後未必可以維持原始格式，處理時有需要修改資料庫或檔案格式，而且傳輸的資料亦是原始資料，所以一旦金鑰外洩，就可逆向破解出原始資料。 非演算亂數無法破解 代碼化技術則以相同格式的亂數進行傳輸，舉例原來的信用卡號碼為 16 個位，代碼化後的亂數依然保持 16 個位格式，再加上當中不涉及任何數學演算對應關係，所以即使黑客攔截到這組代碼，亦難以估計這組代碼是原始資料抑或亂數，以信用卡為例，黑客便無法知道這 16 位數字是原來的版本抑或亂數後的版本，達到客戶去識別化的效果。現時 Apple Pay、Google Pay、Samsung Pay 均採用代碼化技術去處理交易資料。代碼化技術的另一好處，在於它可免於受由信用卡組織制定的 PCI-DSS（Payment Card Industry Data Security Standard）金融機構安全認證審查，大大省卻投放於達成標準所需的準備費用之上。代碼化技術除了可以應用在電子支付之上，為應付全球各國日益提升的個人私隱法例，它還可提升其他個人敏感資料、病歷紀錄的安全程度。 事實上代碼化技術亦有很多種類，到底它與傳統的加密法各有什麼優勢？要引入這項技術，電商或信用卡組織伙伴有什麼需要準備？如何選擇合適的電子支付服務，才能提升公司的營業額？網絡安全應用方案供應商 Edvance X Thales，將於下月舉辦工作坊，詳細講解代碼化技術的應用及解答業內人士的問題。名額有限，如欲了解代碼化技術的詳情及應用範疇，請即點擊報名連結。 Edvance…

第一日返呢份工，枱頭就有部 30 吋 Apple Cinema Display 同埋 iMac，當時真心好興奮，終於有機會加入蘋果陣營。不過同事靜靜雞提醒，最好都係遮遮個鏡頭，起初都以為佢哋諗多咗，但直到呢單新聞出現，都係轉頭封咗個鏡頭佢啦！ 講緊嘅係 MacOS 版本嘅 Zoom，呢個全球有 400 萬用家嘅視像會議軟件，俾網絡保安研究員Jonathan Leitschuh 發現有大漏洞，就係軟件會喺電腦入面安裝一個網頁伺服器（web server），只要 Zoom 用家唔小心打開咗一條邀請參與會議嘅惡意連結，之後黑客就可以喺用家唔知情嘅情況下，自動開啟視像會議，換句話講，即係打開 Mac…

早前報導佛羅里達州兩個巿政府齊受勒索軟件襲擊，兩個市政府最終決定交贖款了事，其中人口大約 12000 人嘅 Lake City 跪低向黑客支付 42 個 Bitcoin （約價值 46 萬美元）後，秋後算帳就正式開始，搵咗個 IT 主管出嚟問責，兼夾革職祭旗。究竟點解要佢揹呢隻鑊？ Lake City 乃佛羅里達州一個小市鎮，官方形容今次保安事故係連中三元（triple threat）。事源有個濕滑嘅同事收咗個有毒電郵，粗心大意地下載咗個受感染嘅檔案，引發連鎖反應：先中木馬程式 Emotet，引入另一個木馬 TrickBot…

上星期四至日，香港電訊（HKT）於觀塘啟德郵輪碼頭舉辦 5G 科技嘉年華，大包圍式將 5G 科技應用及智慧城市技術曬冷！嘉年華分為七大展區，包括 5G 及智慧城市、企業方案、金融科技、全球網絡、革命性生態系統、流動方案及智慧生活，由生活、教育、個人健康管理等各方面，展示 5G 應用概況。而在眾多網絡科技中，其中一個最令人關注的項目，自然是上月從運輸署手上取得、價值 6.8 億元智能停車收費錶系統合約，預計今年底就會開展工程。作為車主，今次有福。 HKT 商業客戶業務董事總經理陳紀新表示，有信心工程毋須用盡三年時間，預計可提前數月完成更換 12000 支智能咪錶。 採集大數據靈活應變 香港車多咪錶少，駕駛人士不想繳付昂貴的私營停車場泊車費，唯有駕車不停在街上兜圈搵位，或在設有公眾停車收費錶的位置冒險並排停車，苦候有車主駕車離去。情況快將有變，上月運輸署拍板將價值 6.8 億的智能停車收費錶系統合約，交予 HKT…

雲端應用大行其道，企業在數碼轉型的大趨勢下，都開始進行各種部署，當中網絡安全就是其中一個考慮重點。早前硬體安全模組供應商 nCipher Security 與 Ponemon Institute 聯合發佈了一項名為《2019 港台加密趨勢研究》的調查報告，內裡指出有 48% 港台企業認為員工疏忽為數據安全的首要威脅，另外有 91% 港台企業表示希望數據加密技術可在企業內部及雲端環境中運作使用，反映管理者均意識到保護數據安全的重點——必須掌握主導權，而 BYOK（Bring Your Own Key）就是最可靠的方法。 獨立硬體演算省電腦資源 nCipher Security 大中華區業務總監戴文忠指出，互聯網上各種活動，簡單如發送及接收電郵或瀏覽網站，以至較複雜的電子支付等，都需要在執行指令前進行身份驗證，「舉例每部智能手機都有一張獨立的電子證書，證明這部手機的身份屬實及沒有被冒認，當核實了溝通雙方的身份後，才能執行之後的動作。」為了防止這張電子證書被冒認，製造商必須以數據加密的方法將它「鎖起」及存放起來，實際上就是通過密碼學（Cryptography）的各種演算法例如…

大企業要面對嘅其中一個網絡安全難題，就係公司嘅網絡、電腦設備太多，閒閒哋幾百部，每當要為其中某種設備進行系統更新，堵塞網絡漏洞，IT 部同事可能都會做到迷晒，做少幾部嘅甩漏情況時有發生；除此之外，為咗達到合規性經營同業界嘅安全框架要求，企業每年都要定時定候遞交各式各樣嘅國際標準報告作審計，耗費大量人力及時間寫報告。到底有無自動化審計及解決方法？答案當然係：有。 正如上面所講，要確保公司內部所有設備都同步 update 到最新系統版本，堵塞漏洞已經好難；如果要喺幾百部設備入面檢查有無漏洞存在就更難，一來要好多人手，二來亦花費時間，特別係當發現內部同時間存在幾種漏洞，如果缺乏網絡安全專家，就好難判斷應該解決邊個問題先。市面上雖然有 scanner 可以協助搜尋所有設備嘅系統版本，但可能你都會發現到，呢啲 scanner 只會負責搵，唔會識得根據全球網絡威脅報告，去評估風險嘅嚴重性，自然提供唔到解決問題嘅緩急建議；另外，如果公司嘅業務涉及金融或電子支付，又或需要達到一啲網絡安全國際認證標準，例如 ISO、PCI 等等，就算有呢啲 scanner 幫手搜集數據，最後都需要專人按各項認證標準嘅要求嚟製作報告，令 IT 部同事疲於奔命。 自動化審計慳人手 其實現時企業管理者應該考慮自動化解決方案，取代人手完成以上作業，唔單只可以提升工作效率，縮短公司網絡內漏洞存在嘅時間；收集到嘅數據，仲可以因應各種認證標準嘅要求，自動填寫出可以直接遞交嘅報告，慳返嘅人力物力，就可以用喺優化企業安全架框方面。 自動化解決方案仲有啲乜嘢增值功能？挑選呢類工具時有乜要注意？咁你就要報名參加 Edvance Beacon…

睇得多警訊都知，騙徒手法層出不窮，要避免中招，當然要認清今期流行嘅攻擊手法。網絡安全公司 Kaspersky 剛啱出咗今年第一季度報告，總結電郵騙案嘅手法。結果發現，以下 5 大手法雖然唔算新招，但真係萬試萬靈！ 騙徒手法一：情人節裡出陰招 第一季度最大節日非情人節莫屬，關於送禮嘅騙案特別多，騙徒扮交友或者花店網站 send 訊息俾你，唔單只會提你買禮物送俾另一半，亦有騙徒會溫馨提示男士買定偉哥為佳節做足準備，誓要引到人點擊訊息入面嘅虛假網站連結，再輸入埋信用卡資料就大功告成！ 騙徒手法二：賣有毒蘋果 唔係白雪公主入面嘅女巫先識得用毒蘋果，其實每次蘋果有新產品發佈，都係騙徒搵食時機！Kaspersky 發現三月底蘋果出新產品時，每日中招人數由平時幾千個急升至幾萬個，最高峰嗰日甚至接近八萬人，佢哋大部分都係收到電郵通知，點擊連結後去到假蘋果網站，無防備下輸入 Apple ID 驗證，就咁就俾人呃咗個帳戶資料。如已經綁住信用卡，真係可以瘋狂用嚟購買 iTunes 點數卡㗎。 騙徒手法三：我係嚟幫你整機嘅 而家電腦出問題，十居其九會上網搵技術支援啦。報告指出近來社交媒體同埋討論區出現大量貼文，聲稱可以幫你一次過搞掂幾樣電腦產品問題，而且騙徒仲寫明會收取合理價錢提升可信性，等你唔會以為免費冇好嘢而唔幫襯。最諷刺嘅係，騙徒連 Kaspersky…

上回講到修讀 VTC 資訊及網絡安全高級文憑(Diploma)課程，是成為資安新人王的捷徑。但對於一些已從事其他行業有一段日子，但又有興趣「中途轉機」、加入資安行業的在職人士，又有哪一個課程是入行踏腳石？答案可在 HKUSPACE 課程找到。 香港大學專業進修學院（HKU School of Professional and Continuing Education, HKUSPACE）已經辦學60年，其前身是香港大學學外課程，而現在已獨立為一家非牟利擔保有限公司的教育機構。截至2016年，已有282萬人次報讀學院課程，其中有關資訊科技和資訊保安的課程，在這十多年間大受歡迎，每年課程的學額都是供不應求，課程種類繁多，包括資訊保安的深造文憑、理學士、碩士課程，任君選擇。中學畢業人士可申請就讀資訊科技深造文憑課程（Postgraduate Diploma in Information Technology），這兼讀課程的部分學費可以申請CEF（持續進修基金），成功達標者可得到基金資助 80% 學費津貼，而從 2019…

早前， (2019.04.04)終審法院在協和小學試題外洩案中裁定律政司敗訴，法庭判了一句：「任何人使用自己的電腦，不涉及取用另一人的電腦，便不干犯『不誠實取用電腦罪』。」這判詞令 Neo 頗生感慨，先此聲明：本人不是藍、黃、紅，亦沒有任何意圖不尊重香港法律界、法官的意思，Neo 亦只是個黃毛小子，未有經過任何法律訓練，以下只是一堆廢話：請不要拉我。 我的感慨在於：甚麽是「自己的」電腦？你付了錢，買了一部有 CPU 有一些 Buttons 的東西回來，就是「自己的」電腦嗎？這個所謂的「自己性」（i.e. ownership） 實在是站在 Asset Ownership 的立場而言，即是說，你大可把這個東西用鐵鎚打爛，因為這是你閣下的財產。私有財產的權利，令你可以對此物有獨佔性的權利，別人不經同意使用、損毁，就是侵權行為，受法律約束。顯而易見，這是站在「客觀財物」的角度看「電腦」。 然而，一部電腦（姑且當它是一個 countable noun）的獨佔性可否成立？在硬體而言，OK。你碰我粒掣、插我個 Port，用它來墊煲，就是侵犯了我的「硬體權」。然而，電腦的「存在感」不在於硬體，更在於軟體，尤其是他的 Operating…