2007年11月28日 星期三

即時通訊的加密(Encryption for IM )

我想現在大多數有使用電腦的人,都有使用一種以上IM軟體的經驗,不外乎就是MSN、YAHOO! 即時通、SKYPE、QQ...等。

不過在網路發達的現在,也有很多人把腦筋動到這些軟體上,例如:MSN SNIFFER就是一個很明顯的例子,除此之外,也有不少企業會在公司裝網路行為側錄器,雖然所費不貲(隨便就是6位數以上),但是對於公司機密的保護,有時候也有它的作用。(法源依據...在台灣可能還是老闆比較站得住腳,只要先讓員工簽署同意書,就具有一定的效力...)

不過,因為有這些個人隱私被竊取的風險,就開始發展出IM軟體的加密程式(如:法國的SECWAY出產的SIMP-LITE/PRO/SERVER軟體),杜絕被側錄的風險,這是道高一尺、魔高一丈嗎?先不論是否適宜,其實除了這些方式之外,還有很多被大家所忽略的地方...

其實這個資安的問題,應該一直在IT業界被討論,至於加密與否真的是見仁見智,我前兩天在ITHOME上看見一篇有關禁止員工安裝加密軟體的文章:(全文連結
如何禁止員工使用MSN加密軟體? 文/楊啟倫 (記者) 2007-11-23

有人使用MSN Shell、SimpLite加密MSN的對話,讓企業購買的網路行為管理設備無法側錄訊息,要如何解決?

方法1:透過網路行為管理設備加以管理
方法2:透過群組原則下的軟體限制原則

除了這種方式之外,其實還有管理階層是透過軟、硬體的側錄來達到此目的,就如同本文開同所說的MSN SNIFFER和SIMP-LITE之間的對立關係(我不在此多做介紹教學,Google上有不少資料,例:MSN SNIFFER教學SIMP-LITE教學

不過竟然是對立關係,就會有下列問題的疑慮:

問:一定要透過SIMP-LITE這類程式加密,才能保障交談的安全?

答:不一定

其實網路上有很多加密的小程式,例:DNA CODER 1.5、Encoder Version 2.0 外星人版...等,其實都是先把文字處理後,再傳給對方,只是對方也要有相同的軟體才能夠反譯,在使用上可能不是這麼方便。

如果MSN沒有封鎖檔案傳輸的權限,你當然也可以透過圖片檔來傳送資訊,這樣一般的側錄軟體也無法發揮功效,不然,直接利用MSN上的手寫功能來「塗鴨」,一樣能夠躲過側錄軟體的法眼。(手寫傳輸也算圖片形式)

問:使用了加密軟體就能夠保障自己傳輸的文字不會被側錄嗎?

答:錯,一樣也可以側錄

雖然,網路上還沒有看見有什麼可以破解SIMP-LITE這類軟體的加密(RSA-2048bits加密),而PRO版的甚至支援到RSA-4096bits,但是可以透過一些木馬程式(躲過防毒軟體)、影像側錄(將畫面錄下)來達到目的,雖然耗費的資源相當大,還是有人在做類似的東西。如此一來,就算做了再多的加密程序也沒有用。

現在的無線網路這麼發達,當然也有人會利用無線網路3.5G行動上網來躲避公司的控管,雖然也有相關的阻擋方式(電波干擾器...這是徵信社政府機關才有的東西吧!),如果真的要防到這個地步,早已失去禁止的意義,還不如明文規定禁止使用

其實從公司資安的層面來看,這些IM軟體原本就有一定的風險在,無論是加密(文字、圖型、檔案)、側錄(文字、音訊、視訊)、都有技術面可以達成,只是有無這個必要,技術與應用原本就是建立在人性的基礎面之上,可惜的是...

人就是有想探知他人隱私的欲望,無論你用上述軟體來做何種用途,最好三思而後行,如果只是用來研究相關原理,那絕對無傷大雅,如果是用來侵害隱私的話,相關後果就請你去翻翻法律書籍囉!

題外話:台灣對隱私的保護真的很,就算洩露個資道歉認錯送贈品打折就可以帶過...,如果是國外,那間公司早不知已經被告到那兒去了。在用相關法律限制一般人時,大公司是否也該等同視之...)