VISA上月於中國舉辦的 VISA SECURITY SUMMIT 安全峰會上，提出為了加強信用卡客戶的安全保障，計劃讓全港合作商戶參與代碼化（Tokenization），將客戶的信用卡資料變成代碼，即使黑客攔截到這些代碼，也無法進行任何逆向破解。 VISA 在同場公布的港澳區「支付安全藍圖」內，更表明希望年交易宗數達 100 萬宗以上的商戶，可以在明年內採用資料代碼化，2021 年再擴展至所有合作商戶。到底這種代碼化技術有何獨到之處？ 加密與代碼化技術 近年網上購物平台大熱，再加上形形式式的電子支付應用程式，令香港人習慣了使用電子支付服務。不過在支付較為大額的費用時，不少消費者仍傾向使用信用卡付費。VISA 上月在安全峰會上就指出，港澳區的無卡支付欺詐交易比率在去年第三季急升，為了提升信用卡用戶的安全，VISA 就希望能加快在香港推行代碼化技術。 對於電子支付的安全問題，大多數人都以為傳輸過程是以加密（Encryption）技術，將信用卡號碼、到期日等數據以金鑰加密，即使黑客中途攔截交易數據，在沒有金鑰下也難以破解。不過，由於這些數據被加密後未必可以維持原始格式，處理時有需要修改資料庫或檔案格式，而且傳輸的資料亦是原始資料，所以一旦金鑰外洩，就可逆向破解出原始資料。 非演算亂數無法破解 代碼化技術則以相同格式的亂數進行傳輸，舉例原來的信用卡號碼為 16 個位，代碼化後的亂數依然保持 16 個位格式，再加上當中不涉及任何數學演算對應關係，所以即使黑客攔截到這組代碼，亦難以估計這組代碼是原始資料抑或亂數，以信用卡為例，黑客便無法知道這 16 位數字是原來的版本抑或亂數後的版本，達到客戶去識別化的效果。現時 Apple Pay、Google Pay、Samsung Pay 均採用代碼化技術去處理交易資料。代碼化技術的另一好處，在於它可免於受由信用卡組織制定的 PCI-DSS（Payment Card Industry Data Security Standard）金融機構安全認證審查，大大省卻投放於達成標準所需的準備費用之上。代碼化技術除了可以應用在電子支付之上，為應付全球各國日益提升的個人私隱法例，它還可提升其他個人敏感資料、病歷紀錄的安全程度。 事實上代碼化技術亦有很多種類，到底它與傳統的加密法各有什麼優勢？要引入這項技術，電商或信用卡組織伙伴有什麼需要準備？如何選擇合適的電子支付服務，才能提升公司的營業額？網絡安全應用方案供應商 Edvance X Thales，將於下月舉辦工作坊，詳細講解代碼化技術的應用及解答業內人士的問題。名額有限，如欲了解代碼化技術的詳情及應用範疇，請即點擊報名連結。 Edvance…

雖然 iOS 系統比較封閉，安全性一直較 Android 為高，但始終唔可能百分百安全，好似最近又被網絡安全專家發現，黑客可以利用一種名為 URL Scheme 嘅漏洞，透過惡意應用程式去盜取用戶登入其他應用程式，例如 WeChat 嘅個人資料，如果用戶一個唔留神，仲有可能幫黑客嘅消費找埋數添！ URL Scheme 基制提升客戶體驗 為咗防止應用程式暗中讀取其他應用程式嘅執行數據，Apple 喺 iOS 作業系統上利用咗沙盒（Sandbox）功能，將每個應用程式放置喺隔離空間執行，咁就可以防止互相讀取資料嘅行為。不過，為咗方便用戶喺用緊一個應用程式時，點擊一個功能鍵或網址連結就可以打開另一應用程式，或透過 Facebook、Gmail、WeChat 帳戶作為登入其他應用程式嘅認證，Apple 就喺…

第一日返呢份工，枱頭就有部 30 吋 Apple Cinema Display 同埋 iMac，當時真心好興奮，終於有機會加入蘋果陣營。不過同事靜靜雞提醒，最好都係遮遮個鏡頭，起初都以為佢哋諗多咗，但直到呢單新聞出現，都係轉頭封咗個鏡頭佢啦！ 講緊嘅係 MacOS 版本嘅 Zoom，呢個全球有 400 萬用家嘅視像會議軟件，俾網絡保安研究員Jonathan Leitschuh 發現有大漏洞，就係軟件會喺電腦入面安裝一個網頁伺服器（web server），只要 Zoom 用家唔小心打開咗一條邀請參與會議嘅惡意連結，之後黑客就可以喺用家唔知情嘅情況下，自動開啟視像會議，換句話講，即係打開 Mac…

估唔到黑客都咁追得上潮流，連殭屍病毒都吹起韓風。最近有新品種殭屍病毒專攻南韓同埋中國嘅 Torrent 網站，主要針對韓劇種子嚟落毒，用家一唔留神就會中招。韓劇迷 BT 嘅時候要小心！ 網絡安全品牌 ESET 嘅研究員發現新品種殭屍病毒，趁住韓劇、韓國電影甚至韓國遊戲大受歡迎，廣泛喺南韓同埋中國嘅 Torrent 網站落毒。只要網民打開咗有問題嘅 BT 檔，病毒就會喺受害者嘅電腦上打開後門，將電腦變成殭屍大軍嘅其中一員。研究員指出，該病毒其實係 2017 年爆發嘅 GoBot2 變種，由於變種元素主要針對韓國，所以就命名為 GoBotKR。 GoBotKR 通常以韓劇、韓國電影、遊戲嘅種子作包裝，爆開之後，就有幾個檔案，通常包括無毒嘅 MP4…

如果問未來最矚目嘅流動通訊科技係乜，十居其九都會答5G同埋物聯網（IoT），華為創辦人任正非月初接受英國《金融時報》訪問，都話美國佬搞完佢哋嘅5G後，下一個戰場就係物聯網，就知呢兩樣嘢幾咁受全世界重視。 不過物聯網有個好大嘅問題，就係物聯網嘅概念係將所有本來上唔到網嘅死物，都搞到佢哋可以駁晒上網，以前就算只得電腦同埋手機可以上網，要搞網絡保安已經唔容易，而家仲所有嘢都上晒網，黑客要入侵更加易而反掌。 舉個簡單例子，之前聽行家講過，有個中小企客俾黑客入侵，check晒全公司網絡都搵唔到個漏洞，最後結果發現原來佢門鎖係連住物聯網，但係因為要識別員工資料，所以又連咗上公司個數據庫，就係咁出事……試想像一下如果公司有幾樣嘢都用緊物聯網，情況會幾失控。 歐洲一間認證機構digital.security就諗到條橋，幫出品物聯網設備嘅公司做認証，只要產品出廠前俾佢哋做25至30個測試，確保產品無論連接其他物件、互通訊息嘅協定、連接嘅伺服器，以及產品內置嘅應用程式，都唔會有保安漏洞，而成個過程會聘請獨立資訊保安專家嚟評估，通過測試就會喺產品貼上IQS（IoT Qualified as Secured）嘅標誌，為期兩年，兩年後要再拎返嚟重新測試先可以續牌，過程都好嚴格，以後要添置物聯網產品時，就記得睇下有冇IQS標誌先好買！

雲端科技發展迅速，市場上有著廣泛的雲端服務供選擇，助企業實現數碼轉型以保持競爭力。市場調查公司 Gartner 高級研究主管 Elias Khnaser 曾表示，選擇正確的雲端服務是 IT 領導者所必須掌握的技能，因為它主宰著物聯網、人工智能等新世代應用的成敗。要真正成功實現轉型，首要秘訣是在芸芸眾多的雲端服務商中，揀選值得信賴的供應商，借助合適的雲端科技及專才支持其發展目標。不過，選擇的過程可謂複雜困難，考慮因素多，企業宜就供應商的四個方面先了解清楚： 1. 供應商的技術及服務支援能否滿足企業的需要？ 雲轉移並非單單將數據或應用程式由公司伺服器搬上雲端，還須各種技術的配合。因為雲端服務供應商採用的硬件架構、技術框架或管理標準各異，與企業本身採用的不盡相同，如兩者存在的差異過大，便難以將企業內部的私有雲與雲端服務供應商所提供的公共雲接軌；所以在採用合適的解決方案前，必須全面評估供應商所提供的服務，是否能夠理解企業本身需要而作出配合？由雲轉移的資詢、部署到實行的過程中，會否得到相關專才持續向企業提供全面支援及優化建議，加快採用雲端技術和數碼轉型？ 2. 供應商的發展藍圖是否符合企業的創新路向？ 除了著重當下，企業還需放眼將來。不論是 IaaS （Infrastructure as a Service,基礎設施即服務）還是SaaS （Software…

https://www.youtube.com/embed/LylBbr_IK74?wmode=transparent&rel=0&feature=oembed 後門（Backdoor）係近期非常熱門嘅話題，成日有人爭拗後門係有心擺入去，漏洞（Vulnerability）就係無心之失。不過，網絡安全組織 VXRL 成員 Boris So 就話其實有心定無意並唔重要，因為出嚟嘅結果就係可以俾黑客偷入嚟做嘢。今次佢就同大家分析下究竟常見嘅後門有幾多種先。 「近嚟國際關係緊張，所以 backdoor 就成為咗爭拗問題。以前大家都覺得後門係特登整出嚟，將一啲唔需要、唔應該存在嘅功能放喺系統入面，例如無緣無故 send 走啲檔案，又或者俾人隱密進入系統等等。」Boris 指出至於工程師、開發者為咗方便維修而設置嘅「後門」，就被叫做 Trapdoor。「如果純綷從技術角度分析，其實係睇唔到有心定無意，因為大家做到嘅嘢都係一樣；舉個例，原本你部手機係 unlock 唔到，但透過一啲方法可以解鎖或 root 機，咁就好難拗呢啲方法係咪後門。」 Boris 以之前被大規模封殺嘅公司所推出嘅電腦為例，「之前俾人搵到佢嘅…

老闆成日同我講，公司budget好緊架，應慳則慳啦，IT嘅嘢夠用就得啦，唔好出大穫嘢就得架喇。於是尋日開會我就索性拎咗單新聞俾佢睇，佢睇完就即刻轉晒軚，話一間公司嘅網絡保安其實好緊要架，仲即時批咗大筆錢落嚟添置新器材。 乜嘢新聞咁巴閉？咪就係英航俾人判罰天價罰款囉！事緣舊年9月，英航俾一個名為Magecart嘅黑客組織睇中，佢哋一向玩慣card skimmer呢個數碼版信用卡讀取器程式，於是搵方法拎到英航網頁嘅登入權限，再將card skimmer 嘅 script 植入俾錢買機票嘅網頁，結果成功喺舊年8月21號到9月5號期間，偷走約38萬客戶嘅名字、電郵地址、信用卡等資料，詳細案情可以睇番我哋舊文（https://bit.ly/2CPy0f7 ）。 經過一輪調查之後，英國資訊專員辦公室（ICO）早兩日就決定向英航罰款1.8億英鎊，係ICO歴來開出最大額罰款，差唔多係英航2017財政年度全球營業額嘅1.5%，諗起都好肉赤！英航行政總裁Alex Cruz當然立即出嚟呼冤，話對ICO嘅決定感到驚訝和失望，英航對偷取客戶資料嘅犯罪行為作出快速反應，並未發現與盜竊相關嘅賬戶存在欺詐行為嘅證據……咁佢哋仲有28日上訴期嘅，或者可以減到罰款都未定。 可能大家會問，點解今次判得咁甘？之前Facebook、Yahoo、Equifax發生嘅事故仲大單啦，點解都係罰50萬英鎊就搞掂？原來係因為舊年5月歐盟通過新私隱條例《一般資料保護規則（GDPR）》之後，加重咗罰則，最高罰款可以去到全球營業額嘅4%，所以今次英航其實係未去到最高罰款嘅，但撞正事件喺GDPR通過之後先發生就冇法子啦，但亦都俾到教訓各大小企業嘅老闆們，唔好睇少保護客人資料呢樣嘢，唔係分分鐘賺埋都唔夠交罰款！ 相關文章：【謎底已經解開！】英航資料洩露案真相大白？

數碼轉型是當今企業必須面對的問題，而在複雜性上，傳統大企業的業務眾多，透明度較低，加上採用的系統亦未必能追上新科技，以至接軌上出現斷層，轉型難度自然大增，要達成目標，便要抱著鋼鐵般的決心。成立接近六十年的華懋集團（Chinachem Group），主要業務為地產發展及物業管理，同時間亦有經營酒店業務；旗下僱用的員工數千，包括全職及兼職員工，可想而之單是處理人事管理問題已相當複雜。集團在去年十月，宣布選用企業管理及商務解決方案供應商 SAP 的軟件及雲端解決方案，以助企業轉行數碼轉型，華懋集團執行董事兼行政總裁蔡宏興笑說，公司的成與敗便全靠這次轉身。 去年十月，華懋集團宣布採用 SAP 的軟件及雲端解決方案，以助企業轉行數碼轉型。 「數碼轉型已是不可避免，公司內部早已開展轉型的研究，所以當我去年加入集團時，手頭上已有很多研究資料給我參考。」蔡宏興指出雖然有很多公司提供解決方案，但他強調今次華懋並非單純是買產品，而是要選擇一個中長線的合作伙伴，考慮到 SAP 的豐富經驗及有較長遠的支援計劃，同時亦較能了解集團面對的問題，所以便決定與對方合作，為集團的長期轉型戰揭開序幕。 聆聽思考發展空間 蔡宏興在去年接受傳媒訪問時，曾表示數碼轉型會先由人力資源及會計部的企業資源計劃（Enterprise Resource Planning, ERP）系統開始，並預計用年半時間完成。至今已約九個月，進度如何？他回應說進度令人滿意，預計很快可以讓同事測試這個系統的運作。「同事的意見很重要，雖然在職位架構下各員工的責任及條件也有不同，但我們也希望能聽到不同的聲音，因為這些意見就如機器各的小螺絲，主宰著數碼轉型的成敗。」他舉例新的管理系統，將有助集團清楚掌握酒店業務中的散工情況，「以往主要靠人手記錄上班時間，所以可能有一些慣常炒散的員工，其實是較適合以兼職合約僱用。」新系統便能自動提供同事去留意這些問題，令員工架構更清晰透明，同時亦有助減少煩複的表格遞交手續。 今年年底 ERP 系統完成轉型後，蔡宏興說集團下一步將會輪到改革項目管理系統，他說華懋集團的主力業務是地產發展及項目管理，所以希望可以透過新系統，幫助前線員工掌握更多的資訊，利用透過大數據分析，更靈活地利用收集到的數據。面對著許多新科技，蔡宏興說管理層需要好好改變心態，才能在競爭日趨激烈的環境中，讓集團拓展業務。他以 AirBnB 為例，對方並未擁有一間客房，但憑著科技支援，讓公司的訂房業務發展得比傳統酒店更大，這毋疑給傳統企業帶來很大的衝擊。「又如共享辦公室概念已不是純粹的租用辦公室，而是為客戶建立一個社區，幫助他們經營業務，這種做法都與華懋關心社會的核心文化很接近。」蔡宏興說所以公司會定期舉辦交流活動，就是需要收集集團員工更多創新的想法。…

人哋用得你嘅服務，梗係相信你可以守護佢哋嘅私隱，點知上載嘅相可以喺網上任睇，全無私隱可言，咁仲唔係虛假宣傳？Online Buddies 就係因為咁而被告喇。 網絡安全公司嘅研究員經常會進行一啲網上調查，分析一啲應用服務供應商提供嘅服務有無漏洞存在，因為服務供應商未必有足夠人手去監測自己嘅伺服器有無問題，所以當研究員發現到漏洞所在，就會第一時間通知對方修補，而喺漏洞修補後或對方過咗一段時間都無反應，先至公開漏洞等對方正視。一般嚟講，服務供應商都會即刻解決問題，以免影響用家嘅信心，或被黑客入侵造成更大嘅損失。 Online Buddies、Jack’d 共用儲存平台 除咗以上兩項風險，服務供應商仲有可能被執法機關起訴。美國紐約一個專門提供同性戀交友平台應用服務嘅公司 Online Buddies，喺上星期五就俾紐約州總檢察長 Letitia James 檢控，指出被告公司早年收購嘅 Jack’d 手機約會應用軟件存有誤導成分，令用戶相信其上載嘅相片有足夠私隱保護，可以防止被授權以外嘅人睇到，但被告一方卻對漏洞視而不見，收到報告一年都無修補漏洞，令用戶嘅個人私隱蒙受損失，結果判處罰款 24 萬美元，同時勒令 Online Buddies 要持續改善網絡安全程度。…