2010-12-02 WikiLeaks遭受大規模攻擊　移至Amazon雲端服務
? 新聞來源：iThome

WikiLeaks遭受大規模攻擊　移至Amazon雲端服務

摘要：

自本周日（11/29）起分階段揭露美國20多萬份外交機密電報的WikiLeaks隔天（11/30）便 遭到大規模的阻斷式服務攻擊，周二的攻擊勢力更達到每秒10Gb，為了讓讀者可存取相關資訊，WikiLeaks已將網站移至Amazon的EC2雲端代 管服務。(文/陳曉莉 編譯)

詳情請參閱上方新聞來源連結！

2010-12-02 Sophos：Facebook追蹤工具是騙局
? 新聞來源： ZDNet

Sophos：Facebook追蹤工具是騙局

摘要：

安全研究機構Sophos的公告指出，最近在Facebook網站上流傳著一個惡意程式，會傳遞類似【天 呀! 我不敢相信這是真的，居然可以辦得到。】這樣的誇張訊息，這全然是個騙局。前陣子我向Facebook求證的結果，Facebook網站並沒有任何工具程 式擁有追查誰曾經瀏覽使用者個人簡介的能力。(ZDNet Taiwan編輯部/Rockon Chen譯)

詳情請參閱上方新聞來源連結！

2010-12-01 Sophos: 惡意程式影響更勝Stuxnet 蠕蟲
? 新聞來源： ZDNet

Sophos: 惡意程式影響更勝Stuxnet 蠕蟲

摘要：

針對近期Stuxnet 蠕蟲對於許多國家尤其是伊朗造成境內許多電腦遭受感染事件，資安專家Paul Ducklin日前在受訪時嚴厲指責創造Stuxnet是非常不正確及不負責任的行為。該報導也指出目前超級病毒已在黑市被交易，擁有者多半是【有心人 士】，若是由恐怖分子取得，可能發動足以癱瘓重要國家系統的大型破壞。(ZDNet Taiwan編輯部/Veronica Hsiao譯)

詳情請參閱上方新聞來源連結！

2010-12-01 研究人員發現Windows核心的零時差漏洞
? 新聞來源： iThome

研究人員發現Windows核心的零時差漏洞

摘要：

雖然這並不是一個遠端攻擊漏洞，而是一個區域端的權限擴大漏洞，該漏洞被揭露的時候尚未發現攻擊程式，但預期短期內就會看到相關的惡意程式，另一資安業者Sophos隔天就發現了鎖定該漏洞的概念性驗證程式。(文/陳曉莉 編譯)

詳情請參閱上方新聞來源連結！

2010-12-01 Facebook遭蟲害 安全性再遭質疑
? 新聞來源： ZDNet

Facebook遭蟲害 安全性再遭質疑

摘要：

知名社交網站Facebook又傳出遭受蠕蟲攻擊。一如之前的攻擊事件，用戶點選朋友提供的不明連結後便被植入蠕蟲。發動攻擊者只是對程式名稱稍做修改，其餘攻擊模式則與之前相同。(ZDNet Taiwan編輯部/Veronica Hsiao譯)

詳情請參閱上方新聞來源連結！

2010-11-24 研究數據：20%的Facebook用戶受到惡意軟體威脅
? 新聞來源：ZDNet

研究數據：20%的Facebook用戶受到惡意軟體威脅

摘要：

安全防毒公司BitDefender發表該公司運用其Facebook專用的Safego應用程式所產生的 數據資料。Safego是BitDefender開發用以偵測社交網路的病毒威脅的工具程式。這項測試的重大發現是20%的Facebook使用者暴露於 好友動態的惡意貼文，當他點選這個貼文時，將導致該使用者的帳戶被入侵，惡意程式會自動在該用戶的好友塗鴉牆上散播惡意程式。(ZDNet Taiwan編輯部/Rockon Chen譯)

詳情請參閱上方新聞來源連結！

2010-11-24 Apple iOS 4.2修補WebKit多項安全漏洞
? 新聞來源：ZDNet

Apple iOS 4.2修補WebKit多項安全漏洞

摘要：

Apple的iOS 4.2剛剛推出，此釋出版本不僅只是增加AirPrint和其它好用的功能而已。這個更新的iOS修補了WebKit極多的安全性漏洞。

詳情請參閱上方新聞來源連結！

2010-11-19 思科：Java已成網路主要攻擊目標
? 新聞來源：iThome

思科：Java已成網路主要攻擊目標

摘要：

Java攻擊程式的比例從7月的5%成長到9月的7%，反之，鎖定Adobe Reader/Acrobat的攻擊程式比例從3%下滑到1%，針對Adobe Flash player的攻擊程式比列則維持在0.4%。這意味著Java已成為最主要的網路攻擊對象。(文/陳曉莉 編譯)

詳情請參閱上方新聞來源連結！

2010-11-19 重大bugs前三名：Chrome, Safari, Office
? 新聞來源：ZDNet

重大bugs前三名：Chrome, Safari, Office

摘要：

依據Bit9的年度的Dirty Dozen名單，Chrome具有76個已發現的漏洞，Safari有60個，Office有57個，Acrobat和Reader有54個，Firefox則有51個。(ZDNet Taiwan編輯部/Rockon Chen譯)

詳情請參閱上方新聞來源連結！

2010-11-16 好心幫你掃毒 實則竊取個資
? 新聞來源：中央社

好心幫你掃毒 實則竊取個資

摘要：

（中央社台北15日電）英國的網路使用者被提醒要小心不經意打來的推銷電話，這些電話會問你需不需要掃描病毒服務，但事實上是要你安裝軟體，竊取個人資料。

「英國廣播公司」（BBC）報導，英國網路安全宣導團體Get Safe Online說，有1/4受訪者曾接過這種電話，許多人懷疑這是組織犯罪集團打來的。

詳情請參閱上方新聞來源連結！

2010-11-15 駭客狂駭政院 1天逾2萬起
? 新聞來源：聯合新聞網

駭客狂駭政院 1天逾2萬起

摘要：

行政院副秘書長兼資訊安全長陳慶財表示，政院是國家重大政策規劃策定機關，才會成為駭客攻擊標靶；根據資訊室統計，政院遭受疑似惡意電子郵件攻擊，平均每天兩萬兩千多起，簡直是防不勝防。

資訊室主任趙培因也說，惡意電子郵件並非都是駭客攻擊，經深入調查調查，政院每月駭客攻擊約五百件，平均一天廿起，駭客手法通常是入侵竊取密碼，或假冒政院首長發送電子郵件，已有多起移送檢調偵辦。【聯合報╱記者李明賢／台北報導】

詳情請參閱上方新聞來源連結！

2010-11-15 府院防駭封網 反惹民怨
? 新聞來源：聯合新聞網

府院防駭封網 反惹民怨

摘要：

為防堵駭客入侵，總統府行政院嚴格執行網路管控，不僅封鎖facebook（臉書）網域，府方還禁用google、msn，更不得任意開啟youtube等連結，曾有民眾陳情信因此遭退件，氣得大罵「只能看報治國（網路形同虛設）」。【聯合報╱記者李明賢／台北報導】

詳情請參閱上方新聞來源連結！

2010-11-11 研究專家發現Android WebKit瀏覽器的漏洞
? 新聞來源：ZDNet

研究專家發現Android WebKit瀏覽器的漏洞

摘要：

一位安全防護研究人員發現Android作業系統的WebKit瀏覽器有其漏洞，這將可能導致遠端程式碼執行或軟體失常。

詳情請參閱上方新聞來源連結！

2010-11-09 駭客攻陷英國皇家海軍網站
? 新聞來源：iThome

駭客攻陷英國皇家海軍網站

摘要：

TinKode以獵取國防網站安全漏洞聞名，先前除了曾揭露美國太空總署NASA網站的安全漏洞外，也曾公布美國陸軍旗下網站的資料隱碼漏洞，而此次鎖定皇家海軍網站更讓英國臉上無光。(文/陳曉莉 編譯)

詳情請參閱上方新聞來源連結！

2010-11-08 iPhone交易請小心 PayPal傳安全漏洞
? 新聞來源：ZDNet

iPhone交易請小心 PayPal傳安全漏洞

摘要：

一間位於芝加哥的安全顧問公司viaForensics表示，PayPal所提供的iphone程式隱含數 個安全漏洞，駭客可藉此發動一種叫做中間人攻擊(man-in-the-middle attacks)以竊取敏感的用戶資料，像是用戶的PayPal密碼等。(ZDNet Taiwan編輯部/譯)

詳情請參閱上方新聞來源連結！

2010-11-08 便利之下的真相 無線網路安全問題
? 新聞來源：ZDNet

便利之下的真相 無線網路安全問題

摘要：

你可能也聽過這樣的故事，只要一個價值五十美金的無線天線再加上對的軟體，駭客就可以在離你家一哩遠的地方攔截你的密碼、電子郵件以及任何透過你的網路所傳輸之資料，甚至對於已加密的資料進行解碼。(ZDNet Taiwan編輯部/譯)

詳情請參閱上方新聞來源連結！

2010-11-04 Sophos推出免費Mac防毒軟體
? 新聞來源：iThome

Sophos推出免費Mac防毒軟體

摘要：

隨著Mac OS X市佔率的爬升，該作業系統對駭客而言愈來愈有吸引力。資安業者幾乎一致認為過去幾乎是病毒絕緣體的Mac愈來愈危險，因而相繼發表支援Mac的安全解決方案。(文/陳曉莉 編譯)

詳情請參閱上方新聞來源連結！

2010-11-03 Facebook將對洩露個資應用程式祭出處分
? 新聞來源：iThome

Facebook將對洩露個資應用程式祭出處分

摘要：

事實上Facebook的調查顯示，多數洩露UID的開發人員都是無心的，反而多與瀏覽器的操作有關；不過Facebook也發現有部份資料掮客付費給開發人員以取得UID，因此打算祭出懲處，將這些開發人員停權半年，禁止存取該站的各種通訊管道。(文/陳曉莉 編譯)

詳情請參閱上方新聞來源連結！

2010-11-03 網上職缺機會太好可能是陷阱　木馬錢騾詐術愈來愈猖狂
? 新聞來源：NOWNews

網上職缺機會太好可能是陷阱　木馬錢騾詐術愈來愈猖狂

摘要：

曾經在22天內成功從德國銀行不同使用者帳戶中竊取30萬歐元的木馬程式車手錢騾詐術愈來愈猖狂了，資安業 者指出，今年錢騾詐術將會召募更多人加入，來協助網路罪犯進行洗錢的工作，最近的例子是美國起訴了37名被告，他們涉嫌利用Zeus木馬入侵銀行帳號，並 透過錢騾進行洗錢。(記者蘇湘雲／台北報導)

詳情請參閱上方新聞來源連結！

2010-11-02 網安／木馬病毒肆虐為哪樁？　增加點閱率牟取廣告收益
? 新聞來源：NOWNews

網安／木馬病毒肆虐為哪樁？　增加點閱率牟取廣告收益

摘要：

網路木馬病毒對網友來說並不陌生，但是誰在用？有何好處？網路資安業者最近有了一個答案，那就是有些不法網站經營者透過傳播惡意程式碼，讓受感染的電腦造訪特定網站，用來增加點閱率，提高網站流量，從中牟取廣告收益。(記者蘇湘雲／台北報導)

詳情請參閱上方新聞來源連結！

2010-11-01 交大說明諾貝爾網站被駭事件的初步調查
? 新聞來源：iThome

交大說明諾貝爾網站被駭事件的初步調查

摘要：

對於諾貝爾網站遭到來自交通大學學術網路IP的攻擊，交大初步調查指出，駭客是以較少使用的學士服租用系統的IP位址當跳板，目前正追查入侵來源希望能揪出駭客外，明年也計畫以虛擬IP來降低類似的風險。(文/蘇文彬)

詳情請參閱上方新聞來源連結！

2010-10-29 Shockwave漏洞剛補　Flash零時差攻擊又起
? 新聞來源：iThome

Shockwave漏洞剛補　Flash零時差攻擊又起

摘要：

這次Flash出現的漏洞類似六月發現的手法，都是利用Acrobat/Reader內崁Flash內容有 關的動態程式庫authplay.dll植入惡意軟體，而不是直接攻擊Flash播放程式。在修補程式釋出之前，Adobe建議使用者先刪除或移走 authplay.dll等相關檔案。(文/沈經)

詳情請參閱上方新聞來源連結！

2010-10-29 研究：全球網路域名日本最安全，越南最危險
? 新聞來源：iThome

研究：全球網路域名日本最安全，越南最危險

摘要：

McAfee以網站數量及惡意網站比例加權計算結果做比較，計算結果指出，最危險的域名依次為.com（危險指數31.3%）、.info、.vn（29.4%，越南），若以國家的域名來分，越南（.vn)的最危險，惡意網站達58%，日本(.jp)最安全。(文/沈經)

詳情請參閱上方新聞來源連結！

2010-10-28 ToorCon大會：研究員用駭客玩具輕鬆破iPhone
? 新聞來源：ZDNet

ToorCon大會：研究員用駭客玩具輕鬆破iPhone

摘要：

從「武器化」iPhone到被駭的玩具，和外洩cookies，出席上週末ToorCon安全會議的研究員，全都不吝示範他們高超的技巧。

一名研究員示範如何用一個已知且已修補的Safari漏洞，控制iPhone手機。iPhone設有一種可處理信用卡號的軟體，當中的資料有可能因此被竊。 (陳智文/譯)

詳情請參閱上方新聞來源連結！

2010-10-27 iOS漏洞讓手機密碼鎖破功
? 新聞來源：iThome

iOS漏洞讓手機密碼鎖破功

摘要：

一位MacRumors論壇的用戶在上週五（10/22）發現一個iOS 4.1的漏洞，讓iPhone手機在上鎖的狀態下，仍可窺探其電話簿、通話記錄、簡訊等內容。蘋果已經確認會在4.2版修正該漏洞。(文/沈經)

詳情請參閱上方新聞來源連結！

2010-10-27 Google 承認蒐集電郵、密碼
? 新聞來源： ZDNet

Google 承認蒐集電郵、密碼

摘要：

Google公司在部落格上發文承認，街景(Street View)服務在沿街拍攝街景照片的同時，的確也蒐集到電子郵件、密碼和URL網址等資訊。(唐慧文譯)

詳情請參閱上方新聞來源連結！

2010-10-26 Adobe警告Shockwave播放器有零時差漏洞
? 新聞來源：iThome

Adobe警告Shockwave播放器有零時差漏洞

摘要：

Adobe上周四（10/21）警告，旗下的Shockwave Player 11.5.8.612及更早的版本含有重大漏洞，該漏洞影響Windows與Mac作業系統，這是一個零時差攻擊漏洞，因漏洞細節已被公開。(文//陳曉莉 編譯)

詳情請參閱上方新聞來源連結！

2010-10-25 Linux兩個新漏洞可能讓駭客取得Root權限
? 新聞來源：iThome

Linux兩個新漏洞可能讓駭客取得Root權限

摘要：

第一個漏洞主要為RDS一個負責複製資料的函式沒有驗證資料所在位置是否正確，導致駭客可以使用特製的程式將資料寫入系統核心內，入侵者因此可以調整使用者權限。第二個漏洞問題在於GNU C的程式庫。(文/沈經)

詳情請參閱上方新聞來源連結！

2010-10-21 駭客利用卡巴斯基網站散播惡意程式3.5小時
? 新聞來源：iThome

駭客利用卡巴斯基網站散播惡意程式3.5小時

摘要：

根據國外媒體報導，著名防毒大廠卡巴斯基的美國網站在週日（10/17）遭駭客入侵，駭客將網站導引到放置惡意軟體的網站，導致使用者電腦中毒。該名駭客利用整個網站約3.5小時之久。（編譯/沈經）

詳情請參閱上方新聞來源連結！

2010-10-21 網安／惡意程式會加密躲追緝　拜學生所賜學校淪重災區
? 新聞來源：NOWNews

網安／惡意程式會加密躲追緝　拜學生所賜學校淪重災區

摘要：

網路駭人的惡意程式可惱，有調查發現，2010 上半年感染數量最多的是教育產業，幾乎有50%的感染都出現在學校和大專院校，原因是學校 IT資安人員必須面對數量龐大、卻又不太遵守安全規定的學生。另外，惡名昭彰的 KOOBFACE Bot 網路目前已成為社交網路的頭號公敵，還學會了為其指揮控制通訊進行加密，以規避追緝。 (記者蘇湘雲／台北報導)

詳情請參閱上方新聞來源連結！

2010-10-20 Facebook著手解決個資外洩問題
? 新聞來源：iThome

Facebook著手解決個資外洩問題

摘要：

華爾街日報本周報導，Facebook中許多受歡迎的應用程式都會將所取得的使用者個人資料轉交給廣告主或 網路偵測業者，並宣稱既使採用最嚴格隱私設定的Facebook用戶也會受害。但Facebook回應指出，事態並不如外界報導的那麼嚴重，同時該站已著 手解決相關問題。(文/陳曉莉 編譯)

詳情請參閱上方新聞來源連結！

2010-10-19 微軟：Java漏洞攻擊真的很嚴重！
? 新聞來源：iThome

微軟：Java漏洞攻擊真的很嚴重！

摘要：

今年第三季，由於三個漏洞而讓Java漏洞攻擊飆上新高。微軟表列三個漏洞的攻擊數字，其中最高的兩個分別為356萬次攻擊，近120萬台電腦受害；以及264萬次攻擊，112萬台電腦受害。若把數字加起來，則有620萬次的攻擊，及232萬台電腦受害。

詳情請參閱上方新聞來源連結！

2010-10-19 網安／釣魚網站猖狂創新高　10大全球知名社交網站都淪陷
? 新聞來源：NOWNews

網安／釣魚網站猖狂創新高　10大全球知名社交網站都淪陷

摘要：

賽門鐵克19日發表9月最新垃圾郵件及網路釣魚統計報告指出，9月份垃圾郵件數量自8月的92.51%下降 至89.40%，明顯減少，這是自2008年McColo關閉後，首次新低。然而，9月份釣魚網站依舊猖獗，單月成長達52%，主要原因為自動化工具包攻 擊與特殊釣魚網站此兩者的增加。(記者蘇湘雲／台北報導)

詳情請參閱上方新聞來源連結！

2010-10-18 Google針對網管人員提供網釣通知功能
? 新聞來源：iThome

Google針對網管人員提供網釣通知功能

摘要：

Google上周宣布將針對網路管理人員提供釣魚網站網域名稱的通知功能，以讓網管人員知道所代管的網域中所潛藏的惡意網站。

這是Google今年9月針對網管人員發表的安全瀏覽通知服務（Google Safe Browsing Alerts for Network Administrators）的一環，該服務為一實驗性工具，以提醒自治系統（Autonomous System，AS）擁有人有關其網域內的惡意內容。(文/陳曉莉 編譯)

詳情請參閱上方新聞來源連結！

2010-10-15 「全民資安素養網」正式上線 安心上網全民一起來
? 新聞來源：教育部

「全民資安素養網」正式上線 安心上網全民一起來

面對高度資訊化的數位時代，網路使用已成為生活中不可或缺的一部分，而網路使用者除了具備上網能力外，如何 在網路上保障自己和他人的安全，已成為每個人應擁有的基本素養；為讓民眾能夠輕鬆瀏覽完整的資訊安全相關資訊，教育部特別規劃建置「全民資安素養網」(網 址http://isafe.moe.edu.tw)並於今(15)日上線，作為眾多資訊安全資源的匯流入口，讓全國民眾皆能快樂且安心地遨遊於網路世 界。

據台北市政府警察局統計，去年共發生6千多起網路犯罪案件，造成民眾人身或財產安全的損失，顯示資訊安全的 推動為當務之急。因此，「全民資安素養網」特別整合網路相關資安資源，彙整為「最新消息」、「資安新聞」、「資安研討會」、「數字會說話」、「資安小字 典」、「數位學習」、「手冊與文章」、「影音圖文區」、「安全警示中心」以及「相關連結」等10大主題，供民眾作為提升資訊安全素養的憑藉。

針對名列十大民怨之一的網路詐騙困擾，以及青少年常見的網路交友與網路沉迷問題，「全民資安素養網」特別於 「數位學習」、「手冊與文章」與「影音圖文區」等主題中，陳設數位學習課程、教學手冊、宣導文章與影音連結，讓民眾在輕鬆有趣的氛圍中學習如何保護個人資 料、辨識網路詐騙、執行電腦安全設定，以及建立良好網路使用習慣等資訊安全認知；而「資安小字典」則規劃以英文字母A至Z作為搜尋規則的資訊專業辭彙解 釋，喚起民眾在了解這些詞彙後留意資訊安全防範的意識。

此外，為避免民眾遭受駭客攻擊，「安全警示中心」提供電腦弱點、程式執行漏洞等資訊，提醒使用者要隨時進行電腦更新；再者「相關連結」則串連了國內外執行資訊安全素養的官方與民間網站，供民眾參考使用。

教育部期許透過「全民資安素養網」提供全民系統化的資安訊息，提升台灣民眾在資訊安全素養之能力，並加強全民資安風險意識，培養全民成為耳聰目明的網路使用者。

2010-10-14 中國網軍新攻擊，惡意程式竄改Word設定偷機密
? 新聞來源：iThome

中國網軍新攻擊，惡意程式竄改Word設定偷機密

摘要：

許多政府部門都自建或委外成立資安監控中心（SOC），資安廠商數聯資安所成立的資安監控中心，目前則負責定期監控臺灣100個一、二級政府部門的資安動態。

數聯資安技術處副總經理張裕敏表示，從今年3月∼9月的觀察發現，中國網軍針對政府部門發動數波新型態「兩 階段」網軍攻擊手法，第一階段先設法讓使用者植入惡意程式後，到了第二階段，該惡意程式會開啟Word巨集，啟動遠端圖片下載的巨集功能，在使用者呼叫圖 片下載的同時，這時間可以再下載其他惡意或後門程式，也可同時外洩該臺電腦的機密資料。(文/黃彥棻)

詳情請參閱上方新聞來源連結！

2010-10-14 微軟一口氣補49個漏洞 包括Stuxnet
? 新聞來源：ZDNet

微軟一口氣補49個漏洞 包括Stuxnet

摘要：

微軟公司12日發布Windows、Internet Explorer和.NET framework安全更新，一口氣修補49個安全漏洞，數目打破紀錄。

最新修補的安全漏洞當中，包括修補了一個遭Stuxnet蠕蟲利用的Windows電腦安全漏洞 (MS10-073)。這種漏洞被發現共有四個，之前微軟已經修補了其中的兩個，其餘的一個漏洞將在未來的安全公告中解決。Stuxnet瞄準執行西門子 (Siemens)軟體的基礎設施系統。 (唐慧文譯)

詳情請參閱上方新聞來源連結！

2010-10-13 難封殺不死？惡意程式1分鐘可連線800個URL發動攻擊
? 新聞來源：NOWNews

難封殺不死？惡意程式1分鐘可連線800個URL發動攻擊

摘要：

網路駭客竊取個資的惡意程式為何防不勝防？資安專家最新發現，惡意程式檔案利用一種網域名稱演算法產生網域 (URL)名單，做為後續惡意檔案下載來源，每分鐘會產生800個不同URL為傳播途徑，即使部分遭封鎖，還有其他網域可取代。專家說，資安廠商必須主動 出擊才有可能減少風險。(記者蘇湘雲／台北報導)

趨勢科技提出警告，一個類似網域名單產生技巧的全新威脅已在網路上現身，名為 PE_LICAT.A的惡意程式檔案會利用一種網域名稱演算法來產生網域(URL)名單，以便從網際網路上的各種不同位置下載惡意檔案到電腦中執行。

詳情請參閱上方新聞來源連結！

2010-10-12 人事行政說明個資外洩 ：內部疏失
? 新聞來源：iThome

人事行政說明個資外洩 ：內部疏失

摘要：

人事局表示該資料為6年前某專案所開放的資料，但結束後人員未刪除資料，導致Google連結主機輕易找到資料，目前已刪除相關紀錄。

對於外界報導Google搜尋可找到人事行政局個資，行政院人事行政局澄清係6年前因內部疏失洩露出去的舊資料，已向中華電信、Google要求刪除。(文/蘇文彬)

詳情請參閱上方新聞來源連結！

2010-10-12 新網頁格式編碼HTML5 恐侵犯隱私
? 新聞來源：自由時報

新網頁格式編碼HTML5 恐侵犯隱私

摘要：

〔編譯管淑平／綜合報導〕用於製作網頁的最新網頁格式編碼「第五代超文本標示語言」（HTML5），賦予網頁龐大能力，讓使用者瀏覽網路更方便，但也因為可能讓網站掌握更多使用者網路活動紀錄，儘管目前尚未普遍應用，但已挑起危害隱私的疑慮。

HTML5目前還不是正式的網頁格式標準，使用程度也相當有限，但將在未來幾年讓網路瀏覽進入新年代，這種 網頁語法強化網頁控制元件和應用支援，讓使用者更容易直接在瀏覽器上瀏覽多媒體內容，而不需要下載額外軟體，也能離線檢查電子郵件、用於智慧手機平台等。 HTML5編寫的新網頁帶來的方便性讓使用者歡迎，但也有人持更謹慎態度。

詳情請參閱上方新聞來源連結！

2010-10-08 McAfee及Citrix攜手提供虛擬桌面安全服務
? 新聞來源：iThome

McAfee及Citrix攜手提供虛擬桌面安全服務

摘要：

McAfee與Citrix在今年初宣布策略聯盟，以提供專為虛擬環境設計的安全解決方案，第一階段提供了XenDesktop所需的安全部署，第二階段則將允許在Citrix XenClient上部署MOVE AV。(文/陳曉莉 編譯)

McAfee及Citrix Systems周三（10/6）共同發表雙方合作的第一階段產品，推出McAfee專為Citrix XenDesktop最佳化的虛擬化防毒管理軟體McAfee Management for Optimized Virtualized Environments AntiVirus（MOVE AV），企業可將該產品部署於資料中心伺服器的虛擬桌面上。

詳情請參閱上方新聞來源連結！

2010-10-08 Adobe修補23個漏洞　預告沙箱安全技術
? 新聞來源：iThome

Adobe修補23個漏洞　預告沙箱安全技術

摘要：

這兩年Adobe的Flash Player及Acrobat/Reader頻遭駭客利用做為攻擊的誘餌與跳板，因此該公司在七月宣布將在下一版本的Acrobat/Reader中使用「沙箱」技術。

Adobe周一（10/5）釋出Acrobat/Reader更新，更新範圍涵蓋所有作業系統平 台，Adobe建議Acrobat/Reader 9.3.4及之前版本的使用者均應更新，Acrobat 8.2.4及之前版本若無法使用最新版本，則建議更新至8.2.5。(文/沈經)

詳情請參閱上方新聞來源連結！

2010-10-07 微軟資安獻策：有毒的電腦網路隔離
? 新聞來源：iThome

微軟資安獻策：有毒的電腦網路隔離

摘要：

柏林舉行的歐洲國際安全解決方案（ISSE）會議上微軟可信賴運算企業副總裁Scott Charney提出一項未來的資安策略指出，在實體世界中，各種級別的衛生單位都會辨識、追蹤或控制疾病的散布，並在必要時隔離這些人；網路世界也可比照 這種做法。(文/陳曉莉 編譯)

詳情請參閱上方新聞來源連結！

2010-10-07 蠕蟲攻擊 企業戶小心
? 新聞來源：中央社

蠕蟲攻擊 企業戶小心

摘要：

（中央社記者林惠君台北6日電）資訊安全廠商今天針對一隻危害全球各地許多電腦、名為Stuxnet的蠕蟲惡意程式提出嚴重警訊，其主要攻擊目標包括發電廠、煉油廠中的自動化生產與控制（SCADA）系統。

SCADA系統的主要製造商西門子公司也已警告客戶，這隻惡意程式會藉由USB設備和網路共享進行蔓延。

趨勢科技資深技術顧問簡勝財指出，這是世界上首隻攻擊西門子SIMATIC WinCC與PCS 7系統的病毒，目的在取得WinCC SQL Server登入SQL資料庫的權限。利用微軟所公告一可允許遠端執行程式碼的MS10-046Windows系統漏洞進行散佈。

詳情請參閱上方新聞來源連結！

2010-10-06 俄國業者宣稱可破解黑莓資料保護機制
? 新聞來源：iThome

俄國業者宣稱可破解黑莓資料保護機制

摘要：

黑莓機受歡迎的原因之一是其終極的安全能力，它是唯一一支可讓美國總統歐巴馬不顧國家安全局反對而能保住的商業行動通訊裝置。文/陳曉莉 (編譯)

一家專門提供ZIP、PKZip、WinZip，或Lotus與Office檔案及密碼回復服務的俄國業者ElcomSoft，上周宣稱已可破解黑莓機上所儲存的受保護資料。

詳情請參閱上方新聞來源連結！

2010-10-05 嚇！？下載Android部分應用程式　手機私密資訊偷偷外流
? 新聞來源：NOWNews

嚇！？下載Android部分應用程式　手機私密資訊偷偷外流

摘要：

Android手機受到歡迎，但玩家可能不知道，當下載應用程式時，手機內的GPS資料、手機號碼、聯絡人、IMEI（國際行動設備ID）號碼以及SIM卡序號等敏感資訊也可能被蒐集，分享給廣告商或分析伺服器，但並沒取得用戶同意。

報導，英特爾實驗室、Duke大學與賓州州立大學研究員共同設計一套即時監控程式TaintDroid，再 從Android Market挑選30個可存取手機重要資訊的應用程式，發現其中有15個會傳送使用者GPS資料給廣告伺服器，7個會傳送IMEI（國際行動設備辨識 碼）；有些連手機號碼與SIM卡序號都送出；各應用程式傳送資料的頻率不定，有時每30秒便會傳送GPS資訊給廣告伺服器。結論是，這30個應用程式中， 總共有20個程式可能以68種方式侵犯使用者的隱私。

詳情請參閱上方新聞來源連結！

2010-10-04 網安／微軟新漏洞遭蠕蟲USB散播！　專家警告災情恐爆發
? 新聞來源：NOWNews

網安／微軟新漏洞遭蠕蟲USB散播！　專家警告災情恐爆發

摘要：

網路安全專家警告，微軟日前被發現一個新的零日漏洞，利用Windows作業系統解析捷徑時的錯誤進行攻 擊，當用戶執行攻擊者精心建立的捷徑目錄時，夾藏其間蠕蟲的惡意程式碼便會被觸發執行。而W32.Stuxnet主要透過USB行動裝置如隨身碟、外接硬 碟散播，大規模災情可能在很短時間內爆發。

資安廠商賽門鐵克9月30日最新病毒快報指出，此類病毒被偵測為W32.Stuxnet。主要受影響的作業系統包括XP Pack 2、XP Pack 3、Windows 7、Vista、Windows Server 2003等。

詳情請參閱上方新聞來源連結！

2010-10-01 微軟Hotmail安全升級　帳號被盜有解
? 新聞來源：iThome

微軟Hotmail安全升級　帳號被盜有解

摘要：

微軟本周提出兩種新的帳號驗證方式，第一種是可信賴的個人電腦（Trusted PC），允許使用者設定個人使用的電腦，當需要重新取回帳號權時，只要透過自己的電腦就可通過帳號驗證；第二種新的驗證選項為手機號碼，Hotmail會 透過簡訊傳送一組密碼予使用者，使用者即可藉此取回自己的帳號並重設密碼。(文/陳曉莉編譯)

詳情請參閱上方新聞來源連結！

2010-10-01 研究：多數Android應用程式偷傳私密資料
? 新聞來源：iThome

研究：多數Android應用程式偷傳私密資料

摘要：

研究人員仍表明Android作業系統開放並具有智慧手機的共同特徵才選為研究的平台。由於部分應用上真的必須使用隱私資料，研究人員認為重點反而是這些應用程式應該詳述他們使用了哪些資料、如何使用、存放這些資料。(文/沈經)

詳情請參閱上方新聞來源連結！

2010-09-30 手機惡意軟體企圖竊取簡訊認證密碼
? 新聞來源：iThome

手機惡意軟體企圖竊取簡訊認證密碼

摘要：

駭客針對Symbian與黑莓機的Zitmo木馬程式可以在使用者不知情的狀態之下，將使用者接收到的簡訊內容轉送給駭客，駭客可以用此方式取得銀行傳送到手機的簡訊認證密碼，而這是大多數歐洲銀行所使用的多重認證模式。

資安廠商Fortinet指出，有駭客針對Symbian、黑莓機散佈惡意軟體，企圖竊取數家歐洲銀行所使用的多重認證中，以簡訊傳送的認證密碼，進而劫持使用者的帳戶。該公司已經將其命名為Zitmo。

詳情請參閱上方新聞來源連結！

2010-09-30 資料庫被攻破 非法下載色情影片的網友資料全都露
? 新聞來源：ZDNet

資料庫被攻破 非法下載色情影片的網友資料全都露

摘要：

這下糗了，上週末，網路出現一堆下載色情影片的網友身份清單，同時還標明了下載過哪些色情影片。

ACS: Law是一家英國律師事務所，專門為情色產業追蹤在網路上分享檔案的網友，不過該事務所的資料庫在週末被網路論壇4chan的會員給破解攻入，目前外流的 資料除了該事務所的私人e-mail與財務資料外，連同ACS指控涉嫌下載非法色情電影的所有人員名單也都被公佈了。

部落格 Torrentfreak 報導說，被公布的資料還包括網友求情的信件，還有「已婚男子卻涉嫌分享男同志色情影片」的內容。

詳情請參閱上方新聞來源連結！

2010-09-29 微軟緊急修補ASP.Net漏洞
? 新聞來源：iThome

微軟緊急修補ASP.Net漏洞

摘要：

微軟先將該安全更新置放於微軟下載中心，有需要的IT管理人員及消費者可自行手動下載更新，預計數日內就會透過作業系統上的更新機制提供。

微軟即將在今日（9/28）釋出緊急安全更新以修補日前公布的ASP.Net漏洞。

微軟於9月17日祭出安全公告，表示正調查ASP.NET中的漏洞，攻陷該漏洞的駭客得以檢視及篡改資料內容，當時微軟已得知實際但有限的攻擊。繼之微軟在上周五（9/24）針對該漏洞提出暫時補救措施，並將在本周釋出修補程式。

詳情請參閱上方新聞來源連結！

2010-09-29 美資安演習 12國參與
? 新聞來源：自由時報

美資安演習 12國參與

摘要：

美國二十八日開始與十二個國家聯合舉行一場兩年一次的大規模網路安全演習，以測試電腦網路面臨攻擊時的應變 能力，包括在駭客入侵供電、水利系統和銀行等重要基建設施時做出迅速反應，同時測試美國總統歐巴馬提出的「國家網路事故應變計畫」（ＮＣＩＲＰ），強化聯 邦、各州、國際和民間部門的資訊共享。

詳情請參閱上方新聞來源連結！

2010-09-27 研究：垃圾信大本營從中國轉往俄國
? 新聞來源：iThome

研究：垃圾信大本營從中國轉往俄國

資安業者M86 Security發現，過去一個月中有三分之一以上的垃圾信件來自.ru頂級域名，第二高的.com則低於三分之一。

資安業者M86 Security的報告顯示，中國去年底開始嚴格執行以落實域名註冊的實名制之後，垃圾蟲所使用的網域有遷移至俄國的趨勢。

這些.ru網域幾乎都是向Naunet及Reg.ru兩家機構註冊，僅在過去一個月的時間內，M86 Security觀察到發佈垃圾信的網域中，有4000餘個是註冊在Naunet，1800多個註冊在Reg.ru，而這1800個網域發出的垃圾信都指 向一個加拿大的藥房網站。

詳情請參閱上方新聞來源連結！

2010-09-27 你的 PC 安全嗎？零時弱點網站告訴你
? 新聞來源：ZDNet

你的 PC 安全嗎？零時弱點網站告訴你

摘要：

你認為自己的電腦有多安全？你可能只依賴微軟和蘋果等軟體商，不定時地通知你安裝更新。但在修補程式發佈前，已知漏洞（或稱零時差弱點）已讓你的電腦坐待攻擊。透過電郵和不經意瀏覽的網站，惡意程式即可潛入你的電腦。

EEye Digital Security日前成立一個列出已知零時差弱點，並提供既有修補程式資料庫的網站。 Zero Day Tracker集結了已公開之安全漏洞訊息，包括受影響的軟體、嚴重程度、潛在衝擊、替代方案和其他防護方法的建議。

詳情請參閱上方參考連結！

2010-09-24 政府與ISP業者共組資安聯防機制
? 新聞來源：iThome

政府與ISP業者共組資安聯防機制

摘要：

策略聯盟希望整合各政府單位與國內主要ISP業者力量，強化資安事件交流、共同防護機制，並針對網路釣魚成立網路單一通報窗口。

台灣電腦網路危機處理暨協調中心（Taiwan Computer Emergency Response Team & Coordination Center, TWCERT/CC）聯合教育部、NCC等政府單位與國內中華電信、遠傳等ISP業者共組「台灣資安策略聯盟」，為國內建立跨單位的資安聯防機制。

詳情請參閱上方新聞來源連結！

2010-09-23 兩段式密碼 Google提昇帳戶安全性
? 新聞來源：ZDNet

兩段式密碼 Google提昇帳戶安全性

摘要：

Google推出新兩階段認證新功能，除了原有的密碼保護之外，新增一項把安全登入密碼傳至智慧手機的功能，讓駭客更難侵入Gmail和其他Google Apps帳戶。

Google產品經理表示，新功能自周一起對Google Apps加值版(premier)、教育版(education)和政府版(government)用戶提供，未來數月也將陸續對數千萬名個別的Google用戶提供，作為Google免費服務的內建功能選項。

詳情請參閱上方新聞來源連結！

2010-09-23 4chan對美國電影及唱片協會發動報復性DDoS攻擊
? 新聞來源：iThome

4chan對美國電影及唱片協會發動報復性DDoS攻擊

摘要：

4chan號稱是全美最大的論壇，以及全球最大的英文圖片論壇，亦是全球第二大的BBS網站，駭客在公告中表示，是電影業者先發動攻擊，而他們只是以更猛烈的攻擊作為回報。

資安業者Panda Security旗下的PandaLabs於上周警告，知名的4chan圖片論壇近日發動網友對美國電影協會（MPAA）及美國唱片協會（RIAA）等網站展開阻斷式服務（DDoS）攻擊，而且新一波攻擊即將展開。

詳情請參閱上方新聞來源連結！

2010-09-15 大陸駭客「918」攻日?
? 新聞來源：中央社

大陸駭客「918」攻日?

（中央社台北14日電）大陸駭客將最近發生的釣魚台擦撞事件與即將來到的「918」事變週年連結，準備在9月18日當天向日本網站發動「攻擊」；不過大陸駭客組織反稱，真正的攻擊是悄無聲息、而非大肆宣揚。

香港明報引述大陸最大駭客組織「中國紅客聯盟」日前發佈的「攻擊公告」，聲稱從13日起至18日攻擊日本各級政府網站。

有消息稱，中國駭客將在9月18日當天發起最大規模攻擊，既為宣洩撞船事件的不滿，也藉此提醒勿忘「918」。

公告還列出主要的「進攻目標」，包括癱瘓日本各大幹線和日本首相官邸、日本海上保安廳等各大政府及商業網站。

不過「中國紅客聯盟」官方網站13日晚間11點多貼出「紅客聯盟致廣大成員書！」一文，卻表現得不像之前「攻擊公告」那麼語氣強硬，反而透露著一股弔詭。

這篇文章稱，大批駭客大肆公開宣傳對日本發動網路攻擊，「真正的網路戰是沒有硝煙的戰場，大肆宣傳對某某發動網路攻擊，只能給別的國家擴充網軍或建立網軍帶來藉口。」

「所以，大肆公開宣傳對日本發動網路攻擊的組織或個人，只是炒作自己而已，．．．，只能是形式上的情緒宣洩而已。」

但聯盟認為，世界經濟重心已轉移到中國，從世界大戰歷史經驗看，「難道中國可以避免戰爭嗎？」因此，聯盟最後寫道：「如果在未來20年內中國迎來戰爭，你能做什麼？Are you ready？」990914
2010-09-14 Here you have病毒災情拉警報
? 新聞來源：iThome

Here you have病毒災情拉警報

在美國已有許多大型企業受到該蠕蟲的侵襲。據美國媒體報導，受害的包括了NASA，還有Comcast等大型機構。

多家資安業者在上周警告，發現一新的電腦蠕蟲正透過電子郵件進行攻擊，該郵件主旨為「Here you have」，郵件內容含有一惡意連結，指稱提供使用者所要的PDF檔案，但使用者一旦按下該連結，就會立刻下載並執行惡意檔案。

賽門鐵克（Symantec）將該惡意程式命名為W32.Imsolk.B@mm，指出該蠕蟲初期是透過電 子郵件散布，一但進入企業內部，就能利用磁碟分享或可攜式儲存裝置進行更快速的感染，同時該蠕蟲也會蒐集使用者的聯絡人名單，並複製且自動寄出「Here you have」郵件。

該郵件所連結的檔案副檔名為pdf.scr，另一資安業者F-Secure表示，scr為螢幕保幕程式檔 案，這類的檔案作為附加檔案時通常會被郵件系統防堵，這也是為什麼它必須要透過連結傳遞的原因。此外，在美國已有許多大型企業受到該蠕蟲的侵襲。據美國媒 體報導，受害的包括了NASA，還有Comcast等大型機構。

F-Secure亦警告，因為企業間皆有郵件過濾系統，因此該郵件並不容易在不同的企業間散布，但若企業內部有人受到感染，該蠕蟲就會嘗試竊取瀏覽器密碼並進行散布，由於企業內的郵件過濾較不普遍，因而使得其感染速度備受矚目。

透過電子郵件來傳遞惡意程式對現在而言算是種過時的技倆，因為許多防毒機制或是反垃圾郵件機制皆可防堵這類的郵件，不過，資安業者強調過時並不代表使用者可不遵守最佳作法，仍呼籲使用者不要隨便點選郵件中的連結，即使該郵件是來自友人。（編譯/陳曉莉）

2010-09-10 Adobe示警：Reader、Acrobat有零時安全漏洞
? 新聞來源：ZDNet

Adobe示警：Reader、Acrobat有零時安全漏洞

奧多比公司(Adobe)周三警告，Reader和Acrobat潛在零時安全漏洞，可能讓使用者暴露於駭客攻擊的危險中。

這項重大安全弱點見於Adobe Reader 9.3.4以及更早的版本，Windows、Macintosh和 UNIX的版本都受影響。此外，Adobe Acrobat 9.3.4以及適用Windows與Macintosh的更早版本，也有同樣的問題。這項安全漏洞可能讓駭客接管受感染的電腦，可能影響多達數百萬台使用 Adobe軟體的電腦；該軟體是最受歡迎的PDF檔閱讀程式。

奧多比公司表示，正在評估何時發布安全更新以解決問題。

「令人遺憾的是，目前我們無法提供任何緩解措施。不過，在安全更新發布前，Adobe正與資安界的夥伴積極分享有關這項安全弱點的資訊，讓他們能迅速開發出偵測和隔離的方法，以保護使用者。」

根據該公司的聲明，Adobe是在周二得知這項安全漏洞。

(唐慧文譯)

2010-09-09 Google工程師戳微軟：IE的CSS漏洞該補了！
? 新聞來源：iThome

Google工程師戳微軟：IE的CSS漏洞該補了！

這個漏洞可能讓駭客利用注入CSS碼的方式，竊取受害網站的機密資料，Google安全工程師還指出，有證據可證明微軟在2008年時就知道這個漏洞。而目前，各大瀏覽器皆已修補此漏洞。

在微軟工程師上周五（9/3）揭露IE一個陳年的CSS安全漏洞之後，微軟終於開始調查這個可能影響Twitter及Web-mail的老問題。

這個漏洞可能讓駭客利用注入CSS碼的方式，竊取受害網站的機密資料，而Google安全工程師Chris Evans上周在Full Disclosure mailing list揭露這個IE安全漏洞時，開宗明義就表示：我希望這隻臭蟲能被修好……。

Evans表示，在最新版的IE 8瀏覽器裡有個很討厭的漏洞，之前請廠商（微軟）修補，卻沒成功。他還指出，該漏洞可以讓任意網站綁架受害的電腦發出像是Tweets一類的社交訊息。Evans並建立一網頁展示這種攻擊。

他分析指出，這種攻擊的問題並不是出在Twitter，而完全是利用IE的臭蟲，而且，受影響的很可能還包括了更早的IE版本。

事實上這個漏洞Evans在2008年底時就已經揭露，當時Evants是以Yahoo的信箱服務當範例在說明，而受影響的遍及了五大瀏覽器。Evants也強調，有證據可證明微軟在2008年時就知道這個漏洞。而目前，各大瀏覽器皆已修補此漏洞。

根據Evants的說明，該漏洞可能讓駭客利用瀏覽器載入CSS樣試表（CSS style sheets）時注入貌似合法的字串，接著駭客可進一步讓受害網站資料的URL出現在背景的映像裡，然後從網頁伺服器的logs裡蒐集相關的資料。

Evants並提供了他與卡內基美隆大學所合作發表的相關防治研究報告。該報告指出，這種名為「跨 源」（Cross-origin）的CSS攻擊，可利用注入CSS來竊取受害網站的機密資料，而相關的防治方法已部署到Firefox、Chrome，及 Safari，還有Opera。

根據該報告的說明，這種Cross-origin的CSS攻擊最早在2002年見諸於文字說明，後來分別在2005年及2008年有兩次發現。截至目前為止，所知的攻擊都需要有JavaScript，而且大多數都和IE有關。

就在Evants揭露這個陳年漏洞之後，微軟的安全回應中心在Twitter上表示，已經注意到被揭露的IE漏洞，並開始著手調查。不過根據國外媒體引述微軟回應指出，微軟說目前為止還未發現有任何鎖定該漏洞的相關攻擊。（編譯/郭和杰）

2010-09-08 忘了關閉FOXY　調查站線民資料遭到分享
? 新聞來源：NOWnews

忘了關閉FOXY　調查站線民資料遭到分享

調查局高雄縣調查站一名組長私自將線民資料存到隨身碟，用私人電腦修改，沒想到，線民的個人資料不慎被 FOXY給分享出去，造成資料外洩。這是調查局成立至今，第一次傳出線民資料外洩的事情，而網友可輕易下載這些資料，也可再分享出去，如果被有心人士得到 手，恐怕會危急線民的性命。

據了解，該組長在今年5、6月間，將線民資料表存放在隨身碟中，再用朋友的電腦將資料拉到桌面修改，卻沒發現電腦裝有FOXY；直到新竹市調查站一位調查員上網蒐到相關資料，緊急向上呈報，整件事情才被人發現。

調查局證實，確實有資料外洩，並且無法得知有多少網友已經下載到這份資料，可是外流的資料沒有外傳的13位這麼多，而且外洩的只是一般性對象，「那是個人疏失，不是機關內部發生的事情，是在機關外部發生的，他個人已經受到懲處了。」

據悉，調查局考量當事人並非故意，且沒造成重大危害，因此僅將這名組長記兩次申誡。不過，FOXY、電驢這 類的分享軟體有多可怕呢？電腦工程師吳先生指出，只要共享資料夾，任何一個檔案都可能會被分享出去；這種軟體雖然下載方便，但也能讓網友輕易竊取電腦機密 文件。（新聞來源：年代新聞記者黃士芸、劉元發）

2010-09-08 網安／封鎖PC要求贖金　勒索軟體技術升級又來了
? 新聞來源：NOWnews

網安／封鎖PC要求贖金　勒索軟體技術升級又來了

防毒軟體已無法確保電腦系統不被惡意軟體感染，最新型態的駭客攻擊出現一種勒索軟體，可藉由封鎖個人電腦程式與資料，接著再要求贖金，網路安全專家提醒，在今年3月出現一波攻擊後，8月再度出現，而且採用伺服端變形技術，來達到擴大散佈目的。

網路安全商Fortinet最新網路威脅概況月報顯示，勒索軟體TotalSecurity載入程式W32/FakeAlert.LU為今年8月份偵測活動量第一的惡意軟體。

專案經理Derek Manky說，勒索軟體已經走向伺服端多形態，也就是載入程式雖然連結一個伺服器來取得檔案，但程式碼卻是每個小時都在變化，藉此逃避偵測；這項技術常見 於殭屍網路病毒例如Waledac，但現在被TotalSecurity開發者採用，再次說明了僅依賴防毒軟體，已無法確保系統不被惡意軟體感染。

Fortinet報告也指出，除了勒索軟體外，8月另一個高偵測量的惡意軟體為Zeus/ZBot，是一個自助式的殭屍網路病毒開發工具，能提供惡意軟體製造者所有開發與管理殭屍網路所需的工具。

報告說，雖然目前Zeus主要設計用來竊取銀行資訊，但它們依然可以輕易地竊取其它種類的資料；它具備一個控制程式能維護與更新殭屍網路，並取回和管理已盜取的資訊；此外它擁有一個組態式開發工具，能讓製造者建立執行檔來感染使用者的電腦。

2010-09-07 駭客天堂！臺灣名列全球第四
? 新聞來源：iThome

駭客天堂！臺灣名列全球第四

在198個國家的對外攻擊流量排名中，攻擊流量最大的國家是俄羅斯，已經連續3季的對外攻擊流量占全球攻擊流量的12％；其次則為美國（10％）、中國（9.1％）和臺灣（6.1％）

網路傳輸服務供應商Akamai每季都會調查全球網際網路現況，在198個國家的對外攻擊流量排名中，攻擊 流量最大的國家是俄羅斯，已經連續3季的對外攻擊流量占全球攻擊流量的12％，名列第一名；其次則為美國（10％）、中國（9.1％）和臺灣 （6.1％）。其中，除了中國的攻擊流量從2009年第四季的7.5％增加為9.1％，臺灣從5.5％增加為6.1％外，俄羅斯、美國的對外攻擊流量都呈 現下滑趨勢。

根據Akamai統計，最容易遭受攻擊的連接埠是445埠，這是微軟提供目錄服務的連接埠，攻擊流量高達74％；其次為用來傳輸加密資料（SSH）的22埠，攻擊流量為6.3％；第三名則是網路芳鄰NetBIOS使用的139埠，攻擊流量為3.2％。文☉黃彥棻

2010-09-02 IBM安全報告遭Google糾正
? 新聞來源：iThome

IBM安全報告遭Google糾正

文/陳曉莉 (編譯) 2010-09-01

IBM在受到Google的糾正後，也立即更新了有關未修補重大漏洞的數量及比例，將Google未修補之重大漏洞比例從33%改為0。而其他可能是接受業者反應之後也有所改變的還包括Linux自20%改為0%，昇陽自9%降為0%，微軟自11%降為7%

IBM上周三（8/25）發表今年上半年的X-Force趨勢與風險報告，統計上半年全球揭露的安全漏洞數量與修補比例，但卻受到Google質疑，IBM因此也立即提出修正。

受到質疑的部份主要是未修補重大漏洞的數量及比例。原本的報告指稱Google有33%的重大漏洞未修補。 不過，Google調查後發現，所謂的33%其實只是3個漏洞中的1個。此外，未被修補的那個並非重大漏洞，而是IBM將堆積溢位（Stack overflow）臭蟲誤以為是會帶來安全威脅的堆積緩衝區溢位（stack buffer overflow）屬於術語上的誤解。

Google安全專案經理Adam Mein指出，安全業者使用不同的嚴重等級分類，使得計算漏洞總數的程序變得困難；此外，若要評估漏洞的嚴重性或規模，還是認定這只是個臭蟲，有時候需要 對該業者的產品或技術非常熟悉；並非所有的漏洞資料庫編譯器都能獨立驗證其他來源的臭蟲報告，因此，若其中有一個來源的資料錯誤，就可能被沿用。

IBM在受到Google的糾正後，也立即更新了有關未修補重大漏洞的數量及比例，將Google未修補之重大漏洞的數量改為0，比例亦更新為0%。

IBM X-Force研究團隊經理Tom Cross表示，該團隊審查了每個知名的郵件論壇、業者的安全報告，以及被揭露漏洞的文件，再加上各個漏洞的CVSS評分及修補訊息，上半年該團隊追蹤了 近4500個安全漏洞，可以想像這是個複雜的任務，因為每個軟體業者以不同的方式處理安全漏洞，而且現在用來分享相關資訊的標準極少。

IBM說此次的報告出爐後，他們收到兩家業者的回應，並根據這些回應重新手動評估每個漏洞的CVSS評分、修補資訊與業者所提供的資訊，並更新了「未修補漏洞/重大漏洞比例」列表。

IBM並未公布是哪兩家業者提出異議，不過，比較前後兩個列表，有改變的包括Google，重大漏洞未修補 比例從33%改為0%，Linux未修補重大漏洞比例亦自20%改為0%，昇陽自9%降為0%，微軟該比例自11%降為7%，其他業者的重大漏洞未修補比 例則維持不變。另外，IBM也計畫在下周釋出更新後的X-Force完整報告。

參考網址：

2010-09-02 新版個資法可能延至2012年實施
? 新聞來源：iThome

新版個資法可能延至2012年實施

由於新法適用所有產業，政府機關和企業都擔心無法在時間內完成相關因應措施。所以，法務部將建議行政院，將原本公告施行適用個資法時間再延後半年。文/黃彥棻 (記者)

法務部法律事務司科長黃荷婷日前表示，原本行政院預計將在1年∼1年半後，公告新版個資法的施行日期，但由 於新法適用所有產業，包括政府機關和企業都擔心無法在時間內完成相關因應措施。所以，法務部將建議行政院，將原本公告施行適用個資法時間再延後半年，即 2011年下半年至2012年之間，行政院才會公告新版個資法施行日期。

黃荷婷表示，為了讓施行細則的修法能夠切實可行，除了儘量網羅產業建議，8月底前由各機關部會蒐集相關產業意見；9月由法務部和各機關開會，彙整產業建議並研議施行細則修改內容；10月則由專家學者提供修正建議，11月召開施行細則草案的公聽會。

但是依照行政程序法的規定，行政命令以上的法規在召開公聽會之前，都必須按規定先公告。若以目前各階段工作 進度評估，她認為，學者專家意見彙整修訂的時程，最遲於11月底完成，之後才提出施行細則的草案版本並完成草案公告，預計今年12月、最遲明年1月，就可 以召開公聽會。在2∼3個月內完成修訂的施行細則送交行政院審查，行政院並於3個月內完成公告。黃荷婷也說，施行細則公布後，通常還要一段時間做宣傳和教 育訓練，她估計，應該在2012年元旦可以公告施行新版個資法的適用。文☉黃彥棻



參考網址：

2010-09-02 駭客入侵民進黨北市黨部網站
? 新聞來源：中央社

駭客入侵民進黨北市黨部網站

台北市刑警大隊資訊室今天表示，民進黨台北市黨部網站昨天深夜遭駭客入侵，首頁遭竄改。黨部人員上午報案後，警方派員蒐證，將以妨害電腦使用罪偵辦。（記者林紳旭台北27日電）

北市民進黨市議員參選人童仲彥也指出，他的個人網站也差不多在同一時間，也就是昨天深夜12時左右遭駭客侵入，應該是同 1名駭客所為；因為駭客竄改後的首頁，和市黨部一模一樣。

市刑大資訊室表示，妨害電腦使用罪刑度為 5年以下有期徒刑且併科罰金。警方目前已蒐集相關證物，如果駭客是來自台灣，追查會較簡單；如果來自大陸或海外，追查將較困難。

2010-08-17 研究指網釣活動入侵 即時對話式客戶服務網站
? 新聞來源：資安之眼

研究指網釣活動入侵 即時對話式客戶服務網站

全球安全、儲存及系統管理技術領袖Symantec (納斯達克上市代號：SYMC)，發表八月份「垃圾郵件及網釣報告」，當中除公布了上月垃圾郵件的熱門題目外，還揭示了網釣 (Phishing) 活動入侵即時對話式 (Live Chat) 客戶服務網站的驚人趨勢。

報告指出，有網釣網站偽冒一家著名電子商務公司的客戶支援網站。該網站讓客戶以即時對話的互動方式，向技術 支援人員查詢及求教，以解決有關產品和服務的技術問題。這次被揭發的網釣網站，技巧相當高超，不僅偽裝成與真正網站大同小異的外觀，還特意加入一些真實對 話內容，像真程度更進一步。客戶會在毫無防範的情況下，輸入用戶編碼和密碼；當他們再輸入需發問的內容，對話方塊又會彈出，幾可亂真。不過當用戶苦等了一 會，始終得不到回覆，並發現客戶服務人員離開了對話，繼而收到一個訊息，表示網站正在維修中，請用戶稍後再嘗試登入。就在用戶信以為真之際，其密碼已被悄 悄盜取作非法用途。

Symantec香港區系統工程經理李輝指出：「網釣活動日益猖獗，藉虛假網站盜取網民的個人機密資料。早 年的網釣活動主要集中於金融財經網站，但時至今天，釣網活動毋遠弗屆，亦成功滲透各行各業，教人防不勝防。釣魚網站的攻擊無分企業或個人用戶，這類網站超 連結的壽命平均十分短，市場上已有周全的資訊安全套件，如Symantec Protection Suite Advanced Business Edition等，可提供託管郵件和網站安全服務選項，企業管理層可考慮採用以增強資訊及系統防護。」

除此之外，Symantec八月份「垃圾郵件及網釣報告」還披露了垃圾郵件的熱門主題。隨著世界盃熱潮淡 褪，垃圾郵件發放者紛紛轉戰另一世界體壇盛事 – 2011年板球世界盃賽，有關垃圾郵件亦蜂擁而至。此外，油輪漏油新聞亦成為熱門題材。垃圾郵件一般內含有毒連結，用戶若不慎點擊，有可能墮入各類駭客圈 套，承受無可估計的資訊安全風險。有關報告全文，可瀏覽以下網頁：http://www.symantec.com/content/en/us /enterprise/other_resources/b-state_of_spam_and_phishing_report_08-2010.en-us.pdf

上月全球最熱門的十大垃圾郵件題目依次為：

1. [無題目]

2. Delivery Status Notification (Failure)

3. You have received an Greeting eCard

4. Amazon.com: Please verify your new e-mail address

5. Returned mail: see transcript for details

6. Undelivered Mail Returned to Sender

7. Nikki Sent You a Message

8. My Pics

9. failure notice

10. Give your partner a one-way ticket to ecstasy-land

李輝表示：「垃圾郵件的攻擊手法層出不窮，為免誤墮陷阱，無論是個人或企業戶用戶，都必須加強警惕。即使收 到一些來自著名品牌的郵件，也必須了解清楚其真實性，才作出下一步行動，因為大企業往往會成為不法之徒用以掩人耳目的對象。同時，電腦用戶也不要輕易向陌 生人提供重要的個人資料及密碼，以免被人有機可乘。就算是企業員工，都有機會成為垃圾郵件的攻擊目標，故此企業為保障僱員的安全，可在企業系統嘗試安裝 Symantec Brightmail Gateway之類的訊息安全工具，這是阻隔垃圾郵件攻擊的最佳方法。」

Symantec簡介

Symantec是全球安全、儲存及系統管理方案領袖，致力協助企業及消費用戶保護及管理資訊。該公司提供的軟體和服務，能在更多終端點體現更全面和更具效率的風險保護，讓用戶以更大信心使用和儲存資訊。有關進一步資訊，可瀏覽 www.symantec.com。

2010-08-17 法機場網站被駭客入侵
? 新聞來源：資安之眼

法機場網站被駭客入侵

法國蒙彼利埃機場網站遭駭客入侵，網站首頁的畫面，被插入了「通緝」總統薩爾科齊的圖片。

駭客攻擊可能始於當地時間15日夜間，並持續至翌日早上9時。在此期間，登錄蒙彼利埃機場網站，首先便會看到一張合成圖片：「通緝」文字下是法國總統薩爾科齊的照片，而下方則寫有，要求法國停止支持以色列的相關文字。

機場管理機構發言人指，機場網站一直在使用安全等級很高的防火牆，工作人員發現網站被駭客攻擊後，已迅速拿下了相關圖片。他又指，機場將對肇事者提出訴訟。

2010-08-17 資安業者發現以dislike為誘餌的Facebook假程式
? 新聞來源：iThome

資安業者發現以dislike為誘餌的Facebook假程式

Facebook原本提供「like」」（讚）按鍵，讓使用者能夠表達自己喜歡特定內容的意見，但該偽造的程式則是以免費安裝「dislike」（遜）按鍵功能來引起使用者注意。

資安業者Sophos技術顧問Graham Cluley周一（8/16）警告，他發現一偽造的Facebook程式以「dislike」按鍵作為誘餌，以吸引使用者安裝，一旦使用者允許該程式存取 個人檔案，它就會自動更新使用者的狀態來推廣程式連結，同時也要求使用者完成一份線上調查。

Facebook原本提供「like」」（讚）按鍵，讓使用者能夠表達自己喜歡特定內容的意見，但該偽造的 程式則是以免費安裝「dislike」（遜）按鍵功能來引起使用者注意。Cluley表示，駭客可能以各種不同的字串來引誘使用者步入陷阱，例如「我剛取 得『遜』的按鍵，所以我現在可以不喜歡你所有張貼的內容」，或是「馬上取得官方的『遜』按鍵！」等，然後附上連結。

當使用者按下該連結，就會出現dislike按鍵的安裝畫面，執行安裝後，程式會先要求使用者的授權，以存取使用者基本資訊、個人資料，以及張貼已安裝該程式的訊息，授權後該程式就會自動更新使用者的Facebook狀態，以推廣該連結，進而禍延其他友人。

截至此階段為止，看起來都是正常的程式安裝，不過，這時使用者還未能取得dislike按鍵功能，因為該程 式要求使用者必須先完成一份線上調查。 Cluley認為這是駭客獲利的模式，完成後再將使用者導至由FaceMod所開發的Firefox「dislikd」按鍵附加程式。

Cluley指出，FaceMod與此一偽造程式無關，該程式只是被用來當作詐騙誘餌，因為Firefox用戶原本就可以直接下載該附加程式，同時該程式也不會要求要存取使用者的Facebook檔案資料。

事實上，此一最新的詐騙手法與先前Facebook所出現的詐騙事件如出一轍，都是採用誘人的字眼並提供短網址連結，然後請求使用者允許存取個人檔案並張貼推廣訊息，最後再要求使用者完成線上調查。

（編譯/陳曉莉）

2010-08-17 網域代管業者疑遭入侵　百萬網站帶惡意程式
? 新聞來源：iThome

網域代管業者疑遭入侵　百萬網站帶惡意程式

目前Network Solutions已經把未提供內容網域上的widget移除，但仍有5700個有提供內容的網站使用該widget。

網域代管業者疑遭入侵　百萬網站帶惡意程式

阿碼科技透過部落格表示，大約五十萬或是五百萬個Network Solutions所代管的網域（Domain）感染惡意軟體長達數月，主要是透過網頁上的中小企業小工具感染。阿碼科技也指出，入侵網站代管公司似乎已成為一種趨勢。

此事的發現起因於Network Solutions的客戶質疑，為何阿碼科技公司產品認定為遭感染的網站Google等檢查機制卻認為沒問題。因此阿碼科技開始進行調查，結果發現 Network Solutions所代管的網站遭感染。稍後透過搜尋引擎搜尋其中的關鍵字，發現事態嚴重：Google搜尋出五十萬筆網頁，雅虎更搜出五百萬筆。據了 解，之前的惡意感染最高紀錄是1.1萬個網頁。

一開始阿碼科技追蹤遭感染的GrowSmartBusiness.com網域上的一個「中小企業成功指 南」（Small Business Success Index）widget，但隨即發現Network Solutions轄下已註冊但未提供內容的網站，內定都會安裝該widget。惡意軟體利用這些網域散佈攻擊的程式碼，或幫人提高網路搜尋的排名，藉以 賺取利益。另外，阿碼科技實驗證明，其他網站或部落格只要安裝該widget，也會成為惡意軟體的感染源。

該widget會依照使者使用的瀏覽器，含括IE、火狐、Chrome、Opera瀏覽器，下載不同的攻擊 程式。一旦成功破解瀏覽器，木馬便進駐 Windows，會搜尋電腦的內容、重新導向網路，並顯示彈出式廣告。還有一款惡意軟體「Koobface」，會透過用戶的Facebook帳號進行攻擊 與感染。另外有部份的程式碼特別針對香港與台灣地區的電腦才會執行。

阿碼科技指出，由於該惡意軟體主要寄宿在未提供內容的網域，而搜尋引擎對這類網域沒什麼興趣，所以搜尋出來的數量可能遠低於實際感染的數目。但Network Solutions的發言人僅表示實際感染的數目低於週六公佈的數目，該公司還在計算實際受感染的網站數目。

目前Network Solutions已經把未提供內容網域上的widget移除，但仍有5700個有提供內容的網站使用該widget。而且針對台灣與香港的惡意程式也尚未移除。

今年四月，Network Solutions與GoDaddy所託管的WordPress部落格網站受到大規模入侵，隨後業者與WordPress皆提出解決方案，業者不排除駭客 當時因此將惡意軟體從部落格移轉到未提供內容的網域上。阿碼科技指出駭客可能刻意針對網站代管公司進行入侵，畢竟只要入侵代管公司，就可以掌握大量的電腦 與網站。

（編譯/沈經）

2010-08-13 iPhone現病毒 恐被盜打
? 新聞來源：中央社

iPhone現病毒 恐被盜打

（中央社台北13日電）日媒今天報導，蘋果公司（Apple）出產的iPhone和iPad若連上部分網站，可能會感染病毒，導致電話被盜打、手機資料被偷窺。

「讀賣新聞」報導，蘋果iOS作業系統問題，網路安全公司呼籲提高警覺。

東京的LAC網路安全公司表示，iPhone等裝置瀏覽海外網站時有可能感染病毒。中毒的iPhone能被他人以電腦自由操控，盜打電話、偷窺手機儲存的照片和郵件。

LAC表示：「一般電腦上，也有單純瀏覽網站就會被竊取資料的病毒。但對於有通話等功能的iPhone而言，談話內容可能被竊聽，甚至更具隱私性的資料可能會被竊取。」

蘋果公司11日釋出修正檔，日本蘋果表示「沒聽說有人受害」。

全球共有1億台以上的iPhone和iPad安裝iOS軟體。

（譯者：中央社戴雅真）

2010-08-13 越獄程式原始碼公開　iOS漏洞拉警報
? 新聞來源：iThome

越獄程式原始碼公開　iOS漏洞拉警報

目前還不清楚comex為何要公佈越獄程式原始碼，但很明顯的這讓還未修補漏洞的iOS設備陷入危險。駭客可能利用這些原始碼製造出惡意軟體，進行漏洞攻擊。

蘋果週三（8/11）釋出iOS更新防堵破解程式，iOS越獄網站JailbreakMe作者comex隨即公佈越獄程式的原始程式碼。由於該網站利用iOS的漏洞幫使用者破解iOS，因此相關的漏洞攻擊恐怕為時不遠。

JailbreakMe在今年八月初上線，讓iPhone等iOS裝置只要透過裝置的瀏覽器連上該網站就能 直接線上破解。隨後資安業者Vupen指出，該線上破解版是利用iOS中開放源碼字型引擎FreeType及IOSurface兩個程式的安全漏洞幫使用 者越獄。蘋果則在周三釋出iOS 4.0.2，修補了這兩個漏洞。

目前還不清楚comex為何要公佈越獄程式原始碼，但很明顯的這讓還未修補漏洞的iOS設備陷入危險。駭客可能利用這些原始碼製造出惡意軟體，進行漏洞攻擊。

事實上，在蘋果釋出iOS 4.0.2時資安公司F-Secure就已經呼籲使用者，雖然還未見利用該漏洞的惡意程式，但還是建議使用者應該立即更新程式，修補漏洞。

很諷刺的，越獄團隊也提供一個修補程式，不但所有iOS設備越獄過後都可以使用該軟體修補漏洞。由於蘋果沒有提供修補程式給第一代的iPhone與iPod Touch，反而只能使用越獄團隊的程式來修補。

（編譯/沈經）

2010-08-13 小心指痕可能洩漏Android手機密碼！
? 新聞來源：iThome

小心指痕可能洩漏Android手機密碼！

研究人員認為，Android的觸控螢幕最容易導致密碼被破解，因為該平台使用類似「一筆畫」的方式，用手指畫過數字，結果手指的油污痕跡可以非常明顯的看出起點、轉折與終點。

賓夕法尼亞大學的安全研究人員於本週在華盛頓舉辦的USENIX安全座談會中提出一份研究報告（PDF檔，10頁/1M），認為手指在智慧型手機上留下的痕跡與油污可能導致他人推斷出手機的密碼。

研究人員主要使用宏達電所生產的G1與Nexus One，搭配各種燈光與相機，發現在最佳的環境值之下，他們可以完整破解68%的密碼，但如果在不理想的條件之下，只能破解14%。

報告中指出三項主要原因：首先是手指所殘留的油污與痕跡，會長時間、重複的附著在觸控螢幕上。其次是這些油污與痕跡幾乎無法完全抹除。最後，只要簡單的工具就可以分析油污與痕跡的分佈，例如一台相機與電腦。

研究人員認為，Android的觸控螢幕最容易導致密碼被破解，因為該平台使用類似「一筆畫」的方式，用手 指畫過數字，結果手指的油污痕跡可以非常明顯的看出起點、轉折與終點。而使用的點觸輸入數字方式，雖然也會留下痕跡，但數字的輸入次序、重複次數仍難以猜 測。研究人員認為這些破解技術適用於智慧型手機、自動提款機，等其他具有觸控螢幕的設備。

（編譯/沈經）

2010-08-13 Facebook再爆資料外洩臭蟲
? 新聞來源：iThome

Facebook再爆資料外洩臭蟲

研究人員認為，假設駭客擁有一串電子郵件名單，就可利用這個臭蟲，透過Facebook找出更多諸如真實姓名等相關的資訊，並藉以進行網釣攻擊。

Secfence Technologies研究人員Atul Agarwal周三（8/11）公布Facebook含有資料外洩臭蟲，並撰寫一概念性驗證程式以取得Facebook使用者名稱、電子郵件，與檔案照片。

Agarwal意外發現，當Facebook用戶輸入錯誤的密碼時，標示密碼錯誤的網頁會秀出他的姓氏及名 字、電子郵件及檔案照片，於是他寫了一個概念性驗證程式進行測試，顯示就算使用者輸入的帳號及密碼不對，Facebook仍會揭露使用者資訊，要採集這些 資訊輕而易舉。

因此，Agarwal認為，假設駭客擁有一串電子郵件名單，就可透過Facebook找出更多諸如真實姓名等相關的資訊，並藉以進行網釣攻擊。此外，若有人隨機取得一個電子郵件帳號，也能透過Facebook驗證該帳號是否存在。

Agarwal表示，他並未提報該臭蟲，因為他並不確定這究竟是功能、臭蟲，還是安全漏洞。

Facebook所引發的隱私問題層出不窮，早在今年4月就有資安業者發現駭客在網路上兜售150萬筆的 Facebook帳號，雖然不知道這些帳號資訊是如何外流，但今年7月另一名研究人員Ron Bowes發現Facebook directory列出了所有開放搜尋的用戶名單，這些用戶允許使用者瀏覽其個人資訊，Bowes則利用程式蒐集了1億筆不重覆的Facebook用戶資 訊。

雖然Facebook定位為社交網站，而且鼓勵使用者採用真實姓名及開放搜尋，以連繫全球的友人並擴大社交 圈，然而，隱私權團體卻建議使用者關閉公開搜尋功能，此外，根據資安業者Sophos今年5月的調查，有6成的Facebook用戶因擔心隱私問題而考慮 放棄使用Facebook服務。

ForeSee Results今年7月公布的消費者滿意度調查亦顯示，在社交網站類別中，MySpace及Facebook的滿意度分居倒數一、二名，使用者抱怨 Facebook的部份包括隱私、安全性、動態消息功能、廣告、無預警介面更新、垃圾訊息、不斷跳出通知訊息的應用程式及功能性等。

（編譯/陳曉莉）

2010-08-13 蘋果修補線上越獄所用的 iOS 安全漏洞
? 新聞來源：iThome

蘋果修補線上越獄所用的 iOS 安全漏洞

iPhone Dev Team日前發表jailbreakme線上破解網站，利用iOS上的兩個漏洞讓使用者只要透過瀏覽器連上該站就能直接執行線上破解，而蘋果現在修補了這兩個漏洞。

蘋果周三（8/11）釋出iOS 4.02，以修補iPhone Dev Team用來線上破解iPhone的2個安全漏洞。

iOS 4.02修補的分別是開放源碼字型引擎FreeType及IOSurface的安全漏洞。根據蘋果的說明，當iOS使用者檢視一個含有特製字型的PDF文 件時，就可能允許遠端程式攻擊；至於IOSurface則含有一個整數溢位漏洞，可允許惡意程式取得系統執行權限。

專門破解iOS平台的iPhone Dev Team在8月初發表了jailbreakme線上破解網站，iOS裝置使用者只要透過裝置上的瀏覽器造訪該站就能直接執行線上破解，但隨後資安業者Vupen便指出該線上破解版是利用上述兩個安全漏洞。

iOS 4.02僅包含安全修補，並未提供新功能，蘋果建議iPhone 4、iPhone 3GS、iPhone 3G、及第二代與第三代的iPod touch用戶進行系統更新。

雖然美國政府已決定修改千禧年著作權法案（DMCA）認定破解手機屬於合理使用，並不違反著作權，但已有資 安業者警告破解手機可能帶來安全問題。Symantec安全回應中心總監Kevin Haley認為，破解iPhone有其風險存在，因為它的作法是開放作業系統的最高存取權限，以讓使用者能夠進一步客製化手機功能，這也代表破解後的手機 更易受到攻擊或惡意程式的感染，同時，駭客也可能根據破解程式所利用的安全漏洞來進行惡意攻擊。

（編譯/陳曉莉）

2010-08-13 小心指痕可能洩漏Android手機密碼！
? 新聞來源：資安之眼

小心指痕可能洩漏Android手機密碼！

研究人員認為，Android的觸控螢幕最容易導致密碼被破解，因為該平台使用類似「一筆畫」的方式，用手指畫過數字，結果手指的油污痕跡可以非常明顯的看出起點、轉折與終點。(文/沈經)

賓夕法尼亞大學的安全研究人員於本週在華盛頓舉辦的USENIX安全座談會中提出一份研究報告（PDF檔，10頁/1M），認為手指在智慧型手機上留下的痕跡與油污可能導致他人推斷出手機的密碼。

研究人員主要使用宏達電所生產的G1與Nexus One，搭配各種燈光與相機，發現在最佳的環境值之下，他們可以完整破解68%的密碼，但如果在不理想的條件之下，只能破解14%。

報告中指出三項主要原因：首先是手指所殘留的油污與痕跡，會長時間、重複的附著在觸控螢幕上。其次是這些油污與痕跡幾乎無法完全抹除。最後，只要簡單的工具就可以分析油污與痕跡的分佈，例如一台相機與電腦。

研究人員認為，Android的觸控螢幕最容易導致密碼被破解，因為該平台使用類似「一筆畫」的方式，用手 指畫過數字，結果手指的油污痕跡可以非常明顯的看出起點、轉折與終點。而使用的點觸輸入數字方式，雖然也會留下痕跡，但數字的輸入次序、重複次數仍難以猜 測。研究人員認為這些破解技術適用於智慧型手機、自動提款機，等其他具有觸控螢幕的設備。

（編譯/沈經）

2010-08-13 網路相片 小心沒隱私
? 新聞來源：資安之眼

網路相片 小心沒隱私

據紐約時報周四報導，將照片放上網路和朋友分享，如果不透露個人資料，看似安全無虞，不過若是使用具備 GPS功能的智慧型手機或數位相機，拍攝的相片或視訊卻隱藏著「地理位置標記」（Geotag），它能洩露相片中隱含的祕密，包括你住在哪裏。【記者顏嘉 南／綜合外電報導】

報導指出，Discovery探索頻道科普節目「流言終結者」（MythBusters）的主持人沙維奇（Adam Savage），在Twitter上放了1張停放在他家門口汽車的照片，他透露給粉絲的訊息其實不止是他開什麼車。

照片所隱含的「地理位置標記」，提供了照片拍攝地點的經緯度，所以沙維奇透露了他住在哪裏，而他在Twitter上留下的訊息是「現在要出門工作」，也告召大眾沒有人在家，偷兒可以準備上門了。

安全專家和隱私保護團體近來已開始警告，地理位置標記的潛在危險，由於一般使用者無法看見這些位置資料，所以沒有察覺這項資訊存在，可能為自身隱私帶來風險。

沙維奇表示他知道地理位置標記，但他在將照片傳上Twittert前，忘了將iPhone上的這項功能關閉，沙維奇認為他沒有出名到會被跟蹤，所以疏忽了。

但不是所有人都能像沙維奇一樣被告知這項消息。舊金山電子前鋒基金會（EFF）的技術人員艾克斯利（Peter Eckersley）指出，「很少人知道地理位置標記功能有多大，或是如何關閉智慧型手機的這項功能。」

停用這項功能需要經過手機層層選單，才能費力找到「定位」設定，之後選擇關閉或停用，不過這麼做也通常會關閉所有GPS功能，包括地圖功能。

紐約時報指出，ICanStalkU.com網站有提供步驟操作指引，協助使用者關閉iPhone、黑莓機、Android和Palm手機上的照片地理位置標記功能。

2010-08-12 微軟史上最大更新：修補34個漏洞
? 新聞來源：iThome

微軟史上最大更新：修補34個漏洞

這是微軟自執行每月例行性更新以來規模最大的一次更新，而且其中有8個安全公告被列為重大（Critical）更新等級。

微軟周二（8/10）釋出14個安全公告，修補34個漏洞，這是微軟自執行每月例行性更新以來規模最大的一次更新，而且其中有8個安全公告被列為重大（Critical）更新等級。

微軟本月釋出自MS10-046到MS10-059的14個安全公告，被列為重大更新的有8個，分別是 MS10-049、MS10-051、 MS10-052、MS10-053、MS10-054、MS10-055、MS10-056及MS10-060。而微軟在8月2日緊急釋出以修補 Windows Shell安全漏洞的MS10-046並未被算入14個安全公告中。

在上述重大更新中，MS10-049修補的是視窗作業系統中的安全功能SChannel漏 洞；MS10-051修補的是XML核心服務中的漏洞；MS10-052修補的是MPEG Layer-3 Codec的漏洞；MS10-053則是IE漏洞的累積更新；MS10-054修補SMB Server的漏洞；MS10-055修補Cinepak Codec漏洞；MS10-056修補的是Office Word漏洞；MS10-060修補的是.NET架構與Silverlight漏洞，上述漏洞皆有可能導致遠端程式攻擊。

微軟安全回應中心溝通經理Angela Gunn建議使用者應優先部署MS10-052、MS10-055、MS10-056及MS10-060。Gunn說明， 使用者只要開啟一個特製的媒體檔案或從網路上接收一個特製的串流內容，駭客就能透過MPEG Layer-3音訊編解碼器漏洞或是Cinepak Codec漏洞取得使用者系統權限。

MS10-056則是修補了4個Office漏洞，Gunn指出，最嚴重的漏洞在使用者開啟或預覽一個特製的RTF（Rich Text Format）電子郵件時，可允許駭客取得使用者權限並執行遠端程式攻擊。

（編譯/陳曉莉）

2010-08-12 首隻簡訊木馬入侵Android
? 新聞來源：iThome

首隻簡訊木馬入侵Android

使用者收到入侵的簡訊時，會被提示安裝一套13K大小的媒體播放程式，該程式包裝成Android標準附加程式.APK，若一旦容許這個程式安裝，該程式會私下自行傳送高費率簡訊。

安全業者卡巴斯基（Kaspersky）表示，發現第一個透過簡訊入侵Android手機的木馬程式，該木馬會發送高收費簡訊讓受害者蒙受金錢損失。

卡巴斯基的行動裝置研究部門經理Denis Maslennikov指出，Android是目前成長最快的智慧型手機平台，相對應的會吸引惡意軟體在這個平台上發展。卡巴斯基將這個木馬稱為 SMS.AndroidOS.FakePlayer.a，使用者收到入侵的簡訊時，會被提示安裝一套13K大小的媒體播放程式，該程式包裝成 Android標準附加程式.APK，若一旦容許這個程式安裝，該程式會私下自行傳送高費率簡訊。

目前已知俄羅斯地區已經有人感染該木馬，並蒙受金錢損失，但無法確認多少手機已經感染這個木馬。另外，根據手機安全業者Lookout指出，目前該木馬似乎只在俄羅斯的電信網路中運作。

不過，使用者可以稍加小心便可避開簡訊木馬的入侵。例如陌生人寄送的簡訊，所附加的網址、檔案，都要小心謹 慎處理。另外，Android平台有應用程式授權模組，當使用者安裝程式時，會要求使用者授權該程式可以使用的權限，當程式要求功能之外的權限時，應該停 止安裝或移除該程式。

（編譯/沈經）

2010-08-12 Zeus 木馬從英國銀行帳戶盜走 100 萬美元
? 新聞來源：ZDNet

Zeus 木馬從英國銀行帳戶盜走 100 萬美元

安全研究員10日表示，英國民眾與商家今夏因電腦感染木馬病毒，促使他們登入自己的銀行帳戶，而後帳戶內的錢被暗中轉往他國的騙徒手中，總損失金額超過100萬美元。

根據M86 Security公布的白皮書，一家未具名的金融機構就有約3,000個帳戶遭駭。這種多層次的詐騙手法，利用一種新版的Zeus鍵盤側錄和密碼盜用木馬，目標鎖定使用各大瀏覽器的Windows電腦，並透過toolkits迴避銀行網站使用的反詐欺系統。

M86 Security技術策略副總Bradley Anstis告訴本站，要求雙重驗證，如提供密碼加ID憑證的銀行網站，也難擋這類攻擊。因為惡意軟體在受害者登入網站後，即狹持瀏覽器。Anstis 說：「這種最新版的Zeus，是專門針對線上銀行業務。」並且將惡意軟體帶往更精深、複雜的技術層次。這種木馬用加密的通訊，聯絡受害電腦與發出指令的伺 服器，和執行非法的線上轉帳。M86 Security正與執法單位合作。

這一波詐欺的手法，似乎與1年前Finjan通報的、鎖定德國銀行顧客的URLZone銀行木馬類似。這次詐欺的運作過程是：

受害者的電腦先感染到新版Zeus木馬，可能是造訪帶有該惡意軟體的合法網站，或是進入某個為散播該軟體特別設置的網站，或是合法網站的廣告內含惡意軟體。惡意廣告一向是最主要的攻擊來源，包括Yahoo的Yieldmanager.com。

惡意軟體重導瀏覽器至某個套件，若非Eleonore Exploit Toolkit就是Phoenix Exploit Toolkit,，然後透過電腦的某個弱點，投入木馬程式。Eleonore Exploit Toolkit可利用Adobe Reader、Java和IE等軟體的弱點。

Anstis說：「感染初期是Exploit Kit利用幾個我們在報告中列出的弱點，破壞使用者的電腦，其中之一是影響IE 6和IE 7的IE弱點。然而，那只是能被用在這種初期感染的6、7個弱點之一。 Exploit Kit會一一測試受害者的電腦是否有那些弱點，以求成功感染。」

報告指出，有高達28萬台Windows電腦被感染，但也有約3,000台Mac和300台PlayStation、7台任天堂Wii被納入該殭屍網路，執行Exploit Kit。木馬聯繫的中控伺服器位於東歐。

當使用者登入其銀行網站，木馬便將登入的ID、生日和社安號碼等訊息，傳給中控伺服器。一旦使用者進入銀行網站的線上交易頁，木馬便會收到一組新的JavaScript程式碼，替換銀行原本在交易表格使用的JavaScript。

使用者在合法網頁進行帳戶交易的同時，木馬也在背後操縱該筆交易。首先，它會檢查帳戶餘額，決定竊取的金額限度，避免觸發自動詐欺偵測警報。帳戶的錢先被轉到其他的人頭帳戶，然後再轉到由詐騙者控制的外國帳戶。

Anstis拒絕透露受害的銀行。他說：「有趣的是，這家公司有提供免費的安全軟體。若非受害的顧客沒有接受他們的好意，就是那套軟體根本無效。」

（陳智文/譯）

2010-08-10 Zeus殭屍程式連卡巴斯基數位簽章也偷
? 新聞來源：iThome

Zeus殭屍程式連卡巴斯基數位簽章也偷

駭客透過第二版Zeus殭屍網路打算在英國進行金融詐騙，駭客透過該殭屍網路蒐集了各種憑證與資料，其中還包括了知名防毒業者已過期的數位簽章。

英國資安業者Trusteer上周指出，駭客透過第二版Zeus殭屍網路打算在英國進行金融詐騙，隨後另一 資安業者趨勢科技（Trend Micro）則發現Zeus殭屍程式中含有防毒軟體業者卡巴斯基（Kaspersky）的數位簽章。趨勢警告，這顯示在惡意程式中嵌入數位簽章以取信使用 者或系統已逐漸成為攻擊趨勢。

Trusteer表示，Zeus殭屍網路約感染10萬台電腦，其中有98%位於英國，駭客透過該殭屍網路蒐集了各種憑證，包括登入線上銀行的帳號及登入資訊、信用卡或借貸卡號碼，或是電子郵件、社交網路帳號、瀏覽器cookie，甚至是FTP密碼等。

Trusteer技術長Amit Klein說，值得擔心的是該殭屍網路並不只著眼於使用者的帳號與密碼，藉由客戶端的認證與cookie資料，駭客可以取得更多有關使用者的資訊並擴大所 非法存取的使用者網路帳號。由於全球都存有不同版本的Zeus殭屍網路，使得Zeus已成為網路詐欺有史以來最普及的殭屍木馬程式。

趨勢科技則發現Zeus的可疑檔案中含有來自卡巴斯基的數位簽章，諷刺的是該數位簽章原本是屬於卡巴斯基殭 屍病毒清除工具─ZbotKiller的，趨勢表示駭客應是直接把ZbotKiller的數位簽章拷貝到惡意檔案中，但其用來驗證使用者所收取的檔案是否 為原來檔案的雜湊值（hash value）已過期且失效。

這並非是駭客首次竊取數位簽章，數位簽章是用來驗證內容與來源的完整性，及防止使用者下載有害的檔案，先前資安業者發現攻擊微軟Windows Shell漏洞Stuxnet木馬程式中就發現了來自瑞昱半導體（Realtek）與智微（JMicron）科技的程式碼簽章。

不過，eWeek引述卡巴斯基研究人員Roel Schouwenberg的說法指出，Zeus的作者並未實際竊取該公司的數位簽章，而只是從其他檔案複製了卡巴斯基的簽章，因此這並非該公司的產品漏 洞，而且該簽章也是無效的。趨勢科技則建議使用者最好仔細檢查程式數位簽章的內容以確保相關數位簽章是有效的。

2010-08-10 研究人員揭露Windows核心漏洞
? 新聞來源：iThome

研究人員揭露Windows核心漏洞

雖然這不是一個很危險的漏洞，但幾乎影響所有版本的Windows作業系統，包括XP、Vista、7、Windows Server 2003及Windows Server 2008。

暱稱為arkon的以色列資安研究人員上周公布有一未修補的視窗核心漏洞影響所有的Windows版本，另一資安業者Secunia已釋出該漏洞的安全公告，美國媒體報導微軟已得知此事並展開調查。

根據Secunia的說明，當使用者建立BMP檔案，把彩色值複製到一個擁有固定容量的緩衝區 時，CreateDIBPalette()功能中的 win32k.sys就會出現邊界錯誤，若指定一個大於256色的值，就能透過特定API導致緩衝區溢位。成功的攻擊可擴張使用者權限，允許駭客進行阻斷 式服務攻擊或在系統上執行任意程式。

Secunia並不認為這是一個很危險的漏洞，不過該漏洞幾乎影響所有視窗作業系統，包括Windows XP、Windows Vista、Windows 7、Windows Server 2003及Windows Server 2008。

IDG News引述微軟的回應表示，該公司已在調查該漏洞。不過，外界認為微軟應來不及在本週二（8/10）的每月修補日中解決該漏洞，微軟本月的定期更新將創紀錄地釋出14個安全公告，修補34個漏洞。

（編譯/陳曉莉）

2010-08-10 研究：外掛或擴充程式破壞隱私瀏覽
? 新聞來源：iThome

研究：外掛或擴充程式破壞隱私瀏覽

史丹佛大學的電腦科學暨電機系教授研究發現，瀏覽器中的隱私瀏覽功能，可能因為使用外掛程式，而讓使用者的瀏覽行為變得不是那麼有隱私。

史丹佛大學的電腦科學暨電機系教授Dan Boneh計畫在今年8月舉行的Usenix Security 2010會議中發表瀏覽器隱私瀏覽功能的分析報告，他研究了IE8、Firefox 3.5、Chrome 5與Safari 4等四大主要瀏覽器的相關功能，發現外掛或擴充程式仍能破壞隱私瀏覽。

根據Boneh的定義，隱私瀏覽功能應該能在區域端駭客掌控系統時，無法取得使用者先前瀏覽的資訊。但Boneh發現，即使瀏覽器採用各種隱私措施，但擴充程式仍能破壞瀏覽的隱私性。

每個瀏覽器所提供的擴充程式功能設定不一，例如IE可設定在隱私瀏覽模式時是否要關閉工具列及擴充程 式；Firefox在隱私瀏覽模式時允許外掛及擴充程式正常運作；Chrome在隱私模式關閉了大多數的擴充程式但仍允許外掛程式的執行；在Safari 中，第三方的API也允許隱私模式時執行擴充程式。

Boneh研究團隊在Firefox上測試了最受歡迎的40種擴充程式，由於含有二位元元件的程式原則上都 能讀取磁碟中的檔案，或將檔案存入磁碟，因此，他們把所有二位元擴充程式都視為是不安全的，並檢視另外32個純JavaScript擴充程式在隱私模式下 的執行狀況，發現其中有15個程式能夠將資料寫入磁碟，這將允許駭客了解使用者的隱私瀏覽行為。

在Chrome上則分析前100大擴充程式，發現有71個程式可在隱私瀏覽模式下將資料儲存於磁碟中，而且有5個擴充程式可以執行任意程式，並有4個應用程式可將使用者行為傳送到遠端伺服器上。

Boneh認為，現有的瀏覽器要求使用者自行選擇在隱私瀏覽模式時是否要執行擴充程式，但並非所有的擴充程式都同樣尊重隱私瀏覽模式，因而導致隱私問題的發生或是防堵了沒必要防堵的擴充程式，因此他建議瀏覽器業者應在各種API中聲明其隱私政策。

此外，該研究也發現每一款瀏覽器的隱私功能不太一致，例如Fiirefox與Chrome除了可防禦來自區域端駭客的攻擊外，另也採取措施以防禦網路駭客的攻擊，而Safari僅能抵擋來自區域端駭客的攻擊。

（編譯/陳曉莉）

2010-08-06 iPhone安全漏洞 恐遭竊聽
? 新聞來源：自由時報

iPhone安全漏洞 恐遭竊聽

〔編譯羅倩宜／綜合外電報導〕知名軟體商賽門鐵克及德國政府雙雙表示，蘋果iPhone的作業系統有安全漏洞，駭客可以竊取個人資料並竊聽電話。蘋果發言人Natalie Harrison表示，已注意到賽門鐵克及德國政府的報告，目前正在進行調查。

美國軟體商賽門鐵克（Symantec）指出，iPhone和iPad使用的iOS作業系統有被駭客入侵的 風險，在蘋果尚未改善前，用戶可先安裝示警軟體，每次打開PDF檔前均會提醒。賽門鐵克六月份才發表Norton Everywhere軟體，提供手機及行動裝置安全防護。

勿開ＰＤＦ檔案

德國聯邦資訊安全局也發出警告，iPhone、iPad、iPod的作業系統都有資料外流的風險。該局列出 有安全疑慮的作業系統包括：iPhone iOS 3.1.2-4.0.1、iPad iOS 3.2-3.2.1及iPod Touch iOS 3.1.2-4.0，雖然目前尚未收到用戶資料外流的報告，但在蘋果提出補救之前，德國當局呼籲用戶不要隨便登入可疑網站或打開PDF檔案。

蘋果iPhone4稍早才因天線收訊不良的問題，全面提供保護套給用戶作為補救。此外，智慧型手機下載軟體 也有個資外流的風險。手機安全調查公司 mylookout.com最近針對iPhone及Android的軟體進行檢測，發現有三成的免費軟體刻意搜集用戶位址及個人資料，其中一個可供 Android用戶更改螢幕背景的軟體，甚至將用戶個人資料及手機號碼傳至中國的伺服器，用戶通訊可能受到審查。Apple及Google先前均已提醒用 戶注意下載軟體可能導致資料外流。

2010-08-04 iPhone 越獄程式暴露安全漏洞
? 新聞來源：ZDNet

iPhone 越獄程式暴露安全漏洞

上週末發出的iPhone越獄軟體，可能已讓行動版Safari瀏覽器的一個瑕疵曝光。

不同於之前的越獄軟體，需要將iPhone連上電腦以執行軟體更新，iPhone Dev Team在Jailbreakme.com發佈的最新越獄軟體，是透過手機上的Safari瀏覽器下載。

但根據幾位CNET讀者和聽眾的留言，就是因為可以透過Safari執行，造成了更大的問題。這代表使用者 若不慎造訪惡意網頁，任何人都有可能控制你的 iPhone（iPod Touch和iPad）。惡意程式可偽裝成一個簡單的PDF連結，使用者只要點入就會啟動，然後利用閱讀器載入字型的方式，發動攻擊。最後的結果是，惡意 程式可毫無限制地進出你的iPhone，不論你使用哪一種現用的作業系統版本。蘋果公司對此的回應是：「我們注意到相關報導且正在調查中。」

Independent Security Evaluators主任分析師Charlie Miller說：「這是非常嚴重的。」他告訴本站，目前有兩個確定無誤的弱點，和兩種攻擊程式。其中一個瑕疵是Safari瀏覽器解析PDF檔案的方式， 讓程式碼進入一個防護沙盒內。而另一個漏洞則能讓程式碼跑出沙盒，然後取得裝置的控制權。他表示：「基本上，iPhone製作的方式，是利用幾個防禦層次 來保障其安全，所以即使有人破壞了你的瀏覽器，他們能做的事情還是有限。」

針對最新iPhone越獄軟體的製作者，Miller說：「有很多人以研究iPhone聞名，但我從未聽過這個人。這提醒我們，還有很多不知名的研究者，知道的東西和我們一樣多，甚至更多，但也許不懷好意。」

雖然這個程式不完全是惡意，其他駭客卻可經由反向工程，將它改造成可控制iPhone的惡意軟體。McAfee安全研究與公關經理David Marcus在部落格寫道：「具備可靠利用程式的弱點，通常會被重新改造，用在攻擊或惡意軟體等使用上。」

他寫道：「任何行動裝置的使用者都該警覺：遠端攻擊是真實存在的，且不會消失。（據我們所知）目前這些弱點僅被用作iPhone越獄，但它們也能被用來對全球iPhone使用者做出許多其他的事情。」

（陳智文/譯）

2010-08-04 人紅是非多：駭客也愛iPad、iPhone
? 新聞來源：ZDNet

人紅是非多：駭客也愛iPad、iPhone

麥金塔電腦(Mac)比PC強的一大優點，就是使用者不必疲於應付困擾著Windows PC使用者的一堆病毒、廣告軟體、木馬程式。

這不是說Mac百毒不侵，而是駭客通常會從人多的地方下手，這樣一來，使用者點擊惡意連結或開啟有毒附加檔的機率隨之升高。

但現在，隨著採用蘋果iOS作業系統的iPhone和iPad人氣居高不下、躍為主流產品，駭客正摩拳擦掌，準備拿iOS開刀。

根據Gizmodo一篇引述不具名消息來源的報導，iOS產品被發現內含安全漏洞，可讓駭客透過 Safari瀏覽器載入網頁的方式，經由PDF檔案乘虛而入。Gizmodo說要利用這項安全漏洞「輕而易舉」，而不知情的使用者可能讓自己的 iPhone、iPod Touch或iPad遭到駭客「完全控制」。

Gizmodo的這篇報導寫道：「只要使用者用Safari造訪某個網址，就會得逞。該網站會自動載入一個 簡單的PDF檔，檔案中內含一個字型 (font)夾帶著特製的程式，一旦你的iOS裝置試圖顯示這個PDF檔，那個字型就會造成所謂的堆疊溢位(stack overflow)錯誤，而這種技術情況會允許藏在字型內的祕密程式碼完全接管你的裝置。結果是，那個程式不需要使用者的任何動作配合，就能在你的 iPhone、iPod Touch或iPad內為所欲為，任何你可以想見的狀況，包括刪除檔案、轉傳檔案、安裝程式、在在背景默默監督你的一舉一動等等，都可能發生。」

Gizmodo這篇報導未說明消息來源，但附帶的連結連上兩個提供技術細節的部落格，即Macstories和Digdog。不過，這帶給iPhone和iPad使用者一項重要的訊息：昔日蘋果產品大致安全無虞的時代已經結束。

蘋果公司宣稱，已賣出數百萬計的iPhone手機與iPad平板電腦，市調公司也證明iPad讓蘋果公司在平板電腦一馬當先，而iPhone雖然不是市占率最高的智慧手機，卻是最出風頭的、是眾多競爭對手矛頭一致對準的目標。同時，駭客也盯上了蘋果。

Gizmodo的報導包含一項產品的資訊，介紹某種產品可在危險的PDF檔準備安裝時提醒使用者注意，但那需要你破解蘋果裝置，而這麼做會導致你的產品保固合約失效。報導也提到，蘋果公司尚未針對這項安全漏洞的報導作出回應。

希望這是因為蘋果公司的安全團隊正快馬加鞭設法解決問題，也希望他們能找出有效的辦法，因應未來勢必浮現的駭客入侵問題。

(唐慧文譯)

2010-08-04 TippingPoint 限軟體商六個月修補漏洞
? 新聞來源：ZDNet

TippingPoint 限軟體商六個月修補漏洞

TippingPoint的「零時差計畫」(Zero Day Initiative；ZDI)將給軟體業者六個月的時間修補安全漏洞，不再讓已通報的安全漏洞無限期地被置之不理。

TippingPoint安全研究經理Aaron Portnoy說，軟體商必須在六個月內修補安全漏洞。

惠普公司旗下的TippingPoint主持一項「零時差計畫」，扮演著經紀商的角色，一方面付費給資安研究員取得安全漏洞的資訊，另一方面則把相關資訊提供給軟體業者，好讓他們能修補安全漏洞。

Portnoy 說，截止期限仍可以延長，但要視個案情況處理；若是軟體業者無法在六個月內修補漏洞，而TippingPoint又未收到要求延長期限的要求，那麼 TippingPoint就會有限度地公開安全漏洞的細節，附帶緩解的資訊，使曝露於安全風險中的機構和消費者能自我保護。

他並指出，TippingPoint已告知軟體商、但尚未修補好的安全漏洞已超過120個，其中有不少的安全漏洞已拖了一年以上。Portnoy希望，訂出六個月的期限能敦促軟體業者加快修補漏洞的腳步。

(唐慧文譯)

2010-08-03 資安業者釋出Android攻擊程式
? 新聞來源：iThome

資安業者釋出Android攻擊程式

Trustwave宣稱他們所研發的概念性驗證程式只要以一個特定的號碼撥打使用者手機，就能取得Android手機的最高權限，可以進一步讀取Android裝置中的所有簡訊內容，或是讓Android用戶承擔長途電話費用。

上周三（7/28）行動安全業者Lookout在黑帽（Black Hat）大會上揭露Android Market桌布程式竊取使用者資料的兩天後（7/30），另一業者Trustwave在另一場DefCon駭客會議上發表了Android攻擊程式，這 是一款可用來竊取使用者個人資訊的rootkit程式。

開發Android攻擊程式的是Trustwave中負責Spider實驗室的Nicholas J. Percoco以及他的同事Chris Papathanasiou，宣稱其耗時兩周開發的攻擊程式可讓駭客竊取Android智慧型手機中的個人資訊，雖然當天用來展示的是宏達電所製造的 Legend及Desire的兩款Android手機，不過Percoco表示其他的Android手機應該無法倖免於難。

Percoco說明，現在很少有關行動裝置rootkit的討論，但Android是一個絕佳的研究平台， 因為它採用了Linux核心，而Linux核心層級的rootkit 技術知識歷史悠久，他們所研發的概念性驗證程式只要以一個特定的號碼撥打使用者手機，就能將一個逆向的TCP over 3G/Wi-Fi介殼（shell）傳遞給駭客，並可讓駭客取得Android手機的最高權限。

因此，駭客可以讀取Android裝置中的所有簡訊內容，或是讓Android用戶承擔長途電話費用，或是找到該款手機的正確位置，該rootkit程式可以隨著偽造的應用程式被安裝在Android裝置中。

除了展示攻擊手法外，Percoco當天還在會議現場發送存有該rootkit程式的DVD光碟，路透社估計當天約有1萬名資安專家參與該會議。

Percoco說，他希望此一作法可以喚醒業者對行動安全的認知，並強迫業者修補安全漏洞。Android現為全美第四大智慧型手機平台，全球每天平均售出6萬支Android手機。

（編譯/陳曉莉）

2010-08-03 捷徑漏洞災情擴大　微軟釋出緊急修補程式
? 新聞來源：iThome

捷徑漏洞災情擴大　微軟釋出緊急修補程式

該漏洞位於Windows Shell中，影響Windows XP、Vista，到最新的Windows 7與Windows Server 2008 SP1測試版。

微軟於周一（8/2）緊急釋出MS10-046以修補災情逐漸擴大的捷徑漏洞。

該漏洞位於Windows Shell中，影響Windows XP、Vista，到最新的Windows 7與Windows Server 2008 SP1測試版。駭客可能藉此透過夾帶惡意程式的捷徑圖示（.lnk）進行遠端程式攻擊，微軟揭露該漏洞時只發現有限的目標式攻擊，主要以隨身碟作為攻擊媒 介，不過，隨後資安業者警告用戶亦可能因遠端分享等功能而接觸惡意的lnk檔案，同時也發現愈來愈多樣化的惡意程式。

微軟最早發現的惡意程式是Stuxnet，這是一個可用來下載其他惡意程式的木馬，後來資安業者發現 Stuxnet變種，微軟安全回應中心專案經理 Holly Stewart則在上周指出，微軟偵測到另一個透過該漏洞進行攻擊的危險惡意程式─Sality.AT，而且快速蔓延。甫於今年7月下旬現身的 Sality.AT一下子就超越了Stuxnet及其他惡意程式數量。

Stewart表示，Sality是一個劇毒程式，它會感染其他的檔案、自我複製到可移除裝置中、關閉各種安全機制，並下載其他惡意程式，而且它是一個非常大的病毒家族，也是今年最流行的病毒。Stewart還警告，其他病毒家族遲早也會透過該漏洞進行散布。

首波針對該捷徑漏洞所進行的攻擊是鎖定工廠所使用的自動化生產與控制（SCADA）系統，來自美國的攻擊案例就佔了57%，不過，現在景況已有所不同，微軟的資料顯示，巴西已成為最大的受害者，其次才是美國，其他亦受到攻擊的市場包括印尼、印度與伊朗。

（編譯/陳曉莉）

2010-08-03 美國上半年有近1300萬筆個資遭竊
? 新聞來源：iThome

美國上半年有近1300萬筆個資遭竊

以遭竊的機構型態區分，一般公司行號所佔比例最高，為35%，其次是醫療機構的29.1%、政府機關16.2%、銀行/金融機構10.5%、以及教育機構9.2%。

美國的身分竊盜資源中心(ITRC)日前公佈統計數據指出，2010年上半年美國共有371件個資遭竊事件，近1300萬人的身分資料外洩。此數據並不包括被竊的加密資料。

若以遭竊的機構型態區分，一般公司行號所佔比例最高，為35%，其次是醫療機構的29.1%、政府機關16.2%、銀行/金融機構10.5%、以及教育機構9.2%。

ITRC表示，這些遭竊的身分資料包括銀行帳號、汽車駕照以及社會安全號碼等。據統計，有48%的案例是由內部人員所造成。

此外，根據美聯社報導，現在已有身分竊盜集團將目標鎖定兒童的社會安全號碼，將其用來假造信用卡，讓這些受害兒童尚未成年就背負巨額債務，未來可能引發嚴重問題。

(編譯/范眠)

2010-08-03 報導：IE8 重視廣告 隱私功能受挫
? 新聞來源：ZDNet

報導：IE8 重視廣告 隱私功能受挫

根據華爾街日報周一的報導，由於網路廣告主需要追蹤使用者的上網活動，微軟公司設法強化Internet Explorer 8瀏覽器隱私保護的努力正因此受挫。

2008年初，由經理Dean Hachamovitch所領導的IE8開發團隊，在設計IE8時懷著一個目標，就是希望引進新的隱私保護功能，限制第三方人士輕易追蹤使用者的滑鼠點擊 和其他活動。這項計畫被視為微軟凸顯IE特色、抵禦Firefox等瀏覽器競爭對手持續侵蝕IE市占率的利器。

然而，IE開發團隊的這項計畫很快就踢到一塊鐵板。

微軟廣告事業部門的主管宣稱，加強隱私保護會妨礙客戶對網路廣告追蹤的需求。同時，微軟以60億美元併購網路廣告業者Aquantive後，正積極衝高線上廣告營收。

微軟內部於是因為這個問題而形成兩派交鋒，甚至導致外部的廣告商和出版商擔憂他們的線上事業。不過，最後線上廣告這一方的論調似乎聲勢比較強大，以致IE瀏覽器最後採用的隱私設定是較寬鬆的版本，不如IE開發者原先希望的那麼嚴密。

現在，IE8只會提供稱為「InPrivate Filtering」的過濾機制，讓使用者能透過手動調整，關掉對某些特定網站的封鎖。InPrivate Filtering也必須在每次開啟瀏覽器時啟動。

IE8原本提供另一項稱為「InPrivate Subscriptions」的功能，可自動防止來自「黑名單」網站的追蹤活動，但根據華爾街日報的報導，這項功能已被完全取消。IE開發團隊是在IE8 談論新隱私設定的部落格上宣布這項功能，beta測試版也出現此功能，但在發布正式版前卻遭到捨棄。

儘管如此，微軟隱私策略長Peter Cullen仍相信，IE8是「比當初IE團隊的構想還要好的產品」，而外部廣告業者的意見回饋將協助微軟平衡隱私與廣告的需求。

Hachamovitch則在周日發表的部落格文章中說：「線上隱私是棘手的問題，部分原因是瀏覽網頁基本 上是一種資訊交換。瀏覽器必須提供一些資訊，才能換得一些資訊。而提供的資訊可以辨識出是你，通常這種資訊(例如你偏好閱讀的語音)會自動送出，以便提供 為你量身訂製的內容...而因為這些技術中有一些可能用來追蹤，卻又同時是基本功能所必需的，所以網路上沒有所謂的『完美隱私功能』。」

更新：微軟發言人回應說：「民眾想要能夠滿足其需求的個人化線上服務，同時也希望自己的隱私受到保護。微軟 設計了IE8提供人們各種隱私保護，而最近隱私權捍衛團體民主與科技中心(Center for Democracy and Technology)進行的一項瀏覽器比較調查，就證明了IE8提供了堅強的保護。」

(唐慧文譯)

2010-08-02 駭客釋出瀏覽器版的 iPhone 越獄程式
? 新聞來源：ZDNet

駭客釋出瀏覽器版的 iPhone 越獄程式

破解iPhone現在不但不犯法，且技術上也應該沒問題了。

就在美國著作權局判定「規避手機保護機制來執行軟體應用程式」不會違反美國著作權法後，iPhone Dev小組週日在 JailbreakMe.com 釋出一款 iPhone 4的越獄（破解）程式。

先前的版本基本上都得連上電腦來執行更新，但最新版本只需透過行動版Safari瀏覽器就可執行，所有iOS裝置都行得通，包括iPhone、iPad與iPad（需執行 iOS 4與iOS 4.01），不過有傳出iOS 4.1 beta還不可行。

另有用戶傳出越獄程式會影響FaceTime與MMS多媒體簡訊功能。

不過在目前寫稿為止，這版破解程式顯然十分熱門，許多網友都表示連不進網站。

越獄破解可允許機器執行廠商（比如蘋果）所不允許的第三方程式。

美國著作權局雖然認定這類越獄軟體合法，但蘋果並不鼓勵用戶安裝這類程式，並表示如此會造成保固失效。

2010-08-02 [黑帽大會] 駭客競賽 暴露大企業員工缺乏警覺
? 新聞來源：ZDNet

[黑帽大會] 駭客競賽 暴露大企業員工缺乏警覺

在拉斯維加斯舉辦的Defcon大會，31日進行以社交工程為主題的駭客競賽，結果發現美國10家大型科技、石油和零售企業被隨機選中的員工，竟毫無警覺地在電話中洩露公司的敏感資訊，這些資訊都能被駭客用來攻擊公司的電腦網路。

第一天的競賽過後，訓練與滲透測試公司Offensive Security營運經理Christopher Hadnagy對本站表示：「如果來一次安全稽核，每一家公司都無法通過。」31日被選做目標的大企業分別是英國石油（BP）、殼牌石油（Shell）、 Google、PG&E、微軟、蘋果、思科、福特汽車、可口可樂和百事可樂。他說：「沒有一家公司拒絕我們，雖然某些員工有回絕我們，但我們（參 賽者）都能立刻回撥，找到另一個願意配合的員工。」

主辦單位拒絕透露任何一家目標企業的反應，或這些企業的反應優劣，但會在幾週後公布一份總結報告。 Offensive Security首席訓練員Mati Aharini說：「重點不是羞辱任何人，而是提醒大家注意這類型的攻擊，這可能是目前駭入一家公司最簡單的方式。我們不願看到任何人受傷或惹上麻煩。」

社交工程是一種單純誘騙對方提供敏感資訊的，以獲取資料的方法，通常不需使用技術性工具。比賽主辦單位表 示，企業多把重點放在購買安全軟體和構築技術性防禦，卻忽略了他們最脆弱的一環：為他們工作的人。Aharoni說：「人力資源是整個煮之最脆弱的一點， 駭客最常使用的媒介，是最容易的途徑，而那通常就是人這個要素。」

10位參賽者在1週前即分別被指派其中一家目標企業，讓他們有時間進行「被動的」網路搜尋、收集相關資料，和擬定攻擊計畫。他們不得在比賽前打電話進行社交工程，或利用釣魚和其他方式收集資訊。

參賽者在Defcon會場上，只有25分鐘能用事先決定的名單撥打電話，盡可能地收集資訊。所有通話內容都 被公開播出，最後取得最多資訊的人獲勝。主辦單位表示，參賽者必須問出有關目標企業的無害資訊，如公司有否提供垃圾清理服務、是否有員工餐廳，和員工使用 何種網路瀏覽器等。沒有任何被挑中的企業員工，被要求提供個人的財務資料、信用卡號或其他敏感資料。

Hadnagy表示，被選中的50幾名企業員工中，只有3人察覺有異，沒有提供任何回答即掛斷電話，這3人 都是女性。他說：「其中1位女士說：『我認為這個問題有點可疑』，然後說不到20秒即掛斷電話，我們全都鼓掌叫好。」但另一方面，有一位參賽駭客連續問了 10個問題都得到回答，還附加一些不在問題表單上的資訊。

Aharoni說：「有些人甚至打開他們的電郵軟體、Adobe Reader、微軟Word，然後點入Help/About選單，提供他們現用軟體的實際版本編號。對攻擊者而言，正確的版本編號能大大提高攻擊成功率。」因為他們可針對該版的弱點，量身訂做攻擊程式。

這次競賽在實際進行前就引起軒然大波。美國的FS-ISAC（金融服務/資訊服務分析中心）聽聞此事後，趕緊發出警告，提醒企業在Defcon大會期間提高警覺。主辦單位則主動聯絡該中心，提議雙方合作，訓練民眾認識和防範社交工程攻擊。

美國聯邦政府的若干機構也對事後的報告感興趣。Aharoni說：「我們將依照要求，與執法單位分享資料。」

（陳智文/譯）

2010-08-02 微軟緊急修補 Windows 捷徑漏洞
? 新聞來源：ZDNet

微軟緊急修補 Windows 捷徑漏洞

微軟公司計劃在周一釋出安全更新，修補Windows處理捷徑檔的安全漏洞。該公司表示，已發現有人利用這個漏洞迅速散播一種毒性很強的病毒。

這個Windows安全漏洞最初被用來散播Stuxnet蠕蟲，透過USB碟快速蔓延。根據微軟兩周前發布的安全公告，這項安全弱點存在於檔案名以「.lnk」結尾的捷徑檔處理程式碼中，各種Windows版本都受影響。這份公告中包含如何迴避問題的資訊。

微軟惡意軟體防護中心(MMPC)部落格公告指出，現已發現有人利用上述的.lnk捷徑安全漏洞，在網路上散播一種稱為「Sality.AT」的病毒，其傳染速度比Stuxnet蠕蟲更快。

這篇安全公告說：「本周有一種病毒家族特別引起我們的注意，這個家族稱為Sality，其中又以 Sality.AT毒性特別強。Sality是很毒的病毒株，已知它會感染其他檔案(使檔案在中毒之後難以完全移除)、自我複製到可抽換的儲存裝置、解除 安全防護功能，並且下載其他惡意軟體。它也是支系非常龐大的家族，是今年最廣為蔓延的病毒家族之一。」

由於情況嚴重，微軟決定不等到8月10日，也就是下一次例行的Patch Tuesday安全更新發布日，就提先行釋出這項安全漏洞的修補程式。

微軟資深安全回應公關經理Christopher Budd在微軟安全回應中心(MSRC)部落格上撰文說：「過去幾天以來，我們察覺利用這項安全弱點的活動增加。我們深信提前釋出更新最能協助保護本公司的客戶。」

(唐慧文譯)

2010-08-02 阿碼科技將釋出開源掛馬模擬程式
? 新聞來源：iThome

阿碼科技將釋出開源掛馬模擬程式

資安廠商阿碼科技將於黑帽大會上釋出由阿碼科技進行優化過的開放源碼網路掛馬測試程式

資安廠商阿碼科技原本預計在今年的全球黑帽（Black Hat）資安會議上討論中國網軍的攻擊手法，阿碼科技創辦人兼技術長黃耀文表示，後來因為相關政府與社群的壓力，決定撤換該題目，演講內容改為網路掛馬的 相關研究，並將於黑帽大會上釋出由阿碼科技進行優化過的開放源碼網路掛馬測試程式。

以往許多資安產品，例如防毒軟體、防火牆、UTM等，為了測試產品功能，以往都會利用開放源碼 Metasploit模擬產生網路掛馬，藉此測試資安設備的效能。但黃耀文表示，該公司從事網路掛馬的產品和研究，為了模擬網路掛馬程式，該公司花了半年 時間，將各種網路掛馬實做技巧，重新用Metasploit 改寫一次，並命名為Drivesploit模擬網路掛馬程式的開放源碼工具。黃耀文說，這套程式將於黑帽大會上正式對外釋出。

文☉黃彥棻

2010-08-02 駭客展示如何欄截GSM通話
? 新聞來源：iThomet

駭客展示如何欄截GSM通話

雖然這個系統目前無法破解3G與CDMA系統的手機訊號，但如果搭配市售約1000美元的3G遮罩設備，3G手機一般都會轉用2G頻道。

駭客Chris Paget在拉斯維加斯舉辦的Defcon安全會議上，利用價值約1500美元的設備，以偽裝成GSM手機基地台的方式，展示如何欄截手機通訊內容。

在啟動他稱為「IMIS Catcher」（手機內碼捕手）的系統幾分鐘內，系統搜尋到30隻手機，然後Chris Paget將系統設定偽裝成AT&T手機基地台，到最後，有17隻手機連結到這個假的基地台。他認為可能在設定時輸入出錯，才無法騙過所有的手 機。Chris Paget指出，iPhone與Android都很容易被他的系統騙過，而iPhone是最容易被他系統騙過的手機。

連結到這個假系統的手機還是可以發話，但無法接聽。因為要攔截訊息，所以發話時，偽裝的基地台會把訊號轉發給真正的基地台，但因為手機不是登入真正的基地台，因此對電話系統來說，使用者的手機是離線的狀態，一般都是被轉進語音信箱。

一般GSM通訊都有加密，所以攔截到訊號後，應該還需要解密，但Chris Paget用最簡單的方式解決這個問題：以基地台身份命令手機通訊時不要加密。雖然GSM規範建議手機「無加密通訊」時應該顯示警告標語，但市場上銷售的 大部分手機都忽略這個建議。不過展示過程中他為避開法律問題，沒有命令手機將通訊解密。

據Chris Paget解釋，他的系統僅對使用900MHz的2G手機訊號有效，理由是在美國900MHz是免照無線頻道，任何人都可以在規範功率內使用，不代表其他 頻道無法竊聽。雖然這個系統目前無法破解3G與CDMA系統的手機訊號，但如果搭配市售約1000美元的3G遮罩設備，3G手機一般都會轉用2G頻道。

據媒體報導，在Chris Paget展示之前，聯邦通訊委員會與他接洽過，主要是懷疑他使用的無線器材頻道與竊聽通訊的問題。由於美國GSM主要使用1800MHz，而不是他展示 的900MHz，但目前大部分手機都支援4頻，因此900MHz一樣可以攔截到手機。事實上，在世界許多國家，竊聽通訊內容大都屬於違法。

（編譯/沈經）

2010-08-02 Barracuda 研究：搜尋引擎Google最毒
? 新聞來源：iThome

Barracuda 研究：搜尋引擎Google最毒

Barracuda以2.5萬種熱門的議題分析了上述各大搜尋服務的550萬個搜尋結果，發現有69%的惡意程式出現在Google搜尋結果，18%出現在Yahoo搜尋，12%出現在Bing搜尋。

資安業者Barracuda Networks上周公布一份研究報告，發現惡意程式出現在Google搜尋結果的比例位居第一，並大幅超越Yahoo、Bing及Twitter。

Barracuda以2.5萬種熱門的議題分析了上述各大搜尋服務的550萬個搜尋結果，發現有69%的惡 意程式出現在Google搜尋結果，18%出現在Yahoo搜尋，12%出現在Bing搜尋，1%出現在Twitter上，代表Google在散布惡意程 式上位居首位。

Barracuda表示，這份研究的目的是分析搜尋引擎上的熱門議題，以釐清問題的規模，以及了解惡意程式 透過哪些議題進行傳遞。研究發現當熱門議題在 Twitter上現身後，出現在Google的時間只要1.2天，出現在Bing上是4.3天，出現在Yahoo搜尋上是4.8天，此外，有一半以上的惡 意程式現身於晚上11點到早上5點之間。

最常被駭客用來夾帶惡意程式的十大搜尋類別依序是間諜程式（28.91%）、娛樂（17.28%）、搜尋引 擎入口網站（13.39%）、論壇或新聞群組（8.81%）、代管網站（7.99%）、P2P（7.68%）、商業（5.97%）、 Proxy（5.38%）、購物（4.09%）及電腦科技（3.41%）。駭客用來吸引使用者並嵌入惡意程式的內容則有美式橄欖球的球員、女明星、 Playboy玩伴等。

Barracuda指出，研究發現，其實只要簡單地在搜尋引擎中輸入熱門議題或字串就可以發現為數眾多的惡意程式，透露搜尋引擎是有效的攻擊途徑。

另一方面，Barracuda也分析Twitter的2500萬個使用者帳號，以分析Twitter上使用 者行為，並找出非法行徑。發現只有28.87% 的Twitter帳號為真正的使用者，因為有30%從未張貼過訊息，而且有一半的用戶一天張貼不到一則訊息，只有1/10的使用者一天張貼超過5則的訊 息。

至於今年上半年每月Twitter所出現的犯罪帳號比例則為1.67%，這些帳號最後會被Twitter中止會員資格，研究顯示，犯罪帳號不論是在被追隨或追隨別人的數量上都大幅超越一般使用者。

（編譯/陳曉莉）

2010-07-30 你的手機有被監聽嗎？這裡有個好工具(也可監聽別人)
? 新聞來源：ZDNet

你的手機有被監聽嗎？這裡有個好工具(也可監聽別人)

加密專家 Karsten Nohl 釋出一款工具，可讓用戶測試自己的手機是否有被監聽，並希望藉此促成電信業者趕快修補GSM網路。

一名研究員週四在拉斯維加斯舉行的黑帽大會上釋出一個軟體，可讓用戶測試手機是否有被監聽。

該軟體稱為Airprobe，這個軟體的出現意味著：你只需要有適當的硬體，就可攔截別人的電話，除非該手機的電信商有部署了兩年前GSMA協會所規定的一個修補包。

加密專家 Karsten Nohl 表示，多數電信商都還沒有修補他們的系統。

「這只是要給業者一個警醒，讓大家知道現在人人都可來測試你的系統是否補好了。」他說，「每個人只需花一點點功夫就可來竊聽陌生人的電話。」

Airprobe軟體可紀錄/解碼GSM電話，若是跟加密工具Kraken結合（上週已釋出），則連「加密電話與簡訊都可破解。」他說。

若你想測試手機截聽性能，你需要：Airprobe 軟體，電腦，可在電腦上編程的無線電（約1000美元）、取得GSM加密破解表（Nohl的另一個計畫），以及可破解GSM所採用的A5/1加密的Kraken工具。

若你想瞭解更多，可上Security Research Labs網站。

2010-07-30 [黑帽大會] 美：網軍作戰應先訂遊戲規則
? 新聞來源：ZDNet

[黑帽大會] 美：網軍作戰應先訂遊戲規則

前美國中情局（CIA）和國安局（NSA）高階官員29日在黑帽電腦安全會議上表示，美國政府應在真正的網路戰爭爆發前，就攻擊他國的網路訂下規則，包括簽署不可癱瘓銀行與供電網路等國際協議。

去年退休的國家情報首席副主任Michael Hayden表示，雖然美國國防部已在去年春天成立了網站司令部（ U.S. Cyber Command）， 電子戰場的交戰守則依然太過含糊。這個新單位能下令美國軍方執行「全面的軍事網路作業，以促成所有領域的行動」，包括徹底摧毀電子基礎設施。

目前擔任Chertoff Group社長的Hayden認為，正式的網路戰爭應有不同於傳統戰爭的規則。如G8或G20國家可宣示，「對任何（金融）網路的滲透，都會造成國際金融 體系的重大傷害，其程度可比化學武器：任何國家都不應使用」。或者，各國政府可宣示絕對禁止發動阻絕服務式攻擊，「不發動，也絕不允許這類攻擊發生在他們 的領土內」。

2008年，喬治亞指控俄羅斯對境內的網站發動阻絕服務攻擊，當時兩國正好因為南奧賽提亞地區的分裂爆發軍事衝突。問題是，網路入侵和阻絕服務攻擊很難追溯其實際源頭。如今年初Google公司遭到中國駭客攻擊，即無法證實中國政府在其中的角色。

美國政府的政策依然模糊。今年初，國會委員會質詢現任NSA局長兼網站司令Keith Alexander中將，何時才能主動、片面地發動攻擊、使用攻擊武力是否可由總統以下層級「預先授權」，和是否該針對盟邦的網路，訂立「禁止領域」層 級。Alexander拒絕回答上述問題，表示相關資訊是機密。

電網是另一個需要改變的觀念。Hayden表示，電力網路在傳統軍事攻擊中，是合法的目標。但透過網路徹底癱瘓一個國家的供電網路，需要長期的滲透，如果有數十個國家早在互相侵犯彼此的供電系統，電力供應可能相當不穩。因此在這一點上，我們或許應該同意互不侵犯。

美國政府對於討論網路戰爭的手段，一直非常謹慎和含糊。Hayden認為，這種態度應該改變。美國應該主動宣示，除非有總統下令，絕不主動滲透任何國家的供電網路。

至於哪個單位該掌管對抗外國網路攻擊的防禦武力，在美國政府間也發生不小的權鬥。畢竟這涉及數百億的預算和重要的職位。去年曾傳出NSA試圖接掌相關事務，但本月稍早，白宮宣布美國民間的網路防禦由國土安全部主管，軍方的網站司令部將負責聯邦機構的防禦。

Hayden說：「我聽說新的網站司令部有90%的思維都是攻擊。」但至少90%的預算都是花在防禦。

Hayden也藉此機會，呼籲與會的程式設計師、分析師和安全研究員，想辦法重整網路安全的架構。他說： 「你們把網路世界搞得像北德平原一樣（容易進攻），然後再抱怨、痛批自己被入侵。我們自己敞開大門，讓別人有便宜可佔。這個領域固有的地理條件有利於進 攻，卻幾乎沒有任何利於防守的條件。」

（陳智文/譯）