外判服務已經係大趨勢，例如公司要寫個網站或手機應用軟件，好多時都唔會係自己員工寫，一來呢啲project 通常都係一次性，寫完就唔會長期養住呢個人；二來有啲外判商收取嘅費用真心平，老闆當然樂於採用。唔係話全部廉價服務都唔好，但中伏風險實在大得多，例如售後服務唔見影、網絡防禦方案原來唔安全等等，做開報價嘅同事應該深受其害。其實點解有啲程式撰寫外判商收嘅價錢可以咁平呢？最近由一班電腦專家進行嘅調查報告，應該會俾到啟示大家。 抄得就抄 由全球大學電腦專家Morteza Verdi、Ashkan Sami、Jafar Akhondali、Foutse Khomh、Gias Uddin 及 Alireza Karami Motlagh組成嘅研究團隊，早前就對 Over Stack 上 72,000 組 C++ 語言寫成嘅程式碼進行驗證，佢哋發現喺呢個程式碼討論區平台上嘅…

今次受影響嘅 Android 手機相當之多，而且有證據顯示該漏洞已經被黑客利用，真係發動咗攻擊，各位務必留意。 日前，Google 安全研究團隊 Project Zero 研究員 Maddie Stone發現，一項高嚴重性安全漏洞（CVE-2019-2215），屬於Android內核嘅資料夾驅動程序內存在釋放後使用（use-after-free）漏洞，配合另一個 Chrome 漏洞，可容許黑客越過沙盒，提升 Root 訪問權限並取得裝置控制權。呢個漏洞影響之廣，遍及十多款 Android 手機，Google 親生仔 Pixel 系列亦榜上有名，其他仲包括 Google、三星、華為、OPPO、小米、Moto…

平常一聽到同銀行有關嘅運作程序，一定覺得會安全到不得了㗎啦，但接二連三嘅事實話俾大家知，無論間公司有幾大，規管有幾嚴謹，都一定會有「濕滑」嘅員工。加拿大最大銀行 Scotiabank（加拿大豐業銀行）近日被揭發出低級網絡安全錯誤，低級嘅程度更直逼「布偶級」（muppet-grade），大家明啦！ 日前網絡安全研究員 Jason Coulls 揭發，加拿大 Scotiabank 喺 GitHub 嘅儲存庫竟然存有未受保護嘅檔案，當中有外幣匯率 SQL 數據庫系統嘅軟件藍圖及 access key、手機應用軟件程式碼，後台服務及數據庫實例嘅登錄憑證、原始編碼等，簡直係黑客金庫。 Scotiabank 嘅回應當然都估到，首先話呢啲資料並不會危及客戶、員工或合作夥伴，又話已經展開調查、修復問題、移送法律資料中。而加拿大法律規定，銀行出事就要即刻通報，加拿大金融機構監管辦公室方面就已接獲通知，正密切監察事態發展。 GitHub 於去年被 Microsoft 收購，成一時佳話。除咗極多開發者會用，亦有唔少企業機構都會用，因此，保安係其中最大課題。有時開發人員為咗貪方便唔使次次登入，會喺開發階段將…

無可否認，企業嘅網絡安全措施做得好，的確可以有效阻截黑客攻擊，不過，黑客亦唔會咁傻仔咁固執，攻你唔入，咪向你嘅第三方供應商落手囉！ 講緊嘅係飛機製造商 Airbus，法新社（AFP）最新報導，兩間有份參與調查嘅網絡安全公司，透露 Airbus 喺最近一年內曾遭受四次大型攻擊，其中兩次係針對佢哋嘅引擎供應商 Rolls-Royce 及 Assystem 嘅子公司 Expleo。法新社引述專家嘅意見，佢哋話雖然 Airbus 有使用 VPN 嚟分隔內部網絡，但佢哋有時亦會允許第三方供應商入嚟做嘢，所以黑客只要能成功攻擊第三方供應商，就可以作為跳板攻入 Airbus。而根據專家嘅調查顯示，黑客進入 Airbus 網絡嘅目的，主要係針對佢哋嘅引擎科技，包括軍用機 A400M 、A350 客機，以及用嚟控制飛機各感應器嘅系統，盜取技術多過想偷個人私隱。…

iOS 13 版本更新再更新，不過，獨立安全研究人員就發現一個關乎歷代 iOS 裝置嘅硬件漏洞，就算裝咗最新嘅 iOS 13.1.1 ，都可以輕易玩 jailbreak，之後就可以唔再受 Apple 限制，裝乜 app 嚟用都得喇。 發現呢個漏洞嘅安全研究員 @axi0mX 表示，呢個取名為 checkm8 嘅漏洞，其實對用家嘅安全問題無大影響，因為要破解部機，必須要用實體線連接電腦，啟動 DFU 模式先可以做到，唔可以遙距發生，所以基本上係安全嘅。但問題係…

還有不足一個月，香港首個全公開的 Capture The Flag（CTF）奪旗賽即將在 10 月 19 日舉行。這個由香港奪旗賽協會舉辦的黑客大賽，與過往在香港舉辦的 CTF 賽事有很大分別，該會的 COO 梁國基（Frankie）表示，他們今次將會同時舉辦學生組及公開組，而不再各有各玩，「雖然賽事定位會影響部分贊助商的決定，例如賽事有學生組會減低商業性；但我們認為不應這麼極端，既然要推廣 CTF，就應讓全部人一齊參與。」為何要在此時此刻在香港力推 CTF 賽事，就由綽號「資安長老」的 Frankie，拉下神秘面紗為大家講解。 形式進化更講策略 CTF 奪旗賽，牽涉到很多不同類型的賽事，例如戶外運動、wall game 等等，但在網絡安全界別，就是一種讓黑客比併電腦技術的活動。Frankie…

日前，Google 呼籲所有 Windows、Mac 及 Linux 用戶立即更新 Google Chrome 至 77.0.3865.90 版本，以修補一個嚴重及 3 個高危威脅，涉及 use-after-free 使用已釋放記憶體漏沮，黑客可以遙距於目標系統執行任意程式碼及阻斷服務，受害用戶只須開啟或被引導至特定網頁，即可以觸發攻擊而毋須再有任何互動。 唔單只 Chrome 出事，擴充套件亦有問題。近日，網絡安全公司 Adguard 研究員發現兩款極之衰格嘅喬裝外掛，竟然冒充非常多人用嘅廣告封鎖套件…

再講多次，對付勒索軟件，除咗要安裝防毒軟件，做好 endpoint protection，備份真係好重要！一旦有事，都唔需要下下俾贖金！ 近呢一兩年，美國超過 40 個州縣嘅政府部分先後成為勒索軟件（Ransomware）嘅苦主，德州更佔咗大多數。唔好以為多中住嘅地方損失會最慘重，好似佛羅里達州嘅 Lake City，雖然只得 1.2 萬人口，但由於系統無備份，為咗解鎖攞返啲資料，唯有將 46 萬美元贖款轉入黑客戶口，認真無奈。 最新受害者係 Massachusetts 州嘅 New Bedford 市政府，佢哋喺 7 月…

Deepfake 換臉技術嘅專家估計，距離完美造假換臉影片出現嘅時間只得返半年至一年，點解？因為佢睇完內地開發嘅 ZAO app 之後，覺得有修正嘅空間囉。 南加州大學 Computer Science 系副教授 Hao Li 一向係 deepfake 技術嘅專家，最近就為 MIT 科技會議炮製咗示範片段，俾 MIT Technology Review 總編 Gideon Lichfield，喺台上展示即時換臉技術嘅發展去到邊個階段。Lichfield…

根據華盛頓郵報報導，加州州長 Gavin Newsom 將會簽署法案，限制執法人員喺隨身拍攝鏡頭內加入人臉辨識技術，有份動議呢項法案嘅成員話，原本裝備呢啲鏡頭有助改善警民關係，但如果人臉辨識技術會破壞信任關係，令人憂慮會變成監控工具，咁就寧願唔好有呢項功能住，所以法案會強制禁止執法機關喺 2023 年或之前安裝人臉辨識，真係令人拍爛手掌。其實唔好話有無人臉辨識，要市民信得過呢啲鏡頭，除咗儲存影片嘅方法具透明度，唔可以隨便攞嚟用或銷毁之外，仲要小心存放，否則就好易洩露市民私隱。 好似 Miami 嘅執法機關就唔係好靠得住，早排 Black Alchemy Solutions Group 行政總裁 Jasun Tate 就喺自己個 Twitter 度報料，話網上搵到條公開連結，係人撳入去都可以睇到晒警方隨身鏡頭嘅影片，數量仲有成 1TB…