原本由美國海軍研究實驗室喺上世紀 90 年代開發嘅 TOR（The Onion Router）洋蔥路由器，早前公布自家瀏覽器 Tor Browser Bundle 存在重大漏洞，有可能俾有心人追蹤到用家嘅真實 IP 位址，令到 TOR 嘅隱身功能失效！ 用得 TOR 瀏覽器嘅人，應該都係睇中佢嘅隱身能力。TOR 嘅運作原理係當用家由上網裝置發出上網指令，到真正去到目標網站嘅過程中， TOR 會將你嘅…

隨著 5G 及 Wi-Fi 6 新一代流動通訊及無線網絡制式上馬，突破了從前的傳輸速度及頻寬的限制；更被視為推動第四代工業革命開展的核心一環，有利於物聯網（Internet of Things, IoT）技術應用及發展，使利益隨時獲利倍翻。現時對IoT裝置缺乏統一的規格及監管，部分生產商為了搶銷量降成本，退而求其次地犧牲網絡安全性，卻令 IoT裝置安全漏洞百出。企業要借助IoT拓展業務就不能過於大意，否則便有如大開中門，「邀請」黑客隨意出入。 物聯網普及 提升自動化及數據分析 IoT的應用層面非常廣泛，例如網絡監控鏡頭、溫度及濕度感應器、防漏水感應器、智能門鎖、電力監測系統、智能燈光系統等，最大優點是可讓作業自動化完成，減少人力成本。此外，IoT 應用亦逐漸與傳統的 IT 系統結合，包括操作型科技系統 (Operation Technology, OT）、工業控制系統（Industrial Control…

加密貨幣（Cryptocurrency）採用區塊鏈（Blockchain）技術，分散式帳本大大提升造假帳嘅難度，安全程度甚至被譽為牢不可破。不過，其中一隻加密貨幣 bitcoin gold（BTG） 最近又被黑客成功造假數，呃咗約 7.2萬美元，仲要係兩年內再度出事，乜嘢叫做不可竄改？Are they a joke to you？ 除咗 BTG，其實已有唔少加密貨幣出過事，好似 Verge、Monacoin、Ethereum Classic 等等。又話區塊鏈技術不可竄改，咁到底發生乜嘢事？原來要篡改加密貨幣並唔係完全無可能，只要黑客控制到呢隻加密貨幣喺整個網絡上嘅51%運算能力（Hash rate,哈希率），就可以將新挖出嘅貨幣隱藏唔廣播，然後迅速將貨幣喺市場上出售及提取資金，跟住先將挖出嘅貨幣廣播等其他節點驗證，咁黑客就可以成功擁有呢個貨幣之餘，之前嘅交易亦會被視為無效但錢已攞，達成Double Spending雙重支出攻擊。由於黑客要攞到 51% 嘅演算能力去控制「賽果」，所以除咗叫做 51%攻擊，亦可以叫做多數派攻擊（majority…

Microsoft Windows 用家唔多唔少都曾經遇到呢個情況，就係打開嘅檔案格式，同你原先預期嘅唔一樣，特別係以前會去討論區下載 BT 檔案或各類海盜版資源嘅人，就更加容易中招。點解呢？因為 Windows 系統設計者本身可能為咗簡化顯示資訊，方便用家睇檔案名，所以系統係預設咗將檔案延伸（file extension）名隱藏。不過，專家話咁做就令用家有可能開錯惡意程式，所以都係建議大家開返顯示好啲。 Microsoft Windows 系統喺顯示檔案時，預設嘅做法隱藏咗佢嘅檔案格式，例如 invoice.pdf，顯示出嚟就只會得 invoice，另外就用預設開啟呢種檔案格式嘅程式，例如 Adobe Acrobat，作為檔案嘅 icon。雖然睇落都好似幾 user-friendly，但諗深一層又確係有漏洞可以利用。網絡安全網站 BleepingComputer 創辦人 Lawrence…

Neo 今天讀到一份不錯的訪談，Michael Coates（曾任Twitter 的CISO）分享了心得，針對兩個頗為吸引的問題：一、如何建立強健的資安團隊？二、如何開展自己在 Cybersecurity 的事業？其立論一針見血，所以略為記下，並加評論，以饗讀者。 Michael 指出一個殘酷的事實：網絡邊界（The perimeter）永遠在改動。上一個世代講要守護network choke points，在今天可能不切實際。為了分秒必爭的業務競爭及發展，愈來愈多的雲運算及外判模式，正在消解（dissolve）網絡邊界。在今天，速度無比重要，所以資安服務要非常貼身。然而，面對眾多業務部門及他們各自獨特的系統結構，ＩＴ／資安團隊如何處理快速的變更要求及服務要求？難道要每個部門配置資安技師嗎？這當然是不可能的。 Michael 走了一條路，叫 Empowerment及Paved path approach。這個思維是去 empower（提升能力、給予信任；「授權」二字太狹窄了）一些 Security Champions去協助公司的資安。中央ＩＴ做的工作，近乎鋪路，提供一系列不同的工具，並列出權限界綫，定出不應逾越的底綫。有了這些準備，Security Champions…

Neo 今天讀到一份不錯的訪談，Michael Coates（曾任Twitter 的CISO）分享了心得，針對兩個頗為吸引的問題：一、如何建立強健的資安團隊？二、如何開展自己在 Cybersecurity 的事業？其立論一針見血，所以略為記下，並加評論，以饗讀者。 Michael 指出一個殘酷的事實：網絡邊界（The perimeter）永遠在改動。上一個世代講要守護network choke points，在今天可能不切實際。為了分秒必爭的業務競爭及發展，愈來愈多的雲運算及外判模式，正在消解（dissolve）網絡邊界。在今天，速度無比重要，所以資安服務要非常貼身。然而，面對眾多業務部門及他們各自獨特的系統結構，ＩＴ／資安團隊如何處理快速的變更要求及服務要求？難道要每個部門配置資安技師嗎？這當然是不可能的。 Michael 走了一條路，叫 Empowerment及Paved path approach。這個思維是去 empower（提升能力、給予信任；「授權」二字太狹窄了）一些 Security Champions去協助公司的資安。中央ＩＴ做的工作，近乎鋪路，提供一系列不同的工具，並列出權限界綫，定出不應逾越的底綫。有了這些準備，Security Champions…

習慣每天拿著智能手機、流動裝置上網的用家，今年最熱切期待的技術必定是 Wi-Fi 6，不單傳輸速度比現有的 802.11ac 大幅提升，同時更有高傳輸容量及低延時優勢。不過，Wi-Fi 技術升級並不一定等於用戶體驗能夠同步提升，只要系統無法因應用戶需要，有效分配上網資源，一樣會令人用到一肚氣。Juniper Networks 今年三月將 Wi-Fi 技術供應商 Mist 收歸旗下，就是看中其人工智能管理的優勢！ 網絡質素有數得計 「雖然 Mist 成立於 2016 年，但技術已廣受企業客戶認同，現時 Fortune 頭 500 位企業之中，已有 25 間採用其產品，當中更有 3 間的排名在頭十位內。」 Juniper Networks 香港高級系統工程師鄭健豪解釋，「不論是固網或無線網絡，一般用家其實只會察覺到有否斷線及速度快慢。即使網速變慢，他們也無法知道背後原因；真正要了解問題的是網絡管理員，例如到底是分配 IP 位址、認證出錯，還是硬件或訊號干擾出現問題，都要由網絡管理員採集不同的 log 分析，找出問題才能解決，過程非常耗時。」相反，他說 Mist 的人工智能技術卻可自動調整無線網絡資源，原理是 Mist 透過製定不同的 SLE（Service Level Expectation）指標，以評估每個用家及 Access Point 的連線表現。「以往商用 Wi-Fi系統如要量度網絡表現，讓網絡管理員調配網速，一般會採用 overlay 解決方案，即外加一個裝置扮演用戶角色，定時向 AP 發出連線要求；但由於收集的並非真正用戶的數據，所以量度的數據只能作為參考。」 Mist 透過製定不同的 SLE（Service Level Expectation）指標，以評估每個用家及 Access Point 的連線表現。 Mist 的量度數據則採集自真正的連線表現，鄭健豪舉例說其中一個指標是用戶連線時間，如超過 2 秒便等於差，「Mist 預先製定了超過 180 種 SLE 指標，當中包括頻寬、訊號接收、連線時間等，採集到的數據會全部傳送至它的雲端系統，以人工智能分析並自動調配網絡資源，令所有用戶都能享受到最佳的連線效果。」他認為 Mist 在業內的最大優勢是令到 Wi-Fi表現變得可以量度及可視化，網絡管理員不用再「估估吓」；而收集的數據亦足以讓人工智能預早發現問題所在，主動作出修復或調配上網資源，所以即使企業安裝大量 AP（其中一個客戶安裝了 30 萬個 AP），也不用編配大量人手管理。他說通過採集大量優質數據，Mist 的人工智能分析便會愈見準確；而為了進一步支援網絡管理員，Mist 配備 Marvis 助理，可以用自然語言向系統查詢問題所在及解決方法，快速於控制介面不同的 dashboard 找出所需的資訊。 室內定位一體化 Mist 還有另一強大武器，就是無線網絡裝置中內建 vBLE 室內定位技術，鄭健豪說這項專利技術，比起現時主流採用的Beacon 感應器更準確及方便。「首先現時的 Beacon 需要獨立安裝，例如要在商場追蹤客戶的位置，便要在商場各處安裝大量 Beacon，才能提升準確度。不過，這些 Beacon 感應器每隔年半至兩年便須更換電池，考慮到安裝位置一般難以靠近，便會花費很多人力資源。」Mist 的 vBLE 由於已整合在 AP 內，不用擔心電源問題，而且控制系統亦與 Wi-Fi 介面統一，所以亦易於管理，減少網絡管理員的工作負擔。 有了 Mist 的高速實時定位技術，當客戶在商場的手機應用程式內呼喚協助，職員便能快速找出求助客戶，提升客戶體驗。 準確的定位技術，可增加企業提供的服務內容，提升 customer engagement。「Mist 每個 AP 均提供 16 個指向性天線，以供vBLE使用；Mist 亦放棄採用傳統的三角定位技術，開發出基於機率曲面（Probability Surface）的專利技術，進一步提升定位的速度及準確度，令到可提供的服務內容大增。」他以商場應用為例子，說以往的 Beacon 由於定位緩慢，往往在計算出客戶位置時，真人已移動到別處，「有了 Mist 的高速實時定位技術，當客戶在商場的手機應用程式內呼喚協助，職員便能快速找出求助客戶，提升客戶體驗。」他補充說室內定位服務內容因而變得更多樣化，只要企業客戶構思出來，便有機會化不可能為可能。…

美國 FBI 嘅 Internet Crime Complaint Center上星期發出通告，警告觀察到美國企業受勒索軟件攻擊嘅風險大增，再一次強調唔可以俾贖款，應該搵佢哋幫手解決問題。不過，始終有人唔可以無咗或急住用被鎖死嘅檔案，所以都會選擇交贖款。 反入侵黑客C&C 一個喺九月尾成為勒索軟件受害者嘅 Tobias Fromel，由於黑客闖入咗佢可被公開搜尋到嘅 QNAP NAS 裝置，然後啟動咗名為 Muhstik 嘅勒索軟件，令到佢檔案全部被鎖死。可能因為黑客只係要求大約 700 美元嘅 Bitcoin，唔算太大數目，所以Fromel 權衡過後都係選擇俾錢。…

識得玩，一定玩 GIF 圖。比起唔識郁嘅相，GIF 嘅創作空間自然大得多。WhatsApp 喺三年前開始支援 send GIF，但原來喺今年 5 月，有網絡安全專家發現 Android 版 WhatsApp 喺玩 GIF 圖方面竟然存在重大漏洞，用家一旦中招，原先開放俾 WhatsApp 嘅權限，亦會同時間送埋俾黑客。不過唔使驚，WhatsApp 用咗接近三個月時間，而家已經修補咗漏洞，大家可以安心繼續玩喇！ 新作業系統先出事 唔知大家仲記唔記得，究竟提供咗啲乜嘢手機權限俾…

唔好講咁多，快啲睇下屋企用緊嘅 Router 或 NAS 係乜嘢牌子先，如果係 Buffalo、Drobo，咁就真係戥你高興喇！ 其實自從 smartphone、tablet 等流動產品熱賣，屋企已經唔可以無 router，再加上之後寬頻同流動上網嘅速度又大幅提升，好多人都會喺屋企或公司安裝 NAS 網絡硬碟，有需要時先下載容量大嘅檔案。不過，到底呢啲 IoT 產品夠唔夠安全呢？獨立網絡安全調查公司 Independent Security Evaluators（ISE）繼 2013 年後，再為 SOHO…