就是資安

雖然有越來越多的廠商與產品試著去解決惡意程式所帶來的問題，但是不可否認惡意程式的威脅與影響依舊越來越大。除此之外，惡意程式也越來越有”創意”，讓這場官兵與強盜之間的遊戲更加精采。儘管惡意程式變化之多，我們仍舊可以將大多數惡意程式的行為(至少)分為兩個階段，第一個階段是感染 (Infection) 階段，第二個階段則是攻擊 (Attack) 階段。

在感染階段中，最重要的事項就是如何避免被發現。在此前提下，其次才是感染的速度與數量。而實際感染的途徑，也從早期的實體方式 (如磁碟片、光碟片等)演進到透過網路的方式。在網路的感染方式中，News Group、Email、IM、Web則陸陸續續被有心人士所利用。今天我們要談的是一種稱之為 Drive-by Downloads 的方式，簡單說來就是讓使用者在瀏覽網頁(或是閱讀HTML格式的信件)時，不知不覺地下載惡意程式並因而遭受感染。也許 Drive-by Downloads 這個名詞對許多人有些陌生，換個說法或許大家就比較清楚，這個說法就是網頁掛馬攻擊。聽起來也許很神奇，但是基本上所謂的”不知不覺”都還是得利用應用程式的漏洞加以遂行。只是跟傳統上利用作業系統漏洞加以感染相比較，現在會被加以利用的則包含了各式各樣的應用程式，尤其是像 Flash 、 PDF 、 影像播放器這類大量被應用在網際網路服務的相關軟體。此外，瀏覽器本身當然也是一個會遭受攻擊的明顯目標。

既然是資安的論壇，我們在這系列的最後一篇文章中就來看看資怎麼下手解決複雜的資安問題。我會用一個假想的例子來加以說明。

假設今天有一個抽獎系統，原本的設計是在每次抽獎時會從所有會員中隨機抽出特定數目的會員致贈出豪華獎品。因為每次抽獎的獎品數量、種類都不盡相同，所以順帶提供了一個後台介面讓有權限的人可以設定獎品的數量、種類、以及抽獎的時間。在一次的抽獎結果中，事後卻意外發現頭獎(百萬獎金)的中獎人與該系統的系統管理員竟是一家人，而此系統管理員已於此次抽獎後的隔天無故離職，而得獎者也已經把獎金領走了。進一步的追蹤發現，此系統管理員到職僅約半年的時間，而且之前的工作經驗都在別的地區。

在理想的世界中，我們只要想辦法找出最有效率的解法就天下太平了。但是在現實的環境中，除非問題本身很單純(不一定是簡單)，否則真正”問題”才剛開始。最大的可能性在於，邏輯性的問題變成了非邏輯性的問題，而背後的因素幾乎都跟”人”有關。

舉例來說，如果你是一個工程師，正在解決電腦主機板所造成的當機問題。經過一番努力後，你發現原來是主機板上的音效晶片在播放特定訊號時，會因為處理不當而造成當機。而且你也已經證明是晶片本身設計的問題，而不是主機板設計或相關軟體的問題。更糟的是，這種錯誤沒有辦法經由主機板或軟體的修改加以修正。正常來說，除非修改主機板的功能，否則唯一的(最佳)解法就是換一組晶片。但是很不幸的是此一音效晶片的上游廠商，是公司很重要的夥伴。所以要不要換，能不能換，已經不是單純技術性(邏輯性)的問題，而是政治性(非邏輯性)的問題。相關團體彼此之間的利害關係，成了左右問題解決方案的重要因素。