經 NotPetya 一役，馬士基不僅致力改進自身的網絡安全，而且還把它發展成一項「競爭優勢」，它是一次非常切中要害又非常昂貴的喚醒服務。 發生襲擊後兩星期，馬士基的網絡終於恢復至可以重新運作，公司為絕大部分員工下發整理後的個人電腦。哥本哈根總部大樓地庫的自助餐廳，已被挪用為重新安裝電腦的部門，每次都有 20 部電腦被排成一列，系統服務站的員工會按順序插入USB，按照畫面提示不斷點擊執行清洗工作。 從梅登黑德返回哥本哈根後，Henrik Jensen 從按著使用者姓名字母排列的幾百部手提電腦中，找到了屬於自己的一部，硬盤裡面的東西已經被徹底刪除，並且安裝了一個乾淨的 Windows 鏡像。 有危就有機 五個月後，馬士基主席 Jim Hagemann Snabe 於瑞士達沃斯世界經濟論壇大會上，對公司 IT 部門在這次拯救行動中付出的「英雄般的努力」表示稱讚。 他說，從…

企業數碼轉型的好處多不勝數，誘因包括存取資料方便、雲端應用服務選擇多、部署快速、節省硬件成本開支等等。既然有這麼多好處，自然一窩蜂移雲。不過，不少企業決策者選用雲服務後，才發現情況並非想像中完美，連接公司與雲端伺服器原來並不簡單，同時亦無法把握儲存於雲端的數據安全性。要解決問題，選取合適的雲端存取安全代理 (Cloud Access Security Broker, CASB) 服務是最簡單快捷的方法。 網絡安全客戶有責 大部分企業的數碼轉型第一步，都會由採用 Office365、G Suite 等一站式雲端應用服務開始。當中有企業決策者對這些雲端服務存有誤解，以為供應商必須確保客戶的數據得到保障，可免受黑客攻擊或遭遇私隱洩漏。事實上，使用者與服務供應商存有明確的分擔責任（shared responsibility）概念，使用者亦須採取足夠手段，例如嚴謹的登入帳戶措施、明確的存取檔案權限，去保護存放在雲端上的數據。 要達到網絡安全標準，卻有不少問題要解決，因為單點式解決方案（point solution）無法照顧各應用層面，例如電郵收發、檔案分享、數據存取等；設立 proxy 或 gateway，網絡延時又有可能拖垮工作進度，而編寫 API 亦需要一定的技術人員和時間，反而有違數碼轉型快捷便利的初心。…

做得電腦維修，自然希望啲人嘅電腦設備唔好咁襟用，系統間唔中可以 down 下機，咁先至有生意做。但呢啲嘢通常只會諗下就算，始終維修員都有職業道德，斷唔會咁無良主動出擊，暗中整壞你部電腦或系統搏開單嘅。 陰招搵錢 不過，行業中都會有敗類，Siemens 一個前合約承包商 David Tinley，喺 2002 年接咗 Siemens 一個客製化電子試算表合約，用嚟管理公司旗下同電力供應行業有關的計劃時，就偷偷哋喺試算表入面藏下邏輯炸彈（Logic Bombs）代碼，只要達到某啲條件，例如過咗保養期一段日子，試算表就會發生故障，於是乎 Siemens 就會搵 David 去搞返掂。 十幾年過去，David 埋下嘅邏輯炸彈已經發作過幾次，Siemens 亦一如佢所料，次次都搵佢修復。不過去到…

喺《Matrix》電影入面，Agent Smith 原本嘅職責係消除系統唔穩定嘅因素，以及清理漏洞 Neo，可以話係維穩工具。不過，最近網絡安全研究員就發現咗一種新嘅手機惡意軟件變種，已經感染咗約 2500 萬部 Android 裝置，而佢嘅名就係「Agent Smith」！ Agent Smith 係一種識得透過偽裝手法，令到其他手機應用軟件變成同黨，齊齊顯示指定廣告以增加廣告收入嘅惡意軟件。Check Point 研究員發現，Agent Smith 攻擊主要針對印度、巴基斯坦、尼泊爾等亞洲地區，但美國、澳洲、英國亦有唔少用家中招。Agent Smith 會分三階段嚟達成攻擊，首先需要引誘用家下載及安裝含有 dropper 嘅軟件，例如係免費遊戲、應用軟件或成人娛樂等，進入手機系統後就會自動解碼，並利用數個已知嘅…

NotPetya 一經發動，即時透過網絡進擊全球。馬士基能夠從絕望中復活，原來一切都多得斷電事件，但其後的拯救工作，卻變成一場跨國接力賽。 馬士基哥本哈根分部辦公室嘅電腦死機後數天，一個早上，IT 員工 Henrik Jensen（假名）正待在家中享受著荷包蛋、果醬多士，突然間，他的手機響了起來。 接通來電後，他才知道這是一次多人電話會議，另一邊還有 3 個人，他們都是馬士基梅登黑德辦事處的員工，說極需 Jensen 的幫忙。梅登黑德是倫敦西部一個小鎮，是馬士基馬士基集團基礎設施服務所在地，他們均要求 Jensen 放下一切立即去到那裡幫忙。 兩小時後，Jensen 已在一架飛往倫敦的飛機上，抵達梅登黑德後匆匆換了一輛車駛到目的地大樓。這時大樓的 4、5 層樓已經被改造為 24/7 應急指揮中心。該中心的目的只有一個：立即重建馬士基全球網絡。 不計代價全力搶修…

旁路攻擊（Side-Channel attack），係透過一啲非正常渠道嘅手段，去竊取攻擊目標嘅訊息，例如通過人耳聽唔到嘅超高頻將 keylogger 截取嘅訊息傳送出去，又或者通過監測電腦硬件嘅耗電量，估計數據儲存位置而發動攻擊等等；不過，呢種攻擊通常唔容易發動，例如首先要喺目標電腦安裝咗惡意軟件，同時可以讀取到嘅數據量都唔會太大。 偷譯你聲音 最新發現應用喺手機上嘅旁路攻擊 Spearphone 就簡單得多，基本上只要用家安裝咗有問題嘅 app，黑客就一定可以將受害者啲私隱手到拿來。網絡安全獨立研究團隊最新發表一項研究報告，指出黑客可以通過 Android 手機上嘅加速器（accelerometer)，讀取通過手機揚聲器發出嘅音訊內容。其竊取數據嘅方法，係透過加速器感應手機揚聲器發咗聲音後嘅殘響（reverberation），再通過語音辨識將佢還原為語音訊息。只要手機開啟咗揚聲器，用嚟進行語音通話、聽留言，加速器就可以感應得到，所以如果打電話上客戶服務部、對方同你核實私隱，又或手機語音助理讀取你嘅行事曆、聯絡電話出嚟嘅時候，黑客就可以攞得到。 不過研究團隊話，呢種旁路攻擊只可以喺開咗免提模式，同時將音量開到最大聲，先足以令加速器感應到足夠嘅數據，而且亦只可以「聽」到手機揚聲器發出嘅聲音，手機用戶嘅說話就無辦法讀取得到。 現時研究團隊發現 Google Play 上共有 1300 個以上嘅 app 可以做到呢種竊聽效果，因為…

為咗減少用家帳戶被盜取嘅風險，好多網站或應用程式例如 Facebook、Instagram 都採用咗雙重驗證（Two Factor Authentication, 2FA），用家除咗要輸入登入帳戶名稱、密碼之外，仲需要提供額外嘅驗證碼，例如通過 SMS 將一次性驗證碼發送俾用家，又或好似匯豐等網上理財一樣，要輸入保安編碼器提供嘅登入編碼。視乎所登入帳戶嘅重要性，用家未必每次都需要用到 2FA 嚟登入，例如當網站或應用程式偵測到用家使用另一部裝置登入，又或用家要求重設密碼，先至會觸發 2FA 運作。 暴力破解2FA驗證 Facebook 旗下嘅 Instagram 本身亦設有 2FA 驗證基制，當用家要求重設密碼，Instagram 就會將…

最近國內外網民均熱烈談論一個監控軟件 MFSocket，公安會強行於被調查者嘅手機上安裝，提取手機內嘅資訊。MFSocket 究竟係乜東東？故事更牽連香港反送中？ 事緣最近內地有唔少人被公安「請」去協助調查，有猜測係因為轉發香港嘅反送中報導。坊間傳出，北京及上海已有好多人被邀請。紀實攝影師兼 Visuals Editor 肖慕漪（Muyi Xiao） 6 月 21 日喺 Twitter 發帖，引起大家關注 MFSocket 軟件，網民之間亦熱烈討論，更出現好多對 MFSocket 進行詳細調查嘅文章及報導。 MFSocket 裝完即刪…

WhatsApp 固然多香港人用，但 Telegram 憑住各種私隱功能，近來亦大受用家歡迎。不過，大家要小心，事關近日接連出現關於 Telegram 及 WhatsApp 嘅負皮新聞，唔係講笑，睇吓係乜事先。 Android 版 Telegram 缺陷 日前網絡安全公司 Symantec 研究員指出，黑客可以利用 Media File Jacking 漏洞，於用戶開啟媒體檔案如相、錄音檔前，進行攔截。 受影響嘅…

VISA上月於中國舉辦的 VISA SECURITY SUMMIT 安全峰會上，提出為了加強信用卡客戶的安全保障，計劃讓全港合作商戶參與代碼化（Tokenization），將客戶的信用卡資料變成代碼，即使黑客攔截到這些代碼，也無法進行任何逆向破解。 VISA 在同場公布的港澳區「支付安全藍圖」內，更表明希望年交易宗數達 100 萬宗以上的商戶，可以在明年內採用資料代碼化，2021 年再擴展至所有合作商戶。到底這種代碼化技術有何獨到之處？ 加密與代碼化技術 近年網上購物平台大熱，再加上形形式式的電子支付應用程式，令香港人習慣了使用電子支付服務。不過在支付較為大額的費用時，不少消費者仍傾向使用信用卡付費。VISA 上月在安全峰會上就指出，港澳區的無卡支付欺詐交易比率在去年第三季急升，為了提升信用卡用戶的安全，VISA 就希望能加快在香港推行代碼化技術。 對於電子支付的安全問題，大多數人都以為傳輸過程是以加密（Encryption）技術，將信用卡號碼、到期日等數據以金鑰加密，即使黑客中途攔截交易數據，在沒有金鑰下也難以破解。不過，由於這些數據被加密後未必可以維持原始格式，處理時有需要修改資料庫或檔案格式，而且傳輸的資料亦是原始資料，所以一旦金鑰外洩，就可逆向破解出原始資料。 非演算亂數無法破解 代碼化技術則以相同格式的亂數進行傳輸，舉例原來的信用卡號碼為 16 個位，代碼化後的亂數依然保持 16 個位格式，再加上當中不涉及任何數學演算對應關係，所以即使黑客攔截到這組代碼，亦難以估計這組代碼是原始資料抑或亂數，以信用卡為例，黑客便無法知道這 16 位數字是原來的版本抑或亂數後的版本，達到客戶去識別化的效果。現時 Apple Pay、Google Pay、Samsung Pay 均採用代碼化技術去處理交易資料。代碼化技術的另一好處，在於它可免於受由信用卡組織制定的 PCI-DSS（Payment Card Industry Data Security Standard）金融機構安全認證審查，大大省卻投放於達成標準所需的準備費用之上。代碼化技術除了可以應用在電子支付之上，為應付全球各國日益提升的個人私隱法例，它還可提升其他個人敏感資料、病歷紀錄的安全程度。 事實上代碼化技術亦有很多種類，到底它與傳統的加密法各有什麼優勢？要引入這項技術，電商或信用卡組織伙伴有什麼需要準備？如何選擇合適的電子支付服務，才能提升公司的營業額？網絡安全應用方案供應商 Edvance X Thales，將於下月舉辦工作坊，詳細講解代碼化技術的應用及解答業內人士的問題。名額有限，如欲了解代碼化技術的詳情及應用範疇，請即點擊報名連結。 Edvance…