admin

admin

  • Joined: 2023 年 6 月 29 日
  • Articles: 41

防堵駭客攻擊 多因子認證興起

來毅數位科技執行長林政毅 第十一屆金融CIO高峰會春季場 會後報導 面臨駭客攻擊手法日益進步，傳統金融產業使用的雙因子認證機制，已無法保護線上金融交易的安全。為此，來毅數位科技推出一套純軟體雲端身分安全認證服務─Keypasco，利用個人設備及地理位置，以獨特專利的雙管道認證機制搭配智慧風險管理引擎來強化網路使用者的身分安全。這項產品擁有全球16國專利，行銷全世界16國家，與時代趨勢同步，解決傳統PKI的困境與挑戰，為數位化服務提供最便利的方案。 [ 下載 2020-21 CIO大調查報告，掌握最新企業IT導入趨勢 ] 其次，這套產品採用純軟體設計，可安裝於用戶的多種終端設備，如電腦、手機、平板、或筆電，用以收集設備特徵值以及地理位置作為認證依據。加上蔡用雙通道認證機制，認證通道獨立於用戶平台登入口，有效防止中間人、釣魚攔截等攻擊。至於PKI專利技術部分，無密鑰儲存於終端設備就沒有被竊取的風險，以創新發明的PKI專利技術，來提升數位金融高風險交易的安全性。 來毅數位科技執行長林政毅指出，這套產品具備整合容易的特性，多種認證因子彈性選擇應用，無需改變既有的使用者體驗，可與現存的解決方案整合為一體。另外，產品也採用智慧風險管理引擎，因此透過 Rule based 機制，達到持續性地強化安全性的目的。 [ 加入 CIO Taiwan 官方 LINE 與 FB ，與全球CIO同步獲取精華見解 ] 值得一提，來毅數位科技推出的Keypasco，是一套跨平台、瀏覽器的驗證解決方案，企業無論採用哪種組合，都可以解決所有當前的線上威脅，並且容易整合既有系統。 在 CIO Taiwan 官網閱讀全文 : 防堵駭客攻擊 多因子認證興起

有130萬個Windows RDP登入憑證流入黑市

RDP允許使用者自遠端存取Windows裝置的桌面與應用程式，由於它在企業中被普及應用，使其憑證也成為駭客世界的熱門商品 文/陳曉莉 | 2021-04-23發表 BleepingComputer本周引用威脅防護業者Advanced Intelligence（AdvIntel）所提供的數據指出，從2018年迄今，駭客已陸續透過地下市集Ultimate Anonymity Services（UAS）兜售130萬個Windows遠端桌面協定（Remote Desktop Protocol，RDP）的存取憑證，而且RDP憑證的價格並不貴，大約介於3美元至70美元之間。 RDP允許使用者自遠端存取Windows裝置的桌面與應用程式，由於它在企業中被普及應用，使其憑證也成為駭客世界的熱門商品。 根據報導，被危害的RDP憑證中，前五大來源國依序是美國、中國、巴西、德國與日本，當中有許多憑證屬於各國的政府機構，亦不乏知名企業，而且橫跨各個領域，值得注意的是，在該資料庫中，有不少外洩RDP憑證的所屬組織，在過去兩年內曾遭遇勒索軟體攻擊，意謂著這些RDP憑證很可能成為駭客滲透企業以植入勒索軟體的破口。 AdvIntel表示，UAS市集與許多全球知名的外洩事件或勒索軟體攻擊有關，有許多勒索軟體組織都在UAS上購買初步的滲透能力，對於RDP用戶而言，不良的密碼與公開的RDP則是造成憑證外洩的主因，建議RDP用戶應該要確保配置的正確，不要在眾所皆知的管理帳號上採用眾所皆知的密碼，最好也讓RDP伺服器只接受來自可靠來源的連線。 AdvIntel已經通知了全球部份RDP憑證受到危害的企業及政府組織，但無法通知所有受害者，鼓勵各個組織主動與AdvIntel聯繫，以詢問是否於受害名單中。 原文出處：  

以簡訊進行雙因子認證有安全疑慮，美政府建議不要採用

以行動電話簡訊作為雙因子認證機制在安全上可能有漏洞，用來接收認證碼簡訊的手機號碼可能被綁架或竄改，例如知名美國黑人民權運動人士DeRay Mckesson指出曾有不人士假冒其名義向電信公司要求更換手機號碼，繼而在各大網路服務上繞過手機簡訊的雙因子認證機制。 文/陳文義 | 2016-07-25發表   獲得許多金融機構與網路服務供應商採用，以行動電話簡訊進行的雙因子認證機制，可能不如想像中安全，美國商務部轄下的國家標準技術研究所建議，不要再採用該機制進行雙因子認證。 根據美國國家標準技術研究所(NIST)最新發布的數位認證指導原則草案，在未來發表的指導原則中將排除額外的簡訊認證。在現有的指導原則下，NIST僅建議採用簡訊做為雙因子認證的機構要確認接收簡訊的號碼為真實的行動電話號碼，而非VoIP號碼。 以行動電話簡訊作為雙因子認證機制的安全漏洞，主要發生在接收認證碼簡訊的手機號碼，有被綁架或竄改的可能。今年6月時，便有知名美國黑人民權運動人士DeRay Mckesson在Twitter上表示，有人偽冒他的身分致電電信公司Verizon要求更換SIM卡後，並在各大網路服務上更換其登記的行動電話號碼，進而跳過他在各網路服務採用的簡訊雙因子認證。 NIST也因此建議，服務供應商應該採取更好的保護機制來保護用戶簡訊可能遭攔截綁架的狀況。舉例來說，任何要更換接收雙因子認證簡訊的電話號碼要求，都必須經過原號碼的雙因子認證通過後才可進行。 目前該草案已經在網路上公布供外界檢視並蒐集意見。 原文出處：  

資安廠商指出，釣魚攻擊者發展出多種手法，使二階段驗證保護失去效力

資安廠商發表研究報告指出，駭侵團體已發展出多種手法，可以對應二階段驗證，使其失去保護能力。 資安廠商 SlashNext 日前發表研究報告指出，駭侵團體已發展出多種不同的手法，可以對應二階段驗證（Two-Factor Authentication, 2FA），使其失去原有的保護能力。 報告指出，二階段驗證過去一直被視為個人或企業保護登入過程的有力武器，可以有效阻隔各種意圖取得登入資訊的駭侵攻擊行動；然而所有的防護手法不可能是萬靈丹，駭侵團體已經發展出多種可使二階段驗證保護失去效力的手法： 1、中間人攻擊（Man-in-the-Middle Attacks）：許多公司行號允許員工在工作用電腦的瀏覽器中安裝多種外掛程式和擴充套件，藉以提升生產力。這類外掛程式和擴充套件雖然方便好用，但也潛藏資安風險，因為有些外掛程式和擴充套件內藏惡意程式碼，可以直接從瀏覽器畫面中取得所需資訊。 SlashNext 在報告中指出，該公司發現不少在外掛程式和擴充套件中暗藏惡意軟體的案例；這類惡意軟體只要坐等受害者完成二階段驗證流程，進入企業或網銀等重要系統網站後，再開始透過惡意程式碼，進行畫面截圖或資料竊取，再傳送給外部的惡意軟體控制伺服器，即可令二階段驗證的安全關卡完全失效。 2、詐騙技術支援（Techncal Support Scams）：在這類攻擊中，駭侵者會假扮成技術支援提供者，要求受害者安裝 TeamViewer 或 LogMeIn 之類的遙控登入軟體，接著就可以在受害者電腦中暗中植入各式惡意軟體，甚至感染整個內部網路。 3、二階段驗證詐騙視窗：駭侵者可藉由幾可亂真的詐騙二階段驗證視窗，取得受害者輸入的二階段驗證碼和用戶的登入資訊，甚至可藉由登入失敗畫面，向用戶騙取更多登入身份驗證所需的機敏資訊。 原文出處：

美國最大石油運輸管線，遭勒贖攻擊而停止運作

美國境内最大的石油運輸管線業者，日前因遭勒贖軟體攻擊因而停止油品輸送業務。 美國境内最大的石油運輸管線業者 Colonial Pipeline，日前因遭勒贖軟體攻擊因而停止各種油品的輸送業務。 Colonial Pipeline 於 5 月 8 日發布資安通報，指出該公司於 5 月 7 日遭到不明來源的駭侵攻擊，可能包括勒贖攻擊在内，結果造成油品運輸作業受阻。 為了防止受災範圍擴大，該公司緊急停止整個管線運輸系統與部分資訊系統的運作，並會同外部獨立資安公司與司法單位介入調查整起事件的成因與受損規模。 資安專家指出，這次 Colonial Pipeline 遭到的攻擊，很可能是使用一種稱為「DarkSide」的勒贖軟體進行。DarkSide 最早出現於 2020 年 8 月中旬，過去亦曾有多家大型企業遭到 DarkSide 的攻擊。 DarkSide 的攻擊方式，和其他勒贖軟體如出一轍：首先透過釣魚信等方式駭入系統，接下來一邊竊取各種未加密文件與系統主機登入資訊；一旦取得内部 Windows Active Directory 的權限，就會感染所有内網裝置，竊取内網中的檔案並且進行加密。 Colonial Pipeline 每天自墨西哥灣運送 250 萬桶精煉原油産品到美國東部各州，其中包括航空用油在内；由於該地區的油品庫存仍然相當充足，且因肺炎疫情造成油品消耗量下降，因此這次事件短期内不會對美東的油品供應造成衝擊。 紐約時報報導指出，Colonial Pipeline…

美澳政府發布 Avaddon 勒贖攻擊資安警訊

美國與澳洲政府日前發布資安警訊，指出一個稱為 Avaddon 的勒贖攻擊行動，正在全球多國肆虐，影響遍及多種行業。   美國與澳洲政府的資安主管機關，日前發布資安警訊，指出一個稱為 Avaddon 的勒贖攻擊行動，正在全球多國肆虐，影響遍及多種行業。美國聯邦調查局（Federal Investigation Bereau, FBI）和澳洲資安中心（Australian Cyber Security Centre, ACSC），在各自發出的警訊中指出，包括澳洲、巴西、中國、捷克、德國、印度、義大利、秘魯、葡萄牙、阿拉伯聯合大公國、美國、比利時、加拿大、哥斯大黎加、法國、印尼、約旦、波蘭、西班牙、英國等多個國家各個重要行業中的重要企業，都遭 Avaddon 勒贖團體鎖定發動攻擊。 應特別注意攻擊的重點行業，包括大專院校、航空、營建、能源、設備、金融、倉儲運輸、行政機關、醫療、資訊科技、司法、製造、行銷、零售、藥劑、虛擬娛樂業等等。 FBI 的報告中指出，該局接獲線報指出，曾在俄語駭侵相關論壇公開販售勒贖服務（Ransomware-as-a-service）的 Avaddon 勒贖團體，近來鎖定美國與全球各地的私人企業，包括製造業、醫療業者發動攻擊。 FBI 說，Avaddon 可能會攻擊系統上的 PowerShell、WMIC.exe、Svchost.exe、Taskhost.exe 等系統檔案來進行入侵與檔案加密作業；在 FBI 發出的 TLP:GREEN 通報中，詳細分析了 Avaddon 可能的攻擊手法；ACSC 發表的 TLP:WHITE 通報中，也列出更多可能遭到攻擊的國家與業種，並且建議可能遭攻擊的對象，儘速修補現存的各種資安漏洞，加強釣魚信件的防護與檔案備份作業。   原文出處：

2020創新軟體展示暨研討會-台北場圓滿落幕

為了讓各機關在選購軟體時，能有機會更進一步觀察瞭解廠商產品之內容、功能與服務，中華軟協今年持續於北中南舉辦「2020創新軟體展示暨研討會」，匯集58家以上廠商以實體有感的產品集中展示方式，透過各面向的實務案例分享，讓您一次掌握優質軟體產品資訊與服務內容。 新聞來源：

來毅數位科技與41家資安業者揪團 建平台走向國際

四十二家台灣資安公司共同發起台灣資訊安全協會。首屆理事長、精誠資訊智慧資安資深處長涂睿珅表示，國內有優秀資安新創，專業實力強大、規模卻不大，希望透過協會力量組成平台，包括精誠資訊、奧義智慧、來毅數位、關楗等，共同厚植台灣軟實力及走向國際化。 涂睿珅表示，台灣資安新創常單打獨鬥，各自拓展包括日本、美國、東南亞等不同市場，許多新創到相同市場都得重新來過，這次成立協會，就是期待能搭建一個增進彼此交流的平台，整合台灣具自主研發能力的資安公司能量，透過高效率協作與經驗共享概念，希望能在全球資安市場占據一席之地，預估明年第一季前就會突破百家會員。 涂睿坤認為，協會將積極響應政府優先採購國內自主的資安產品，同時建立評鑑制度確保品質，會員間積極整合出更完善的產品，將是讓台灣產品走向國際化的關鍵。 台灣資訊安全協會也成立不同專案小組，希望能跨產業交流，例如５Ｇ、車載電子等；涂睿珅強調，每個產業都需要資安，所以台灣資訊安全協會將是與各產業溝通的重要平台，協助各產業把資安做好。 新聞來源： （自由財經）

國產資安能量加持　企業遠距辦公風險無虞

2020年上半，對所有企業來說，無疑是驚喜交加的時期，驚的是在疫情影響下，使經濟活動節奏為之失序，但喜的是藉由數位工具、甚至結合雲端服務，在傳統工作型態難以為繼時，仍可透過遠距辦公模式，維持員工生產力、商務溝通，確保業務營運無中斷之虞，反倒加快企業數位化進程。 不少企業認為，即使疫情過後，遠距工作仍將成為常態；但對於遠距作業下潛在資安破口，卻未必有所警覺。為此，新興資安產業生態系推動計畫的「SECPAAS資安整合服務平台」透過技術輔導、供需媒合，積極聚集臺灣資安原廠提供適當解決方案，幫助企業做好資安布局、從容因應工作型態轉變。 藉由主動防禦，補強遠距資安罩門 針對遠距工作的風險考量，全景軟體總經理楊文和歸納幾個重點，首先僅憑藉傳統帳號密碼的認證登入方式，恐因安全度不足而遭破解；其次遠端連線多未建立於加密通道，易導致資料失竊；再者員工家中電腦的防護措施未盡周詳，易感染惡意程式，將毒害擴散到公司內部；最後假使居家上班的員工行為失當，可能造成公司機敏資訊外洩。 來毅數位科技總經理林欣怡補充，過去員工在公司內辦公，企業能輕易設立版本控制、程式掃描等管理措施，例如什麼職務的人面對何等資料，該賦予哪些存取、開發權限，皆有明確規範；但企業設計這些機制時，多未想到有朝一日必須適用居家辦公情境，如今鞭長莫及、可能衍生破口。 匯智安全總經理鄭嘉信則指出，遠距工作的資安風險過去就存在，只是隨著疫情驅使此作業型態成為必然，讓既有問題擴大，甚至因新工具的導入，額外製造新風險。唯今之計，企業不能單純冀望以防毒防駭等「被動性防禦」手段來明哲保身，必須採取強身份認證、資料加密等「主動性防禦」措施；而廠商的責任，便是努力提供更易使用、CP值更高的主動式防禦方案，使金字塔中下層的廣大企業，都受到完善保護。 眾廠各展所長，催生一系列強認證方案 針對主動性防禦議題，臺灣資安廠商憑藉獨具特色的技術優勢，分別孕育高值化的防護產品，讓企業從防毒防駭角度填補外牆漏洞之餘，更能化被動為主動實現強身份認證，牢牢守護企業進出門戶。 有鑑於帳密登入認證方式之不足，全景軟體悉心打造ID Expert身份認證系統整合式認證平台，使企業能依據不同人員存取不同系統的權限做出區隔，從而針對不同群組採取OTP(One-Time Password)、推播、生物辨識等多元認證模式，提升身份驗證強度，化解帳密失竊危機。值得一提，ID Expert支援SAML認證協定，企業員工可藉助ID Expert頁面、直接登入同樣採用SAML協議的眾多雲端服務，例如Office365，取代早先AD帳密輸入，進一步消除帳密失竊風險。 此外為避免員工居家上班時將機敏資料載入隨身碟、衍生機密外洩疑慮，全景另提供uSAFE隨身碟管控系統，使員工即使人在家中，也無法將企業資料置入未經認可的 USB。 在強化主機加解密效能、提高安全強度方面，匯智安全致力發展全系列硬體安全模組(hardware security module；HSM)，主要分為三大項。第一是適用於伺服器或NAS 的硬體加密模組，其次是USB形式的認證Token，包含KvKey、KvKey+兩款產品，它們不僅有效保存密鑰，且搭配特殊專利技術，可偵測手勢狀態，輕易驗證當下操作者是否為合法用戶；至於強度更高的KvKey+，則內建高效加解密引擎，協助用戶執行以硬體加密為基礎的視訊會議應用、檔案加解密作業。 匯智安全另發展Micro SD型式的Token，為手機端提供高速加解密服務，且上面的儲存媒體完全加密，就算裝置不慎遺失，也不需擔心箇中機敏資訊洩露予外人。打破遠距工作的界限，包含板端、手機、桌面、筆記型電腦、伺服器乃至雲端，皆在該公司全系列產品的保護範圍之列。 PKI的建置對於中小企業資安防護，一來要價不親民，二來不匹配現今行動化服務趨勢，因此鮮少被廣大的中小企業採用。為此，來毅數位科技發展「成本可負擔」、「導入不複雜」的純軟體強認證產品，能以手機、平板或筆記型電腦取代Token，惟個人裝置並不存放Credential，而是扮演Slave角色，連結認證伺服器的風險管理引擎，據此驗證是否為授權裝置及地理位置，並驗證裝置是否經JB或Root，一切無誤才准予登入，頗適合遠距工作情境。 此外來毅憑藉PKI專利技術，藉由使用者設定的PIN碼，結合授權裝置的特徵值、原始私鑰，由集結三項元素重新產生一組私鑰，新私鑰拆分二半，僅放一半在設備端，用戶PIN碼不存在於任何地方。就算有心人士盜取裝置，也無從獲得正確私鑰，自然無法登入成功，可大幅增進認證強度，適合網銀交易等高敏感應用場景。來毅另發展特殊的「近場認證」模式，使用者利用其Keypasco軟體，可綁定多個設備構成一組驗證主題，保證駭客百攻不破、無功而返。 總括而論，經由本土資安原廠的技術創新，已成功打造一系列高性價比強認證方案，使得非屬金字塔頂端的企業，能靠著合理預算建立主動式防禦機制，無後顧之憂地支持數位化、行動化工作的新常態。(吳冠儀整理報導)(經濟部工業局廣告) 報導來源（digitimes）