Pogo Tsai 的 "新" 異空間

這2天的會議中, 最淺顯的 Topic 應屬 Day 1 由 ICST Charmi Lin 主講的 Email 安全性問題 與 由 警政署 PK 主講的5000萬筆個資外洩事件 Email 問題方面, 點出了更改密碼並不完全有助於帳戶遭盜用問題, 由於一般使用者並無習慣檢查相關 mail 帳戶的設定, 所以很有可能在 帳戶被盜用同時, 帳戶可能被設定如轉寄信件等功能, 使用者仍不自知, 所以更改 mail 的 password 無論多少次, 是完全沒用的 講到 Email 問題, 時至今日, 即使是 IT 公司, 會無視 Email 特性(不安全性與不確定性), 在仍使用 POP與 SMTP 的環境下, 來傳遞重要的資料, 甚至當作稽控流程的一部分, 這種無異於資訊自殺的行為竟依然可見 (在資安政策落實的公司中, 是能用 mail 系統來做稽控流程, 但前提是, 先停用不安全的協定, 最常見的用法為 Note 或 Exchange 配合 VPN 使用, 但很多公司的 E 化只導稽控流程至 mail 系統卻未考慮資安問題, 反而造成門戶大開) 5000萬筆個資外洩事件, 是 Pogo 最有意見的一場 Topic, 針對的並不是 PK 的內容, 而是這事件背後所帶來的更多問題, 以這場的 Topic 明白的確定了這事件的真實性 (先前 Pogo 有提及這事件, 但一直得不到官方的說明不敢冒然發文) 但我認為 PK 應足以代表官方的証明, 直接証實了該事件的問題 以 PK 的說法, 官方証實經多種管道造成資料外洩, 除了 Hacker 入侵外, 最大宗的是勞健保資料轉移時, 被人直接以 HDD copy 走 也就是說, 理論上 民國95年前出生的人的所有個人資料都己外流 這會有什麼問題? 除了諸多 "身分驗証" 的流程以是個人資料來做, 如某些電話申請服務或線上服務, 這些機制未來將會形同虛設, 如果 Hacker 手上有這份資料, 是最佳的攻擊 "字典檔" 由於相當大比例的人, 密碼或一些安全機制, 會使用與 個人資料 相關聯的資料來方便記憶, 如身份証字號, 電話號碼, 出生年月日等等, 以這些為依據來做破解的計算, 會大大的縮短入侵所需的時間 最令人不滿的是, 即使己有官方的人以此為案例來教學, 卻未見官方對這重大事件有任何

Day 2 開場的 由 Robert "RSnake" Hansen 主講的 Clickjacking (這 Topic 在 9月份的 OWASP 年會被禁講) 算是給 Pogo 十分印象深刻的 Topic 之一概述如下 官方的簡報 Pogo 還在想法子取得中, 先看看相關話題由網路上資料的整理 先來看一段 Demo 維基百科上的資料 傳統的 Browser 攻擊, 大多是透過 ActiveX 或 Java Script 方式, 所以, 傳統上, 要完全防止這些攻擊, 只能關閉相關功能, 但會讓 Browser 使用上不方便多了, 所以大部分的人還是會開 Clickjacking 最大的問題在, 他不用透過 任何 ActiveX 或 Java Script , 透過 iframe 以畫面(網頁)重疊方式欺騙 user 按到錯誤(或不應開啟)的功能上 以 Demo 影片為例, 1:00 前是展示運作狀況, 1:00 後是相同功能重疊在其他頁面上示範, 做的是 Click 後開啟 Web Cam, 的動作 要知道的是, 這個 Click 按鍵能假造成任意網頁的連結樣式, 使用者會在不經意下 "授權" 給任何功能, 除了一般過往攻擊能達到的效困外在, 連傳統上與 Browser 完全不相干的 Web Cam 都能開啟, 代表什麼鬼動作都能執行, 如欺騙 User 安裝 "合法" 的遠端搖控程式, 再 "合法授權" 網路 Port 的開啟, 或更進一步的應用, 更糟的是, 由於一切過程 "經用戶合法授權確認" 所以目前無防毒, IPS, 或弱點掃描等等有對策...

感謝 羅胖胖 的提供

OWASP 的台灣年會 的最後一天 關於本次活動 "內容" 的心得與分享, Pogo 會在近日整理好資料後再 Post 出來, 請有空多來看看 Day 2 的內容更勝 Day 1 , 講師部分 Pogo 仍給予極高的評價, 整個活動拉成 3 天的話, 可能能讓講師更有發揮的空間, 這兩天幾乎大部分的講師都在趕時間, 所以後面很多 Slide 都捨棄掉十分可惜 整體來說, 今日活動比昨天順了很多, 現場多人在協助控制場面, Day 1 的嚴重脫序狀況並未在 Day 2 發生 同步口譯部分, Day 1 的人應頂不住, Day 2 搬來了 2 女 1 男, 但老實說, 只有 Day 2 的 新的女口譯還能接受, 另 2 位實在差強人意, 這次活動借的口譯耳機算是浪費了, 日後這類活動應還是靠自己.. Pogo 初估了一下, 現場應有半數 (或更多) 的學員非業界的實務相關人員, 造成很多鴨子聽雷的狀況, 下午場後更是倒了一片的人, 我想這是因為資策會以學術研討會的方式舉辦, 好還是不好, 很難評斷, 人數是達到了, 但現場的氣氛與互動品質就比較難提升, 這點可能未來主辦單位得多多思考 總合來說, Pogo 認為這還是相當成功的一個活動, 就個人來說, 取得相當多所需的資訊, 相當值得, 也期許未來有更多相關的活動能在台灣舉辦 ^^

今日參加了 OWASP 的台灣年會 衝著堅強的講師陣容, 在很早即報名參加了 Day 1 的內容還算精彩, 原則上我對 大部分 的講師的演講相當滿意.. 但 個資外洩那場就有些意見了, anyway 日後再詳寫 但 講師以外的, 整場活動根本是場災難 先是報名人數未控制, 比活動預期的多了一倍, 由 600 -> 11?? 人, 這是災難的開始 場地臨時更換, 報到場面混亂, 中午吃飯像打仗逃難一般, 加上全場會議缺乏控管 竟發生講師投影電腦找不到人 Key 登入密碼, 休息時間是因看現場人忍不住跑了一半才宣佈休息等等失控的狀況, 主辦單位(或公關公司)看來完全無力於這種大型活動, 讓整個活動失色不少

先前看 Blog 廣告中有微軟的 Forefront 活動, 就參加看看, 這次活動真是佛心來的, 送的是非賣品的 M$ Forefront 版的爆力熊, 入手照片分享 包裝 背面 來和先前收集的星巴克版爆力熊合照

位於竹北的文化城牛肉麵一直是 Pogo 十分中意的店之一, 有機會去新竹經過時都會去吃一碗, 這家店的除了東西好吃外, 特色是門口有一隻豬及鸚鵡, 豬吃店中的麵並不稀奇, 但這次才發現, 連鸚鵡也是吃麵的, 隨手拍了下來

因為 Notebook 的 HDD 滿了, 除了方便備分順便升級一下, 敗了 WD 7200 轉的 320G HDD 原本的 Hitach 160G 測試 這次敗的 WD 320G 速度快了近一倍 把原先的 Hitach 裝入便宜的 外接盒測試 真的便宜沒好貨, 速度很不理想, 看網路上好點的外接盒速度能再快近一半.. WD 320G 的感想是, Vista 速度感覺有快一點, 但溫度和噪音也變高了, 外接盒選購也是一門學問, 下次得再做足功課再敗

這算終極的佈線吧 為什麼出現在機房=.=

官方網站 浦澤直樹的漫畫改編, 這是 Pogo 認為近來最 cool 的題材作品, 漫畫全篇 24 集, 故事是講一群兒時空想寫下的預言之書, 竟實現成為世界毀滅的範本, 故事佈局十分巧妙, 難得一見的好作品, 電影分 3 部拍攝, 很期待如此龐大的故事架構電影要如何表現, 起碼 Pogo 超推 漫畫 版的, 有機會務必一看哦

就破解速度比以前快了 100 倍~~ 原文連結 ElcomSoft 宣稱使用 Nvidia 的 GPU 比傳統使用 CPU 做演算快了 100 倍的破解速度, 細節方式 Pogo 還未取得, 十分有趣的做法, 但預計不會像 WEP 破解法如此普及..吧 暫時.. 但看 elcomsoft 的官網, 花錢就能取得囉~~ 有沒有這軟件的 朋友能來份開箱報告的 ^^

原文連結 簡單來說, 只需要收 20Mb 封包量, 10 秒即可破解出 104bit (128bit) 的WEP Key ,看來年內 WEP 的加密方式應會正式的終結了

有夠宅的軟體+硬體, 簡單來說能透過感應設備與虛擬整合web cam的 Fingure 互動.. 10/19 日上市~ 老實說還真想搞一套來玩玩 官方網站 令伯要做消費性電子產品的話一定代理他.. cool 產品, 宅指數滿點的啦~

致好朋友們, 為了更豐富本站內容, 歡迎各位有 blog 或網站的朋友加入這個互惠方案 只需在您的網站上加入本 blog 連結, 或 RSS 方式連動本站的內容, 請以 mail 或 IM 通知偶, Pogo 會在右下的友站連結上加入您的 blog 或 網站, 大家一起衝人氣吧~~

很多朋友都很關心這次的事件, 細說如下 今年約在 5 月份時, 偶第一次發生因顯卡燒壞的問題更換了主機版, 同時 Dell 還更換了新版本的風扇, 服務品質還不錯, 叫修後隔日就來換了 約到 7 月時, nVidia 的顯卡不良問題爆發出來, 發現偶的 notebook 也在列, 本想說換過主機板加上改良了散熱器後, 應沒事, 所以還在快樂使用中 直至 9 月, 保固剛過, 但電腦也沒什麼問題.. 10 月, 果然中標, 顯卡再度完蛋.. 所以只好再連絡 Dell 由於 nVidia 晶片問題, Dell 的政策是, 只要是顯卡相關引起的產品問題, 一律延長保固1年, 同樣提供 次日到府 的維修服務 相關官方訊息在此 所以, 報修後的隔日, 也就是今天, 完成了主機板的換修 整個的感想是, 看來減低顯卡晶片溫度無助於解決這晶片不良的狀況, 根本之道還是得做主機板及晶片的更換, 雖然很不爽 notebook 老是出狀況, 接連換了 2 片主機板, 但 Dell 的服務與負責的做法, 倒是讓我十分滿意, 我想我會持續的購買 Dell 的產品, 這種隔日到府維修的服務, 比起以前 notebook 有問題還得到維修點排隊又不一定能馬上解決問題的處理方式, 事實上是方便了許多, 不過, 看來以後保固真的不能省, 最好一口氣買有 3 年保固的 附上 Dell XPS 服務專線 00801863085 以及 Dell 其他服務專線 00801861011

不爽中 白目勿擾

明明手在動~~~

正妹+1