網絡私隱問題一直令人擔心，但若放在社交媒體的資料被錯誤利用，又該如何處理？早前求職社交平台 LinkedIn 有 88,000 名美國企業主的完整數據庫，被發布在黑客論壇中，逾 12 億項資料經數據抓獲曝光。就在針對 LinkedIn 的數據抓取事故被發現幾天後，一個黑客論壇出現證據，而這些資料正被整理和完善以識別特定目標，意味著或將有針對 LinkedIn 用戶的攻擊發生。 威脅者在 RaidForums 的地下市場，發布了含有 7 億份 LinkedIn 用戶文件的個人資料作兜售，因而揭發數據抓取事件。發現事件的 Privacy Sharks…

PDF 的認證簽章 (Certification Signatures) 原本具有確保檔案無法被竄改的功能，但有安全專家就發現，這種認證技術存在安全漏洞，黑客可透過兩種方法去修改 PDF 檔案內容，而不影響簽章的有效性。研究員更發現 26 款 PDF 應用程式中，有 24 款至少存在一種漏洞，當中更包括 Adobe…… PDF 的數碼簽章格式可分為兩種，分別是 Approval Signatures 及 Certification…

數據外洩威脅急劇上升，保護數據庫變得日漸重要。現時網絡安全界已使用多種技術來保護數據，複雜性也在不斷發展，例如同態加密（Homomorphic encryption）、混入假數據等等，無非都是為了阻止黑客入侵。 最簡單的保護數據庫方法之一，是將數據資料分開儲存。研究人員只可以讀取第一個數據庫，具有完整資料的數據庫就會儲存於其他地方，檢查數據時必須利用演算法去還原完整數據，免除研究人員遺失數據的責任。同態加密是比較複雜的保護數據方案，系統會將敏感資料完全加密，研究人員要調用真實數據時，系統便會進行同態運算，令數據在毋須解密下都可被搜尋。十多年來，IBM 一直在為同態加密技術作出貢獻，例如提供適用於 Linux、iOS 和 MacOS 的工具包，以及安全儲存和處理數據的雲端環境。不過，同態加密還未成熟，因為需要太多運算，拖慢檢索速度，如要在大型數據庫使用便難以負荷。 現時數據保護服務供應商採用的加密方法，主要是加密數據庫內的資料，不過並非全面加密，而是平衡保密與共享原則，只向研究人員透露非私密訊息，減低運算負荷。一般的做法是加密姓名、地址等個人敏感資料，只有獲得演算法密鑰的特定人員可以訪問，其他用戶只可讀取未加密的部分。單向函數密鑰（如 SHA256 hash 算法）是最常用的演算技術，如欠缺這條密鑰，攻擊者便無法逆轉計算出原來的數據。 將假數據混入數據庫也是另一種常用手段，因為隨機噪音（random noise）可令識別個人記錄變得困難。Google最近便將名為 Privacy-on-Beam 的內部工具變成開源技術，用戶可以將噪音混入數據庫，然後才儲存到 Google Cloud 數據庫。不過當噪音資料被混合在數據庫內，有可能令資料準確度出現問題，因此最近微軟亦提供了一個與哈佛大學科學家合作開發的差異私隱（Differential Privacy）工具包，它可被應用於訓練人工智能或分析營銷活動數據，而不被噪音影響準確度。…

信用卡公司 American Express (AMEX) 被英國訊息專員辦公室 (ICO) 罰款 9 萬英磅，原因是在一年間向客戶發送超過 400 萬封垃圾電郵，對於每日都要厭惡性地清 mailbox 的用家來說，消息認真令人振奮！ 英國 ICO 早年接獲 AMEX 客戶投訴，指經常收到該公司發出的市場推廣電郵，內容不勝煩擾，ICO 在經過兩年調查後，指 AMEX…

全球知名 IT 研究與顧問諮詢公司 Gartner，在其亞太地區安全與風險管理峰會中，分析師探索 IT 行業趨勢。據Gartner 稱，COVID-19 加速數碼業務轉型，並為傳統的網絡安全模式帶來挑戰，提醒安全和風險管理的領導者必須應對以下八個主要趨勢，以實現企業的快速重塑。 Gartner 研究副總裁 Peter Firstbrook 表示，這些趨勢是對所有組織所面臨的持續全球挑戰的回應。Firstbrook 指出，第一個挑戰是技能差距，80％ 的受訪問組織表示，他們難以找到和僱用安全專業人員，而 71％ 的組織則表示，這正在影響他們在組織內交付安全項目的能力。2021 年安全和風險領導者面臨的其他主要挑戰，包括複雜的地緣政治形勢、日趨嚴格的全球法規，工作空間和工作負載從傳統網絡遷移，端點多樣性和位置的激增以及攻擊環境的變化，尤其是面對勒索軟件的挑戰和企業電子郵件的傷害。 以下是 Gartner…

年初 Apple 更改 App Store 政策，要求開發商在 App 詳細資料中加入 Privacy Labels，公開所收集的用戶數據，最尷尬的要數一眾靠用戶數據賺最多錢的 Tech Giant。大家終於明白所謂「免費」有幾貴，網上立即湧現轉用其他平台的號召。一向以安全自居的 WhatsApp 亦在 Privacy Labels 影響下，要用戶同意與 facebook 共享數據，同樣引起極大反彈。靠收割用戶數據暴發成當今市值最大企業之一的 Google，食相絕不會比…

如果有人問你，你有做好保護自己在網上的個人隱私嗎？有採取甚麼措施去保護私隱？你會如何回答呢？美國數據隱私公司 Entrust，早前在世界國際數據隱私日（Data Privacy Day 2021）公布一項在英美兩國進行，與數據隱私相關的調查結果，發現這班擁有智能電話受訪者，有近 8 成人認為自己關注個人資料數據，但只有少數人有為保護私隱改變習慣。看來身處地球另一端的我們，也該反省一下是否有誤判自己在保護私隱時的力度。 Entrust 的調查訪問了 500 名英國人及 500 名美國人，有 83% 人認為自己有積極維護自己的數據，但是卻連最基本的保護措施也沒有採取，這個結果反映他們缺乏相關保護隱私的教育，但其對防護私隱的信心值卻沒有下降。調查更發現，有64％的人願意為了更方便地使用重要服務，而分享個人資料，更有高達 83％ 的人表示，他們接受讓應用程式或第三方身份驗證系統（例如機場的應用程序）等，來儲存生物特徵資料。 雖然他們關注數據隱私問題，但亦不代表一眾受訪者會採取必要行動，來保護自己的資料。即使 82% 人認為自己至少在維護數據隱私方面有些主動，但有…

資安權威 Gartner 在 10 月 19 至 22 日舉行年度 Gartner IT Symposium/Xpo 2020，當中最注目的是其年度趨勢報告發表會，疫情下發佈會改為網上進行，主題當然圍繞著疫情怎樣影響企業營運模式，轉變又會帶來甚麼趨勢。這份報告一向獲業界高度重視，主流媒體都廣泛引用，到底動盪的 2021 年，各大企業的 IT 頭目需要注意甚麼？ Internet of Behaviours…

近日有傳中國受水災影響，部分地區出現糧食危機，政府亦帶頭呼籲民眾不要浪費食物。除了天災之外，人禍也會引發糧食短缺，例如以色列安全專家就發現，由Motorola設計的智能灌溉系統在設計上缺乏安全考慮，竟容許用戶以出廠登入資料長期使用系統，只要黑客有心，隨時可摧毁大量農作物，製造糧食危機！ 為減少人力需求、降低成本，不少農場也會裝設智能灌溉系統，交由電腦自動執行灌溉、施肥、使用農藥等工作。可想而知，如未能及早發現系統損壞或運作異常，農作物的收成將會大受影響。而以色列安全公司Security Joes創辨人Ido Naor，就發現有超過100個Motorola ICC PRO智能灌溉系統的用戶，竟然未有為系統設定密碼，黑客只要使用Motorola預設的帳戶登入名稱如admin，即可遙距登入帳戶，修改智能灌溉系統的設定及執行異常灌溉指令，而且不會驚動Motorola及其用戶。Naor指出Motorola的ICC PRO雖然有安全保護，但由於未有強制用戶在安裝後更改帳戶登入資料，全靠客戶自律，結果情況就如許多IoT物聯網產品的用戶一樣，放任繼續使用原廠設定。 Naor說要找出這些系統並不困難，只要使用IoT裝置掃描器，就能輕易在網絡上搜出Motorola的ICC PRO。他已即時將研究報告通知以色列的網絡安全中心及Motorola，讓對方通知用戶盡快修改密碼，而Naor發現仍未修改密碼的用戶已減少至78個，不過由於研究已經公開，肯定會有黑客嘗試入侵這些用戶。 事實上，各國政府均意識到IoT產品的安全問題，並開始陸續規管生產商，例如美國於2020年1月1日生效的SB-327 Information Privacy：Connected Devices 條文，就限制生產商必須為每部產品設定獨一的出廠登入密碼，即使用戶未有更改，也不致被黑客以同一密碼大規模攻擊其他同廠產品。英國及澳洲政府亦有就IoT產品推出安全生製指引，但距離立法還有一段長時間，用戶現階段必須靠自己，例如定時更改帳戶登入資料、啟用2FA雙重因素驗證、持續更新官方發布的韌體更新等，雖然未必百分百安全，但也可減少大部分危機。 資料來源：https://zd.net/3kDpb9V

資安權威 Gartner 在 10 月 19 至 22 日舉行年度 Gartner IT Symposium/Xpo 2020，當中最注目的是其年度趨勢報告發表會，疫情下發佈會改為網上進行，主題當然圍繞著疫情怎樣影響企業營運模式，轉變又會帶來甚麼趨勢。這份報告一向獲業界高度重視，主流媒體都廣泛引用，到底動盪的 2021 年，各大企業的 IT 頭目需要注意甚麼？ 1.Internet of Behaviours…