作者ggg12345 (ggg)
看板AfterPhD
標題Re: [問題] 台灣的資安能力究竟如何?
時間Mon May 12 13:08:34 2014
※ 引述《vintw (陽光好青年)》之銘言：
: 鍵盤資工博士生發表一下看法，雖然我不是做資訊安全方面的。
: 而且我也不確定這跟博士後有什麼相關啦...
: 1. 電信設備幾乎都是SoC，來的時候直接整台過來，這對資安的分析來說是很大的挑戰。
: 從硬體的角度來說，他都變成晶片封裝還焊好出貨給你了，你要分析它裡面有沒有漏洞，
: 除了把他當一個blackbox測試之外，還有什麼其他的方法？
: 就算你可以拆封裝去拍他裡面的layout，這樣可以看得出裡面有沒有埋不該埋的功能？
: (這部份我比較不熟，如果真的有方法可以這樣就看出問題，還請不吝賜教)
: 從軟體的角度來說，對方一定沒給你source code，所以你只能從binary去分析，
: 就算給你source code，你也要確定他那個binary真的是用這份Code編出來的......
: 你還要確定binary是你看得懂的，這又要回到硬體/指令集的問題了。
: 一般來說就算有原始碼，作static code analysis都不見得可以找到所有的漏洞了，
: 所以基本上，如果他出貨給你的時候裡面有埋不該埋的東西，我認為很難抓。
: 至於您問到台灣有沒有人才可以做這樣的檢測，我認為應該有，
: 但是政府要花多少成本多少時間去做？政府賣方買方才能接受？
======
今天的硬體已不是全然都是死硬的, 類似 EEPROM 的功能, 某些部份是 programmable.
但要改, 那要碰得到按紐開關跳線才行. IC就是除了出入口全密封.
所謂暗門, 那就是特定人知道, 其他人不知道的通道. 特洛依木馬要有人替他搬進門還
要可以偷偷被執行. 木馬關鍵在被釣者, 而不是暗門. 如果所有出入口被監管, 若用了
暗門就會被追查發現. 出入口在買方使用管理的範圍, 這種出入口就不會是暗門.
若是出入口都是對方做好給你, 當成公開受管制的出入口, 譬如管理者設有通行碼
好像通行碼都在管理者監控下, 但因為出入口是對方提供的, 所以可做個特定通行碼暗
門, 特定通行碼就能開啟不受監控的入口. 所以若能完全監控/監聽/監視出入口, 正常
不能過的通行碼也能通行進出, 那就不必煩惱有無對方留下的暗門.
關鍵只在能否堵住所有出入口在我監控的出入口進出.
針對暗門這件事, 那是不論敵我, 都是無法逃避的問題! 做國安/資安都懂這.
: 鴻海可以接受等三年中科院國科會計畫結束後才能買嗎？華為願意配合釋出Source嗎？
: 就算有人才，也要有時間有預算才能做得出來，更不用說上面有沒有想要做的問題...
: 2. 華為的手機台灣到處都買的到，如果有後門，一台機器洩漏的是幾位民眾的資訊，
: 鴻海今天身為ISP，所採購的東西是所謂的骨幹設備，
: 這東西一出包牽扯到的可能是數十萬甚至上百萬的用戶，風險自然比起一般手機來的高。
: 所以謹慎的程度自然應該比起一般民眾選購手機、家用路由器等等來的高。
: 話又說回來，國安機構難道會輕易採購華為的手機進來用嗎？(現在的政府是有可能啦...)
: 就算不想買華為的手機，你難道可以知道你的ISP經過了哪些廠商的Router嗎？
: 所以說NCC在設備上進行管制我認為是有他的道理的，因為關係重大而且使用者無法選擇。
: 至於您提到的微軟的OS更新，如果是在敏感的單位確實是會造成問題，
: 除了安全性的隱憂之外，還有更新打上去會不會造成相容性的問題等，
: 所以就算是使用微軟的產品，也不是每個地方都有那個膽子給他放著讓他自動更新的。
: 3. 至於為什麼要針對華為？因為華為有很濃厚的解放軍背景。
: 華為創始人兼總裁任正非本身就是解放軍軍官退役，
: 華為也在資金與訂單上受到中國政府的大力贊助，光是這點就足以提防了。
: 說到為什麼不針對Cisco一樣提防，難道美國有宣稱我們是美國神聖不可分割的一部份嗎？
: 最後我做個結論，資訊軟硬體跟一般東西不同，很難用工程的方法來確保完全沒問題，
: 因為本身有太多的可能性存在，所以補洞上patch已經成為資訊人員的日常。
: 君不見就連Open Source的OpenSSL 也可以出一個這麼大的Heartbleed漏洞了。
: 在這樣的前提下，鴻海居然想要在骨幹網路的採購上面，在有取代性商品的情況下，
: 去購買一個不承認你國家主權的不友善鄰國中，有明顯軍事背景的廠商的設備？
: 我認為不應該為了便宜冒這個風險。
: 最後，跟上文比較沒關，但是提到了打仗時會不會用對方的子彈，
: 用假子彈去刻意膛炸敵人武器的事，二次世界大戰幾乎各國都有幹過，
: 美軍在打越戰時也弄了個Project Eldest Son，專門生產膛炸子彈。
: 從這個例子更可以看出，如果對方是你的敵人，你就應該更提防對方惡毒的手段。
=====
敵人的槍支子彈能不能得來用? 若是會膛炸的子彈一定會有暗記, 萬一自己人
拿去用, 是否未蒙其利先受其害? 請對方反身成立的用, 就知道暗記何在了. 如果
暗記被破解, 那就是可以反過來用對方的這個bug或特異功能為我所用.
我的問題依然是台灣的資安能力到底如何? 這種事能力不是早就該有?
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.37.46.70
※ 文章網址: http://www.ptt.cc/bbs/AfterPhD/M.1399871317.A.BB7.html
→ goldmoun:網路設備看起來並沒有大家想像的安全，但防護也不僅只有 05/12 16:20
→ goldmoun:只有一道，明白清楚風險所在，但也不用過度反應... 05/12 16:21
→ goldmoun:感覺對駭客來說...不管你買哪國的設備他依樣駭得到你... 05/12 16:23
→ goldmoun:台灣早就在普遍使用有問題的設備了!! 05/12 16:26
→ goldmoun:至於華為的漏洞比較大還是cisco的漏洞比較大就不清楚了.. 05/12 16:27
推 PHPer:叫工研院做ㄧ台給全國用，保證安全 05/12 17:56
→ PHPer:和中研院一起合作開發應該就夠了吧 05/12 17:56
→ goldmoun:一般民眾沒有那麼多安全需求啦~真的有安全需求的警察、軍 05/12 21:17
→ goldmoun:真正機密的東西也不會讓他透過無線網路在空中飛來飛去的 05/12 21:19
→ goldmoun:用了華為會突然間有國安問題? 大部分都是炒作出來的感覺 05/12 21:20
→ goldmoun:華為的效能怎樣不知道，不過cisco做的真的比台灣廠商好.. 05/12 21:21
→ goldmoun:少一行@@ 軍方、私人公司，大多有自己的專網 05/12 21:22
→ emitter:台灣有哪裡坐的出人家願意買的基地台啊? 05/13 21:31
→ emitter: 作 05/13 21:31
推 jack5756:正文、中磊、智易、明泰、合勤、亞旭 05/13 22:29
推 mmonkeyboyy:美國都不用了.... 05/14 09:04
→ mmonkeyboyy:洞都很大 因為有一堆有洞的東西當標準 大家都中 05/14 09:05
→ mmonkeyboyy:華為效能不差 但也不好 夠用就好 05/14 09:06
→ emitter:femtocell也算？ 05/15 18:14