[轉貼又轉貼]網銀安全 - PCDVD數位科技討論區

u8526425

Elite Member

加入日期: Oct 2002

文章: 4,800

關於先前#23
"電腦不當自動撥打國際電話"的華電官方建議
http://service.hinet.net/2004/announce.htm#001

HiNet不會主動要求密碼!
近日不肖份子假藉HiNet之名，騙取您的HiNet帳號及密碼，HiNet絕不會主動要求密碼。請您勿隨意下載或安裝不明免費軟體，以免帳號及密碼被盜錄。　
若發現或懷疑您帳號遭盜用，或曾於公用電腦上網或隨意下載安裝不明免費軟體時，請您立刻「修改密碼」。
　
避免「電腦不當自動撥打國際電話」之說明及建議
一、近年來網路上流傳一種電腦或數據機會被『綁架』的說法，造成使用傳統數據機(例如56K modem)的客戶在不自覺的情形下撥打國際電話，造成相當大的金錢損失。根據了解是因為客戶在有意或無意間，從網路上下載了一種所謂讀圖程式，因而造成客戶端電腦主動撥打國際電話的行為。
這個程式專門隱身在某些網站(如色情網站)之中。當用戶連到該類網站，該網站會誘導用戶將程式下載至電腦，然後該程式會將原先撥接至某ISP(包括所有 ISP)的連線切斷，並主動重新撥打國際電話號碼，連到國外某個ISP。因為該程式具有關閉數據機音量的功能，而它斷線後再連線的動作也相當快，故讓用戶在不知不覺中花費大筆國際電話費，這就是網路上流傳電腦或數據機被『綁架』的情形。

二、使用ADSL的寬頻客戶因ADSL設備(ATU-R)與傳統數據機不同，該程式無法驅動ADSL設備撥打國際電話。但若ADSL客戶的電腦同時接上傳統數據機及電話線，該程式仍可能透過傳統數據機撥打國際電話。因此提醒您不需要透過電話上網時，務必將連到數據機的電話線拔除，並關閉數據機電源，以避免傳統數據機出現不當撥號之情形。（電腦如果有內建數據機，則務必將連到電腦RJ11孔的電話線拔除。）

三、因為該類不肖網站會時常更動網頁內容及位址，因此很難找出該網站的名稱以事先防範。本公司基於維護客戶權益的立場，我們提出以下幾點建議，提醒客戶避免受害:

(一) 瀏覽網頁時，請勿下載來路不明檔案(尤其是可執行檔)或圖片。
(二) 不上網時請將數據機電源關掉。
(三) 注意電腦內是否被安裝不明軟體或被更動撥號網路的設定。
(四) 可向中華電信營業窗口(電話:123, 每月30元)申請「呼叫鎖碼」服務，即可透過在電話機上自行設定密碼的方式，達到限撥國際直撥電話（IDD）的功能。

四、如客戶有上述被綁架情形發生，請洽中華電信各地營運處協助處理。

HiNet客服中心：0800-080-412

__________________
人性的醜陋就是，會在無權、無勢、善良的人身上挑毛病，卻在有權、有勢、缺德的人身上找優點。當無權、無勢、善良的人受到傷害的時候，還會站在所謂的道德制高點上，假惺惺地勸說無權、無勢、善良的人，一定要忍耐，一定要大度。

此文章於 2004-08-06 09:09 AM 被 u8526425 編輯.

2004-08-06, 09:07 AM #31

u8526425

Elite Member

加入日期: Oct 2002

文章: 4,800

"影像漏洞威脅網路安全"
http://taiwan.cnet.com/news/softwar...20091521,00.htm

開放原始碼影像平台PNG被發現6項安全漏洞，可能讓使用Linux的電腦遭受攻擊，使用Windows作業系統的個人電腦和OS X的Mac也難倖免。

這些安全漏鬥出現在Mozilla和Opera瀏覽器及許多電子郵件軟體廣泛使用的攜帶式網路圖像格式（PNG）平台的圖庫中。當中最嚴重的是所謂緩衝區滿溢（buffer overflow）的記憶體問題，能在應用程式載入影像時，讓特製的PNG圖像執行惡意程式。

發現這些問題的獨立電腦安全研究者Chris Evans說，使用libPNG的程式中，最可能受這些缺陷影響的是蘋果電腦Mac OS X的AppleMail，Windows的Opera和IE瀏覽器，以及Solaris的Mozilla和Netscape瀏覽器。蘋果和微軟目前尚未發表評論，Evans並未測試每一種作業平台對這些漏洞的反應。

Evans表示，當中最嚴重的漏洞造成兩種開放原始碼瀏覽器當機，他說：「更令人害怕的可能性是，利用此弱點把***穢的PNG寄給某個使用圖像電子郵件軟體解讀（影像）的人。」

微軟和Linux之前都曾發生PNG平台造成的安全問題。18個月前，微軟針對IE處理PNG影像的方式發出嚴重的安全瑕疵警告。兩年多以前，Linux一個壓縮平台的瑕疵，使得PNG影像和其他類型的資料，能夠癱瘓其他在作業系統執行的程式。

PNG圖庫的補充版稱為libPNG，可以從Linux作業系統的經銷商和PNG的網站下載取得。

電腦安全資訊服務公司Secunia將這些漏洞列為第二級「高度危急」，並警告電腦使用者注意。Secunia的建議報告指出：「這些弱點能用來哄騙電腦使用者進入惡意的網站，或瀏覽一封帶有被感染的應用程式的郵件。」

美國官方的電腦威脅監視單位，美國電腦緊急事件應變小組，已於4日針對PNG的問題發出公告，建議公司行號和個人使用者更新系統。（陳智文）

這是不分平台, 不分瀏覽器的漏洞
所以我認為原標題下得不好
我就把他改過了
嘖
PNG圖片載入時就會中招
這下連看個圖片都要注意一下
我咧HIS GRANDMOTHER'S竟然沒寫怎麼防範
...這年頭真是越來越不好混了

此文章於 2004-08-09 10:32 AM 被 u8526425 編輯.

2004-08-09, 10:30 AM #33

u8526425

Elite Member

加入日期: Oct 2002

文章: 4,800

微軟開發者面對瀏覽器挑戰　IE7.0慢慢的浮出水面
http://forum.icst.org.tw/phpBB2/viewtopic.php?t=3785

面對新一輪的瀏覽器大戰，微軟已經啓動了關於Internet Explorer的更新計劃，這意味著IE的下一個版本，IE 7.0也正慢慢的浮出水面。

由於擔心安全方面的隱患使得用戶放棄IE，微軟已經加強了恢復用戶信心的工作，除了將一支高素質的Longhorn開發隊伍加入到IE專案組之外，還特意刊登廣告招募瀏覽器的開發員，同時發動廣泛的網路宣傳向用戶徵求反饋意見。

圍繞著IE的種種活動升溫的迹象表明，微軟已準備在Longhorn面市之前先行發佈一個新的瀏覽器，但公司拒絕對其發佈計劃作任何題外的評論，只是一再宣稱“將務必給IE帶來最大限度的改善並使之繼續成爲最終用戶，商業機構和開發者的最佳網頁瀏覽器。”微軟的一名發言人表示說：“我們目前沒有關於新消息公佈的計劃，但顧問的反饋和需求都將成爲未來的IE版本所必需加強的方面之一。”

在IE博克以及第九頻道上，微軟正大力的鼓勵用戶和開發者踴躍提出IE的改進意見。除了在Windows XP SP2中已經進行了的改進外，開發者們主要集中在對CSS的定位功能，以及對PNG圖形格式的更完美支援兩方面提出意見。

CSS樣式給了網站開發者和擁護控制網頁顯示方式的權利，然而，目前的IE還沒有對CSS提供完全的支援，使得網站的開發者不得不花費精力爲大多數用戶編寫額外的顯示代碼。另外缺乏對PNG格式的完美支援也是被各方詬病的主要根源，“PNG是一種相當先進的圖形格式，而它在其他每一個瀏覽器中所得到的支援都要比Windows上的IE好”，自由網站開發者西恩-米徹爾說。

不過，屆時的新版本中是否會對CSS和PNG提供完整的支援仍尚不明確，這是因爲關於消費者方面的瀏覽器更新意見一般不會採納由開發者所提出的框架修改。

MS怠惰這麼久
終於該到還債的時候了

2004-08-11, 11:08 AM #34

u8526425

Elite Member

加入日期: Oct 2002

文章: 4,800

IBM要求內部暫緩安裝SP2
http://taiwan.cnet.com/news/softwar...20091588,00.htm

微軟表示Windows XP作業系統更新程式碼已經就緒，但IBM的內部技術部門卻有不同看法。

歷經數次延後，微軟上週五終於向PC製造商推出了Windows XP SP2服務包升級的最終版本，這意味著客戶可在本月底前取得程式。

但IBM上週則要求自家員工，在IBM對該程式進行全面測試和客製化前，暫時不要安裝SP2服務包。IBM技術部門在解釋此一決定時表示，「SP2服務包與IBM工作站程式存在存在一些衝突。」

SP2除了修正一些漏洞之外，還新增了一個安全中心，提供強化過的防火牆功能，並有更簡易的方式來判別PC是否已經做過更新，是否可免於病毒入侵等。另外，SP2在IE瀏覽器中增加了pop-up廣告(視窗小廣告)封鎖裝置，同時也支援Wi-Fi及藍芽技術。

根據CNET所拿到的這份IBM內部文件顯示，IBM的技術部門認為，Windows XP SP2服務包「將變更網頁瀏覽器的行為模式，並造成部分應用的不相容。」

IBM全球服務部門則尚未向客戶公佈建議處理方式。

IBM一位員工表示，這種通告只是公司的例行作業。在安裝一種系統之前，IBM需要對其進行全面測試與評估。IBM的內部技術部大約負責38萬台桌上型電腦的維護工作。

微軟主席比爾蓋茲表示，SP2服務包是有史以來涉及範圍最廣的一次Windows升級，微軟主管承認，SP2服務包已經影響到了其他專案的開發進度，其中包括Windows下一版本Longhorn。

未來兩個月，SP2服務包將透過自動升級方式安裝到1億多個用戶的電腦上。用戶也可以從8月底開始進行手動升級。

雖然諸如IBM這樣的公司會先對SP2服務包進行測試，但購買新電腦的用戶卻可提早拿到SP2。微軟已表示，他們正和電腦製造商合作進早加入SP2。

上周，微軟警告說，使用Microsoft Business Solutions CRM Sales for Outlook 1.2的用戶在安裝SP2服務包時將碰到麻煩，微軟隨後在自己的網站上公佈了相關修補程式。（李海）

微軟證實XP SP2會破壞某些應用軟體推遲正式發佈
http://forum.icst.org.tw/phpBB2/viewtopic.php?t=3784

8月10日消息，有關Windows XP的最新版本SP2會破壞某些應用軟體的說法已得到微軟的證實。

SP2增加了一些新的功能，其中大部分涉及到安全問題以及已經老化的作業系統的故障解決問題。

鑒於SP2所做出的許多變化，微軟已經敦促開發人員及IT專業人員對該升級版本進行徹底測試。但據最近移植到Windows XP1的Metriopolitan Health公司首席資訊官Bill Lewkowski表示：“微軟好像沒有完全意識到這樣做的難處，我們無法對沒有計劃好、沒有預算好、幾近于一種全新版本的作業系統充滿信心，我們對微軟有些失望。”IBM也已經勸告其用戶不要安裝SP2。

從人們已經對SP2發表的觀點看出，它存在的最大問題主要在於安全方面。

SP2最大的變化之一在於內置的防火牆。按照默認設置，無論個人還是公司電腦，只要使用非正常IP埠訪問應用軟體，就可能對這些應用軟體造成破壞。

測試表明在SP2中存在一些不正常甚至一些無法解釋的功能。例如，據一家安裝SP2的測試中心表示，它會導致藍屏現象的發生。

微軟在意識到SP2甚至會影響本公司的一種應用軟體後，已經推遲SP2的發佈。

SP2可能與防火牆相衝？
http://taiwan.cnet.com/news/softwar...20091591,00.htm

即將推出的Windows XP SP2大幅強化安全功能，不料卻可能因此引發其他問題。

安全廠商指出，SP2中內含的防火牆功能將導致同一台電腦中有兩套個人防火牆，可能因此造成衝突，或是效能降低問題。

SP1中的Internet Connection Firewall，到了SP2中改名為Windows Firewall。CA安全技術顧問林宏嘉指出，和之前防火牆相比，Windows Firewall改善了過去設定過於複雜的問題，而近似商用個人防火牆。

另一個不同的，在SP2中，這套防火牆被預設是啟動狀態。這也會造成原本已有個人防火牆的SP2使用者電腦中，將有兩套防火牆同時啟用並發揮檢查流量的功能。趨勢科技表示，由於防火牆安全規則設定繁複，兩套防火牆可能造成「打架」情況，反而無法有效確保電腦。

趨勢科技建議使用者，與其如此，還不如選用一套功能較完整的防火牆產品。趨勢科技指出，其PC-cillin內的防火牆即同時包含病毒及入侵流量特徵的分析。

不過其他公司則認為問題不大。賽門鐵克北亞區技術總監王岳忠指出，目前賽門鐵克防火牆已經過驗證可和Windows Firewall同時啟動運行而無礙。不過他指出，SP2中的防火牆功能較為簡單，網路流量須經過兩道防火牆檢測，可能造成效能降低。「兩套都啟動自然造成資源的些許浪費。」

CA林宏嘉則表示，效能問題在現在的硬體環境下應該不成問題，尤其是對家庭用戶或高攻擊風險的使用者而言，安全防護多多益善。

包括賽門鐵克、及CA都發表防火牆支援Windows Firewall的聲明。McAfee也表示全系列產品和SP2相容。不過兩家公司都表示，中文版是否能支援無礙，也需等待SP2中文版推出。趨勢科技則表示為求謹慎，要等到SP2正式版本發表時，才會宣佈支援。

台灣微軟伺服器平台事業部行銷經理詹家琛表示，國際級軟體大多已支援SP2，而就SP2在國外發表的經驗，尚沒有發生上述兩個防火牆相衝突的問題。

他指出，較有可能和SP2發生衝突的反而是使用者自己撰寫的應用軟體，而這點微軟客服諮詢人員也已待命。

SP2昨天已在美國公佈，台灣微軟表示中文版將在未來兩週內推出。

WinXP service pack2已有流出
但個人建議公司層級不要搶先安裝
需經小部份測試通過後方可上線

此文章於 2004-08-11 11:16 AM 被 u8526425 編輯.

2004-08-11, 11:13 AM #35

u8526425

Elite Member

加入日期: Oct 2002

文章: 4,800

跟網銀不太有關係
但跟大家常用的windows update有關係
"病毒假冒Windows Update 亂發信"
http://www.trendmicro.com/tw/about/...04/pr040813.htm

一隻假冒 Microsoft Windows Update 通知的病毒 SAROS.A，會將你的首頁設定被修改至http://www.gedzac.tk，如果發生這樣的情況，那麼表示不但你中了SAROS.A病毒，並且已經不知情地將病毒散發給通訊錄裏所有名單了.....(節錄)

另
與上次提到的png漏洞相關報導
"雅虎通6.0版存在PNG安全缺陷官方補丁已發佈"
http://forum.icst.org.tw/phpBB2/viewtopic.php?t=3846

計世網消息日前，雅虎公司針對其即時資訊軟體“雅虎通”(Yahoo Messenger)上存在的可能使用戶在網上衝浪時遭受不明攻擊的安全漏洞、及時發佈了一款安全補丁。

據悉，存在缺陷的“雅虎通”主要由使用“PNG”(Portable Network Graphics 攜帶型網路圖像) 格式的文件造成。由於該缺陷存在，用戶在上網時容易造成緩衝區溢出，而導致所創建的“PNG”圖像文檔被黑客利用，形成安全隱患。

　　雅虎公司的發言人Terrell Karlsten稱，“PNG”安全漏洞可能會影響到使用6.0版本“雅虎通”的用戶。“當用戶打開“雅虎通”後，會看到一個提示升級的對話方塊，升級補丁軟體後不會影響‘雅虎通’的任何功能。”

　　雅虎公司是在上周美國電腦緊急事故回應小組(U.S. Computer Emergency Readiness Team)的網站論壇上獲悉有關“PNG”存在缺陷這一消息的。

　　據悉，“雅虎通”所存在的“PNG”缺陷主要發現於Windows系統上，廣泛存在於各類軟體上的一個讓瀏覽器和即時通信軟體處理“PNG”格式的圖像文件的庫文件中，在Mozilla、Opera等瀏覽器以及各種電子郵件用戶端軟體上都可能存在，甚至是微軟IE瀏覽器，但大多數軟體都對該缺陷進行了安全防範。

　　雅虎還稱，在雅虎的“Yahoo Messenger”站點上，可以下載得到該安全補丁；另外，用戶也可以選擇重新下載最新版本的“雅虎通”軟體，來彌補該安全漏洞。

2004-08-17, 09:22 AM #36

u8526425

Elite Member

加入日期: Oct 2002

文章: 4,800

"演算法露破綻密碼學界譁然"
http://taiwan.cnet.com/news/softwar...20091786,00.htm

消息傳出，嵌入常用安全加密技術的演算法可能隱含先前未發覺的弱點，引起加密技術人員議論紛紛。

上周四(12日)法國電腦科學家Antoine Joux宣布，已在常用的一種演算法中，找到一個弱點；這種演算法稱為「MD5」(訊息摘要5)，常搭配數位簽章(digital signature)使用。緊接著，四位中國研究員發布報告指出，有辦法破解另一種稱為「SHA-0」(安全雜湊演算法0)的演算法。

雖然這些只是初步的研究結果，但新的發現到頭來可能讓有心人士更輕易在電腦程式中植入不容易察覺的後門，或偽造電子簽章--除非改用不同的、更安全的演算法。

第三個可能更具爆炸力的宣布，訂於周二(17日)晚間在加州聖塔芭芭拉舉行的Crypto 2004會議上發表。

以色列科技研究所研究員Eli Biham和Rafi Chen原本計劃在會中發表報告，指出幾種破解「SHA-0」演算法安全功能的方法。現在，他們打算在會議中進一步談論有關「SHA-1」演算法的「勁爆消息」。這場會議訂於太平洋夏令時間17日晚間7時開始。

「SHA-0」不完美，是己知的事實；但若「SHA-1」發現重大弱點，視細節而定，可能震撼電腦安全界。

目前被奉為同級演算法中的圭臬，「SHA-1」嵌入諸如加密軟體(PGP)和安全插座層協定（SSL）等使用廣泛的程式中。「SHA-1」已獲美國標準與技術研究院(NIST)的認證，而且是唯一獲准用於美國政府「數位簽章標準」的簽章演算法。「SHA-1」產生160位元的數字與字串，長度比MD5產生的128位元更長，因此被視為更安全。

Crypto 2004會議總主席StorageTek高級研究員Jim Hughes 17日早晨表示，此訊息太重要了，因此他已籌辦該會成立24年來的首次網路廣播(Webcast)。在傳至加密學相關郵件清單的投書中，Hughes透露：「會中將提出三份探討雜湊衝撞(hash collisions)重要的研究報告。」其中一份是Joux的研究發現。

接受電話訪問時，Hughes說：「若你發現，有兩份合約經雜湊處理的數位簽章相同，你大可用甲合約替代乙合約。鬧上法庭時，哪一份才是有效的合約，至少有個灰色地帶。那種可能性極高。」

不論是「MD5」、「SHA-0」或「SHA-1」演算法，都使用電腦科學家所謂的雜湊函數(hash functions)。運用這些演算法，可把電子郵件訊息乃至作業系統核心等各式各樣的資料內容混雜起來，產生理論上應是獨一無二的指紋檔 (fingerprint)。原始資料內容稍有改變，即使只更動一個字母，再使用一次演算法後產生的指紋檔也會截然不同。

安全應用程式的防護機制是建築在指紋檔的獨一無二性之上。萬一某個不懷好意的駭客有辦法以不同的資料內容產生相同的指紋檔，則那個複製指紋檔--即「雜湊衝撞」(hash collision)--就會把被植入後門的軟體確認為安全無虞，可供使用者下載和執行。這麼一來，有心人士便可趁機假冒電子郵件簽名，指示把某人的銀行帳戶搬空。

研究員長久來就知道，沒有一種可實際使用的加密演算法是絕對安全的；他們所能做的，是設法設計出一種需要曠日廢時方能複製指紋檔的演算法。「SHA-1」被視為安全可靠，係因研究員相信，運用目前已知的技巧，不可能刻意製造出雜湊衝撞。

但若是「SHA-0」潛在的弱點也出現在「SHA-1」之中，那意味複製出指紋檔的速度可加快大約5億倍--若把一堆高速個人電腦連結成網，有能力達此目標。

「MD5」演算法的弱點是更迫在眉睫的威脅。開放原始碼的Apache網路伺服器產品使用「 MD5」雜湊，以確保數十個映像網站上的原始碼不被竄改，可安全執行。昇陽Solaris Fingerprint Database也採用相同的雜湊演算法技術。

近日來被揪出的「MD5」弱點，意味駭客可能在數小時之內用標準個人電腦產生出雜湊衝撞。但要編寫特定的後門程式，再覆以相同的雜湊衝撞，則可能更費時。

話雖如此，Hughes建議，程式設計人員最好開始捨棄「MD5」。他說：「既然現在這種演算法的弱點已暴露出來，在有效的攻擊發動之前，現在是撤離的時機。」（唐慧文）

喔~~
捨棄MD5
很多東西都用到MD5
上GOOGLE找一下就一狗票說
連MD5都不能信任
對網銀認證不知有無問題
部份網銀安全是採128BITS SSL
部份網銀安全是採RSA非對稱式運算法則（即利用公鑰及私鑰分別加密與解密）結合 DES對稱式運算法則（加、解密為相同之基碼）
只用到SSL的銀行可能要注意一下
不要等到真的有問題再做挽救

2004-08-19, 09:26 AM #39

u8526425

Elite Member

加入日期: Oct 2002

文章: 4,800

"IE又出現可偽裝地址欄的安全漏洞！ "
http://forum.icst.org.tw/phpBB2/viewtopic.php?t=3884

【日經BP社報導】丹麥安全商Secunia等8月16日公開了Internet Explorer（IE）中發現的新安全漏洞 http://secunia.com/advisories/12304/，如果訪問做過手腳的Web網頁，位址欄就會顯示與實際訪問網站不符的URL。這是一個可能被線上欺詐“phishing”等惡意利用的安全漏洞，目前尚未公開補丁等，對策是不要點擊可疑的鏈結，或將活動腳本設置為無效等。

　　安全漏洞由Liu Die Yu發現。Secunia在驗證其投至安全相關郵件列表的投稿後，在自己的網站上公開此次的漏洞。Secunia已確認：在安裝所有補丁的Windows 2000 SP4與XP SP1中運行的IE 6中均存在此漏洞。另外，以前版本也可能受到影響。不過，對於Windows XP SP2，該公司表示無法使用目前已知的攻擊手段（沒有明確“不會受到影響”）。

　　據Secunia介紹，出現此次安全漏洞的原因是IE不能適時更新位址欄資訊。IE打開新的流覽器視窗，並在這一視窗上實施一系列動作後，就會在位址欄裏顯示與實際頁面不符的的URL。如果突破這一安全漏洞，可以把帶有惡意的網頁偽裝成著名企業的網頁。

　　圖片為Secunia公開的示範網頁http://itpro.nikkeibp.co.jp/free/IT...7/148670/1.html，雖然位址欄中顯示www.yahoo.com，但實際上卻是Secunia的網頁。

　　美國微軟尚未公開安全資訊與補丁。Secunia指出，對策是將IE的活動腳本設置為無效，或使用其他的流覽器。另外，重要的一點就是不要輕易點擊不可靠的Web網站與郵件中的鏈結。只要不訪問做過手腳的Web網頁，位址欄就不會被偽裝。（記者：勝村幸博）
http://china.nikkeibp.co.jp/china/n...0408190111.html

大家常常會用的辨識騙人連結的絕招不能用了
要感謝MSIE無窮無盡的漏洞
真是功德無量

2004-08-19, 09:35 AM #40