首頁 > 駭客任務─手機攻防戰
:::
駭客任務─手機攻防戰
 
 
孫教授是清華大學資訊安全的專家,除了在專業研究累積豐碩成果,也在清華大學圖書館擔任副館長,對學校行政職務貢獻良多。他擁有十個以上的中華民國專利,過去不僅主持超過五十個研究計畫,更參與大量產學合作,包括台達電、國科會、中科院、工研院、資策會等單位,將理論研究與實務做密切的連結,並擔任中華民國資訊安全學會產學合作委員會主任委員,促進資訊安全產業界與學界合作!他曾擔任清華大學產學合作營運總中心智財技轉組組長,協助學校教師及研究人員進行專利申請和技術移轉。

他最近更帶領清華大學資訊安全實驗室團隊,成功開發出一套檢驗系統:行動裝置APP安全漏洞的高效率智慧偵測系統,能偵查業者開發手機APP的安全漏洞,為國際(Google、Facebook等)企業肯定,並登上美國電信龍頭AT&T漏洞回報季排行榜前3名!孫教授在這場演講中,將會帶大家關注駭客議題,並一睹手機攻防的進步技術和研發成果。他說:龍門客棧外,身穿黑衣,頭戴黑帽的殺手「無名」正與白衣俠客「金盾」展開一場殊死戰。但見「無名」劍走偏鋒,招招刺向「金盾」的要害,眼看「金盾」就要招架不住了,突然之間,雷電交加,一道金光環繞著「金盾」,「無名」屏息以待,似乎正等著下一次的進擊。在網路的世界中,常常存在著駭客。駭客也有分好壞,黑帽駭客:以利益導向,專門尋找系統或程式漏洞,入侵網站、竊取個人資料、牟取不當的利益等為他們的目標。白帽駭客:具有駭客的知識與能力,了解駭客的手法,扮演正義的一方,能夠修補網站漏洞及程式漏洞,阻絕黑帽駭客的攻擊。在本次演講中,孫教授將介紹駭客在智慧型手機中的攻與防。

聽講心得(撰文|孫維新館長)

上週五(12/09)晚間秋季的第四場展望演講,由國立清華大學資訊工程學系孫宏民教授擔綱,孫教授以「駭客任務─手機攻防戰」為題,有如實境秀地呈現駭客的面貌,將行走於電腦江湖的「俠客」世界,作了淺顯易懂的分界,進而讓大眾瞭解在數位時代,連舉目皆是的智慧手機,其實也暗藏資訊安全顧慮,幕後的進攻及防守,不僅與行動網路與裝載程式的使用安全緊密相關,還會影響當今社會運轉,大家豈能不慎!

第四講的開場,孫教授親切的講起他成長的故事,他在高中的時候就開始接觸電腦,用數學函數寫出了建構香吉士(Sunkist)的程式,而且是用當時還沒有套裝繪圖軟體的APPLE2,算是與資訊世界有了初步交集!從中學模擬考中他意識到自己在數學上的優勢,勤加練習後,選擇就讀應用數學系,孫教授後來進入「密碼學」的研究領域,實際與「資訊安全」越走越近。如今更以親身經驗鼓勵大家:憑藉數學系所培養的能力,就能夠發展出深入的研究內涵,從中走到更實務的層面。

孫教授進一步解釋了摘要的涵意,駭客世界的攻防,其實如同武俠小說的對壘過招,從刀光劍影的殊死戰中,我們可以認識「黑帽」殺手、「白帽」俠客,及金光「防火牆」的關聯,擷取資訊安全的基本概念!為了讓大家對駭客更有感覺,他也播放了台灣鄉土劇的影音,以電視拉近駭客與人們生活的距離。孫教授說,不論大家對駭客的印象為何,實際上駭客有「黑帽」和「白帽」兩種,各別代表以利益導向,尋找系統或程式漏洞達成特定目標,以及修補網站和程式漏洞,阻絕入侵、竊取等牟利行為的角色。

接著,他提到還有難以定義,藉於黑與白之間的「灰帽」,舉例來說,像是全球著名的駭客組織:Anonymous(匿名者),他們分布在全世界,並且擁有資訊知識和高超技術,因關注議題上有共識,而發起一連串自主或自發性的行為與活動。為什麼是「灰帽」?過去他們就曾對ISIS宣稱:“You will be treated like a virus, and we are the
cure.”,關閉了他們的推特、臉書,以及許多網頁; 更以「Operation Darknet」癱瘓了40多個兒童色情網站,並公布經常光顧的訪客姓名!另一方面,卻也作過公布舊金山灣區捷運系統(BART)捷運乘客個資,只為報復舊金山捷運當局,要他們付出關閉捷運手機服務、防止聚集抗議警察在捷運射擊行為的代價。Anonymous甚至也曾在台灣發起行動,為的是表態其政治與教育的傾向,而影響國家內政運作。

社會在面對防不勝防的駭客,檢測技術自然成為迫切需要的工具。孫教授指出了在手機安全部分,APP安全漏洞偵測,以及惡意軟體檢測兩方面。即使像銀行這樣的合法開發者,都需要Real Time的APP安全漏洞監測,因為按照過去他們檢測的結果顯示,80%的國內銀行APP是有程式漏洞的,可能造成用戶個人資料的外洩,產生嚴重的財產損失。另外,由於Android系統在世界智慧手機市場占了八成的比重,因此惡意軟體在Android的開發,與Android惡意軟體的橫行比率就高:近乎5個APP就有1個為惡意軟體,戴爾SonicWALL就曾在「2015年度威脅報告」指出,針對Android惡意軟體的持續增加,已造成八成的智慧手機都處在危險狀態!

國內調查也指出:截至2016年8月已偵測多達1,660萬個行動惡意程式,而伴隨行動支付在全球的成長趨勢,手機資安客戶端軟體市場勢必將全面擴大!接著,孫教授也示範了反組譯、分析程式碼、插入惡意程式,以及重新打包的一連串步驟,透露了APP安全漏洞問題的嚴重性及真實性,而這卻是普通用戶難以知曉的。此外,高達80%的APP有山寨版,我們無意間的下載與使用,將損害開發者與自身的利益。

傳統檢測面對著不同的挑戰,其一是自行購買檢測工具價格過高,對中小型企業難以負擔,因此需要成本低、準確度高的檢測服務;另一個是人工檢測問題,這不但花時間,更容易出錯,而且傳統的資安專家並不等同手機檢測專家,真實需要有APP漏洞的專業背景,才能快速檢測出安全問題。孫教授說到,絕大多數資安專家與國際知名企業,都不是很熟悉行動安全,就連大家經常使用的熱門APP,像Facebook,WhatsApp等,都有找到安全漏洞的前例。對此,他也開發了全世界第一套自動化APP 安全漏洞檢測系統,不僅不用原始碼,而且每天可以分析一萬支APP。檢測過程經由逆向工程確認漏洞,並將檢測程式碼安全漏洞、App安全等級,以及漏洞修補建議結果輸出成檢測報告,解決了國外大型企業的資安問題,可說具體成效顯著,也備受各界肯定!

演講的最後,孫教授提到為避免遭綁架軟體勒索,平時應養成備份在外接式硬碟的習慣,防毒軟體則是「一分錢,一分貨」,不過只能防範80%的病毒。他也語重心長的表示:駭客雖然看起來好像都在電影中,但卻真實地存在於我們生活周遭,他們真的只要連上網路的電腦,就能興風作浪,在21世紀的現實社會,我們都應該特別留意數位生活下,延伸出的個資與隱私的安全!上週五晚上大家都上了寶貴的一課。

●〈展望〉系列科學普及演講官網:https://prospect.phys.ntu.edu.tw/
●〈展望〉系列科學普及演講部落格:http://prospect-speech.blog.ntu.edu.tw/
推薦文章

TOP