第一銀行日前發生跨國ATM盜領案,損失新台幣8300多萬元,雖然目前已追討回逾7000萬元,但向來被視為資安防護最為嚴密的銀行業發生如此重大的盜領事件,不僅揭露了台灣銀行業的潛在隱憂;更帶出企業和大眾暴露於資料外洩的高度風險中。因此案犯罪手法涉入諸多網路應用科技,包括透過駭客手法入侵ATM機器、犯案過程中使用「加密」型通訊軟體進行聯繫,讓警方無法順利追蹤事件,使得資訊安全的重要性以及「加密機制」放寬與否的討論再度浮出檯面上 。

其實若不採用加密機制,資料外洩事件的數量將可能遠遠超越你我的想像!今(2016)年5月份中華郵政的購物網站就有1.7萬筆個資外洩,但如果你以為駭客還是只對信用卡資料有興趣,那就大錯特錯了。根據Gemalto的《資料外洩指標分析報告》 指出,2015年總計有1,673件資料外洩資安事件,導致超過7億筆資料外洩。其中最大受災戶已從2014年的大型零售業者,轉變成為政府部門與醫療機構,顯示駭客對於竊取個資的興趣已逐漸高於信用卡資料,只要是可以辨識身分的資料,對於駭客而言都有其價值。因此,加密機制於現今數位化的社會中,扮演關鍵性的角色,能防堵資訊外洩,避免造成個人安全或重大財務的損失。

數位資訊大量產出,仰賴加密機制保護
BSA | 台灣軟體聯盟(BSA | The Software Alliance)在一份全球的研究報告《ENCRYPTION: Securing Our Data, Securing Our Lives》中提到,物聯網時代,大量個人化的數據藉由行動和穿戴式裝置產出和傳輸。舉例來說,起床後運動手環就開始計算步數,慢跑時記下心跳、血壓變化;通勤時利用手機登入公司電子信箱帳號處理公事,抑或用個人資料收發email、網路刷卡購物、手機連線Wi-Fi,甚至和朋友在LINE、Facebook上的對話記錄等等,人們的任何行動皆會產生個人化的數據,記錄在穿戴式裝置及手機上。大眾在不知不覺中交出了自己的資訊及數據,而這些數據傳遞的過程其實都依賴加密機制來保護。

過去有許多人沒有意識到加密的重要性,在網路上隨意地公布或傳遞重要的個人資料,造成個資外洩、信用卡盜刷、e-mail帳戶遭駭等損失。但隨著資安意識抬頭,各大廠也紛紛提供更安全的加密服務,如Facebook即將在今年推出點對點的加密訊息服務,以後在傳送重要訊息都可以選擇加密;無獨有偶,LINE也在最近的更新中,將所有一對一的文字與位置訊息都直接在手機上加密,只有對話雙方可以為彼此的訊息加解密,第三方無法攔截或讀取。同時,Google也將為Chrome推出更進階的加密功能,在在都顯示加密功能的重要性。

加密技術強弱有別,配合行為控管強化資料安全
BSA | 台灣軟體聯盟指出加密機制主要用於協助保護資料,不論是電腦或手機的使用、透過網路傳輸,以及儲存在雲端的資料。其運作方式就是將資訊和數據透過演算法或是特殊機制,轉變為一連串的亂碼,只有擁有解鎖的「金鑰」且經過授權的人才能讀取這些資料。加密的強弱取決於金鑰的位元bit長度,越長的金鑰越複雜,所需要解開的時間越長,相對來說也越安全,目前已發展到248位元的金鑰。常見的三大加密方式包括:

一、對稱式加密(Symmetric Encryption):主要用於保護雲端及裝置中的資料,可快速且大量加密資料檔案,其「對稱式」的金鑰同時用於加密和解密。但加密的檔案只限於和特定網路內的人分享,其他人欲取得金鑰資訊,還需要向原加密者索取。但此種加密方式的最大限制在於網路分享資料不易實現,且多人分享資料衍生的金鑰管理和分配問題;再者,若使用者遺失密碼則加密資料將可能無法再復原。

二、非對稱式加密(Asymmetric Encryption):針對對稱式加密之盲點修改的非對稱式加密,整個加密過程會有兩副金鑰,一副為公開金鑰用於加密、一副為私人金鑰用於解密。目前其使用範疇包括瀏覽器與伺服器連線、登入軟體更新、加密email等,同時也方便與他人互傳檔案。現行實務上多採用對稱式和非對稱式加密合併使用,例如SSL技術。

三、雜湊(Hash):加密授權單一人員、裝置、電腦,採用Hash雜湊的方式,將資訊不經金鑰直接轉成亂碼。

以上所有加密技術都是為了保護資料,也許看來不起眼的數據集結起來就是龐大的資料庫,可影響一個產業或是政府部門決策,所以個人更應該對於自己的資料有所意識及保護。有鑑於此,BSA | 台灣軟體聯盟提醒,近來不少國家的政府為了執法考量,提議減少資安科技的限制,如開放後門、讓政府單位可以取得資料,或是額外附帶讓第三方也擁有金鑰,但這些都會讓駭客有機可乘,為了一時的方便後果將得不償失,如何權衡兩邊的利弊還需要更多的討論。

除了現行科技對資料的保護外,行為控管更是必要的舉措。BSA| 台灣軟體聯盟一直致力於推廣企業採行SAM軟體資產管理,就是幫助企業對於內部軟體狀態更加了解,同時也是檢視公司內部網路是否有資安風險的機會,加強內部網路資料傳輸的安全程度,與外部網路進行資料交換時設置加密機制,才能夠真正保護軟體及智慧財產。雖然加密的機制及科技看起來複雜,但其實重點非常簡短:使用強度高的加密機制不僅是保護我們自己,也是企業保護消費者權益、發展出更有力產品,帶動經濟發展的不二法門。

更多相關資料:
ENCRYPTION: Securing Our Data, Securing Our Lives

沒有留言

撰寫留言