資訊安全專欄

• 真是太Amazing了！台哥大自有品牌的手機A32、賣了兩年才發現有惡意軟體

  自從華為藉由更新的方式偷渡「一個中國」的行為之後，台灣的NCC終於難得發揮了它應有的用處(？)，不僅大幅度的修正相關的通信法規，也開始加強了通信資安的相關問題，並與刑事局展開合作。 只是這不查不知道、一查嚇一跳！沒有想到不是只有中國品牌的手機可能有疑慮，就連本土品牌的手機也慘遭惡意軟體的毒手(慘)，至於這個倒楣的手機就是台灣大哥大自家推出的Amazing A32。 台哥大的自有品牌「Amazing」於2018年的時候推出一款低階入門手機「Amazing A32」，該手機使用一塊5吋854x480解析度螢幕搭配MTK MT6737M四核心處理器與1GB的RAM，雖然在規格上即使以當時角度來看也是相當的入門，但僅1,990元台幣的建議售價，且只要搭配199的月租費綁約30個月，就能0元帶回家，超低的入手門檻讓它曾在低資費族群間有著不小的市占率。 然而就算是如此入門的手機，還是有用戶質疑系統被植入了木馬軟體，且在經過刑事局與NCC的調查之後，也證實了此款手機真的被植入惡意程式，讓駭客能夠利用手機號碼取得並刪除簡訊內容，造成玩家們電話號碼被無端地隨意利用。 這件事情爆發之後，NCC要求台灣大哥大依消費者保護法及電信管理法相關規定，台哥大也立刻推出新版的V2.0系統版本，且通過財團法人電信技術中心（TTC）的測試，確認手機符合台灣資通產業標準協會（TAICS）公布的《智慧型手機系統內建軟體資安標準》及《智慧型手機系統內建軟體資安測試規範》標準。 目前玩家可以透過手機直接進行系統更新，或是到各處的台哥大直營門市(1月8號開始也可至加盟門是)由門市人員替玩家進行手機更新，另外台哥大客戶可以直撥188或0809-000-852（免付費專線）/ 02-66062999，按選項 5，由客服人員進行引導更新。 根據NCC表示，目前受影響的手機數量約為9萬支(無論是否使用中或售出)，也還沒有發現有其他品牌或款式的手機有發生同樣的問題。至於台哥大這邊則表示，Amazing A32尚有約7,600支處於使用狀態，但因為電信公司只能統計到尚未號碼攜出的用戶，因此可能數量還可能更多。 最後一如每次企業爆發問題就要甩鍋的原則，台哥大表示，這款手機最初是委託「力平國際公司」進行輸入，因此將會與力平國際進行合作，協助後續的軟體更新與維護。 只是這次的惡意軟體不僅隔了兩年才被發現，而且發現這個問題還不是自家的工程師，而是入手手機的玩家，若再加上Amazing A32在定位上屬於入門機種，不少這部分的客群就是不擅長手使用手機的長者或小孩，在這樣情況下，其受害的數量與時間恐怕難以估計，雖說這部分很難有實質的證據去舉證造成的損失，但台哥大做為台灣電信三雄之一，在各方面都很沒有盡到企業責任，做好把關的動作，也確讓人對該公司的服務品質打上質疑和失望。 ★沒新聞心癢？加入PCDIY!官方Telegram頻道： ☆「找嘸人」聊科技？加入PCDIY! Telegram討論群：

• 超過30萬人一起改密碼？Soptify外部資料庫洩漏，緊急重置用戶密碼

  讀者們還記得前幾天站上介紹的「123456」仍是最多人當密碼使用的新聞嗎？看完新聞不知道有沒有讀者看完後就勤奮地去改密碼了呢？如果沒改，沒關係，Spotify幫你改！ 小編撰搞的半天前(應該不到)，部分Spotify用戶發現被強制改密碼了，發生了什麼事？是真的太怠惰被懲罰了嗎？我們一起看看吧。 基本上(就目前為止)Spotify本身並沒有受到駭客的入侵或攻擊，而是第三方的資料庫中的資料洩漏，而洩漏之後的資料(密碼、登入資訊之類的)會被駭客透過一種名為Credential stuffing的技術，在廣大的資訊海洋中摸索與這些洩漏的資料相符的網頁或服務，例如小編在A、B、C 3個網站都使用相同的帳號與密碼，萬一小編A網站的密碼外洩，B、C兩個網站的帳號也非常有可能遭殃。 而此次被洩漏的資料庫中，Spotify有超過30萬的用戶資料包含在內，於是Spotify便大刀闊斧的重置了35萬名用戶的密碼，以保障這些用戶的資訊安全(QQ)。小編在這裡提醒一下，如果有收到Spotify的密碼更新通知，建議是把使用同一組密碼的所有帳號都重置一下，不然只重置了Spotify密碼，其他帳號的密碼依舊沒改的話，這些帳號還是有可能會遭到駭客利用。 Spotify這次算是非戰之罪，而且他們的反應也算是快速、直截了當的。畢竟Spotify無法要求客戶不要使用容易破的解弱密碼(weak passwords)，這種強制改寫大量客戶密碼的方式好像也是不得已之舉。只是從以往慣例來看，Spotify在資安出包這方面，也是常客了，這次又慘遭池魚之殃，真的也是夠倒楣(只能說樹大招風)。小編自己是沒有收到更換密碼的通知，不過有收到的讀者記得去把密碼改一改唷！ ★沒新聞心癢？加入PCDIY!官方Telegram頻道： ☆「找嘸人」聊科技？加入PCDIY! Telegram討論群：

• 數位化時代的雲端資安、由Openfind網擎資訊來為您守護，OSecure資安防護品牌專訪！

  數位化時代來臨，全球企業也正都邁入數位轉型中，身居其中要角的雲端技術已不可少，也因此來自網路的威脅就越趨嚴重，我們能夠防範COVID-19的疫情擴散，那隱性的、不可見的網路威脅所造成的數位疫情，我們是不是也能夠防範？ 國內唯一一家經營郵件服務的資安廠商－Openfind網擎資訊，在資安防護上一向赫赫有名，如今也將郵件防護技術拓展到各家郵件系統上，並且隨著時代更迭，網擎資訊也由軟體公司轉型為雲端服務公司，推出了Openfind Secure雲端資安服務(簡稱OSecure)，這次很高興有這個機會，可以深入到資安重地的Openfind網擎資訊，透過專業的網擎資安總監—張世鋒協理 (Neil)，來了解並與網友分享其OSecure 雲端資安服務，在數位時代下是如何防範紛至沓來的網路威脅，成為企業們的最強之盾。 以兩大核心技術「電子郵件」與「搜尋引擎」起家的台灣資安領頭羊— Openfind網擎資訊，在電子郵件的防護上可以說都比其他軟體更具有先見與優勢，事實上，網擎資訊早在幾年前就開始經營OSecure這個資安防護品牌，提供企業一系列的資安防護，進而降低、甚至是免除網路上的威脅與風險，其資安防護內容包含了幾項特點：郵件防護服務、郵件稽核服務、郵件歸檔服務、郵件備援服務，下面也針對這幾點來做介紹。 針對使用者的收信來作過濾檢查，進而攔截病毒和阻止垃圾信件，已是OSecure的基本功能，而除了基本功能以外，OSecure的動態SandBox系統，除了來自國外的威脅防護情資，還結合了台灣本地的情資分析，以最高規格來阻絕、防禦夾帶在郵件中的最新型仿偽冒詐騙，且至還具備反SandBox偵測技術、以及規避行惡意程式偵測、社交工程防護的功能。 而在惡意郵件的阻擋上，OSecure最獨特的地方在於加入了中文語意辨識解析，這是國外資安廠商所不及的地方，因此，即便以中文所書寫的惡意信件，若達到認定的詐騙意圖，也能滴水不漏的阻絕在外。 除了收信上的威脅阻絕之外，OSecure也能使用者在郵件外寄之前進行攔截檢查，而該技術中，除了攔截規則設定的完整性外，還具有人性化、彈性化的設定，以個資檢查來舉例，除了提供任何一種不同類型個資的數量個別計算，還能進一步作排列組合的計算，例如任5類個資中其中3項個資達到所設定的數量，便會啟動阻絕功能、防止外洩，甚至還具備信件ZIP加密的功能，讓機敏資料再多一道防護。 簡言之，就是將信件儲存在雲端的功能，無論是本地自建網域和伺服器或是使用雲端信箱的使用者，都能將郵件資料備份在雲端機房，不僅能夠尋回遺失資料或還原資料那麼簡單而已，更進一步的說，備份在網擎資訊的雲端機房，能夠更加完整的保有資料自主權，避免資料鎖定，甚至在更換郵件品牌時，也能隨時將歷史郵件返還。 OSecure還具備異地備援的技術，提供SMTP服務監控、簡訊告警與一鍵還原，在使用者的SMTP服務出現障礙時，會先行告警，讓使用者確認障礙狀況與排除，若確認需要備援，流程也相當簡單，OSecure將透過簡訊連結，直接啟用備援服務。 而在OSecure將防護服務轉以雲端為核心後，相較國外其他資安品牌，在資安防護與服務上，作為台灣在地的資安技術品牌，只要在資安或服務上有任何疑慮，馬上就能與客服進行聯繫，不會英文也沒問題，中文也能通。 除此之外，在OSecure上的服務優勢，還另分為以下三大重點： 以雲端服務為核心所建置的防護系統，免去了一有新型網路威脅就必須得再購置新版本資安軟體的困擾，還能省去以往在硬體上的例如保固之類的諸多顧慮，讓企業不用在資安佈署上大傷腦筋，將資安防護永遠維持在最新版。 而且在性價比上，比企業自行購置或建立一個資安機房或伺服器還要來得高，能各企業降低在資安上所投資的成本。 而除了防護以外的相關功能，舉凡授權、模組、防毒、防釣魚詐騙等等，在以往買一套軟體就要額外加購才能擁有的服務，OSecure則是一次全包了，並且還結合了Sophos、Cyren的防護功能，將所有該有的防護都攬在身上，讓企業不必在防護與成本上傷透腦筋，甚至就資安防護的架構面而言，還能針對大型企業內部的資安政策考量或是與公司內部系統的深入整合，提供獨立的私有雲服務。 不同於軟體授權，OSecure資安使用方案是以年費來作為購置方案，而只要在購置OSecure後，以另外一個角度來說，OSecure可以算作是終身服務了，以年費租賃角度而言，7x24小時全天候的不中斷防護，除了不用再準備備援機以外，所需要支出的成本相比傳統的軟體買斷制而言，C/P值更高。 如今這個數位化的時代，線上購物平台的使用者越來越多，社群網站也是這個時代的必備品，進而也產生了偽冒知名品牌的詐騙信件，而在今年COVID-19疫情的肆虐下，台灣雖倖免於難(靠中央與人民的攜手合作)，但也演化出了一個在家上班的新工作型態，而在遠距工作之下，資料會從原本的公司範圍擴展到更難管理的場域，同時公司服務從內部轉成遠端存取，甚至轉換成雲端服務，更難確認使用者身份問題。 有鑑於此，OSecure未來將戮力在企業應用系統的身份認證與郵件流程整合的這個環節防護，來降低帳號遭盜用的風險，甚至透過OSecure對外簽章，同時需要進行身分驗證來確保帳號安全。 另外，在社交工程威脅方面，OSecure目前雖有提供防護解決方案，但資安意識也不是不可或缺的，未來將與技術夥伴合作提供線上社交工程演練的服務，讓有需求的企業可以不用投入大筆的顧問預算，也能達到基本資安教育訓練的目的。 廠商名稱：Openfind 網擎資訊軟體股份有限公司 廠商電話：02-2553-2000 廠商網址： ★沒新聞心癢？加入PCDIY!官方Telegram頻道： ☆「找嘸人」聊科技？加入PCDIY! Telegram討論群：

• 可以、這很怠惰！2020年最糟密碼依然由「123456」奪冠

  盡管現在資安問題日益嚴重，許多廠商也開始對會員的密碼設定做出一系列越來越嚴格的設定，像是至少要一個英文大寫+小寫、加入標點符號、設定二步驟認證等，目的就是增加密碼遭破解的難度，但即便如此，似乎還是無法阻擋人們怠惰的天性呢。 根據密碼管理程式NordPass的統計，2020年最糟糕的密碼組合依然是由「123456」拿下，目前依然有約250萬的用戶還在使用此密碼，這種組合只需花費駭客不到1秒的時間就能完成破解，也因此讓其累積了超過了2300萬筆的破解紀錄，可以說是毫無防護能力可言。 除了「123456」之外，諸如「123456789」、「11111」、「123123」等組合也占據了榜單的前10名，至於去年位居前十的「ji32k7au4a83(注音：我的密碼)」則已經沒有出現在榜單上，取而代之的是「picture1」和「senha」，其中後者是葡萄牙文的「密碼」之意….(換湯不換藥啊！) 最後小編在這邊也放上，大家不妨檢查看看自身的密碼強度，雖然說現今的生活有太多的密碼要記憶，所以會想要使用簡單方便的組合也是無可厚非，但是太過簡易其實也是形同虛設，在現實層面上也的確是讓人進退兩難啊！ ★沒新聞心癢？加入PCDIY!官方Telegram頻道： ☆「找嘸人」聊科技？加入PCDIY! Telegram討論群：

• 美國總統大選在即、微軟終於硬起來！摧毀意圖干擾選舉的惡意程式Trickbot伺服器

  微軟(Microsoft)於12日宣布，已經移除意圖干擾2020美國總統大選的惡意程式Trickbot伺服器，看來，軟體巨頭的實力也不是叫假的！ TrickBot是近年相當惡名昭彰的殭屍網路惡意程式，起初它只是個Windows上的金融木馬程式，專門竊取各國際銀行客戶所用的登入憑證，但近年卻衍生出可在網路中竊取使用者瀏覽器中的憑證、Cookies等能力，且還擁有用於大規模散布勒索軟體的殭屍網路系統，現今已在全球造成數百萬台設備感染。 事實上，勒索軟體鎖定知名企業進行攻擊的情況早就屢見不鮮，光是今年在5/4至5/5之間，國內就有多間重要能源及科技公司(比如中油、台塑等)皆傳出遭駭客入侵並將勒索軟體植入公司系統、個人電腦以及伺服器等資訊設備，造成系統停擺情況，該公司也被要求交付贖金等等。而於7月底時，知名智慧型穿戴裝置大廠Garmin也疑似遇害，導致全球超過破千萬使用者受到影響。以色列資安業者Check Point指出，因新冠肺炎疫情以及政令實行之故，各項電腦設備的使用者大量提升，勒索軟體也因而見獵心喜，進而導致在今年第三季的攻擊行動比上半年增幅了50%，幾乎是平均每10秒便有一個新受害者。 微軟以Trickbot違反商標法、未經同意使用微軟商標的法令，向聯邦法院聲請禁令獲准後，便切斷和Trickbot伺服器相關的IP網址(終於硬起來！)。並在聲明中指出，已經採取一套有助於政府機關打擊網路犯罪的新法律策略(所以是什麼啊？)，不過這波操作似乎無法完全抑止殭屍網路與勒索病毒的霸道，畢竟道高一尺、魔高一丈啊。 隨著時代洪流，金戈鐵馬的冷兵器戰爭已過千年，核彈也隨著都市發展，在各國無聲的默契中收了起來，如今高科技化的網路戰役活生生地已在眼前上演。在微軟採取行動之前，美國網戰司令部(US Cyber Command)已經發動對Trickbot的制裁，一是政府機關、一是民間最大電腦科技公司之一，雙雙恰好在美國總統大選辯論會結束之後向Trickbot出手，為的就是防止駭客或是網路攻擊，干擾下個月即將舉行的美國總統大選。 雖說牽一髮而動全身，政治也是我們切身相關的問題，而美國如今依然是世界霸主之一，有任何的閃失與差錯，都可能在世界各地造成無可彌補的憾事。即便摧毀了一個殭屍網路是件好事，但站在民眾，或是一般使用者的角度而言，微軟對於個人電腦遭到駭客及網路攻擊的防堵，似乎都缺了那麼一點，缺了哪一點？ 周星馳的電影《西遊：降魔篇》裡面說：大愛是愛，小情小愛也是愛。微軟你就缺這麼一點，一樣都是使用者，我們只希望待遇不要有落差。 ★沒新聞心癢？加入PCDIY!官方Telegram頻道： ☆「找嘸人」聊科技？加入PCDIY! Telegram討論群：

• 2.7GB的Windows XP原始碼疑似流出，聯袂43GB的多版本原始碼「大禮包」也在網路上流竄! 爆發資安隱憂!

  微軟於2001年推出的Windows XP作業系統，至今已滿19年囉! 此版作業系統正式帶領PC走向多媒體、3D遊戲、網際網路、即時通等應用，達到前所未有的新高峰，讓其他作業系統的光環逐漸褪去。Windows XP於2001至2011年這十年，成為全世界最多人使用的作業系統，市占率達42%，更在2007年1月達到巔峰的76%以上！ 然隨著Windows XP功能逐漸不足，Windows XP終於在2012年8月被後來的Windows 7超越。而微軟也宣佈在2014年4月8日起，終止對Windows XP的支援，相關安全性支援也只到2015年7月14日，正式讓Windows XP退役。不過到現今，世界上仍有就是了! 然如今，Windows XP SP1和其他版本的作業系統原始碼，已在網路上流出了。表示，過去兩個月都在把微軟各作業系統的原始碼做「整合」，並整理出一個43GB的「大禮包」，於4chan論壇以Bit Torrent的方式來發布！ 在這次流出的Torrent裡面，包含了所謂的Windows XP SP1和Windows Server 2003的原始碼，甚至有更舊版本的作業系統，內容如下： ● MS DOS 3.30 ● MS DOS 6.0 ● Windows 2000 ● Windows CE 3 ● Windows CE 4 ● Windows CE 5 ● Windows Embedded 7 ● Windows Embedded CE ● Windows NT 3.5 ● Windows NT 4 除了上述的作業系統之外，該Torrent裡面還含有一個媒體資料夾，其中包含了比爾蓋茲的各種奇怪的陰謀論影片等等。該Torrent檔案的大小約43GB，據悉已有網友將該Torrent檔案下載後，再轉上傳至雲端硬碟服務了。 除了這個「大禮包」之外，網路上還有一個「小禮包」，就是該Torrent檔案涵蓋的，是一個比較小的2.9GB 7zip檔案，僅包含Windows XP與Windows Server 2003的原始碼。 該洩漏者也指出，Windows XP原始碼早在駭客圈內私下分享，且行之有年，只是到今天才正式「流出」，讓有取得該Torrent種子檔的一般使用者，都有機會下載到這個原始檔。 由於無法確認這個「小禮包」是否真的是Windows XP或Windows Server 2003的實際原始碼，因此就算真的組譯起來，也不一定能生成出一套正式的Windows作業系統。然而這也不是第一次微軟的作業系統原始碼被洩漏出來了，因為在2017年就有將Windows 10的Insider版本洩漏出來，檔案大小高達32TB，還被放在BetaArchive.com裡面讓大家「欣賞」。 此外，還有駭客表示在最近(2020年5月)已從微軟私下的GitHub原始碼倉庫裡面偷出了500GB的資料，裡面涵蓋許多私有的發展項目。駭客表示原先本來計畫拿來出售這些資料，但後來決定免費在網路上流出。而根據洩漏文件的完整目錄中的檔案戳記來看，可能早在2020年3月28日時，該帳號就被破解，並被駭客偷取出來了！ 至於現在Windows XP原始碼被洩漏出來這件事情，微軟也表示正在進行調查中。以資安角度來說，儘管Windows XP的年代有點久遠，但要是現在Windows 10的某些軟體元件，仍有使用到Windows XP時代所流傳至今的檔案的話，那麼這次的洩漏，就可能有潛在的安全風險。因為有心人士總是可以透過原始碼去分析Windows的內部運作原理，然後想辦法找出bug或漏洞，然後嘗試在現今Windows 10去測試該bug是否至今仍然存在，以攻破Windows 10的安全性。 只是Windows原始碼可能是「天書」，一般人不太會有時間去完整窺視這些原始碼內容，因此就算取得這個大禮包或小禮包，最多也只會窺視到Windows的開發歷史。總之，就等微軟針對此事「踹共」了。

• 高通Snapdragon晶片被發現400多個漏洞，讓10億台Android裝置陷入機敏資料被竊風險，官方已有解

  先前PC領域被發現CPU擁有重大資安漏洞，將導致有心人士透過側道攻擊或是其他方式來竊取用戶的機敏資料，雖說PC處理器大廠們紛紛推出各種緩解措施，來想辦法補破網，但至今還是有不少漏洞、Bug還沒完全解決，當然有些漏洞其實沒那麼危險，且在現實生活中，這些比較無關緊要的漏洞是幾乎很難被拿來利用的，除非使用刻意的作法，才能突破該漏洞。因此看似漏洞非常多，但其實只要將重大安全更新包安裝好之後，就幾乎能防堵絕大多數的硬體Bug所導致的安全性漏洞！ 至於行動裝置方面，難道都安全嗎？不提還好，一提嚇一跳！資安公司的研究人員已在Qualcomm (高通)的Snapdragon晶片內，發現到400多個漏洞，這些漏洞將會影響到至今已超過10億台Android裝置。只要駭客或有心人士透過安裝惡意應用程式(App)，即可利用上述這些漏洞，在未經使用者的允許之下，竊取該裝置的各項資訊，包括聯絡人、行事曆等個人資料，還可透過您有開啟GPS來追蹤您現在的位置，甚至可以開啟您的麥克風來監聽您的周圍環境。 根據安全研究人員指出，這些漏洞直接影響到Snapdragon晶片內的DSP (數位訊號處理器)功能，主要應用於視訊、音訊、AR (擴增實境)和各式多媒體功能，且該DSP也監管手機的快充功能。要是駭客利用該漏洞將惡意程式碼隱藏到Android作業系統中，就等於無法刪除掉，此時您的手機就成為駭客的傀儡，要是對方下一道指令讓您手機無法使用，使用者也無可奈何！到時候要徹底根除這樣的問題，將會變得很麻煩！ 根據資安公司所示，其影響的手機包含40%的高階手機，範圍涵蓋Google、Samsung、LG、小米、OnePlus等手機。而些漏洞也被命名為：CVE-2020-11201、CVE-2020-11202、CVE-2020-11206、CVE-2020-11207、CVE-2020-11208與CVE-2020-11209。 目前該資安公司也會，屆時將可能公佈這些漏洞的完整細節，以及哪些處理器會受到這個漏洞的影響。 據悉，Qualcomm已針對上述的漏洞，發表了安全修補程式，但由於該程式必須整合至Android作業系統才行，因此對於使用者來說，還無法馬上取得。截至目前為止，Google和Qualcomm尚未公佈何時才會將這個修補程式釋出給大眾使用。此外，考量到受到此次漏洞所影響到的龐大裝置數量(超過10億)，加上Android的安全性更新機制並不像Windows那樣頻繁 (Android作業系統的升級與更新，主要由裝置廠商來掌控，包括Samsung、LG、小米、華碩、Sony、Nokia…等等)，因此安全修補程式也不一定能完全讓修補到每台Android裝置。 此外，Qualcomm也聲明說，目前還沒有證據證明這次的漏洞已被駭客或有心人士拿來利用。白話文來說，就是還沒有人拿這次的漏洞來幹壞事！但為避免受到潛在性的安全影響，Qualcomm建議使用者還是透過受信任的軟體商店(如Google Play Store)來下載App，以避免受到安全性的攻擊。 不過，話說回來，由於App上架機制的審核制度，使得有心人士甚至可能直接透過Google Play商店來將「有毒的App上架」，這樣反而讓那些透過正式管道下載App的使用者受害！因此，在瀏覽軟體商店時，還是要注意一下來路不明的App，避免去下載那些App來讓自己的手機受害！ 由於目前尚未得知受影響的Qualcomm處理器、以及確切的受影響的手機型號，因此後續有更多消息，我們再為大家更新！

• 駭客暗網已售出超過50萬組Zoom雲端會議服務的帳號，只賣1美分，有些還免費贈送！趕快更改密碼！

  Zoom是一家位於美國加州聖荷西的科技公司，主要業務是提供雲端為主的視訊會議(Cloud Meeting)系統服務。不過前陣子被爆出有資安疑慮之後，不僅Google下令不准使用Zoom之外，就連我們行政院也下令各公務機關與各級學校都要禁用Zoom了！ 有人問，有那麼嚴重嗎？確實啊！因為在某些暗網與駭客論壇裡面，就有人在兜售Zoom的帳號了！資安公司發現裡面有不少是摩根大通、花旗銀行，或是一些大學的帳號，您說不嚴重嗎？ 由於暗網與駭客論壇裡面有超過50萬組Zoom帳號被售出，賣價低於一美分(不用新台幣1元)售出，甚至某些情況還免費大相送。這些帳號是透過憑證填充攻擊(credential stuffing attack)的方式取得，也就是以錯誤嘗試登入的方式瞎猜出密碼，在早期Zoom的登入機制還不是很完善時，駭客就是透過這樣的方式成功登入之後，將這些成功的帳號整理成表，再兜售給其他駭客！ 由於有些Zoom帳號是免費提供給駭客論壇，讓其他駭客可以使用Zoom-bombing (未受邀請的陌生人突然加入線上會議且大叫，以干擾會議)的惡作劇，或是其他惡意行為，擾亂既有的會議進行。要是會議是屬於NDA類型或是比較機密的會議，那麼就有機敏資料外洩的可能！ 資安公司表示，這些免費的Zoom帳戶大約是在2020年4月1日起在駭客論壇上看到的，由於有這些好料！因此也讓這些駭客論壇越來越受矚目！流量開始爆增！除了上述的帳號是免費供應的之外，其他有些帳號則是以不到一美分的價格售出！ 由於這些帳戶都是透過文字的方式來分享出去的！那些洩漏帳號者就大喇喇的直接在論壇裡面貼上一堆登入帳號(Email)和密碼。下圖中，就有超過290組帳號是免費提供的，主要都是學院的帳號。如佛蒙特大學、科羅拉多大學、達特茅斯學院、拉斐特大學、佛羅里達大學…等等。這些密碼中，有些是正確的，而有些則是舊密碼，表示當初就是用憑證填充攻擊的方式獲得！ (不過如今應該有不少單位已經更改密碼了，因此這些帳戶可能無法再登入) 由於駭客論壇大量拋售這些Zoom帳號，資安公司一口氣買下大量的帳戶，以便可以用來警告這些用戶們趕快去更改密碼。該公司以一美分買下53萬組帳號，平均一個帳號不到0.0020美元。這些被售出的帳戶，包括受害者的Email、密碼、個人會議URL以及HostKey (主持人鑰匙)。 由於Cyble買下來的Zoom帳戶中，有些也是他們的客戶，他們也確認了這些帳戶有些是有用的，他們也透過聯絡這些客戶趕緊去更改密碼。 由於所有公司都受到這種憑證填充攻擊的影響，且Zoom的密碼可以從電腦、平板或手機登入，因此建議趕快更改密碼，至於個人會議ID必須付費才能更改！要是若怕陌生人突然衝進會議來搗亂的話，可以設定要求輸入會議密碼，才准許進入。此外也可以並預設關閉電腦音訊，或是關閉電話登入，以免收到參與者的雜音。 另外，Cyble也將這次的資安事件，加入其的網站，使用者可以透過輸入自己的Email，來檢查自己的帳戶是否被流出去濫用！

• 速度、安全更進化，Samsung Portable T7 Touch行動固態硬碟開箱

  隨著資安問題日益嚴重，電腦、手機等裝置都開始設計了五花八門的防盜技術來避免資料外洩，想要避免資料一夕之間灰飛煙滅，資料備份就成了一個非常重要的習慣，但是光只是將資料備份到行動硬碟不做任何防護真的可以嗎？於是Samsung推出的Portable T7 Touch行動固態硬碟便針對這個疑慮所推出的產品。 Samsung Portable T7 Touch不論是從型號上還是外型上來看，都可以看出與不久前為玩家介紹過的是兄弟關係，兩者都採用纖薄時尚卻又不失其堅固特性的金屬機身，不過與T5主打多彩的機身選擇不同，T7更加注重安全性和速度的表現，所以在黑、銀兩色機身上都配置了一個指紋辨識器，在通電時會發出藍色的光芒，充滿了高科技的時尚感。 Samsung Portable T7 Touch在設計上一個最重要的出發點就是「安全性」，繼承了T5堅固的金屬外殼和無機械元件的設計，T7 Touch即使在2米的高度內墜落也不會損壞(但是誰捨得讓這麼漂亮的行動固態硬碟破相…)，也提供了3年保固，同時也保證內部的儲存顆粒都是Samsung「自產自銷」，不假他人之手，品質有保障的。 此外，T7 Touch最為重要的賣點就是它加入了「指紋辨識」功能，玩家可以透過程式設定指紋密碼，並將密碼資訊以AES 256位元技術進行加密，想要讀寫行動硬碟裡的資料，就必須像手機一樣必須先掃描指紋才行，讓資料安全提高到了一個全新境界，對行動商務族群或是辦公室裡遭小人的玩家，有這樣的一顆行動硬碟就可以確保自己的備份資料即使不小心忘在別的地方，也不用擔心會被有心人士給外洩了。 Samsung Portable T7 Touch在傳輸介面上，採用的是USB3.2 Gen2 Type C，由於市面上的電腦設備並不是都有USB Type C連接埠，Samsung也很貼心的在盒中附上USB Type C To A和USB Type C To C的線材，而且還個別為它們準備了獨立包裝，在小地方的用心上給人一種尊榮不凡的禮遇。 在傳輸速度方面USB3.2 Gen2理論速度可以跑到10Gbps，相當於1280MB/s，而Samsung在官網上也表示其讀寫的速度可以來到1000MB/s左右，考量到理論速度與現實速度存在著環境因素，T7 Touch可以說是要把USB 3.2 Gen2的傳輸極限給榨乾，不過是否真的有那麼厲害，小編自然要來驗證看看囉！ Samsung Portable T7 Touch除了超快的存取速度之外，另一個最為重要的賣點就是它具備了指紋辨識功能，玩家可以在安裝驅動程式之後，必須先打開安全模式，才能夠設定指紋。 指紋設定的方式與在智慧型手機上面設定指紋的方式一樣，用手指在感應器的範圍內可以連續按壓即可完成。此後每當電腦與T7 Touch連接，同步程式就會自動彈出要求輸入指紋，而在辨識速度方面相當靈敏快速，輕輕一壓可以立即完成辨識。 值得注意的是，由於指紋資料是寫入硬碟內的控制晶片，平時不需要另外安裝驅動程式也能進行指紋解鎖，Samsung特別將硬碟內部容量分為兩個一個區塊：一個是「公用區塊」，用來存放驅動程式與說明書；另一個就是「加密區塊」，也就是玩家儲存資料的區塊，必須透過指紋才能解鎖。前者是當您每次將T7 Touch連接至電腦或手機時，會出現的區塊，該區塊只能讀取，只有當您透過指紋解鎖之後，才能存取到後者的加密區塊。因此，Samsung T7 Touch在安全性方面，是絕對不用擔心會洩漏出去的！ 不過小編在體驗期間發現這個驅動程式有3個小問題：第一，驅動程式使用介面還沒最佳化，使得在高解析螢幕(如4K螢幕)下，程式畫面小到難以辨識；第二就是，驅動程式語言尚未支援繁體中文，目前僅先支援簡體中文，對於國內用戶可能不夠親和... 至於第三，也是小編認為比較嚴重的，就是T7 Touch在設定指紋時，需要輸入備用的安全密碼，但是程式完全不會建議或限制過於精簡的密碼，即使小編輸入0000，程式照樣放行，這樣子的話，似乎對於破解防護上有種做一半的感覺，小編希望Samsung可以透過推出更新版本的軟體，來補足這些小缺點。尤其是第三項，建議加入過於簡單密碼的審查機制，來要求使用者輸入複雜密碼，以確保硬碟的資料安全。 現代人不管做什麼事都離不開手機，很多重要的機敏資料、相片、影片也時常都是儲存在手機之中，雖然目前的手機都有設計指紋或人臉辨識，雖然竊取資料有難度，但手機畢竟是精密零件，一個意外可能就讓手機資料一去不復返，因此備份就很重要了。 提到備份，放在雲端空間中或許簡單方便，但對於機敏資料來說，就讓人覺得不是很心安，可是實體備份很多又缺乏防盜功能。為此Samsung Portable T7 Touch亦準備了手機版的APP，並且針對指紋辨識功能重新打造了Samsung Portable SSD 1.0應用程式，玩家不僅可以直接在手機上存取資料，還能夠設定指紋密碼，讓資料安全可以隨行動帶著走。 Samsung Portable T7 Touch行動固態硬碟針對了市場上少見的備份安全問題，利用指紋辨識做出了一個快速、簡便、有效的解決方案，並且在塞入更多零件的狀況下，不僅維持了纖薄有型的外觀，還進一步將傳輸速度提升到了趨近介面頻寬的極限，可以說是一個在各方面的都面面俱到的全方位儲存裝置，不管是對速度有要求的玩家，還是對安全很注重的玩家，Samsung Portable T7 Touch都會是相當優質的選擇喔！ 廠商名稱：SAMSUNG - 台灣三星電子股份有限公司 廠商電話：02-2656-8686 廠商網址：www.samsung.com 建議售價：500GB/4,990元 ; 1TB/7,590元 ; 2TB/13,990元 ------------------------------------------------------------- 【PCDIY!官方Telegram頻道正式開創！】 ★沒新聞心癢？加入PCDIY!官方Telegram頻道：https://t.me/PCDIY ☆「找嘸人」聊科技？加入PCDIY! Telegram討論群：https://t.me/PCDIY_Chat

• 漏洞未平、駭客又起！AMD大量GPU IP遭駭客偷竊

  AMD這陣子可以說是風波不斷，除了前陣子與Intel雙雙被爆出有之外，現在還遭到駭客入侵竊取了GPU IP (繪圖晶片智慧財產)，並且要求高額的贖金。 根據AMD自家的說法，他們晶片設計師發現他們有不少的晶片測試文件遭駭客竊取，其遭竊的內容包含現行的Navi 10架構GPU(如Raden RX 5700、5600系列)，以及即將上市Navi 21架構GPU，甚至就連微軟下一代遊戲主機Xbox Series X的Adren晶片之GPU IP，都在這次入侵事件中遭到偷竊。 雖然AMD在這件事情上不願意公開太多資訊，但是自稱執行這次入侵計畫、名叫Palesa的駭客倒是跳出來表示，AMD官方聲明自己在去年12月之前沒有任何相關數據遭竊是騙人的，因為駭客自己早在11月就已經入侵，把GPU IP相關資料弄到手了。 另外駭客相當狡猾的不直接向AMD索要贖金，因為駭客認為如果直接向AMD討要，不僅一毛都得不到，反而害自己被提告罷了。於是駭客選擇轉向告至國外媒體TorrentFreak，表示如果AMD不願意支付1億美元的贖金，那麼他或她就會把所有的晶片原始碼公布。 一般來說，晶片智財權遭竊可以說是非常嚴重的問題，因為這代表自家的大量的商業機密不僅有遭到公布的風險，同時在資安上面也幾乎就是赤裸裸的展示在有心人士面前。然而AMD對此倒是不擔心，官方表示其遭竊的原始碼並不涉及關鍵核心技術和資安疑慮，同時會對這件事展開刑事調查。看來AMD好像對於被偷走的智財還老神在在，認為你駭客這次偷的智財只是小咖，不影響大局，同時這是否意味著AMD其實早有更下世代的產品正在著手進行了呢？ 雖然目前還不確定究竟遭竊的GPU IP到底可能造成什麼樣的問題，但從失竊到現在已經過了這麼3個月，如果真如AMD所說的不是核心關鍵的話，很有可能早在AMD改不停的晶片設計，以及驅動程式更新中被替換掉了也說不定。 ------------------------------------------------------------- 【PCDIY!官方Telegram頻道正式開創！】 ★沒新聞心癢？加入PCDIY!官方Telegram頻道：https://t.me/PCDIY ☆「找嘸人」聊科技？加入PCDIY! Telegram討論群：https://t.me/PCDIY_Chat

• «
• 1
• 2
• 3
• 4
• »