[資安小常識] 雲端「照」得住？！─ 淺談使用智慧型手機存取雲端服務的潛在風險與防範方法

  • Article

近期上映的好萊塢電影描述男女主角將夫妻間的私密照片上傳到雲端後不小心分享給親朋好友，千方百計想要取回檔案的故事。而本月初近百位的知名女星也因雲端服務被入侵而致個人私密照外洩，電影情節不僅搬上現實舞台，這次駭客攻擊事件也名列智慧型手機雲端服務史上危害最廣的資安事件之一。

 

和電影男女主角意外將自己的私密照外洩情節不同的是，此次事件乃為駭客針對特定受害者的雲端帳號「集中攻擊」。根據該科技公司與FBI的調查，這場隱私風暴源於「手機協尋」服務身分登入介面的設計盲點；而駭客正是針對好萊塢女星的帳戶進行集中攻擊，以暴力法 (Brutal Force)破解密碼進而竊取私密照片。暴力破解法若以六個位元的密碼設定為例，其會由「aaaaaa」按照順序嘗試破解排列到「//////」的組合。而原登入介面便是由於密碼錯誤次數未設限制，才導致駭客利用此途徑，針對包括奧斯卡影后珍妮佛羅倫斯等人進行個人資料竊取。在此資安事件後，該登入介面也被更改設定為五次的密碼嘗試錯誤機會，以防堵類似的駭客攻擊。

(圖片來源：https://research.microsoft.com/en-us/UM/redmond/groups/ccs/ )

 

若要保護個人隱私，除了注意不將個人敏感資料上傳雲端外，也建議避免將個人密碼設定為出生年月日、身分證字號等不法人士可利用社群工具獲取的資料。另一方面，新一代資安軟體也可用來協助保護使用者的密碼被破解的可能。如近期由瑞典資安公司BehavioSec開發的軟體便可藉由比對使用者在輸入密碼時的方式，以輸入密碼的快慢節奏判斷輸入者的身份，區分駭客與使用者，以達到更紮實的資安保護。

在自家存放的錢財可能會被偷走，在銀行金庫的珠寶也可能被竊取，但若多加強認證手續、增加金庫的鑰匙，在享有雲端便利的同時也可擁有安心的保障。以下整理幾個要點做為參考:

  • 避免使用連續的阿拉伯數字或英文當作密碼
  • 建議以中文注音輸入法的字母位置輸入英文密碼，如：密碼→au4(密)u83(碼)
  • 避免使用「password」當作密碼
  • 定期更換密碼
  • 避免使用個人社群可得資料當作密碼，如出生年月日或身分證字號

 

參考資料