路人也能懂的資訊安全

SITCON 2015

Transcript

1. 路人也能懂的資訊安全 Inndy @ SITCON2015
2. 大家好，我是 Inndy Hello, I'm Inndy
3. About Me 林昆立 Inndy / 木棍 國立臺灣科技大學資訊工程學系 TDOHacker 北區活動組 就這樣，沒了
4. 今天我們要來聊聊駭客 We are going to talk about hackers
5. 對，就是你想像中 黑黑的那種駭客 Yes, the Hackers
6. 什麼是資訊安全？ What is Information Security?
7. 資訊安全 安裝 360 安全衛士 保護我的電腦 現在支援 Linux 和 Mac 喔！ 數字網代客爬積分 帳號密碼都給出去惹 用 Windows XP 和 appserv 架網站 真的好安全 私密照片 Dropbox 雲端全自動備份 還好只是 Dropbox
8. 資訊安全 蜜蜂說話嗡嗡嗡 手機交友需要 GPS 定位資訊 原來你在我面前而我卻沒有發現 辛辛苦苦開發的程式不要被破解 免費破解版外流中 你看我的 WiFi 密碼好安全有十個字 1234567890 我有裝防毒軟體喔 你是說 Microsoft Security Essentials 嗎？
9. 事實上... 資訊安全是一個很籠統的名詞
10. 資訊安全... 是一堆法規 是國際認證 是白帽駭客的工作 是黑帽駭客想盡辦法要打破的 是你的密碼不該有第二個人知道 是我的資料不容易因為意外而損毀 是德軍的 ENIGMA 不想被 Alan Turing 破解 是學校的電腦不該有這麼多病毒 是 NSA 不該偷看你的E-Mail
11. 資訊安全三要素 以一個系統來說... 機密性 傳輸過程應該加密，防止竊聽 完整性 傳輸過程需確保資料完整性，確保不被截斷 可用性 系統負載妥善平衡，確保系統隨時可用
12. 資訊安全三要素 簡單明瞭一點... 機密性 不應該有第三者知道你網購輸入的信用卡資料 完整性 你存在硬碟裡的報告檔案不會只剩下半份 可用性 服務不要被 DDoS 打掛
13. 所以資訊安全是... 服務的穩定與安全 不會被打掛或是被入侵 裝置的安全 不會有其他人遠端連線你的電腦 資料的安全 你的資料是安全的，不會因為硬碟泡水就毀了 隱私的保護 你的個資不該在網路上流竄
14. Malware & Anti-Virus 電腦病毒與防毒軟體
15. 什麼是電腦病毒？
16. 學校有計算機概論課程的人請 舉個手 不管是高中生、高職生還是大學生
17. 計算機概論說... 病毒有好多種 檔案型病毒 開機型病毒 巨集型病毒 複合型病毒 網路系統病毒 電腦要裝防毒軟體 然後就不會中毒了！
18. 摁... Hmm...
19. 請忘了他 Just forget it.
20. Computer Virus / 電腦病毒 現今的惡意軟體已經無法套用過去的分類方式 要做 Backdoor 一定要隱身（Rootkit ） 要盜帳號也要發動攻擊（DDoS ）
21. 根據 目的 而分類 Adware / 廣告軟體 Ransomware / 勒索軟體 Spyware / 間諜軟體 Bot / 俗稱肉雞 Virus / 病毒
22. 根據 行為 而分類 Rootkit / 隱身術！ Worm / 蠕蟲 Trojan / 特洛伊木馬屠城記 Backdoor / 毫無反應，就是個後門
23. Adware It's all about money.
24. 安裝軟體？ Next, Yes, I Agree, Next... Finish
25. Adware / 廣告軟體
26. Adware / 廣告軟體
27. Adware / 廣告軟體
28. Adware / 廣告軟體
29. Adware / 廣告軟體
30. Adware / 廣告軟體 以廣告為目的 常常夾帶在軟體安裝包內 尤其以來自中國的軟體最多（不解釋） 其次則是國外部分免費軟體（OpenCandy ）
31. Adware / 廣告軟體 插播：μTorrent 最新版本內附 BitCoin Miner 你抓 BT ，我賺錢
32. Ransomeware It's all about money, too.
33. Ransomware ：CryptoLocker
34. Ransomware / 勒索軟體 以前的勒索軟體都只是騙騙你 你的電腦有好多病毒，付錢買（假的）防毒 你的電腦被我控制了，付錢贖回控制權 把你的檔案鎖起來（加密），付錢解密 CryptoLocker 以及一堆變種 沒有備份資料的企業買單 S 牌的 NAS 大量被 CryptoLocker 入侵
35. Virus / 傳統病毒 以惡作劇或破壞為目的 為了好玩？ 駭客成名的手段
36. Spyware / 間諜軟體 犯罪、犯罪，還是犯罪 為了監視對方 在你的電腦上開一個後門，讓犯罪者隨意進出 蒐集文件資料並回傳 情報戰（你有聽過 NSA 嗎？） 沒有視窗的 TeamViewer
38. Bot / 機器人大軍 機器人大軍 Distributed Computing 發動 DDoS 攻擊 也有人拿來挖 BitCoin （S 某牌的 NAS 又因為漏洞被拿來這樣玩） 一個人多好辦事的概念
40. Rootkit / （我沒有中文名字） 起源於 Sony 的 DRM 技術 就是不讓你複製 很不幸的有個 Windows Kernel 專家買了張 CD 然後就被抓包了 他們一定忘了 Linux 的存在 把自己躲起來，從工作管理員裡面隱身 讓防毒查不到，讓你感覺不到 設計者經驗不足往往會露出尾巴
42. Worm / 蠕蟲 具有自我傳播、複製能力 透過 E-Mail 、簡訊 等方式傳播 近年來演化成感染儲存裝置（autorun.inf ） 隨身碟病毒（Kavo 、熊貓燒香 ... 等）
43. Trojan / 木馬 本身不具備什麼特殊功能 作為其他惡意程式的載體 比較不會驚動防毒
44. Backdoor / 後門 就只是 Backdoor 不解釋 有一道門可以進來你家做壞事
45. 防毒軟體 Anti-Virus
46. 防毒軟體如何工作？
47. 特徵碼掃描 程式內特定的字串 特定的程式碼片段
48. 行為偵測 如果你企圖要改系統的重要檔案... 如果你要連線到某個奇怪的伺服器...
49. 行為偵測
50. 為什麼會有防毒軟體掃不到的病毒？ 1. 易容術 他改掉了特徵（特徵掃描） 2. 病毒太新 還沒有成為通緝犯 3. 隱身術、借刀殺人 躡手躡腳躲過了防毒軟體的眼睛 叫好人去做壞事 4. 他還沒開始做壞事 等等，別急
51. 為什麼會有防毒軟體掃不到的病毒？ 黑名單永遠有漏網之魚 Blacklist always overlooks something
52. Device Security 設備安全
53. 接下來我們聊聊手機 Let's talk about phone
55. 你知道的手機OS 版本是多少 嗎？ Which version of OS used in your phone?
56. 舊版Android 的問題 舊版的 Android 常常有很多漏洞 但是手機廠商不更新
57. Android 1.X ~ 3.X App 開發者的惡夢 Legacy API 惡意程式的天堂 隨隨便便，信手捻來就拿到 root Google(" 萬用root") 如果你不小心裝了惡意 App 進去，可能會被 root 從此你的手機就不再是你的
58. 為什麼廠商不更新？ 我都付了那麼多錢去買手機了耶！
59. It's all about money!
60. 為什麼廠商不更新？ 手機廠商會的硬體原生 Android 不支援 所以會對 Android 進行修改 客製化的功能 Android 版本一更新，API 大改
61. 廠商不更新怎麼辦？ 死馬當活馬醫，去 xda forum 找有沒有人自幹 下次知道了，去買一隻 CyanogenMod 支援的 下次直接買 Google 支援的機種
62. 你的App 從哪裡裝的？
65. 經過第三方之手的 App ... 免費？破解？中文化？ App 被修改過 可能會被加料 下載 App 送後門，好划算的！
66. 就算從 Play 商店下載... Even if you download them from Google Play
68. 呃... Hmm...
69. 防毒要 GPS 定位資訊、拍照， 甚至是打電話？ Does a AV really need to make a phone call or even take a picture?!
71. 為什麼要這麼多權限？ 很多 App 會掛廣告 廣告要求的（GPS ） 個人資料搜集 不（ㄜˋ ）明（ㄧˋ ）原（ㄖㄨㄢˇ ）因（ㄊㄧˇ ）
72. Just think about it 你確定要把你的資料都交給他？
74. 你有 root / JB 嗎？ 我是說你自己手機上的root ，不是別 人手機的
75. root / JB 的好處 你可以關掉某些程式的權限 你可以真正的擁有你的手機 你可以開八門神器
76. 風險：root / JB 提供者 root / JB 程式來源可信嗎？ 太極越獄 iOS 7 版本曾經綑綁「太極助手」
77. 風險：惡意軟體 說不定你正在授權給木馬亂玩你手機的權限 超頑固的 Adware ，拿到 root 權限之後，想要清除 只能整支手機重刷
78. 講這麼多 Android 的問題 那 iOS 呢？
79. 基本上 iOS ... 硬體類型很少，很容易可以 Cover 到所有機器 幾乎沒辦法從第三方管道安裝 App （JB 除外） Apple App Store 審核非常嚴格 更新向後支援了很多機種
80. 結語 不安裝來路不明的修改版 App 安裝 App 前檢查要求的權限 謹慎 root / JB 選購原生 Android 支援機種 確保使用最新穩定版 Android
81. Your Daily Life 你的日常生活
82. 你的系統有跑更新嗎？ 還是你還在用 XP 呢？
83. 軟體更新的重要性 不更新沒有新功能 不更新沒有技術支援 不更新小心有漏洞 看看 XP ，有很多很危險的漏洞 ms08-067 翻譯：電腦連上網就可能被入侵 看看舊版 Android ，也有很多漏洞 原生瀏覽器打開網頁就可能被入侵
84. 你有被盜過帳號嗎？
85. 帳號被盜用的後續處理 檢查瀏覽器有沒有奇怪的插件 修改密碼 使用一樣密碼的帳號通通要改 如果情況沒有停止，修改信箱密碼
86. 你有使用雲端硬碟嗎？
87. Cloud Storage 使用注意事項 不要把含有帳號密碼等敏感資訊的檔案存在上面 請小心設定自動同步功能 相機自動同步很可怕 雲上的東西不見得刪的掉 Facebook 、Dropbox 就算不得不存，加密！ VeraCrypt (frok from TrueCrypt) GPG （NSA 覺得頭痛解不開）
88. Privacy Protection 隱私保護
89. 任何人都不該偷窺你的隱私， 任何人！ 即使是 NSA 或是 GCHQ
90. 隱私的重要 --- Mikko Hyppönen @ TED http://goo.gl/Ryx0v0 We are brutally honest with search engines. You show me your search history, and I'll nd something incriminating or something embarrassing there in ve minutes. “ “
91. 你知道 Facebook 怎麼賺錢 嗎？
92. Facebook 怎麼賺錢？ 其實 Facebook 是廣告公司 分析你的所有動作 按了哪些讚 貼文內容 停留特別久的頁面 精準投放廣告 Big Data 的 Magic ！
93. 所有動作 All of your action was recorded by Facebook
95. 現在有很多網路廣告公司... 偷偷的紀錄你的一舉一動 Google Analytics 追蹤你看了什麼網頁 精準投放廣告 Big Data 應用
96. 接下來介紹幾個東西！ 保護你的隱私
97. DuckDuckGo 不會追蹤你的搜尋引擎
98. Disconnect 阻擋追蹤行為的瀏覽器插件
99. uBlock origin 阻擋廣告，也具有隱私保護的功能
100. 特別感謝 感謝以下三位辛苦的付出！
101. 特別感謝 計算機概論課本 很多老舊的內容給了我靈感
102. 特別感謝 每個製造出漏洞的工程師 這樣白帽駭客才有工作
103. 特別感謝 每年保庇數十萬大學生順利畢 業的 Wikipedia 他幫了我很多，真的！
104. Thank You!