Fw: [分享] 一位電機研究生整理的服貿資安疑慮看法

[georgemouse (喬治鼠)]

※ [本文轉錄自 FuMouDiscuss 看板 #1JCt5rF2 ]

臉書公開連結，
相關後續討論可以到此觀看：
https://www.facebook.com/shishiunc/posts/10201558827165129

---
我自己是電機所計算機組，做有關網路通信的研究，
我有在實驗室擔任機房管理的工作。
有關這次爭議我已經詳閱過
服貿本文及附件、公聽會紀錄、NCC資料等等文件。
以下重新整理我對現行服貿版本開放電機電信產業的疑慮。

-------------
一、電信專業領域教授們的擔憂

。首先這是成大教授李忠憲的顧慮：
https://www.facebook.com/jslipfhf/posts/506153572829526

。此外，這是去年公聽會學者就提出的警告：
http://lis.ly.gov.tw/pubhearc/pubhearkm
(縮網址的連結失效，我直接貼)
點選資料查詢，
左邊搜尋打「海峽兩岸服務貿易協議」就可以找到
電機相關在第四場與第十場

建議觀看
第四場
附錄一、專家學者書面意見
(一)林盈達教授(交通大學資訊工程學系)
附錄二、各機關書面意見
(四)國家通訊傳播委員會

第十場 紀錄複雜，建議先點過去看目錄決定您關心的部分

-------------
以下以我的理解試圖做一些補充：

根據服貿協議的附件一「服務貿易特定承諾表」

一、商業服務業 B.電腦與相關服務業

其中開放獨資的資料庫服務就包含到敏感的個資問題，
由於電子資料存放需要龐大的維護費用，
一般公司或政府機關會把這個工作委託給民間公司存放，
開放陸資獨資的話，如果那間委託公司把資料轉出，
對於這種可能的洩密風險要如何處理?

雖然在公聽會紀錄NCC官員有表示
有明令禁止資料庫資料轉出到大陸伺服器，
但是這種事就是在被轉出後就已經無法挽回的事了。
(對比：大陸有「加強網絡信息保護的決定」但是只僅限於保護個人電子信息)


二、通訊服務業 C.電信服務業
其中開放投資的有第二類特殊業務
「(1)存轉網路服務 (2)存取網路服務 (3)數據交換通信服務 」

這三項的解釋如下，引述李忠憲教授臉書留言：
「
(1)存轉網路服務：
電信業者租用專線或電路到用戶(企業或個人)處，讓用戶可將資料或
資訊送至電信業者之(伺服)系統，電信業者再將資料或資訊轉換並送至目的地。

(2)存取網路服務：
電信業者租用專線或電路到用戶(企業或個人)處，讓用戶可將資料或
資訊送至電信業者之(伺服)系統，電信業者再將資料或資訊轉換後，供用戶取用。

(3)數據交換通信服務：
電信業者設置網路設備(如X.25、Frame Relay 或ATM)，提供用戶
(企業或個人)數據資料之通訊服務。
」

其中第(3)項，在公聽會紀錄上有說明是指業者向固網業者租用線路，
那些租用業者，
也就是大家所知道第四台寬頻(台灣大寬頻、凱擘、sonet、seednet等等)，
首先寬頻業者會先向固網業者租網路線路，
接下來業者機房的設備會把原本傳第四台影音和傳網路訊號的線路
經過設備整合成一條線路，
然後牽到用戶家中。
用戶家中的數據機接上業者提供的這個線路，
可以各自分出出原來兩線路的訊號，
這樣就可以同時看第四台和上網。

這次服貿在電信開放的特殊業務部份"就我理解"的確就是這樣的業務，
只是有規定大陸投資這些比較小的寬頻業者時，
不能和有固網的業者(中華電信、台灣固網等等)合資，防止線路被壟斷；
機房設備要合乎各種ISO國際標準防止裡面有被動手腳；
此外也有禁止大陸的機房人員進入機房，
還有機房管理不能是大陸的公司，
但是可以投資我們的管理公司。
而機房人員犯法除了依個資法每罪罰鍰5~50萬，以及移送法辦。
看似似乎沒問題，
所以你也可以看到政府早在之前(民98年)就同意外資(非大陸)進駐，
現在的第四台業者有澳洲、美國資金挹注，
(舊聞 http://blog.chinatimes.com/noa/archive/2006/08/08/85893.html)
而公聽會也有提到這點。

這種種設限下，要盜取資料或監控，
就是得買通機房人員，
讓他們在合法的設備上多接條線或多接監控設備，
才有隱私洩漏的危險。

不過以資安的觀念來說，要防止資訊被監控盜取，
就是要在這些可能洩露隱私的關口設備上加上一層層防護網，
重點是，沒有完全不可能被監控的做法。
要連到網際網路就一定要有關口，而這關口是不可能拔掉的，
只能減少這些關卡被滲透的機率。

由於目前外資的業者並非我們的形態上敵國的業者，
所以在這方面被滲透的機率較小，
有心人士必須先串通外資才能滲透到這邊，
但是之後一旦同意陸資投入，
其中的這一層防護就會損失掉了。

那到底這層防護是不是值得我們為讓大陸投資電信業而犧牲，
這就要反問這些支持現行版本通過的人了。
事實上由美資進駐，
美國方也有可能滲透我們的機房人員側錄上網資訊，
去年吵很大的斯諾登案就是一例，
只是今天美國沒有要併吞台灣的立場，而大陸是有的。

此外，另一個合資開放的地質、礦物及其他科學勘察服務，
開放這個就好比世紀帝國等即時戰略遊戲，
把地圖戰爭迷霧全散開給別人看。

最後有關退場機制，服貿有關退場機制只說可以兩方再協議，
那如果過了以後對方硬是拖延協議或是不協議該如何處理(服貿第一章第八條)?
在重新協議前還是得照規則走。
這個退場機制的設計看似合理，卻很有問題。

---------
以上是我看完全協議的與電機相關公聽會的一點意見，
如果有錯請指出並討論，謝謝。
其實服貿全文並不長，
公聽會資訊也全部公開，
相信以各領域的專業補充整理可以讓大家更瞭解其內容。

台灣大學電機所計算機組 陳仕勳

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.34.207.37
※ 文章網址: http://www.ptt.cc/bbs/FuMouDiscuss/M.1395880309.A.3C2.html
→ ECZEMA:你得到它了~ 說二類電信無違國安 簡直睜眼說瞎話
推 satyrs05:警大副教授公聽會那篇也可以給他看
→ georgemouse:我寫這篇的動機是為了讓不懂電信的人也能參與，所以如
→ georgemouse:果還是有人不清楚，可以問我我在公開回應上解答 :)
推 satyrs05:馬政府不知道哪個天兵去談的，簽了這種東西回來
推 noabstersion:push
推 ECZEMA:現在各開放行業都有專業來反對 很想看懂電信的人如何支持
→ georgemouse:其實許多教授私底下都有疑慮 但是不方便站出來 :P
→ georgemouse:希望大家幫忙宣傳這篇，我想聽聽各種疑問 謝謝
推 Coolvvg:
→ satheni:天兵？簽完以後評估報告才出來？哪個神仙談得來
→ satheni:整件事根本就是胡鬧...
※ georgemouse:轉錄至看板 Gossiping                                03/27 09:28
推 iamjust150:資訊相關推
推 joey1149:電機人給推
※ 編輯: georgemouse     來自: 1.34.207.37          (03/27 10:52)
推 yuuirain:推
推 greenvision:推，我也發過類似文章，有同樣看法
※ 發信站: 批踢踢實業坊(ptt.cc)
※ 轉錄者: georgemouse (140.112.17.209), 時間: 03/28/2014 15:15:28
※ 編輯: georgemouse     來自: 140.112.17.209       (03/28 15:16)
推 carterdunk:NTUEE計算機組學弟?
→ georgemouse:學長好~ 我寫這篇動機是想搞清楚政府對新興資訊業的
→ georgemouse:規劃，因為就法條來說現在規範的產業別寫得太模糊了
推 zxcvbnm9426:Z>B
→ clautus:簽訂服貿協議是否會對我方資通安全形成威脅？
→ clautus:(一)不會。此次開放3項特殊業務非屬一般民眾使用的語音通
→ clautus:訊服務，不會有民眾遭到監聽之疑慮，只有特定用戶會透過電
→ clautus:信業者租用封閉網路來使用這些服務，故敏感性及資安疑慮低
→ clautus:from ECFA網站  官方說法。
→ clautus:中間的差異也許是李忠憲教授和官方對開放業務內容的認知不
→ clautus:一樣？
→ georgemouse:可以看我臉書下面留言的持續整理 事實上現在業務劃分
→ georgemouse:在法條上是不明確的 有擴大解釋的可能
→ georgemouse:不只是李教授有疑慮 工程師也有疑慮 在申請營業規章的
→ georgemouse:時候業者會填說他們是哪一類業務 如果這邊規定模糊 那
→ georgemouse:每個業者都來說我們也屬於這三類 那要怎麼辦?
→ clautus:這些疑慮反而是擴大解釋才產生的疑慮吧？ 現階段的規定是
→ clautus:只限定登記執行特定業務的公司才能接受陸資不是嗎？ 還要
→ clautus:接受審核。  協議內容也有提到涉及個人資料的事項或業務
→ clautus:部門、業務功能及系統等均不能移往大陸地區等配套機制
→ georgemouse:但是目前這些登記的公司並沒有辦法代表之後登記的公司
→ georgemouse:在公聽會中有看到解釋這些產業劃分是20年前的東西
→ georgemouse:NCC並在公聽會重新提出了這三項的定義，但是這三項定
→ georgemouse:義卻又定義不清了。 我今天和同學討論過的心得是政府
→ georgemouse:方如果能把這些產業種類劃分得更清楚，這樣就可以保證
→ georgemouse:對方不能鑽空子。至於洩漏機密的限制和處罰通常都只能
→ georgemouse:道德防止和亡羊補牢，資料被竊取後損失是永久的。