Clubhouse 的安全威脅型態

春節前在 Clubhouse 辦了一場談「數據被看光光」的事,來了不少有趣的人。這幾天 Stanford 那邊由 Alex Stamos 領軍很快出了一份報告,初步把資料如何跑的嘗試說明。這樣的報告並不是難到在台灣沒有團隊會做,難的是即時而且給予比較在科學上站的住腳的說明。

Continue reading “Clubhouse 的安全威脅型態”

台灣政府骨幹網路被攻擊十萬次很嚴重嗎

本篇關鍵字:態勢感知、骨幹網路、安全、大官、小民、政策

前幾天 (1/27) 的自由時報頭版。沒看到還好,看到嚇了一跳。感覺這條揭露行政院〈資通安全網路月報〉的新聞,要搭配幾件事一起看。

Continue reading “台灣政府骨幹網路被攻擊十萬次很嚴重嗎”

晶片身分證發行暫緩是國安系統失能導致的序曲

真是鬧劇啊

本日 (1/21) 行政院院會後的記者會正式宣布「晶片身分證全面換發」計畫暫緩 [a]。對很多人來說,這是鬧劇一齣,而且上檯面「鬧了」還不止三年。不過總是要等到選舉年的前一年,才是被迫宣布「暫緩」的時機。這結局對從頭開始就關心的利益攸關者而言,不只是「鬧劇」,幾乎可以說是某種國家安全決策「悲劇」的序曲。

Continue reading “晶片身分證發行暫緩是國安系統失能導致的序曲”

「eID 雙寶」直播雙簧談晶片身分證資安

前幾天看到訊息時差點沒從椅上摔下來,想必是最近關切「晶片身分證」的力道不見衰減,蘇貞昌(行政院院長)有交代,務必要對公眾說明。於是「eID 雙寶」(編按:徐國勇、唐鳳)將於今日 (12/21) 中午採用 Facebook 直播,述說資訊安全保障云云之情事。

Continue reading “「eID 雙寶」直播雙簧談晶片身分證資安”

不懂戰災應變為什麼需要大數據?

聽起來既驚悚又陌生,不是嗎?但這是歐吉桑沈榮津(行政院副院長)在日前行政院動員會報後所發的新聞稿。副院長也是行政院的當然兼任資訊長,這一點先在這說明。這篇新聞稿的標題是這麼寫的。

政院:積極儲備總體戰力 善用大數據與科技 強化動員應變機制

內文第一段是:

請有關部會隨時關注全球災害情形與兩岸關係,以調整動員演習方向與重點。此外,也請善用大數據資料與科技技術,強化災害及戰災時應變合作機制。

這個會議的場合是「動員會報」。動員是什麼不需要多作解釋吧?現行者有〈全民防衛動員準備法〉可考,過去者,也有記憶中不怎麼光采「動員戡亂時期」。但這個會報劈頭就把科技和大數據拿出來作為命題,而要戮力解決的動員任務有兩個情境,第一個是「災害」,第二個是「戰災」。要用大數據和科技技術來強化的,則是「應變合作機制」。

Continue reading “不懂戰災應變為什麼需要大數據?”

蔡委員易餘的數位發展部公聽會 (12/07)

前情提要

自從上一集之後,我們又看到了驚人的發展。一是劉世芳版的〈數位發展部組織法〉在立法院一讀通過(宣讀聲音檔),二是蔡易餘委員在今日召開公聽會。組織法還來不及公開討論見光就過了,雖不能堪稱一絕,但可見立法院對此事的關注,已到了不得已「卯起來」的速度。此事本該高興才對,但和11/17公聽會後的「結論」,顯然有著不同的節奏和內容。

Continue reading “蔡委員易餘的數位發展部公聽會 (12/07)”

數位發展部之組改畫畫看

前情提要:

我鐵定是公共行政門外漢,所以不需要用「電子治理研究中心」的標準來看這個概念組織。不過昨日飯後心血來潮,動手畫畫不花什麼時間。在此公開提供討論。

Continue reading “數位發展部之組改畫畫看”

數位發展部之上上下下左右左右BA

前情提要:

劉世芳的公聽會出席人數眾多,會前、會中、會後也各有大量訊息在席間交換。撇開公聽會會後之「十大法」結論,在思量之餘,卻發現另有新聞報導追擊探討此事。

以及一場本日下午的活動:

這場由「中華金融科技產業促進會」舉辦的活動,是郭耀煌首度公開現身。預料他會針對規劃中的數位發展部進行演講。此場應該具有指標意義,而且場地選在奇特的中經院。這讓我就想到了幾件過去的事:

我貼的這五個連結應該還挺關鍵的,一是2016年政府交接之際由他的名義發出,第二是郭耀煌被任命為科技政委之前還是「自由身」的投書。郭兄歷練豐富優秀,此時被委以重任,是符合台灣政府挑選科技產發代表人的邏輯。

Continue reading “數位發展部之上上下下左右左右BA”

特使張忠謀在APEC2020領袖會議發言有明顯訛誤

APEC 2020 領袖會議對台灣來說當然很重要,但有幾點須先理解。

  • APEC 一年到頭都在開會,不是只有一兩天或是一兩週
  • APEC 秘書處的準備和籌備非常冗長,對台灣而言,實質與 APEC 秘書處共事的那些團隊才是關鍵
  • 本年度的 APEC 最後領袖會議結束之後,接力的是 G20 的領袖會議(台灣不是G20成員國)
  • APEC 如何運作和一般民眾想像很不一樣,而且幾乎不會有接觸的管道
  • APEC 各部長會議和領袖會議結束後,各國通常會發大量的新聞稿,台灣也不例外,但這次更用力
  • 這年頭各國的社群媒體帳號都很厲害, 進步國家資訊公開的管道也相當豐富,要知道來自台灣在 APEC 運作的訊息,不必然需要來自台灣

Continue reading “特使張忠謀在APEC2020領袖會議發言有明顯訛誤”

全球最大最知名 .tw 網站一指被封

是小事,也是大事。我們把幾件事串起來看,我把事件的時間點標在後頭。標題寫的驚悚,但在「數位發展部」遲遲不見下文的當時,這些細膩的事,聰明的你我應該都要多多了解。

  1. sci-hub.tw 被封鎖然後揭露 (2020/11)
  2. 楓林網被查扣 (2020/11)
  3. TWNIC 談 DNS RPZ 政策 (2020/09)
  4. 31t.tw 復活 (2020/4)
  5. 31t.tw 被封鎖 (2019/3)

另外也要看去年修法偷過的國安法第2-2條,我們再複習一下內容。

國家安全之維護,應及於中華民國領域內網際空間及其實體空間。

以上五件事情都牽涉到 .tw 域名。但這五件事情(其實是四件)性質不太一樣。我們從最早的來看。

Continue reading “全球最大最知名 .tw 網站一指被封”

寫在劉世芳召開的數位發展部公聽會之前

比情報組織更隱密,比國防機關更難窺其堂奧。堂堂一個數位發展部在籌備階段就能搞到如此匿蹤,對於不少人來說簡直是不可思議。不知者遠遠觀之,還以為回到清帝國末期,圖法願自強,但終究是自己玩自己。

Continue reading “寫在劉世芳召開的數位發展部公聽會之前”

[心得] TWIGF 2020

幾點心得:

  • 今年能在疫情期間,能舉辦到這樣已是高標。秘書長、秘書處的貢獻,可說是成功的關鍵因素。
  • 通常這種規模的會議不可能吸引外商聯手贊助,但在科技冷戰氛圍之下,反倒促成 AIT、陳耀祥、劉世芳、羅秉成和謝繼茂等蒞臨致詞。科技冷戰是外在助力,但會議本身籌備,顯然在跨過不穩定的承辦結構之後,浮現新的隱憂。明年是否有「科技冷戰」此風可乘,目前不得而知。
  • 在東亞社會,「治理」一向是有權力者才能奢談的古典潮詞。絕大多數僅是各言爾志的治理研討大會,或是年輕學子模擬開會的場域。對已在水深火熱的利益攸關者而言,若非秉持心裡有愛,大概甚難長期持續參與。台灣網路治理論壇有其發展的依賴路徑,在 (a)「開放」的部分有所堅持,但在 (b) 實然政策流程影響的部分,不見進展。而在 (c) 跨域專業交流部分,起了極佳的示範,但在 (d) 會議本身的靈活和吸引度,則是越來越不樂觀。
  • 「數位發展部」顯然是本次關切重點,但可惜的是,承襲良好的「傳統」,雖然現場講者和觀眾都是老手和一流之選,但對於提出影響政策規劃之人,卻是不敢公開「點明」。我們當然可以依法不依人談公共行政、組織改造、監理業務和諸多過去難以解決之事,但此事本就有人有政務官、事務官負責。在台灣談政策發展,尤其不能脫離「政策依據」和「人」等兩回事,否則就是鬼打牆。我在第二天「短講」時刻,根據所談的議題維度,提出幾位應該對此事(案:數位發展部籌備)公開有所說明的人名,包含科技政委郭耀煌(任務為數位發展部規劃)、談判代表鄧振中(如數發部職能控幅牽扯到 RCEP 相關章節)和國發會主委龔明鑫(綜規)等。台下學生不敢不知提人名,情有可緣。但現場諸多網路耆老,有身份,有經驗,有話語權。(否則如何借到中華電信總部大樓頂樓超高級會議室?)諸君應撇除心魔,要多多精準的針對人事物提出建議。你們不提,難道要手無寸鐵的書生提?
  • 應注重世代傳承,台灣傳產早已面臨二代不接手無以為繼的現象級困境。網路一日三變,三年一大變,應注重傳承,該放就放。否則壓抑幼苗成長,最後輸的是台灣網路環境和本就應該有的自己的舞台。耆老應有自我認識,不要成為「永遠領袖」,在歷史洪流享受備受保護的溫存。今年議程內容極度精彩,但來客特別短少。明年若不改,將會落入殭屍之淵。「領導」的結構若是經歷太單一,整個結構就很 vulnerable。這不是網路組織該有的現象。三十年一直都在前線,就是時代的悲劇。有傳有承,互有輝映,榮榮向生,生生不息。

以上,今年僅以路人身份,貢獻一場主持和一場短講以及兩個整天,也邀請了美國智庫的朋友(應該是現場唯一的外國人)還有不在網路此行的某董事朋友。貢獻度當然還不若其他勞苦功高的 MSG 成員,因此由衷感謝秘書處的付出。超高興利用這機會見到很多老友,謝謝。

台灣網路治理論壇2020

TWIGF2020又來了

時間為11月11日和12日兩天,地點是台北中華電信總公司。

應朋友之邀,主持第一天上午的一場,題目是:網路主權:政治、經濟至安全,內容請詳說明。摘要……

自中國於烏鎮舉辦世界互聯網大會,至今已第六屆,其網路主權之論述從擴大掌握資通訊關鍵設施,到提 倡建立「網絡空間人類命運共同體」,其網路主權論述不斷演進,且持續於國際空間推動、落實。主權概念在國際關係理論已有許多討論,並有政治、經濟與安全等不同面向,然而台灣對於延伸至網路空間之 「數位國土」,以及與單一網路(one Internet)概念之競合,暫未見較深入之探討。本次研討希望能由主權概念始,就既有案例討論其於網路空間的政治、經濟與安全意涵。

精彩可期,歡迎闔家來現場交流。現場有很多不同領域的高手。除了老生面孔之外,這更是少數能有機會認識在不同地方貢獻己力的生力軍場合。

台灣作為外媒據點的問題

台灣憑什麼

昨天下午抽空去一趟台灣的「時代力量」所舉辦的座談。這還是我這一輩子第一次參加時代力量的活動,但這主題並不陌生,談的是外媒以台灣作為據點的各種考量。主辦單位找了老中青三代的媒體人,主要是美籍和澳籍的與談人。細節是什麼不是本篇重點,我就不用多說了。

Continue reading “台灣作為外媒據點的問題”

軍事菁英大鬥嘴 全民國防真的還不是全民的事

不管鬥嘴的那一方都有認識的親朋好友,但一來在下不是軍事菁英,二來也不是國防改革者,三來更非官府人士或是列入教召的對象(原因:已退很久)。常備、後備制度怎麼轉圜,也都和我沒有直接關係。

Continue reading “軍事菁英大鬥嘴 全民國防真的還不是全民的事”

數位發展部會之籌備 不該如情報機關之如此隱密

小結感受

很少有一個部會的籌備如此隱密,隱密到如建置情報機關,也很少有一個部會的籌備,到現在連「願景」都眾說紛紜。即便是2010年行政院的組織改造,也未嘗見到如此隱密之情事。

關心的人,並不在少數。

Continue reading “數位發展部會之籌備 不該如情報機關之如此隱密”

[初探] 美國商務部針對微信和 TikTok 禁令對於台灣的影響

這件事很大條,而且對台灣有影響。你會好奇說,不就是兩個 app 從兩個主要的 app 市集「下架」而已,怎麼會影響到台灣?這時候就要訴諸原文和經驗,很快的針對商務部的禁令原文來研析。

https://www.commerce.gov/news/press-releases/2020/09/commerce-department-prohibits-wechat-and-tiktok-transactions-protect

9月20日生效的有兩點,第一點是 WeChat 和 TikTok 的 mobile app 要從 app 市集的美國區域下架,這一點很好理解,影響的會是誰?例如:

  • 主要當然就是美國境內的用戶不能再從兩個主要市集下載和更新 app。
  • 這兩個 app 在美國境內應該已經屬於飽和的狀態,大概對「市占率」成長的影響不大。但騰訊和 ByteDance 在後續任何針對安全或是軟體服務的更新,都也在禁止之列。
  • 連帶的,任何透過 WeChat 和 TikTok 提供「美國境內使用者」服務的所有第三方合作商和軟體開發者,也要在兩天之內做出反應。這部分對台灣整體社會的影響比較難用一篇短文說明,但透過  WeChat 經營顧客關係管理和提供服務,如透過「小程序」的任何商家,如果有客戶在美國境內,都在影響之列。
  • 在美國境內透過 WeChat 和其他國家保持社交關係和聯繫的使用者。這點也很好理解,對台灣的影響是,不少台灣在美就業的朋友,要重新思考 P2P (peer to peer) 的社交訊息流要如何快速重新建立。

對商業領域來說,你只要想想公司內部只剩兩天要判斷、處理、開發、轉移和度過此等商業風險,規模越大的會越頭痛,尤其是下週一開始辦公的時間。

Continue reading “[初探] 美國商務部針對微信和 TikTok 禁令對於台灣的影響”

台灣某研究型大學被駭取六萬筆影像個資一案

台灣的調查局 #MJIB 和美國 @FBI  號稱「聯手」破大案是沒錯,不過六萬名「受害者」含冤未雪也不知道是誰。

是美國司法部聯邦調查局所公開起訴報告說的:

受害者來自不少國家,當然也包含了台灣的能源公司(應該是中油)。但起訴書提到一所台灣的研究型大學也是受害者之列,這點倒是沒有什麼進一步的討論。

https://www.justice.gov/opa/press-release/file/1317206/download
https://www.justice.gov/opa/press-release/file/1317206/download

研究型的大學在台灣並不多,能有「六萬多名」更是屈指可數。這件事可以給我們一些對於台灣「非傳統安全」現況有著比較貼近事實的討論:

  • 教育機構應該是最軟最好攻擊的目標之一,因為大學在資訊安全防護的投資和落實,在全校的重要資訊系統(如人事、薪酬等)部分,可能一直是低度安全投資的狀態。
  • 研究型大學更是具有高價值的目標,尤其是在科研人力背景的長期搜集部分。
  • 起訴書內說有個人影像,在台灣而言,這些可能是教職員和學生去相館照相後,所取得的高解析影像,再透過線上和線下途徑,繳回相關管理單位。由於這些照片是人事檔所必備的資料,正面高解析的影像,對於情資搜集的「助益」極大,可補足從社交媒體不容易蒐集到的「正規」、「乾淨」影像的「不足」。
  • 台灣政務體系特有的學界和政界直接相通的人事管道:很多政務官退下來就去教書,教書教到一半又去當官。要透過公部門資料庫搜集這些人事資料,或許風險比較大。但從學校系統來搜集,就減少了這項「疑慮」。
  • 學校各系所的電子郵件系統大概是最常被駭侵之標的,但如果要建立完整的「人名錄」,還是要從這種全校的人事系統去拿資料比較「方便」。而且針對年輕人的資料,長期蒐集,以後會派的上「用場」。

當然,相較於台灣,美國司法部這種跨國網路駭侵犯罪的起訴內文,細節清楚很多,但更細緻的受害細節從公開管道還是看不到,因此以上只是推估。台灣政府沒有專責的個資機關,網路緊急應變中心和司法單位針對此案公開發言希望可以期待。破案歸破案,但大學的「受害者」是?

我們目前可以確定的是:

  1. 在台灣網路犯罪的追查,如果是集團跨境所為,常常還是需要美國政府「協助」揭露。
  2. 對台灣的民眾而言(此案有很多,這裡只講大專院校教職員和學生),這種駭侵不會有救濟管道,連是不是受害者也不會有機會知道,更別說學校在個人資料的保護政策了。這點體認最好提早持有,對於了解台灣非傳統安全防護的現況(如資訊安全、資料安全等),會有「量子式」的躍進。

以上簡述。

台美5G共同宣言

主要是這件事,今天在松菸有場發佈活動。幾點看法:

(一)此場合是一系列美方拉抬台灣(或是台灣拉著美方)的動作之一,有所上手之繼承和下手之鋪陳。一來是《布拉格提案》已在美方、歐盟、北大西洋公約組織等國之間起了個頭,但類似的「倡議」「宣言」「準則」等一向為台灣政府束之高閣偶爾遇其事才拿來膜拜祭旗,絲毫沒有進入國內政策討論的空間。根據過去經驗,若不是有非營利組織多方長期遊說,國際發生什麼事到台灣一概都不會有什麼事發生。但在「科技冷戰」領域如5G,戰在火上已燒屁股,台灣非營利組織顯然是沒有角色的,所以能說上嘴的全部是政府概念股蜂擁而上。這由本次出席人士名單即可得知。

(二)美方在兩週前才由國務卿 Pompeo 再度前往捷克遊說,加強排除以中國為首之不安全的科技生態圈和供應鏈。對台灣而言,美方作業形式和節奏,還是有可學之處,這點我們從AIT發布的訊息和文字即可得知。反倒是台灣政府代表說得很多,但訴諸正式文字可考著實在太少。完整文字不知如何取得,還要利益相關者東找西找從媒體節錄吉光片羽,政策說帖沒有官方文字落定,多偏新聞花絮,只能說台灣的文官訓練在數位時代還有很多基本功夫應該加強。

(三)通傳會在此場合的態度也很強勢,通傳會對於資訊安全政策的指導地位顯然被拉得很高。未來所謂的5G「安全」「信任」確保是否都將由通傳會統一協調,這點可多做了解。政策各機關自身安全範疇出包的案例不少,而在資訊安全領域出嚴重大包得更多。由政府來主導政策統合和資源分配甚至是到下游的資訊安全確保,台灣的電信業者想必已有深切體認,屆時可能要「送檢」不少東西。此等台美之間合作經驗對於其他簽署《布拉格提案》的各國各方是否有學習價值,也要列入觀察目標。

(四)在宣言內提到了:「為推動5G生態系統的健全和蓬勃發展,在審慎評估時應將法治、安全環境、供應商道德規範、供應商是否遵守安全標準與業界最佳實務等納入考量」。「供應商道德規範」在台灣的電信和網路業界,可能絕大多數還不知道要如何上手評估進入實務、工作準則和管理技術範疇,這部分實屬有趣的範疇。

其他觀察,就待有機會再聊了。小結以上。