世界上沒有「絕對安全」的手機或電腦；任何人的資料都有價值，即使資料真的沒有價值，也還可以當作跳板來攻擊他人。駭客不會因為你是「普通人」，就輕易放過你；大家都有正確的觀念與做法，才是個人與社會最大的資安保障。
筆者先前在〈小心！駭客，真的，就在你身邊〉一文中，花了很多篇幅介紹各種網路駭侵攻擊的樣態；本篇則從個人用戶的角度介紹10種方法，讓大家能夠最大限度的保護自己，避免成為受害者。
由於全部10點篇幅較長，所以分成上下兩篇；本篇先講前面五個方法。
1. 建立正確的資安觀念
首先，正確的觀念和知識，絕對是保護自己的第一道防線。
以下是一些必須建立，而且人人都應該知道的資安觀念：
- 沒有「絕對安全」的手機或電腦；
- 任何人的資料都有價值，而且可以當跳板；駭客不會因為你是普通人，就輕易放過你；
- 充分的資訊與認知，是自保的必要條件；平時多留意資安相關訊息、瞭解最新的威脅來源和保護做法，對你絕對有好處。
2. 採用比較安全的作業系統與防毒防駭軟體
雖然上面說了，沒有絕對安全的手機或電腦，但是有相對比較安全的系統：
- 電腦
先不談得自行安裝的 Linux；以主流的消費型電腦來看，Mac 就比 Windows PC 相對安全得多。
當然 Mac 上也有系統漏洞與駭侵攻擊，但以量和影響規模來看，Windows 的漏洞和駭侵攻擊遠比 Mac 嚴重得多——根據專門匯集各種資安漏洞資訊的 CVE Details 網站統計，2019 年發現的 Windows 10 嚴重資安漏洞（7分以上，最嚴重的滿分為 10 分）計有 198 個，而 Mac OS X 則為 55 個。
- 行動裝置
採用 iOS 的 iPhone、iPad，在系統漏洞、惡意軟體與駭侵攻擊的量和影響程度上，也普遍勝過 Android 機種。同樣看 CVE Details 的漏洞統計，iOS 在 2019 發現的 7 分以上嚴重漏洞為 29 個，相對的 Android 則有 91 個。
不只是作業系統本身會有漏洞，App 也會有。由於作業系統的架構不同，各平台 App 的安全漏洞與影響規模也有差別。
以行動 App 來說，根據一份統計指出，iOS 上有 38% 的 App 曾被發現存在高危險資安漏洞，而 Android App 有 43%。
總之，採用 Mac/iOS 平台的用戶，遭到駭客透過資安漏洞進行駭侵攻擊的機率，會比 Windows/Android 平台用戶要少。
如果你因為某些原因，必須使用相對比較危險的 Windows 或 Android，請務必安裝優良大廠出品的防毒防駭軟體、而且經常更新系統，以即時修補層出不窮的各種系統與軟體漏洞。
然後，一定要有防火牆；不管是軟體的還是硬體的，統統打開就對了。
很多惡意軟體是先感染機構中的某台電腦，然後透過內部網路到處傳播；現在不管 Windows 還是 Mac 系統，都內建了防火牆功能，可以擋掉相當多的奇怪連線，所以一定要記得打開。
3. 用密碼管理工具管好你的密碼
什麼叫做管好密碼？就三件事。前兩件事其實大家都知道，就是：
- 盡量使用又長又臭又複雜的密碼，例如大小寫字母、數字、特殊符號的隨意組合，更不要用生日、身分證字號等個資，以免被駭客輕鬆用字典攻擊、社交工程或暴力嘗試法輕鬆破解；
- 不要在不同的服務間重複使用相同的密碼。
然而，這兩件事非常違反人性。又長又臭又複雜的密碼，就是很難記住；不同服務又得使用不同的密碼，要去正確記住哪個服務用哪組密碼，大多數人也都做不到。
於是第三件事就顯得更重要，可以一次幫你輕鬆做好前兩件事：
3. 善用密碼管理工具。
密碼管理工具的妙用很多：
- 幫你產生複雜密碼：很多密碼管理工具，都能隨機產生各種複雜密碼的組合，不用自己想出來；
- 幫你記住不同服務使用的密碼：當你逛到某個需要密碼的網站或服務時，會自動記住你註冊時使用的密碼，並且在需要密碼時幫你自動輸入；
- 利用主要密碼管理所有密碼：這樣你就只要記一組主要密碼，需要其他密碼時，輸入主密碼即可；
- 以一個身分認證機制管理所有密碼：有些設備上有面孔或指紋辨識，密碼管理工具可以整合這些更安全的身分認證機制，要輸入密碼時只要辨認一下面孔或指紋，即可自動輸入帳密，你就連那一組主要密碼也不用記了。
如果你還沒開始用密碼管理工具，建議你現在，馬上，立刻去用。
好用的工具還不少，像是 Apple 平台上有個 Keychain Access（鑰匙圈存取），在 Mac 和 iOS 裝置上能透過 iCloud 同步密碼，所以能在 Mac 上和 iPhone、iPad 上輕鬆管理密碼。
Google 也做了類似的服務「Google 密碼管理器」，在 Google 生態圈的各項產品，如 Android 手機、Chrome 瀏覽器等也可通用。
也有不錯的第三方工具，可以跨平台使用，例如 1Password 或 LastPass 等；功能大同小異。
4. 啟用雙重認證
如果你的服務有「雙重認證」功能，打開來啟用就對了。
雙重認證是在帳號和密碼之外的多一層保障。即使輸入了帳號和密碼，在某些場合下（例如偵測到使用不同的瀏覽器、未曾登入過的手機等裝置），會需要多一道登入認證手續，能將帳號被盜用的難度再拉高一些。
常用的雙重認證機制是透過簡訊認證：利用簡訊，將一組隨機產生的認證密碼傳送到你登錄的手機門號；登入時必須正確輸入這組認證碼才行，不然就無法成功登入。很多網路服務都提供了這類利用簡訊的雙重認證選項。
但是利用簡訊的雙重認證，也不是沒有風險；能取得你的手機門號使用權的人，就能 pass 簡訊認證。
先前在美國發生過一件事：Twitter 執行長 Jack Dorsey 的手機 SIM 卡被人利用一種叫做「SIM Swap」的技巧冒領，結果他自己的 Twitter 帳號就被成功盜走了：
可能美國的手機門市在查驗用戶身分方面比較寬鬆，所以駭客騙門市人員自己的 SIM 卡掉了；於是不費吹灰之力，就拿到燒有 Jack Dorsey 手機門號的新 SIM 卡，輕鬆繞過簡訊驗證。
由於台灣政府要求手機門市人員一定要驗雙證件，才能辦理各種門號異動手續，所以或許因為如此，簡訊驗證的安全性會比美國高一點也說不定。
如果信不過簡訊驗證，也可以採用「認證碼產生器」，例如 Facebook App 就有內建「代碼產生器」，可以用來進行臉書相關功能的雙重認證。
Google 還出了一個獨立的認證碼 App，叫做「Google Authenticator」，很多第三方服務也都提供透過 Google Authenticator 進行雙重認證的選項。
5. 隨時更新系統與軟體，修補已知漏洞
很多人就是不愛更新作業系統或軟體，大家總有各種各樣的理由。
有的人怕原本慣用的軟體，在系統更新後就不能用了（確實可能）、有些人覺得系統更新後會掉資料（這很少發生）；有些人純粹只是害怕慣用的使用方法被迫改變。
但從資安角度看，有更新卻不更新，這絕對不是好事；因為作業系統和軟體必定有漏洞，廠商推出的各種更新，特別是定期發行的小更新，多半都是為了修補漏洞而出。
如果你不裝，就等於放著現成的漏洞不補，等人家來破台。
像是微軟和某些軟體服務商，每個月都有個俗稱「Patch Tuesday」的例行性更新；通常會在每月第二個星期二，固定會推出一大堆產品的更新修補；只要你不要去關掉系統的自動更新，已被發現的漏洞就會即時自動修補好。
如果這樣還是無法說服你，或者你真的不想立即更新、當白老鼠的話，至少請按照下列原則來更新：
- 大更新：可以稍等一下，例如 iOS 12 到 iOS 13，這種大版號的更新，比較多是功能新增或界面調整，比較容易發生大家擔心的舊軟體相容性或操作介面改變等問題。真的不想馬上更新，可以等一陣子，出了新的小改版（例如 iOS 13.1 版）時再更新；
- 小更新：如 iOS 13.1 到 iOS 13.2 等的小改版，多半是安全漏洞修補。這類的小更新不太會增加什麼翻天覆地的新功能，也不太會造成舊軟體相容問題，所以只要推出了，就應立即更新。
在下一篇文章中，我們再繼續來談另外五個也很重要的資安自保技巧。
from https://tuna.press/?p=13619
-----
本文延續前篇介紹的5種個人資安保護技巧，繼續討論另外5種每個人都可以做到，只要格外小心，就能避免許多損失的觀念與技巧。在網路時代，已經沒有人能自外於環境，也都是網路的一部分；如果你在真實生活中會注意自己的人身與交通安全，當然沒有理由在網路上門戶大開。
在上篇之中，我們分享了十個資安自保技巧的頭五個；這篇再來分享另外五個也很重要的技巧。
如果您還沒看過上篇，可以先把本篇讀完，再回頭看上一篇也無妨。
6. 遇到不明連結或email，務必仔細檢查，寧可不點
現在許多駭侵攻擊，都是透過「惡意連結」來進行的；如果不小心點了這類惡意連結，你的瀏覽器就會被帶去駭客用來發動攻擊的頁面。
這種頁面要嘛是長得很像真真網站，但卻是用來騙取帳密或個資的假網頁，不然就是內部直接含有攻擊用的惡意程式碼。
這些惡意連結的傳遞管道非常多元。釣魚郵件經常是透過 email 寄送假連結、也可以透過社群服務（粉絲團、社團）來大量分享惡意連結。
最近也常出現透過簡訊或即時傳訊來傳遞惡意連結，用很誇張的優惠（例如「一折破盤價買設計師款名牌包」）、或是警告訊息（「你的信用卡被盜刷」啦、「你的貼文違反使用條款」等等），誘使大家去順手點按。
釣魚郵件長這樣
下圖就是一個釣魚郵件的例子：畫面中這封 email 假裝是美國銀行寄來的通知信，謊稱「偵測到你的信用卡有異常消費」，然後提供一個假裝成美國銀行官網的連結要你登入。
如圖所示，假連結指向的真正網址根本就不是美國銀行的網站，而是一個不明網站。
另外，如果把這封 email 的標頭（header）打開來看，雖然寄件人名稱寫的是「Bank of America」，但發信地址卻是來自「comcast.net」這個用戶很多的 ISP；這也是警訊之一。
為了卸除大家的心防，惡意連結往往也會經過一些偽裝，例如用個非常像的網址（例如「faceb00k.com」或「Goog1e.com」，你看得出哪裡怪怪的嗎？），或是乾脆用一些公用縮址服務，把網址包裝起來。
小心假連結
怎麼辨認這些藏了假網址的連結？其實是有點麻煩又反人性的。例如當你在電腦瀏覽器看到假網址時，先把滑鼠指標移到連結上，別按下去；趕快看一下視窗底部狀態列上顯示的網址是不是怪怪的。
如果看起來不像官方網站應有的網址、或者根本是個縮址，就要特別小心。
手機或平板的瀏覽器上，則多半沒有狀態列可以看。那怎麼辦呢？
這時有個更麻煩的方法，就是在手機或平板上長按那個連結，多半會出現功能選單，這時可以把連結複製貼上到下面這個「網站安全檢查器」中，看看檢查結果：
因為這樣做實在太麻煩了，所以大家常用的瀏覽器如 Google Chrome、Firefox、Safari 等也都內建了網址檢查機制；在遇到已知的假網站時，就會跳出警示畫面。
遇到未知的假網站時，瀏覽器可能會偵測不到；但如果電腦上如果有裝防毒防駭軟體，也能充當第二條防線。
許多大型 email 服務也會檢查郵件內容，如果偵測出可能是釣魚信時，也會先擋一輪；但像 LINE 或 SMS 簡訊就沒有這種偵測機制了，只能靠自己小心。
總之，當你看到怪怪的連結，特別是訊息中的優惠或警告看起來有點誇張可疑時：
不要點，就對了。
7. 下載 App 前先看評價和留言
常看資安消息的話，你就會發現，很多駭侵攻擊是透過手機 App 來進行的；我說的不是「某一個 App 被駭」，而是你安裝的 App 本身就是駭客寫的，或是因為用了被駭過的開發工具，導致 App 裡頭含有駭侵程式碼。
惡意 App 會怎麼搞你？除了偷竊個資之外，還有以下你可能不知道的幾種常見類型：
- 在背景中執行詐騙廣告點擊：這種 App 會在背景拚命開啟廣告大量進行點擊，開發者就能賺到巨額廣告分潤；你什麼都看不到，但是會發現網路連線用量暴增。如果使用的不是上網吃到飽的門號，接下來就會收到嚇死人的連線費用帳單，或是莫名其妙被降速。
- 在背景挖礦：這種 App 會在背景執行非常耗電的挖礦程式，讓你的手機 24 小時幫駭客賺錢；你只會發現手機突然變慢之外，還變得特別耗電，甚至還會發燙。因為長期過度操勞，手機也可能提早報廢。
- 偷偷幫你訂閱高價服務或課金：國外有很多這樣的案例，安裝了惡意 App 後就莫名其妙成為一些從沒聽過、貴死人服務的訂戶，或是在不知不覺中被某些貴死人的 App 課金。同樣的，駭侵者可以賺到推薦分潤，你負責埋單。
- 變成日後駭侵攻擊的跳板：很多駭客駭你不是為了錢，而是利用你的手機，當成「僵屍網路」的一部分；等駭客一聲令下，所有被駭的手機，就會同時對駭客指定的目標發動攻擊，而你完全被蒙在鼓裡。
Android 的惡意 App 特別多
這裡要再次提醒 Android 用戶，一定要特別留意你下載安裝的 App。Android 除了官方的 Google Play Store 外，還有很多第三方的 App Store；這些 App Store（甚至包括 Google 自己的在內），上架幾乎都不需經過嚴格的程式碼審查機制，所以惡意 App 相當多。
相對的，iOS App 因為上架審查機制比較嚴格，所以能成功上架的惡意 App 幾乎沒有，比較安全一些。
不過，如果你的 iPhone 或 iPad 越獄（破解）過、自己還從其他管道下載安裝越獄後專用的 App ，那也就難以避免惡意感染了。
同理，Root（解除最高管理權限）過的 Android 裝置，如果去裝要 Root 後才能用的 App，下到駭侵 App 的風險就更高了。
有一個技巧可以多少讓你避開惡意 App，那就是下載前先看一下這支 App 的評價和留言。如果有很多留言說這支 App 怪怪的，像是功能名不符實、會閃退、會要太多不需要的權限、甚至有人被駭，就要特別提高警覺。
另外，盡量避免從官方 App Store 之外的地方下載安裝 App，也是很重要的自保技巧。
8. 別讓不明硬體插上電腦或手機
前一陣子有條新聞：美國洛杉磯郡的地方檢察署發出警告：隨處可見的公眾 USB 充電服務站，可能會被駭客利用來放置惡意軟體；手機一旦插上這類看似無害的 USB 充電線，就可能被立即植入惡意程式。
事實上，硬體植入是最厲害的駭侵手段。不論是盜取資料、植入惡意軟體等，若是直接利用硬體連線來進行，會比透過網路或軟體方式快速有效，而且更加難以阻擋。
如果各位記憶猶新，應該會記得過去有很多 Windows 病毒，都是透過中毒的 USB 隨身碟來傳輸的；很多國家的情治單位在遇到可疑分子時，也會要求直接取得手機或電腦，拿去插上特製機器，直接快速取得他們想要的情資。
所以，千萬別讓你不信任的硬體裝置，有機會插上你的手機或電腦。別人的 USB 隨身碟、不明 USB 裝置、公用充電服務等，最好都能避免。經常有充電需求的話，就辛苦一點，自備行動電源吧。
同樣的，要傳檔案，請盡量透過雲端服務，用網路來傳，盡可能避免透過危險的隨身碟來傳；同樣是 Mac 的話，用更快速好用的 AirDrop 就好了。
9. 不要使用不明的網路連線服務
在各種駭侵攻擊中，有一種很常見的攻擊手法，就是駭客先駭入某個內部網路中比較容易攻擊得手的目標（例如沒有更新系統的電腦或連網裝置），然後掃描內部網路中其他目標，再鎖定含有重要資料的主機來進行攻擊、或是持續感染其他有漏洞的裝置。
因此，如果想要避免這類透過內部網路的攻擊，一來一定要啟用自己裝置上的防火牆或防毒防駭軟體，二來就是要避免使用不明的網路連線服務。
沒有加密的公眾無線網路，可以說是最危險的一種；攻擊者很容易在這樣的網路中散布惡意軟體，然後又可以接觸到大量的目標。
但即使用密碼上鎖的公眾無線網路，也未必會比較安全；像是飯店等公共場所的無線網路，密碼根本就寫在菜單上、或是掛在牆上，甚至還有很多都是用電話等萬年不變的密碼。這種密碼根本等於沒有，駭客可以輕鬆在這樣的內部網路裡散播惡意軟體。
所以，你的手機或電腦中，如果真的有很敏感的資料，記得防火牆開好開滿，同時盡量用自己手機的熱點分享網路給自己用；少用別人分享的網路，也不要分享給別人用，免得後門洞開。
10. 上網裝置務必避免中國品牌，也避免使用中國網路服務
最後一個技巧是我個人多年來的堅持：可以上網的各種資通訊裝置，我絕不買中國品牌的產品；至於像微信、抖音等中國網路服務，我也盡可能不用。
很多人讀到這裡，可能會覺得這裡有什麼政治偏見（對，我個人的政治立場十分明顯）；你要這麼說也行，但我有我的理由。想瞭解的話，就請你繼續讀下去。
為什麼要避開中國品牌的資通訊產品，而美國或其他國家的就比較不用避？並不是因為中國品牌就一定不安全，其他國家的就一定安全？其實，完全不是這個邏輯。
公開透明，才是安全的保障
即使是美國品牌的資通產品，也是一天到晚被發現漏洞；但是：
「被發現漏洞」這件事，本身就是一種安全的保障。
資訊自由的民主國家，有各種能夠發現問題、解決問題的機制，也有一堆資安專家和資安媒體當做守門員；如果有廠商膽敢在產品中放後門，很快就會被揭穿打爆。
像中國這種極權國家則不然。一方面中國社會不民主不透明，缺少這種第三方的自清機制；另一方面，很多重要資通訊產品的生產者和網路服務商，背後都有中國政府和共產黨的勢力，黨和政府要他們做什麼，他們只能唯命是從。
從風險控管的角度來看，明知中國製產品的資安風險極高，卻因為便宜或其他理由而冒這個險，在我看來，根本就是開門揖盜。
所以，如果可以的話，建議大家，能上網的任何東西都不要採用中國品牌；至於中國網路服務，能不用就別用。如果非用不可，則請盡量使用比較安全的裝置和作業系統（例如 iPhone）來用這些中國服務。
當然，信不信由你；你的資安，只有自己才能負全責。
from https://tuna.press/?p=13639
No comments:
Post a Comment