為咗減少用家帳戶被盜取嘅風險，好多網站或應用程式例如 Facebook、Instagram 都採用咗雙重驗證（Two Factor Authentication, 2FA），用家除咗要輸入登入帳戶名稱、密碼之外，仲需要提供額外嘅驗證碼，例如通過 SMS 將一次性驗證碼發送俾用家，又或好似匯豐等網上理財一樣，要輸入保安編碼器提供嘅登入編碼。視乎所登入帳戶嘅重要性，用家未必每次都需要用到 2FA 嚟登入，例如當網站或應用程式偵測到用家使用另一部裝置登入，又或用家要求重設密碼，先至會觸發 2FA 運作。 暴力破解2FA驗證 Facebook 旗下嘅 Instagram 本身亦設有 2FA 驗證基制，當用家要求重設密碼，Instagram 就會將…

WhatsApp 固然多香港人用，但 Telegram 憑住各種私隱功能，近來亦大受用家歡迎。不過，大家要小心，事關近日接連出現關於 Telegram 及 WhatsApp 嘅負皮新聞，唔係講笑，睇吓係乜事先。 Android 版 Telegram 缺陷 日前網絡安全公司 Symantec 研究員指出，黑客可以利用 Media File Jacking 漏洞，於用戶開啟媒體檔案如相、錄音檔前，進行攔截。 受影響嘅…

第一日返呢份工，枱頭就有部 30 吋 Apple Cinema Display 同埋 iMac，當時真心好興奮，終於有機會加入蘋果陣營。不過同事靜靜雞提醒，最好都係遮遮個鏡頭，起初都以為佢哋諗多咗，但直到呢單新聞出現，都係轉頭封咗個鏡頭佢啦！ 講緊嘅係 MacOS 版本嘅 Zoom，呢個全球有 400 萬用家嘅視像會議軟件，俾網絡保安研究員Jonathan Leitschuh 發現有大漏洞，就係軟件會喺電腦入面安裝一個網頁伺服器（web server），只要 Zoom 用家唔小心打開咗一條邀請參與會議嘅惡意連結，之後黑客就可以喺用家唔知情嘅情況下，自動開啟視像會議，換句話講，即係打開 Mac…

如果問未來最矚目嘅流動通訊科技係乜，十居其九都會答5G同埋物聯網（IoT），華為創辦人任正非月初接受英國《金融時報》訪問，都話美國佬搞完佢哋嘅5G後，下一個戰場就係物聯網，就知呢兩樣嘢幾咁受全世界重視。 不過物聯網有個好大嘅問題，就係物聯網嘅概念係將所有本來上唔到網嘅死物，都搞到佢哋可以駁晒上網，以前就算只得電腦同埋手機可以上網，要搞網絡保安已經唔容易，而家仲所有嘢都上晒網，黑客要入侵更加易而反掌。 舉個簡單例子，之前聽行家講過，有個中小企客俾黑客入侵，check晒全公司網絡都搵唔到個漏洞，最後結果發現原來佢門鎖係連住物聯網，但係因為要識別員工資料，所以又連咗上公司個數據庫，就係咁出事……試想像一下如果公司有幾樣嘢都用緊物聯網，情況會幾失控。 歐洲一間認證機構digital.security就諗到條橋，幫出品物聯網設備嘅公司做認証，只要產品出廠前俾佢哋做25至30個測試，確保產品無論連接其他物件、互通訊息嘅協定、連接嘅伺服器，以及產品內置嘅應用程式，都唔會有保安漏洞，而成個過程會聘請獨立資訊保安專家嚟評估，通過測試就會喺產品貼上IQS（IoT Qualified as Secured）嘅標誌，為期兩年，兩年後要再拎返嚟重新測試先可以續牌，過程都好嚴格，以後要添置物聯網產品時，就記得睇下有冇IQS標誌先好買！

https://www.youtube.com/embed/LylBbr_IK74?wmode=transparent&rel=0&feature=oembed 後門（Backdoor）係近期非常熱門嘅話題，成日有人爭拗後門係有心擺入去，漏洞（Vulnerability）就係無心之失。不過，網絡安全組織 VXRL 成員 Boris So 就話其實有心定無意並唔重要，因為出嚟嘅結果就係可以俾黑客偷入嚟做嘢。今次佢就同大家分析下究竟常見嘅後門有幾多種先。 「近嚟國際關係緊張，所以 backdoor 就成為咗爭拗問題。以前大家都覺得後門係特登整出嚟，將一啲唔需要、唔應該存在嘅功能放喺系統入面，例如無緣無故 send 走啲檔案，又或者俾人隱密進入系統等等。」Boris 指出至於工程師、開發者為咗方便維修而設置嘅「後門」，就被叫做 Trapdoor。「如果純綷從技術角度分析，其實係睇唔到有心定無意，因為大家做到嘅嘢都係一樣；舉個例，原本你部手機係 unlock 唔到，但透過一啲方法可以解鎖或 root 機，咁就好難拗呢啲方法係咪後門。」 Boris 以之前被大規模封殺嘅公司所推出嘅電腦為例，「之前俾人搵到佢嘅…

被視為史上最惡毒網絡武器之一的 NotPetya 之誕生地點，要追溯至烏克蘭的首都基輔。 走過佈滿歷史建築地標的 Podil 街區，咖啡店和公園逐漸消失眼前，取而代之是糟糕的工業景觀。走過一條天橋下方，跨過鐵軌上的垃圾及走進一道混凝土門，便是樓高四層的 Linkgos Group 總部，它是一間小型的烏克蘭軟件家族企業。 其中在三樓有一間伺服器室，內裡堆放了一個個盒子般大小的伺服器，它們被一堆電纜連接著，並用手寫的數字標籤做好標記。平常這些伺服器會負責戈大火弓財務軟件 M.E. Doc 進行定期更新維護，如修復檔、安全修補、調整性能等。M.E. Doc 相當於烏克蘭的 TurboTax 或者 Quicken，總之在該國經營須納稅的生意，幾乎都要用到這個軟件。 不過在 2017…

唔少網絡安全專家都警告，醫療器材將會成為黑客嘅主力攻擊目標。理解嘅，醫療系統儲存咗好多病人嘅個人私隱，特別係私家醫院就有好多公眾人物嘅病歷紀錄，掌握到呢啲可能未經公佈嘅消息，絕對可以多方向謀利，例如勒索對方、發佈消息去操控對方所持公司嘅股價等等。其實除咗可以非法攞到病人資料，仲可以操控性命。 美國食物及藥物管理局（FDA）喺上星期就發出警告，呼籲病人將由美國醫療科技公司 Medtronic 推出嘅胰島素自動注射器 MiniMed 嘅部分型號拎去回收，因為 FDA 發現呢啲產品存在網絡漏洞，可以俾有心人士隔空改變藥劑設定，影響病情。 由於糖尿病人無法分泌足夠嘅胰島素（Insulin），又或出現胰島素阻抗（Insulin Resistance），部分病人有需要口服或注射胰島素藥物，先可以轉化血液中嘅糖份；視乎病情，醫生會調校藥劑，維持體內嘅胰島素量，避免不足或過多。Medtronic 自動注射器嘅出現，就可以按照醫生嘅藥劑設定，自動為病人注入胰島素。不過，由於呢款產品備有無線連接功能，而 FDA 就發現咗有心人士可以喺接受範圍內，利用產品本身嘅漏洞進入系統，修改藥劑量設定，影響病情，所以就要求生產商回收產品。 其實除咗胰島素注射器，其他身體檢查醫療器材如果俾黑客攻擊，例如磁力共振、電腦掃描儀器等，就可以製造虛假檢查結果，有病變無病，無病變有病，令病人延遲接受醫療或製造恐慌，所以除非你一世人都唔使睇醫生，否則醫療漏洞絕對同所有人有關。 資料來源：https://bit.ly/2KOlrE7 相關文章：【醫療事故】醫院洩密 新加坡總理都中招

人生有個豬隊友確係慘仔嘅，最慘如果係自己上司，有時都唔知點幫佢兜，搞到我都好想升高三個 key 同佢講，「你真係蠢唔係扮㗎喎！」唔知係咪開口中，早幾日 Mr. Smith 就遇到以上情況喇。 事緣上星期要測試 vendor 產品，分析吓有冇後門，其中一項要做 dynamic analysis，睇吓隻軟件有無喺過程中做啲古惑嘢。因為時間幾趕，所以成 team 人好快已有共識，就係利用一隻 open source 嘅工具，去 capture 軟件嘅網絡流量做分析，同時用不同嘅 軟件（當然都係快靚正嘅 open…

漠視意見，只會帶來嚴重嘅後果。就好似宿命一樣，但凡有漏洞唔解決，就一定會俾黑客利用。Apple 都冇辦法擺脫呢個 Murphy’s Law，佢嘅 GateKeeper 漏洞冇解決，就出事喇…… 是咁的，今年初研究員 Filippo Cavallarin 發現 MacOS GateKeeper 存有漏洞，允許黑客繞過 Gatekeeper 安全機制，然後喺冇顯示冇通知嘅情況下執行惡意程式。最㷫嘅係，Filippo 通知咗 Apple 之後，Apple竟然漠視意見，一直唔修補呢個漏洞。Well，該研究員惟有將行動升級，喺上個月將呢個漏洞資料公開…… 呢個漏洞主要出自 Gatekeeper…

有睇過嘉倩 BB 嘅講解片，應該都了解 DDoS （Distributed Denial of Service, 分散式阻斷服務）攻擊嘅運作原理。呢種以本傷人嘅攻擊方法，旨在癱瘓目標網站或應用服務嘅運作，完全唔需要對方存在安全漏洞，一味控制殭屍電腦要求連線就搞掂，早前通訊應用軟件 Telegram、本地傳媒蘋果日報，就先後指出曾受到 DDoS 攻擊。就算你無一大堆殭屍電腦兵團，都唔緊要，因為網絡上有大量黑客提供 DDos as a Service 服務，只要肯俾錢就有黑客代勞㗎喇。 美國聯邦調查局（FBI）喺上年已出招打擊呢類受僱型黑客攻擊，不過網絡安全公司 Nexusguard 最近發表嘅《2019年第一季威脅報告》就提到，今年年初受僱型 DDoS…