一般來講，.exe 檔案是在 Windows 系統執行，而如果於 macOS 執行.exe 檔案，應該就會出現 error。但 Trend Micro 研究員最近發現有 .exe 惡意程式偽裝成 macOS installer，能夠繞過蘋果 macOS 嘅保安而感染系統，認真奇妙。 研究員發現數個惡意應用程式偽裝成為 .dmg 安裝程式，內含以…

最近在不同的電車站，都看到「為香港・搏到盡」幾個剛勁有力的大字，原來這是阿里巴巴集團旗下的雲計算平台阿里雲最新的宣傳主題。公司自 2014 年以來已在本港設立兩個數據中心，多年來大力推動香港企業數碼化轉型，這輯宣傳展示了幾個本地知名企業的應用實例 ，包括英皇金融集團及香港快運航空。 「在我們看來，金融跟物流業是支撐香港經濟的中流砥柱，在全球也處於領先地位，這兩家香港本地企業，在各自領域都做得非常出色，而同樣都選用了阿里雲的安全產品。阿里雲亦希望通過我們的雲端和 AI技術為行業客戶帶來業務裨益。」 安全不僅僅是針對雲端，而是整個業務流程 劉彬星指出，現時大部份客戶採用雲端跟 AI 技術時，都非常關注技術的安全性。「安全不僅僅是針對雲端技術，而是不同企業本身的整個業務流程，有沒有安全可控的解決方案。」阿里雲服務範疇涉獵甚廣，從網絡、服務器、應用、業務安全到安全管理服務一應俱全，為企業提供 Anti-DDoS、WAF （網頁應用系統防火牆）等解決方案，同時亦有團隊專責進行全面的滲透測試，更在全球多個地區設立大流量的 DDoS 雲清洗中心，服務極之全面。「其實概念很簡單，上雲就等於你把錢放在銀行的保險箱，我們的防衛能力一定比客戶自己構建的更牢固、更可靠，才能讓客戶信任我們。 」 劉彬星，阿里雲港澳及韓國區總經理：阿里平台每天都抵禦非常多的網絡攻擊， 確保幾億消費者放心愉悅地使用服務，所以說「十年攻防，一朝成盾」。阿里雲將阿里巴巴集團內的最佳實踐方案，商業化推送至客戶。 十年攻防，一朝成盾 「以英皇金融為例，作為一個交易網站，講求的是彈性擴充的能力，我們的 Elastic…

香港《個人資料（私隱）條例》早於 1996 年生效，是亞洲首個全面保障市民私隱的條例，我們，曾經很先進。「但那是二十年多前的事。其他後來者如日本、新加坡則與時並進，不斷修訂，而香港就原地踏步，猶如在用二十年前的電話，很落後。」莫乃光從事資訊科技及電訊業二十多年，見證業界發展，作為立法會議員， 開口埋口都是政策。「政府要改變做事方法，要知道今日的網絡世界如何，要更新政策，拖延下去絕非香港之福。」 香港，未 ready 「香港現在面對的網絡安全問題，基本上與全世界都一樣，其實重點是應對的準備是否足夠，而我覺得香港未足夠。」莫乃光所講的準備，是預防事故發生、準備程度、警力、法例、罰則等。「單是政策及法例，已經有很多需要改善的地方。現在很混亂，例如政府可以用那條法例檢控網絡入侵呢？《電訊條例》用過一兩次，檢控不法偷用電視機頂盒訊號；《截取通訊及監察條例》呢？只能用於本地執法部門，不適用於其他罪犯。再問下去，『不誠實取用電腦』又範圍太闊，實際拘捕最多的可能是偷拍裙底的罪犯。」莫乃光指出，香港現行法例並沒有一條具針對性。檢控方面未完善，至於阻嚇及預防方面，亦有不足。 條例修訂困難重重 私隱條例訂立至今未有大改，原地踏步，尤其對照歐盟 GDPR 更見分野。「GDPR 對個人資料有新定義，香港的定義仍然沿用二十年前的；GDPR 罰則嚴厲，可達公司全年收入的 4%，具阻嚇作用。另外，香港私隱專員的權力、檢控權都很薄弱，都必須檢討。」可喜的是自從國泰等事故之後，政府承諾會在第一季檢討相關政策，研究修訂條例。「不過，過程亦困難重重，凡是會提高成本的條例，商界很多時就本能地反對。而似乎政府害怕商界的反對聲音，多於緊張對市民或消費者的保護。」以往不少條例如商品說明、競爭法等的推動都停滯不前，比其他地方明顯特別落後，是有其原因的。 莫乃光，資訊科技界立法會議員。 政府要支援企業 莫乃光認為政府應該做的另一樣事情，是對企業的支援。「政府投放於創科的金額可以過千億，但沒有任何資助用在網絡安全上。中小企雖然可以申請科技劵，但資助用於改善系統以增強競爭力，就沒有資源做好網絡保安，所以政府應該開出特定的金額，幫助他們做好網絡保安的工作。」莫乃光對政府的評價也並非全盤負面，對警察的執法能力就相當肯定。 支持警方擴軍，籲增透明度 「我覺得警方具備了足夠的能力應對網絡罪案，警方特別擴充部門，成立網絡安全及科技罪案調查科，人手亦每年遞增，我絕對支持。」近年網絡罪案數字不斷上升，加強警力非常合理。「我相信罪犯都明白，今時今日在網上犯案搵錢很容易，風險亦較低。唔通仲揸支槍去打劫？」莫乃光認為唯一的不足，是部門的透明度很低。「其實我沒有足夠資料去討論細節，因為透明度很低。我認為警方可以多與業界及專家交流，讓大眾對警方更有信心。」 網絡安全立法有其利弊…

倒賣之王，長老拜服 在近年互聯網的世界市場，以一個概念、想法、產品，用科技去顛覆舊行業，什麼共享經濟，足以令一間小小公司成為獨角獸，屢見不鮮。我對本故事主人翁，可以將同一個概念類似的產品可以賣完一次又一次，不得寫個服字。他是 DNS 倒賣之王 David Ulevitch。 大學的一年級的 DNS 小型項目終被收購 2001年，David作為華盛頓大學的一年級學生，創建了 EveryDNS。EveryDNS 是一個典型的大學科研小型項目，這項目以滿足 David 對於 Web 的 DNS 管理軟件的需求。雄心勃勃的 David 當時想成為域名系統提供商，讓用戶可免費將域名映射到網站，系統的所有運作經費完全靠捐贈資助。EveryDNS…

美國國家反情報與安全中心（National Counterintelligence and Security Center，NCSC）表示，美國企業一向是國家級黑客的目標，NCSC 日前推出一系列宣傳品教導企業對抗網絡攻擊。 美國企業被黑攻擊頻繁，資料外洩、供應鏈遭滲透、情報遭截取等事故屢見不鮮，代價沈重，甚至危及國家安全。而且不少攻擊模型屬「國家級」的，NCSC 舉例去年 3 月來自伊朗的大規模網絡攻擊，竊取美國企業及超過 144 間美國大學的研究成果、3 月 發現由俄羅斯政府主導，偵測美國的能源部網路，還有 9 月北韓的 WannaCry 2.0 攻擊。因此，NCSC 推出網絡安全宣傳活動，以提高國民及企業意識。最新推廣活動名為「Know…

在 2019 年消費性展覽 CES 上，實體安全金鑰開發商 Yubico 首度推出支援 iPhone 的新款金鑰 YubiKey，iPhone 用戶密碼安全保護從此多一種選擇。 其實實體金鑰的原理就同普通屋企鎖匙一樣，只不過將網上帳戶密碼轉換成物理鎖匙。用戶使用時，要先在支援該功能的網站註冊一個「瑣頭」，從此登入該網站，就只需將安全金鑰插入電腦或手機設備便可「開鎖」，無需再輸入密碼。因為需要用到物理鎖匙，安全度便可大大增加，對於堅持使用弱雞密碼「123456」的懶人嚟講，可話一大恩物。 Yubico 為目前市面上較多人使用的金鑰品牌，好長一段時間，該公司僅面向 PC、Mac 及其它移動設備。如今推出 YubiKey for lightning，已獲得 Apple…

「Hacker 不一定要穿 hoodie，不一定在漆黑中、電腦前不停打 code 的。」卡片上職位是 Senior Associate，其實就是 Ethical Hacker，Monie Sum 專程化個靚妝再襯條裙來做訪問，希望一洗大眾印象，包括自己親朋。「我也解釋了很多次，但總有家人及朋友不太明白甚麼是 Ethical Hacker。」大眾聽見「黑客／Hacker」聞風喪膽，而其實呢，Ethical Hacker 是專業人仕，PwC 就有幾十個，可以在中環 Big Four 會計師樓返工，團隊三份一是女生，更率先享受「靈活工作」計劃，彈性工作時間、衣著、地點，加上市場求才若渴，絕對是職場新貴。 「成黑之路」從「多手」開始…

權限（Access Rights）是一件很好玩的東西，在電腦系統中，處處可見其身影。例如，你登入你的網上銀行，你只能見到你的資料，見唔到我的資料，這就是你的「權」的「限」。理論上，系統中的一切活動，都需要夠權。不夠權，就睇唔到、改唔到、用唔到（此即上文的 C/I/A）。所以，世上所有黑客，都想抵達一個超高權限的境界，有如系統 Administrator 所有的特權咁高。如此，佢就乜都睇到、乜都改到、乜都用到（理論上）。 對於 Administrator 呢一類特權帳號（Privileged Accounts），係要好好管理的。但係……點管呢？因為佢係特權帳號，佢所有活動紀錄都可抹去、一切對佢設限嘅手段都可以被他撤去，反過來，佢可以更改所有其他帳號，叫其他人奈佢唔何。咁又問，可唔可以取消呢 D 特權帳號，人人平等呢？咁又好危險，因為電腦成日壞，在緊急關頭要救機，唔通仲要圍十條友用十個帳號做十樣嘢咩？一定要用特權帳號，bypass everything，救到個系統再算。 （如果你再問我，點解系統會故障、點解要救機，你可以打去消費者委員會問。） 以前，管理這些特權，唯有由政策入手，再加信封。政策上講清講楚，冇人可以有特權帳號嘅密碼，要用的話，拆信封讀密碼，兩個人一齊做嘢，然後再改個新密碼入信封，再將信封鎖入夾萬。幾十年過去，好多機構仍係咁做。 以上這些，行家好清楚，煩親大家唔好意思。 現在係講真話時間。在塵世上，多數會出現以下情況： 特權帳號一地都係。有 D 秘密特權帳號，唔係叫 root…

近年常常聽到「人工智能」一詞，好像潮語一樣，並代表著「高科技」的意思。一些產品含有自動調節功能，就以誇張宣傳手法說是「人工智能」，這根本不符合「人工智能」的定義。 「人工智能」已有幾十年歷史，早在八十年代初，電腦科學家便開始設計能學習和模仿人類行為的程式。在電影裏，如《Terminator》、《Matrix》或《Ex Machina》所描述的「人工智能」，都擁有觀察和感知能力，並可以做到推理和解決問題，這類可稱為「強」人工智能，但是現今技術水平仍未有效實現。 目前的科學研究工作都是集中在「弱」人工智能這部份，並取得重大突破。智能是從何而來呢？讓我們先理解「人工智能」、「機器學習」和「深度學習」的區別和關係。 「人工智能」的領域中，「機器學習」是其中一種方法；在「機器學習」的技術中，通過使用大量樣本作訓練而積累的智能，就稱為「深度學習」。 在使用電腦的過程中，大家會不知不覺地留下大量數據及電子足跡，這給予「深度學習」在訓練時所需之用；此外，系統運算速度的提升，令「機器學習」時間大大加快。綜合這兩個主要因素，終於令「機器學習」成熟起來，在「人工智能」的應用邁進了一大步。 同樣，近年一些高端網絡安全產品也採用「機器學習」去處理大量電腦使用者的日常行為，並作深入分析。即使黑客成功盜取了用戶的帳號及密碼，保安系統也會跟用戶日常使用方式作出對比，如發現有明顯偏差，就會發出警示或作出攔截。一幕幕兵賊鬥智（人工智能）的場面，已在網絡安全領域中展開。

自 Facebook 被爆 5.33 億用戶數據洩漏，LinkedIn 亦被爆發生洩漏事故！一個據稱包含 5 億個 LinkedIn 個人資料數據存檔，在一個知名的黑客論壇上出售，該貼文的作者又洩漏了另外 200 萬條記錄，作為驗證的樣本。四個洩露的文件包含 LinkedIn 用戶的信息，包括其全名、電郵地址、電話號碼、工作場所等。CyberNews 提供檢查網站（https://cybernews.com/personal-data-leak-check/），讓用戶可檢查有否中招。 在該黑客論壇上，用戶可用大約值 2 美元的論壇積分，查看洩漏的樣本，但黑客似乎正在以拍賣形式處理逾 5 億名用戶的數據庫，並將價格定位為至少…