|
||
|
Amateur Member
 加入日期: Oct 2017
文章: 36
|
關心手機資安問題的專家請進
我看了底下報導，嚇得我一身冷汗：
https://tw.news.yahoo.com/%E3%80%90...-010142886.html ********************** 【Yahoo論壇／林育卉】善政啊！你是真的待過宏碁跟GOOGLE，還做過科技部長嗎？ 林育卉 政治評論員 23 人追蹤 政事觀察站2019年1月27日 下午12:01 作者為政治評論員 前行政院長張善政26日應邀出席世界之星決選論壇演講，他表示，以數位轉型為目標的國家，在關鍵時刻怎可以沒有資安長出來說話，而是由行政院的一個處長。中央社記者張建中攝 108年1月26日 前行政院長張善政近日針對政府禁用中國製科技產品的政策，發表了一篇看起來感覺不像一個科技業經驗值滿點的人會講的看法。總的來說：政府禁用中國製的科技產品是搞錯方向。 他的說法主要內容歸納為三點：一是「禁止採購大陸電信設備為假議題，政治性宣示成份居多，且大陸電信設備物美價廉，廠商不會因爲政府的禁用政策就來配合。」；二是「工研院等單位，禁用華為手機完全沒有必要，因爲只要檢測APP軟體，即可避免手機被植入惡意後門，根本與硬體無關。」；最後「智慧型手機的安全，在政府部門內已有明確分工，手機硬體設備的安全性由NCC負責，而工業局則是負責APP安全檢測。」 以上三點乍聽之下，好像言之有物，但不客氣地講，全部都是畫虎蘭。 先針對善政的第一點，這一次政府公佈的政策是針對「公務機構」。民間部門除非他所提供的服務跟設備與民生國安相關，否則是「不包括」在禁用之列的。政府各部門之間，不管是個人或是部會間的資料傳遞，因事涉國家及人民，本來就要謹慎為之。有些具有高度機敏性的資料，更應採取最高標準的安全規範，這是為了人民權益、是不容妥協的。但我就不懂，過去只幫Google 蓋機房因此聲名大噪的張善政，到底是不是只懂土木專業而沒有與時俱進吸收新知，硬是竹蒿裝菜刀，拿民間廠商的採購來批判公務機關的高資安防護，善政啊！要選總統不能還沒學會走就想登天啊！ 再來，工研院作為台灣工業技術研發的關鍵單位，是全民民脂民膏的成果，也成就了像台積電等科技產業的重大推手。這麼重要的單位，不是蓋個機房那麼簡單，難道也不應該有更高的安全防護要求，避免研發成果遭竊取或破壞嗎？單純如張善政認為，只要檢測APP軟體就可以讓手機避免被植入後門，跟硬體一點都扯不上邊。我雖然唸文組出身，但我都知道全世界這麼多國家共同抵制華為絕不是一時興起，一定事出有因。善政啊，別說日文、德文、法文了，我相信英文應該難不倒你，難道我們「前科技政委」不知道有「韌體」這個東西？ 韌體（Firmware）一般來說是嵌入在硬體上面的程式碼，是用來告訴硬體如何執行最基礎的功能。查一下相關資料可知，只要使用電腦的人都知道，開機進入作業系統畫面前，一定都會看到BIOS（Basic Input/Output System）設定的畫面，它用來執行初始的零件檢測、電源管理、甚至保護資料功能。等到這些跑過一遍檢測沒問題，系統作業才會載入到記憶體開始執行，類比到手機上面。張善政前院長所說的APP，其實就相當於電腦進入Windows之後執行的一切應用程式，今天張善政告訴我們，只要檢查這些應用程式就可以防止被植入後門，難道是不知道寫在韌體裡的後門才是最可怕的嗎？例如想要一支手機定時回傳資料到中國去，只要有辦法在手機出廠時，利用主機板上面預載的韌體程式設定執行，那是不管APP檢測多少次都發現不到的，除非監測網路流量的異常變化才有可能發現。 這不是危言聳聽，在2014年，就是你在做科技政委後升官為行政院副院長的那年，台灣知名的科技網站iThome與網路安全公司F-Secure合作，檢查當時極度流行的紅米機是否會自動回傳資料到小米公司位於北京的伺服器，結果發現：一隻全新的紅米機，只要插入SIM卡，連上WIFI之後，就會將手機序號IMEI碼和插入SIM卡的手機號碼自動回傳，而加入通訊錄聯絡人與發送簡訊之後，紅米機竟然也將發送簡訊的聯絡人電話，回傳到北京的小米伺服器，請問有哪一個手機廠商需要知道自己手機的用戶跟誰聯絡呢？而這樣的機制，難道僅憑善政你的「APP檢測」就能發現嗎？ 上述的例子，也正好打臉張善政的第三點論述。2018年，小米手機又被發現在出廠時被植入木馬程式，會自動收集用戶的各種資料回傳到中國，台灣小米公司雖然搬出自己有通過NCC的安全認證，然而NCC隨即發布聲明，表示NCC只負責檢查硬體方面的規格有無合乎法規，並沒有保證預先安裝於手機上的任何應用程式有無問題，而張善政信誓旦旦地說：工業局負責APP安全檢測，這點是沒錯，但是張善政沒有講的是，這並不是強制性的！也就是現在每個人手機裡面的APP，基本上沒有一項法規要求一定要通過工業局的安全檢測才能上架，全部都是「自主檢測」，換句話說，要不要在APP裡面藏惡意程式，全看各APP開發者的良心，工業局是沒有權力，也不可能把每個APP都拿來檢測的！從這點看來，張善政的說法根本不堪一擊，本質上就是虛偽不實的，連這一點都故意不提，實在令人懷疑張善政的居心，所以他的臉書留言中，才被一群又一群的專業人士，像杜奕瑾、翟本喬、駭客王cih狠狠打臉。 撇開一切法規與技術層面的問題，要利用科技行善或作惡，本質上都是看使用者的動機而定，就跟罌粟花一樣，它可以提煉出嗎啡幫助止痛，但也可以變成海洛因讓人陷入深淵，這樣的邏輯，套用在資訊安全上面也是一樣。在2016年，紐約時報就曾經揭露，美國的一家網路安全公司，Kryptowire，發現預先安裝在部分中國製手機，與美國低價品牌BLU手機上，由上海廣升公司開發的一款APP，竟然會每72小時偷偷回傳用戶去了哪裡，跟誰聊天，甚至短訊中寫了什麼，一股腦傳到位於上海的伺服器。而發現這種不正常傳輸模式的緣由，還是靠一名研究員因為出差而購買了BLU的手機，卻察覺到手機不正常的網路連線活動意外發現的。 至於去年華為的第二把交椅財務長孟晚舟被加拿大逮捕，原因就是華為被指控違反美國的禁運規定，向伊朗提供交換機等骨幹網路通訊設備，且這些設備的功能清單中其中一項，正是「支持安全機構實時監控用戶通信的特殊要求」，並且透過了在設備中內建「深度封包檢測」這項技術來實現，這項功能，正是中國大陸「網路長城」得以運作的關鍵，利用它，關鍵字可以在各個網站上被屏蔽，甚至被竄改，竟也被發現可以抓到誰散布這一則訊息，而這兩個例子內所包含的功能，光是靠所謂「政府檢測」，是防不勝防的。因為白天不懂黑夜的黑，一般來說檢測是針對「正常的標準」作為參考，我們起心動念不會想到要偷個資，當然根本不會去想像有任何通訊設備提供者會暗藏這些奇怪的功能在產品裡，又要怎麼去訂出這樣的標準？ 回顧過往，中國製的通訊產品前科累累，現在世界主要國家紛紛對中國資通訊產品下達禁令了，難道台灣跟金剛護體刀槍不入的義和團一樣，不怕中國的滲透與監控？坦白說，現在才開始宣布禁用中國製通訊產品，我都覺得還嫌晚了。 善政啊，臨老千萬別入花叢，好不容易混到這個光鮮亮麗的地位，都有人拱你選總統了，聽你的言論，很難想像你曾經待過宏碁與GOOGLE，更難以想像你還曾經擔任過國家高速網路中心主任與科技政委呢！善政啊，心要放在台灣上，別滿腦子想著總統夢啊！ *********************** 可否請您評論一下到底誰說的才是正論? 我嚇得一身冷汗的原因是因為身為一個政治評論員居然可以寫出這種高度專業IT技術的文章?! |
|||||||
2019-01-27, 11:40 AM
#1
|
|
|
*停權中*
加入日期: Oct 2016 您的住址: 打狗城
文章: 7
|
只要上網就有資安問題
重點在於有人會拿這個資料去做違法的事 而有人不會 應該說是有某些政府會 某些政府不會 |
||
|
2019-01-27, 11:44 AM
#2
|
|
|
*停權中*
加入日期: Apr 2015
文章: 60
|
銀行跟你要印章身分證，跟地下錢莊跟你要印章身分證，哪個比較不保險？
|
|
2019-01-27, 11:54 AM
#3
|
|
|
*停權中*
加入日期: Apr 2015
文章: 60
|
照善政的想法，全世界都是無知的，愚蠢的，好險還有一小撮人是理性的。
那一小撮人，剛好就在台灣。 |
|
2019-01-27, 11:59 AM
#4
|
|
|
Golden Member
 
加入日期: Apr 2017 您的住址: 陣亡者的靈堂
文章: 3,124
|
政府今年直接送一支大螢幕S855手機給我用
一年一次汰舊換新大升級不用錢 我這不就支持國產手機了嗎? 不要跟我講什麼資安問題 我就是要便宜 請對我誘之以利
__________________
此文章於 2019-01-27 12:07 PM 被 healthfirst. 編輯. |
|
2019-01-27, 12:04 PM
#5
|
|
|
*停權中*
加入日期: Oct 2016 您的住址: 打狗城
文章: 7
|
張善政說是政治問題
他說對了 現在美國要我們選邊站 我想 會想要站到中國那邊的 應該是別有用心 不然就是頭腦有問題 有人說我們可以不要選邊啊！ 呵呵 老大已經表態要你選了 你還在那邊裝傻 |
|
2019-01-27, 12:14 PM
#6
|
|
|
Golden Member
加入日期: Dec 2003
文章: 3,688
|
林育卉
有政治區可以PO文... 為什麼要到別區撒尿呢? 引用:
__________________
報導者 疫苗進行式：COVID-19全球疫苗接種即時追蹤 給真的珍惜自己帳號的人: 停權帳號 申請復帳方式。 台灣事實查核中心 為IFCN國際事實查核聯盟合作夥伴, 為台灣打擊錯誤訊息。 滑坡謬誤 (Slippery slope) 是一種非形式謬誤，使用連串的因果推論，卻誇大了每個環節的因果強度，而得到不合理的結論。 LGBT人物列表 世界會因為不同的崎見而多樣化, 卻會因為歧視而步向對立。 美研究壓倒性共識：同性戀家庭與異性戀養育的子女並無差異, 發明癌症試紙的同志男孩 [分享]Asrock 939Dual-SATA2 與 BBA X800XL 相容性問題!! 使用 Microsoft TweakUI 關閉 Autorun.inf 死雞 11 SMART BAD 請注意 手上有 死雞 12 的朋友請注意!! 屎雞 韌體更新!! 上映中 Barracuda 7200.12 Firmware Update "CC3E" Amazfit 米動手錶青春版 錶面更換步驟 & 錶面下載 |
|
|
2019-01-27, 01:21 PM
#7
|
|
|
Master Member
  
加入日期: Mar 2006 您的住址: On Chip
文章: 2,202
|
引用:
也是, 在這個受薪階級貧窮化多年的島上.... 只要便宜賤價什麼都好 |
|
|
2019-01-27, 01:34 PM
#8
|
|
|
Regular Member
加入日期: Sep 2003 您的住址: 震怒市
文章: 55
|
引用:
希望張善政可以跟老東家谷歌橋一下，pixel手機臺灣賣便宜一點點 保證大家資安意識升級拋棄中國品牌  目前這個定價搭配4g ram實在是有點買不下去  要洗腦自己是花錢買相機附贈通話功能嗎 雖然說RAM不是一切...但是誰叫你們家安卓越來越肥 
__________________
當時一起度過的日子，我不會忘記 此文章於 2019-01-27 01:45 PM 被 henryyeh0731 編輯. |
|
|
2019-01-27, 01:44 PM
#9
|
|
|
*停權中*
加入日期: Jul 2001 您的住址: 台中
文章: 3,574
|
政府立案，合法經營
產品NCC檢驗合格才能賣，現在卻跟著川普假借資安議題，行貿易戰之實 有問題就該全面禁止販售，沒問題就不要欺壓民間企業 |
|
2019-01-27, 01:58 PM
#10
|
|
