大家都常聽到選用甚麼樣的作業系統、應用程式可以比較安全而不容易被駭。不管這些論述是否公平與公正，但是至少其與安全的關連性並不會讓人產生過於突兀的感覺。但是說如果安全與否跟你所在的區域有關，可能就不是那麼令人能夠直接聯想了。根據 Symantec 日前所公布的一份報告顯示，在美國的 50 個城市中西雅圖 (Seattle) 是最容易發生網路犯罪行為的地區，其次則是波士頓 (Boston) 與華盛頓 (Washington, D.C.)，而最安全的城市則是底特律 (Detroit)。在公布的訊息中並沒有詳細地解釋這樣的排名是如何加以決定，不過就結果來看網路化程度越高的地區排名就愈前面。這樣的數據老實說有些無聊，因為網路化程度越高本來就有更多受害的機會，所以自然產生的網路犯罪事件就多。對使用者而言，不管居住在哪個區域，都必須做好有關資訊安全的防護，畢竟駭客 (通常) 可不會因為你的國籍而改變心態。
相關連結：
常用 Google (Gmail) 的使用者可能會發現，從前一陣子開始在 Gmail 畫面的下方會出現帳號登入所使用的 IP 位址資訊。這些資訊可以提供使用者有關帳號的使用紀錄，立意雖好，但是對於一般使用者而言，IP 位址與無字天書一般，因此實際上的幫助並不是那麼大。
Google 在日前將此一功能加以提升。如果 Google 判斷出兩次來自不同地區 (國家) 的登入時間間隔過於短暫的話，會出現一段警告訊息提醒使用者帳號可能已經遭到盜用。根據公布的畫面來看，這樣的警告訊息會出現在畫面的上方，而不是下方，而且會以很顯著的方式提醒使用者。此時使用者可以自行判斷是否確實發生盜用的行為，以決定後續的處理方式 (忽略警告訊息或是重新設定密碼)。需要特別提醒的是這樣的功能依舊屬於被動的機制，並不能真正防堵帳號遭受盜用，因此使用者還是必須做好保護帳號的措施，以免成為受害者。
相關連結：
Durex 線上購物系統於日前發生因為程式設計的錯誤，導致任何人都可以直接透過訂單編號查看訂單內容的烏龍事件。嚴格來說，這應該不只是程式設計的錯誤，亦包含了程式變更管控不佳，而這種問題絕對比單一程式設計錯誤所產生的危害更加嚴重。此外，這個問題要實際產生影響，訂單編號的可預測性是一個很重要的前提。訂單編號的可預測性，表示在系統分析階段並沒有做好安全性分析。這麼說或許有些不公平，因為表單的編號通常會被要求採用流水號的格式，因此具備了可預測性。這樣的規則對於一個內部系統 或人工作業流程有其方便性，但是對一個外部系統來說卻是充滿危機的。針對這類問題，我們有兩個可行的作法。第一個就是把訂單編號對應到另外一個不具備可預測性的號碼，所有外部系統皆以此號碼作為訂單的查詢條件。第二個作法就是利用可逆的加密函式將訂單編號加以編碼，而外部系統皆此以編碼後的號碼作為查詢條件。比較令人訝異的是 Durex 對於整件事情的反應，從一開始的道歉到後來寄出法律信件給回報此一問題的使用者，讓人覺得 Durex 面對問題的態度很有爭議性。而且 Durex 似乎並沒有主動告知其他客戶訂單資料可能外洩的問題，明顯有失責之處。嗯，說到訂單資料外洩，台灣這邊的問題似乎也頗嚴重的。所以下次買保險套或其他私人用品時，可別再相信甚麼網路購物比較不怕被人知道而避免尷尬這種爛理由了。
相關連結：
自去年九月紐約時報 (The New Year Times) 網站的廣告被用來當作散布惡意程式的管道後，線上廣告儼然已經成為有心分子的新大陸，各個線上廣告的平台都可以看到類似的問題接連發生。根據 Avast 最新公布的訊息顯示，線上廣告的大廠 Yahoo’s Yield Manager 與 Fox Audience Network’s Fimserve.com 也成為新一波的受害者，而這兩家合計擁有超過五成的市占率。除了這兩家外，Google 的 DoubleClick 也被 Avast 點名，並獲得 Google 的證實。這類透過線上廣告散布的惡意程式，有些並不需要使用者點選就可以進行感染的動作，所以除了廠商必須做好把關的動作外，使用者還是必須採取足夠的自保措施才能避免遭受危害。
相關連結：
在電影終極警探 4.0 中，年輕小夥子靠著呼攏客服人員順利”借”到一台車子。但是在現實世界中，卻有離職員工因為心生不滿而惡搞客戶的車輛，讓客戶的車子無法發動。這是發生在德州奧斯汀的真實案例，一個在德州汽車中心工作的員工，因為被公司解雇而懷恨在心，所以利用公司系統所提供的功能讓客戶的汽車無法發動。原先這個功能設計的目的是為了在客戶拒繳貸款時，能夠進行通知甚至鎖車以懲罰欠錢的客戶。只是沒想到這個員工在離職時，順手牽了另外一個員工的帳號，所以即使是自己原先的帳號已經被取消，仍舊可以進入系統並利用系統的功能進行破壞。這位員工運氣很好，取得資料庫的存取權限，所以受到影響的客戶高達上百人。這位離職員工已經被逮捕並加以起訴，而客戶除了遭受不便外，並沒有遭受財務或人身安全上的損失。
相關連結：
CSA (Cloud Security Alliance) 在這個月 (2010 年 3 月) 初發布了一份研究報告，標題是 “Top Threats to Cloud Computing V1.0”，列出了目前雲端運算所遭遇的七大安全威脅。必須特別注意的是排列順序跟威脅本身的危害程度沒有關係，而且使用者必須依據自身所處的環境決定這些威脅的影響並採取適當的控制措施。這些威脅分述如下：
相關連結：
資料外洩的議題持續成為資訊安全的熱門話題，不但 DLP 相關產品獲得許多的關注，連資料外洩所造成的事件也同樣吸引媒體的報導。以現在企業資訊化的程度，很多資料都是以數位的形式散落於資訊系統的各處。在這些地方中，資料庫 (尤其是關聯資料庫，如 MSSQL) 內所存放的數位資料可能最為大宗，也最容易成為有心分子覬覦的目標。
Imperva 的安全策略長 Brian Contos 發表了一份文章，標題為”Top-10 guide for protecting sensitive data from malicious insiders”。不管標題為合，以 Imperva 的背景來看，所描述的內容自然與該公司的產品 (Database Firewall、Database Activity Monitoring) 有關。所以我們可以將這份內容所講的要項當作是闡述資料庫稽核的重要性，以及如何選擇一個合適的工具。也因此，如果你需要導入資料庫安全的相關產品，這些要項應該可以提供你一些參考的方向。
相關連結：
三位在密西根大學的學生於日前發表了一份有關破解 RSA 私鑰的論文，在論文中他們採用錯誤為主 (Fault-based) 的攻擊手法，以運行於 FPGA 上的 Linux 系統在 100 個小時之內成功地破解了 1024-bit 的 RSA 私鑰。Fault-based 的攻擊手法簡單來說就是想辦法讓攻擊目標產生錯誤，進而由攻擊目標的行為或輸出結果來找到隱含的秘密。在這次的攻擊手法中，三位學生利用改變系統電壓的方法，造成處理器運算錯誤而產生錯誤的結果。在收集到足夠的錯誤資料後，就可以利用這些資料進行破解私鑰的攻擊。1024-bit 的 RSA 依舊是目前 SSL 常使用的金鑰長度，不過還好這種攻擊手法需要先能夠取得實體環境的控制能力才行。除了硬體式的攻擊手法外，Fault-based 的攻擊方式也可以是軟體式的，亦即不需要取得實體環境的控制就可以進行攻擊。除此之外，許多攻擊手法也都會利用到 Fault-based 的觀念，想辦法讓系統產生錯誤並加以觀察，以找到可能有效的破壞管道。例如在登入頁面輸入一些特殊字元到使用者的帳號欄位中，觀察系統是否會產生錯誤以及相關的錯誤訊息，以便猜測系統是否存有 SQL Injection 之類的安全漏洞。所以如何做好 Fault Protection，不單只是產品穩定性的議題，同時也是安全性的議題。
相關連結：
根據一份由 Absolute Software 與 Ponemon Institute LLC 在前一陣子所發表的研究報告中顯示，人依舊是筆記型電腦安全的最大危害來源。儘管各式各樣的資安新聞事件已經讓越來越多的人注意到筆記型電腦對於資料外洩所產生的重大危害，甚至也導入了一些防範措施 (如加密技術)，但是問題依舊存在，很多安全的使用規範並沒有被確實地加以了解或是遵守。
在這份長達 24 頁的報告中，提出了下列幾項主要的發現：
原始報告可以在這裡下載。
相關連結：
Veracode 將它們在近來一年半內所掃描過的程式結果進行分析，於本月初 (2010 年 3 月) 發表了一份報告，標題是 “State of Software Security Report: Volume I”。報告中有下列幾項重要的發現：
相關連結：
