Search Results: Encryption (28)

    上星期美國 FBI 及澳洲 AFP 公開 Operation Ironside 行動成果,透過製作一項虛假端對端加密通訊服務及手機 app,吸引來自全球超過 100 個地方的犯罪分子使用,最終拉到 800 個以上罪犯,破獲大量毒品、軍火、偷車。行動大成功,不過唯獨沒有美國國內罪犯落網,難道當地人特別醒? 先來簡單介紹一下 Operation Ironside 的內容,原來計劃早於 2019 年起動,美國 FBI…

    數據外洩威脅急劇上升,保護數據庫變得日漸重要。現時網絡安全界已使用多種技術來保護數據,複雜性也在不斷發展,例如同態加密(Homomorphic encryption)、混入假數據等等,無非都是為了阻止黑客入侵。 最簡單的保護數據庫方法之一,是將數據資料分開儲存。研究人員只可以讀取第一個數據庫,具有完整資料的數據庫就會儲存於其他地方,檢查數據時必須利用演算法去還原完整數據,免除研究人員遺失數據的責任。同態加密是比較複雜的保護數據方案,系統會將敏感資料完全加密,研究人員要調用真實數據時,系統便會進行同態運算,令數據在毋須解密下都可被搜尋。十多年來,IBM 一直在為同態加密技術作出貢獻,例如提供適用於 Linux、iOS 和 MacOS 的工具包,以及安全儲存和處理數據的雲端環境。不過,同態加密還未成熟,因為需要太多運算,拖慢檢索速度,如要在大型數據庫使用便難以負荷。 現時數據保護服務供應商採用的加密方法,主要是加密數據庫內的資料,不過並非全面加密,而是平衡保密與共享原則,只向研究人員透露非私密訊息,減低運算負荷。一般的做法是加密姓名、地址等個人敏感資料,只有獲得演算法密鑰的特定人員可以訪問,其他用戶只可讀取未加密的部分。單向函數密鑰(如 SHA256 hash 算法)是最常用的演算技術,如欠缺這條密鑰,攻擊者便無法逆轉計算出原來的數據。 將假數據混入數據庫也是另一種常用手段,因為隨機噪音(random noise)可令識別個人記錄變得困難。Google最近便將名為 Privacy-on-Beam 的內部工具變成開源技術,用戶可以將噪音混入數據庫,然後才儲存到 Google Cloud 數據庫。不過當噪音資料被混合在數據庫內,有可能令資料準確度出現問題,因此最近微軟亦提供了一個與哈佛大學科學家合作開發的差異私隱(Differential Privacy)工具包,它可被應用於訓練人工智能或分析營銷活動數據,而不被噪音影響準確度。…

    與 Facebook 不同,Instagram 較受青少年用家歡迎,因此不少性罪犯都會利用該平台,私下接觸未成年用家。Facebook 為了保障這些用家,便交由人工智能技術去評估帳戶持有人的真實年齡,如發現是用家「扮後生」,便會阻止他們與青少年用家接觸。究竟如何執行? 人工智能 (Artificial Intelligence) 的用途非常廣泛,它可以應用於工業、醫療、交通網絡、教育等範疇。而今次 Facebook 套用於 Instagram 的 AI 技術,便是為了防止青少年受到性侵,可說是非常特別的用途。近年不少性罪犯轉移使用社交平台或即時通訊的私訊功能,扮演成不同角色接觸青少年,混熟後便露出獠牙,或約青少年外出性侵,或取得青少年的私密相片勒索。有研究報告顯示,過去兩年超過七成的青少年性侵事故都是藉由Facebook、Messenger、Instagram、WhatsApp 或 Snapchat 等通訊工具作為起點,當中約 25% 性罪犯更是使用…

    黑客入侵企業後,平均多久才會被發現?網絡安全公司 Sophos 發表最新一份調查報告,就指出平均須 11 日才能被偵測得到。不過這只針對勒索軟件 (ransomware) 而言,如黑客以搜集機密資料為目標,現形的時間或許會更長。 早前另一間網絡安全公司 FireEye 的研究報告指出,2020 年企業偵測到入侵行為的時間,首次縮減至一個月內,達到平均約須 24 日這個好成績,較去年的 56 日大減約六成。而Sophos的研究報告看似更理想,因為平均時間進一步減至只須 11 日。不過,Sophos 專家卻先戴好頭盔,指快未必一定是好事! Sophos 專家首先指出,他們的數據全部來自企業客戶,而在過去一年中,他們的客戶主要面對的是勒索軟件攻擊,從數字來看,差不多佔了…

    Android 版 WhatsApp 被發現存在兩個嚴重漏洞,只要打開一個「加料」連結訊息,惡意軟件就可以通過 Chrome 執行,讓黑客可以讀取未受保護的外部儲存區域,當中更包括 WhatsApp 用於加密訊息的金鑰,即是所有對話及傳送的檔案都可被破解! 今次 WhatsApp 的漏洞由 Census Labs 研究員 Chartion Karamitas 發現,整個攻擊過程由一個 WhatsApp 短訊開始。研究員在影片中示範,黑客只要首先製作一個帶有惡意程式的 HTML…

    早在Facebook Messenger應用程式被指索出過多用戶手機權限,引起侵犯用戶私隱危機,2018 年時,Facebook 已爆出「劍橋分析」(Cambridge Anakytica)事件,用一個叫「thisisyourdigitalife」的心理測試應用程式,收集5,000萬用戶數據,引起全球譁然。當事件已被淡忘之際,又到Facebook Messenger 出事! 除了 WhatsApp日前宣布更改私隱條款,指將會與母公司Facebook共享用戶的個人資料,倘用戶不接受,將會無法繼續使用該應用程式,結果令大量用戶轉會至 Signal 或 Telegram。正當大眾焦點放在 WhatsApp的時候,原來 Facebook Messenger 應用程式所索取的權限比 WhatsApp 更多!Facebook 為了要確保用家遵守其政策,甚至承認有監控用戶訊息的內容。 根據…

    數據加密與高速資訊儲存,從來就像水溝油,沒有並存空間。 科技界這一大困局,最近就由 Multisoft 聯同 Thales 及 PureStorage 攜手打破。數據加密與儲存系統的兩大科技界龍頭,合作推出簡稱 CTE的解決方案,CipherTrust Transparent Encryption – Efficient Storage,首創在點對點加密的環境下,仍可維持高壓縮比率,令用家同時做到防止數據洩漏及節省 Storage 成本。 CTE 背後的原理是甚麼?實際環境下可為企業節省多少成本?操作上是否很複雜? 想知道更多有關 CTE…

    數據洩漏事故現時在香港未有立法規管必須通報,並無一個完善的通報機制,除了會造成大眾關注度不足和輕視問題的嚴重性,同時也意味著很多事故隱藏在黑暗中。不要以為數據資料洩漏與自己無關,因為那些被洩漏的資料,分分鐘就是你的信用卡資料、住址、電話;香港過往也曾發生幾宗震撼全城的洩漏相關事故,包括航空公司洩漏 940 萬乘客私隱,選舉事務處遺失載有約 378 萬地方選區選民的資料的電腦,所引發的潛在資料外洩危機等,全都令人擔心企業或政府部門有沒有足夠措施及防護策略,保護客戶、市民的隱私。如果要妥善保護資料,採用由專業的數據保護方案,便能輕鬆管理資料及為資料加密,並設置資料讀取權限,即使遙距工作,也不怕資料外洩。 數據加密零停機 效率保護性兼備 Thales公司的資料保護平台(CipherTrust Data Security Platform, CDSP),為全球各地政府、跨國企業、金融機構所採用,在香港的用戶就包括政府、金融監管機構、發鈔銀行、公用事業及上市企業。Thales公司是數據保護、加密及安全交易的權威,其提供的數據加密方案,能有效保障用戶的個人私隱及交易資料,不會外洩。 其中CipherTrust Transparent Encryption (CTE)方案的透明加密資料設置,可保護結構化及非結構化資料庫,加密內部系統、雲端環境,甚至在大數據和容器內的資料,同時保持存儲數據的效率,在部署時毋須更改應用程式或工作流程,使對業務及作業程序的影響減至最少。 透過Live Data Transformation (免停機背景加密)方案,能在零停機的情況下加密資料,期間不需中斷應用程式或工作流程,在加密過程中,使用者和處理程序可如常繼續存取資料庫或檔案系統,將加密過程對使用者的影響降到最低。另外,平台亦設最低權限使用者存取規則,保護資料免受外來攻擊,以及遭特權使用者誤用。 不少製造商及電子商貿公司亦採用 Thales…

    朋友在通訊 App 分享連結時,若果有 Preview,感覺比一條普通連結實在,可以衡量登陸網頁的必要。不過看似窩心的 Feature,原來潛藏資安漏洞,隨時出賣用戶 IP,甚至破壞 End-to-End Encryption(E2EE)加密原則以及用戶對平台的信任。 網頁預覽顯示的初心,絕對方便用家,故大部分通訊 App 都備有此功能,像 Tiktok 與 WeChat 般不設預覽的 App 僅佔少數,向用戶提供預覽選擇的 Signal 與 Wire…

    從事資訊安全工作十幾年,成日遇到企業客戶問應該如何避免數據外洩。其實不少調查報告都顯示,超過三成的商業機密外洩來自內部威脅(Insider Threat),無論有心或無意,都有可能對企業帶來重大影響。最重要的是這種情況並不是無法避免,而且也不是太難做添。一齊睇吓這個 to do list,大大減低機密外洩的風險! 育成安全意識 話明是 insider threat,首先要做的當然是提高老闆和員工的資訊安全警覺性!撇除專門偷資料的個案,其實好多時洩密者只是無意之下觸發事件,例如遺留無密碼保護的公司手提電腦在的士、在公共 Wi-Fi 下做公司事,又或是隨意打開有問題的檔案或連結,這些行為好明顯都是因爲缺乏安全意識。所以企業必須定期推出安全培訓,將有可能洩密的行為及後果清楚解釋,而不只是貼張禁止清單出嚟,大家先會上心。 限制存取權限 成間公司入面有多個部門,所需接觸的數據自然不一樣,例如銷售部不應該接觸人事部的檔案,IT 部門亦未必需要接觸報價單或財務報表,雖然開放了所有存取權限的確做少好多事,但就要犧牲數據安全性。最理想的做法自然是做好 data segmentation 或 privilege account management,分隔好不同的數據,以及為每位員工設定存取權限,就算其中一位員工的帳戶被盜取,都不會令全公司的檔案失守。當然為帳戶登入安裝多重因素驗證(Multi-Factor…