唔知大家仲記唔記得，舊年10月美國《華盛頓郵報》沙特阿拉伯裔記者卡舒吉（Jamal Khashoggi）入咗沙特駐土耳其伊斯坦布爾領事館後下落不明，最後證實被殺呢單新聞？你可能會話，呢單嘢同資安界好似冇乜關係，不過隨住呢單案進入審訊階段，愈來愈多細節披露出嚟，先發現原來做開資安嘅公司係有另一條財路！ 正常嘅資安機構，最多咪做下防毒軟件，擋擋黑客同埋病毒程式之類，但係有部分嘅業務就複雜好多，好似NSO Group、Gamma Group、Hacking Team（呢間今年四月啱啱同另一間公司合併成為Memento Labs）等等，佢哋係專為各國政府提供軟件，偷取目標人物喺網上嘅所有數據（沙地記者當然係目標人物之一啦），雖然佢哋呢類生意唔多公開，但從唔同渠道獲得嘅資料顯示，呢盤生意查實幾和味！ 先舉NSO Group為例，佢聲稱自己2018年嘅總收入係2.5億美元，但係今年二月，一間英國私募基金Novalpina Capital收購咗佢大部分股權，作價就超過10億美元，可想而知，佢哋生意應該超過佢報出嚟個數啦！要了解佢哋盤生意點解咁大，當然要先知道客人係邊個啦，咁佢哋實唔會自己爆響口嘅，但又好衰唔衰，2015年一次大型數據外洩事件，其中部分數據就咁啱見到Hacking Team嘅客戶名單，當中包括沙地阿拉伯政府、FBI、馬來西亞反貪部門，同埋位於非洲尼日尼亞嘅巴耶爾薩州政府，一睇都知個個係尊貴客人，就解釋到生意額點解會咁大。 呢類生意唔係今時今日先有架喇，自從2013年發生斯諾登事件，全世界知道美國有個咁完善嘅電子監察系統，其他國家當然都想有個咁正嘅系統，於是出得起錢嘅政府，一係就請私人資安機構幫手，一係就索性高薪挖晒西方情報組織嘅前員工，希望洞悉各種加密技術同埋解拆方法，之前《紐約時報》就獲得阿拉伯聯合酋長國一間叫做DarkMatter嘅公司嘅人事部文件，發現佢哋請咗好多前美國國家安全局嘅前員工，就懷疑係後者嘅做法。 你話咁樣偷取個人資料到底合唔合法，條界線就真係好模糊嘅，因為就算上到法庭，都唔知點先可以舉證，就以最近一單為例，有個同埃塞俄比亞有連繫嘅美國人，懷疑埃國政府搵人監聽佢同埋佢嘅家人，但最後法庭都以監聽活動唔係喺美國發生為由，冇受理到單案件，從中可以見到舉證嘅困難。雖然陸陸續續都有人想施加壓力，例如十一月就有美國參議員提出議案，話要調查一下NSO Group，有冇做出危害美國國民嘅事，不過就算真係通過，查得嚟都蚊瞓，照目前情況睇，都應該未有乜嘢事可以威脅到呢類機構繼續賺大錢架喇！

很多朋友問我，做黑客要不要領牌 （專業證書 ）。答案可以是「Yes」或「No」，綜觀全球著名黑客， 他們大多數都是從大量的實踐中煉成黑客技術， 他們專注研究軟件，從一些細微的弱點發掘出漏洞，嘗試發動攻擊入侵系統， 終於成功奪取權限。相反，修讀 CEH （Certified Ethical Hacker）專業認證資格，則是一門以正統方式把你培養成為一個「道德黑客」的課程。 CEH的EC-Council原來好打得 CEH 是由國際電子商務顧問委員會 （EC-Council）提供的網絡安全認證。CEH 是國際的頂級熱門安全證書，符合美國的 ANSI / ISO / IEC…

DEFCON 網絡安全大會，每年都吸引到好多業內高手或黑客出席；所以如果你所屬組織長期需要呢一方面嘅專家，呢類型嘅黑客大會就係最佳揀蟀機會。好似喺今次大會，就連美國國防部人員都到場，目的就係說服有識之士為國家效力！ 五角大樓長期缺人 今次 DEFCON 其中一個亮點，就係將成間醫院嘅設備搬咗入 BioHacking Village 俾大家試 hack。但同一時間，喺今屆首設嘅 Aviation Village 入面，亦放咗部 F-35 戰機駕駛模擬器喺度俾入場人士了解下。喺啲咁嘅場合，美國國防部有人喺度絕對合理，但呢個剛啱喺今年 4 月上任嘅 Defense Digital Service（DDS）https://dds.mil/…

作為資安界一分子，每年都會特別留意幾個關於網絡安全嘅全球盛事，DefCon 自然喺名單之上，呢個喺 1993 年由「黑客之神」Jeff Moss 搞嘅大會，嚟到今年已經係第 27 屆，每年都會喺拉斯維加斯舉行，吸引全球黑客高手參加。大會高手如雲，上年更有個 11 歲小朋友，只用咗 10 分鐘就成功入侵美國選舉網站，成為一時熱話。 今屆大會啱啱喺美國時間星期四（8月8號）開鑼，而焦點就落喺 BioHacking Village 身上。其實 BioHacking Village 唔係新嘢，過往幾屆都有搞，但通常都好細規模，可能一張細枱放幾部醫療儀器俾人 hack…

旁路攻擊（Side-Channel attack），係透過一啲非正常渠道嘅手段，去竊取攻擊目標嘅訊息，例如通過人耳聽唔到嘅超高頻將 keylogger 截取嘅訊息傳送出去，又或者通過監測電腦硬件嘅耗電量，估計數據儲存位置而發動攻擊等等；不過，呢種攻擊通常唔容易發動，例如首先要喺目標電腦安裝咗惡意軟件，同時可以讀取到嘅數據量都唔會太大。 偷譯你聲音 最新發現應用喺手機上嘅旁路攻擊 Spearphone 就簡單得多，基本上只要用家安裝咗有問題嘅 app，黑客就一定可以將受害者啲私隱手到拿來。網絡安全獨立研究團隊最新發表一項研究報告，指出黑客可以通過 Android 手機上嘅加速器（accelerometer)，讀取通過手機揚聲器發出嘅音訊內容。其竊取數據嘅方法，係透過加速器感應手機揚聲器發咗聲音後嘅殘響（reverberation），再通過語音辨識將佢還原為語音訊息。只要手機開啟咗揚聲器，用嚟進行語音通話、聽留言，加速器就可以感應得到，所以如果打電話上客戶服務部、對方同你核實私隱，又或手機語音助理讀取你嘅行事曆、聯絡電話出嚟嘅時候，黑客就可以攞得到。 不過研究團隊話，呢種旁路攻擊只可以喺開咗免提模式，同時將音量開到最大聲，先足以令加速器感應到足夠嘅數據，而且亦只可以「聽」到手機揚聲器發出嘅聲音，手機用戶嘅說話就無辦法讀取得到。 現時研究團隊發現 Google Play 上共有 1300 個以上嘅 app 可以做到呢種竊聽效果，因為…

由四大會計師事務所之一 —— 羅兵咸永道會計師事務所（PricewaterhouseCoopers, PwC）主辦的黑客大賽 HackaDay 2019 已於上星期四完滿結束。今屆賽事共有 12 支大學隊伍參賽，其中澳門大學亦派出一隊學生參加。當日戰況激烈，各隊奇謀盡出，鬥到最後一刻才見真章，最終由香港科技大學的 FireBird 1 隊勝出，打破香港中文大學三連霸的夢想。 PwC 合伙人顏國定說舉辦 HackaDay 的初心，是希望通過賽事吸引更多學生入行。 成績再創新高HackaDay 2019 黑客大賽今年已是第三屆，舉辦這項賽事的 PwC…

上回講到修讀 VTC 資訊及網絡安全高級文憑(Diploma)課程，是成為資安新人王的捷徑。但對於一些已從事其他行業有一段日子，但又有興趣「中途轉機」、加入資安行業的在職人士，又有哪一個課程是入行踏腳石？答案可在 HKUSPACE 課程找到。 香港大學專業進修學院（HKU School of Professional and Continuing Education, HKUSPACE）已經辦學60年，其前身是香港大學學外課程，而現在已獨立為一家非牟利擔保有限公司的教育機構。截至2016年，已有282萬人次報讀學院課程，其中有關資訊科技和資訊保安的課程，在這十多年間大受歡迎，每年課程的學額都是供不應求，課程種類繁多，包括資訊保安的深造文憑、理學士、碩士課程，任君選擇。中學畢業人士可申請就讀資訊科技深造文憑課程（Postgraduate Diploma in Information Technology），這兼讀課程的部分學費可以申請CEF（持續進修基金），成功達標者可得到基金資助 80% 學費津貼，而從 2019…

唔少香港人都會睇 Netflix 追睇美劇，好似之前嘅神劇《House of Cards》、《Black Mirror》等等，好過睇大台千篇一律嘅電視劇集。原本呢啲劇集或電影係受到數碼版權簽證保護，無咗佢就解唔到密，不過最近有研究員就發現，透過 side-channel attack 竟然可以取得受保護嘅節目內容，而且由於加密方法廣泛被其他網上節目供應商例如 Hulu、 Amazon Prime 所採用，所以絕對有可能用相同手法進行破解！ Netflix 解密金鑰迂迴發放 現時要保護數碼娛樂內容例如電視劇集、電影、音樂，都會利用數碼版權保護 （Digital Rights Management）框架去加密內容，通過重重驗證先可以喺播放裝置上進行解密，用家先會睇到或聽到內容。 Netflix…

網絡保安世界，範疇可以好大，Zetta Ke 就行學院路線，專門研究行業經濟及政策，是一個博士，亦是道德黑客。未知是否可以稱之為「學院派黑客」？ 文武兼備的黑客 「我大學主修 Information System，其實屬於商學院的科目。與 Computer Science 不同，我修讀的不太著重演算、程式的技術研究，而是較著重 Business Application，如電腦系統的管理、電子商貿研究，乃至區塊鏈技術應用等。」Zetta 從大學學士直讀至博士，現於科大既教且學。而 Zetta 的另一個身份，是研究團隊 VXRL 成員，曾經發現過 windows 漏洞，絕對是又 talk…

香港嘅 startup 唔算多，金融科技範疇嘅，更屬罕見。AdvSTAR 由 Joe Chan 帶領，成功將研究院項目變成實際應用，叫好又叫座，當中嘅成功關鍵、經驗絕對值得借鑑。 防到一次 attack，已經極之好 Cyber Security 嘅有趣之處，就係「做咗好似冇做」，feel like yesterday。而冇事發生，就係最好，尤其係金融銀行業。「因為有一啲消息、資訊、本地情報、特定 APT、盲點、新型 attack 等，係佢地未必睇到，或者有某啲限制做唔到。對佢地來講，只要防到一次 attack 都已經極之好。」AdvSTAR 嘅誕生，正正針對金融、銀行及大企業特性，度身設計，揉合不同技術及程式，進行收集、發放、驗證、分析及配對資訊，同時提出專業建議、技術分享等。甫推出即獲各金融、銀行及大企業樂意採用，究竟成功關鍵係乜呢？…