昨天又去參加了一場資安相關的研討會，一方面是因為工作上需要，另一方面是去看看朋友的實際操演，畢竟上次的場次沒有參加到，有點遺憾。
除了昨天的研討會之外，先前我也去參加過兩次角度不同的研討會（上課），一次是廠商邀請《研討會的心得--資安議題》，一次是上課《惡意程式分析課的心得》，雖然這是第三次參加，可是有著不同於前兩次的經驗。
第一次老實說像產品發表會，參與過的人就可以理解我所說的意思，第二次是去瞭解一下防毒軟體公司，在電腦遭受感染之後怎麼做病毒分析的方法。而這次我參加的議題則是與入侵手法有關，也實際看見演練的過程，畢竟，先知道有心人士的手法，才知道該如何防範。
在提研討會心得之前，我想先說一下去看研討會應該抱持什麼心態，老實說，也是會後跟朋友聊天時的感想...
其實研討會，無論是廠商邀請、自行參加（免費、收費）、甚至是公司出錢派你來參與，我想都會有一點避免不掉的問題，那就是商業行為的置入，畢竟公司是以營利為目的，如果你是付費參加的人，或許還有選擇的權利，不然，大不了就是不要去參加或者只針對特定主題參與即可。
千萬別把個人情緒放在學習或增廣見聞之前，如果能在這種場合交到志同道合的朋友，也是件不錯的事情，別老是針對行銷商品、業務推廣來大行批評，畢竟...沒人逼你吧！？雖然我也不喜歡被業務人員騷擾，但是換個心態也就能夠釋懷。（言盡於此）
接著來切入重點，因為我著眼的部份是入侵手法，怕會造成不良的學習及示範，以下的心得內容皆「點到為止」，若真的有興趣，看要私底下討論，或者去參與一下類似的研討會也行。
1.透過瀏覽圖片來植入木馬：
條件：
（1）具有「MS06-001」WMF漏洞
（2）使用WINDOWS圖片和傳真檢視器
（3）使用IE5或6瀏覽器
解決方式：修補MS06-001弱點（停用WINDOWS圖片和傳真檢視器）
2.加入管理者帳號：
條件：
（1）具有「MS06-040」BOF漏洞
（2）具有本機使用者帳號的電腦（M$的都有，除了DC裡的AD之外）
（3）M$的WINDOWS平台內都有終端機服務（僅差在是否有開啟）
（4）使用在區網或無線網路中（無法跨ROUTER和VLAN）
解決方式：修補「MS06-040」弱點。
3.利用網站弱點置換網頁：
條件：
SERVER：
（1）具有CGI漏洞的IIS
（2）具有XP_CMDSHELL的SQL SERVER
（3）網站資料夾權限是Everyone完全控制
（4）預設路徑沒更改
（5）網頁屬於「.htm或.html」
CLIENT：
具有「MS06-014」、「MS04-023」chm或「MS08-001」弱點
解決方式：修復「MS06-014、MS04-023或MS08-001」漏洞。
4.利用SQL Injection植入iFrame或植入DB欄位：
條件：
SERVER：
（1）網頁屬於「.ASP、.ASPX和.PHP」
（2）網頁程式裡有「SQL Injection」
（3）網頁程式呼叫DB的權限過大
（4）DB資料夾沒有鎖定權限
（5）具有XP_CMDSHELL的SQL SERVER
（6）預設路徑沒更改
（7）網站資料夾權限是Everyone完全控制
CLIENT：
具有「MS06-014」MDAC弱點或「MS07-017ANI弱點」
解決方法：修補「MS06-014和MS07-017」或「SQL Injection」。
PS：ASP也可透過FSO（檔案系統物件）來提供處理資料夾及檔案架構的工具。
5.利用其它程式植入木馬：（Realplay、每種播放器都有）
條件：
（1）具Realplay漏洞的電腦
（2）喜歡使用P2P抓取.RM、.RMVB和.WMV的使用者
解決方法：改用RealOne或Realplay 10、11。
我只寫這些條列式的內容，大家會有種搔不到癢處的感覺，其實這些是從講義中截取下來的內容（已得到作者同意），因為這些入侵手法，還需要借助於某些工具（很多來自於對岸）或指令，並不適合在公開的部落格上討論。（若是問我是否有破解、註冊機還是駭客軟體...等，會石沉大海一樣）
從上述的說明中，不難看出最大的弱點還是出自於M$，除了SQL Injection與程式撰寫或資料庫管理者有關，其它只要能安穩地把M$的更新乖乖地安裝完（盡可能地不使用S版的XP安裝），就可以做到最基本的安全防護（0時差攻擊除外）。
其實，這樣子的研討會，除了看講師表演入侵手法之外，我覺得最重要的是瞭解這些入侵手法成立的原因跟管道，畢竟那才是真的能夠幫上我們這些IT管理者，不然花了高額的預算（如果有的話...），添購了一台你自己也不確定要用來防範什麼危險的設備，那還不如把預算省下來多買幾套備份裝置。
除此之外，這次的研討會中有提到Google大神可以協助我們做很多事（無論是漏洞分析、社交漏洞的搜尋，甚至有此地無銀三百兩的配置（robot.txt）...），這一點跟我去聽的第一場研討會類似，我也不多說這部份的內容。
結論：
聽完了這場研討會，直覺M$的更新相當重要，只是礙於市場條件跟實際狀況，經常會有偷吃步的方法出現（S版XP、無人安裝...等），一個不察就會造成漏洞百出，雖然知道有這樣子的風險，台灣真的有做過弱點分析與入侵偵測的網站有多少？（那個數字應該會讓人心寒吧！）說不定去對岸的網站隨便掃一掃，就可以發現有多少台灣網站門戶洞開。
心裡想著，如果有一天我的影響力涵蓋那部份的業務時，期許自己能夠細心且謹慎的測試，在時程與安全中取得平衡，這是一件相當重要且困難的事，不然...那天在Google上發現自己管的網站，被開了後門，那時帶來的風險，與系統毀損相比，毫不遜色！（系統毀了頂多是資料遺失，被開後門則是想像無限）。
2008年1月23日 星期三
2008年1月22日 星期二
藍牙的使用與風險（The Use and Risk of Bluetooth）
在我們的生活中，藍牙技術其實已經存在許久，感覺上卻一直沒有真的熱門過，除了推廣最多的藍牙耳機之外，很少看見一般人提到別的應用。
雖然在我先前《無線技術的競爭》一文中，曾經提到過它的耗電問題，不過...在某些行動通訊上，它還是有它利用的價值。（當然，如果原本就是用網路的電子產品，就不用非得使用藍牙，因為速率的差距極大）
例如：在手機上檔案的傳輸，除了使用MMS訊息來挾帶檔案外 （訊息費用），還有一定得對準的紅外線，再來就是透過藍牙的方式來傳送，有人或許會說還有3G或3.5G網路呀！老實說...我相信真的用的上它的人還是少數，除了商務人士＋非得用手機上網的人之外，很難說服一般人使用吧！更別提現在日本極為流行的手機閱讀（台灣就算有，也是離線狀態居多！）
其實，今天會提到這個藍牙（Bluetooth）主要是因為我今天一早，就透過它在兩台手機間傳送圖片（我家的喵仔），在傳送的過程中發現的一些小疑問，才勾起我對它的興趣。
今天我用的手機是Dopod 585和SE S500I透過對傳藍牙（Bluetooth）對傳，我在WikiPedia上查到的資訊中寫著：
我在Dopod 585手機中並沒有看見匿名方式（沒支援），也只有加密模式的存在，更詭異的部份是，我一旦開啟搜尋（配對）模式，除了找到SE S500I的手機之外（我事先設定），還可以搜尋到另外一組不知那兒來的MAC ADDRESS位置，可能離我10M內，有人使用藍牙通訊的電子設備吧？（藍牙接受器？），不過掃到的竟是MAC ADDRESS這點，著實讓我嚇一跳。（更懷疑藍牙的安全性）
雖然它的耗電量隨著Bluetooth 1.0、1.1、1.2，直到2.0都慢慢地在改善，對我來說安全性更加重要，以下是網路上的相關文件，例：
或許我的擔憂是多此一舉，因為有心想要破解藍牙的人，早已不是為了顯露技術或是將某些技術的弱點公諸於世，而是在有利之圖的狀況下才有可能嘗試，就拿現在最多人採用的藍牙設備來說（手機＋藍牙耳機），除非真的是達官顯要，不然那有破解的價值呢？
況且，有看過那些重要人士是透過藍牙在說手機的？（除了某些發表會上，耳朵上掛隻耳機也沒有多美觀吧！），真的要竊聽語音通訊的方式太多，光是透過竊聽設備或是透過有線的方式接線竊聽，也比在那兒破解個半天有效率。
不過，這一類的無線通訊技術上，雖然不能拿藍牙跟WiFi或是WLAN相比，但是我還是讚同它的發展，畢竟它對於懶得設定的一般人來說，提供了友善且容易上手的界面，雖然有數量上的限制（一般而言，最多只能連接7個Bluetooth裝置），但是對於一般使用者來說應該夠用。（別跟我說數位家庭的夢，那個應該是IPv6實現後的事...）
藍牙：我會把它定位在個人商務，或是簡單環境下能使用的無線網路技術，雖然還有紅外線（僅能一對一）、WLAN（還得會設定網路或加密法），畢竟都比不上藍牙的輕易上手及應用呀！
雖然在我先前《無線技術的競爭》一文中，曾經提到過它的耗電問題，不過...在某些行動通訊上，它還是有它利用的價值。（當然，如果原本就是用網路的電子產品，就不用非得使用藍牙，因為速率的差距極大）
例如：在手機上檔案的傳輸，除了使用MMS訊息來挾帶檔案外 （訊息費用），還有一定得對準的紅外線，再來就是透過藍牙的方式來傳送，有人或許會說還有3G或3.5G網路呀！老實說...我相信真的用的上它的人還是少數，除了商務人士＋非得用手機上網的人之外，很難說服一般人使用吧！更別提現在日本極為流行的手機閱讀（台灣就算有，也是離線狀態居多！）
其實，今天會提到這個藍牙（Bluetooth）主要是因為我今天一早，就透過它在兩台手機間傳送圖片（我家的喵仔），在傳送的過程中發現的一些小疑問，才勾起我對它的興趣。
今天我用的手機是Dopod 585和SE S500I透過對傳藍牙（Bluetooth）對傳，我在WikiPedia上查到的資訊中寫著：
1.2版本：
匿名方式：屏蔽設備的硬體地址（BD_ADDR），保護用戶免受身分嗅探攻擊和跟蹤。從1.1版開始已經可以實現硬體匿名，但未被實施，因此對普通消費者來說還是沒有此功能。...
我在Dopod 585手機中並沒有看見匿名方式（沒支援），也只有加密模式的存在，更詭異的部份是，我一旦開啟搜尋（配對）模式，除了找到SE S500I的手機之外（我事先設定），還可以搜尋到另外一組不知那兒來的MAC ADDRESS位置，可能離我10M內，有人使用藍牙通訊的電子設備吧？（藍牙接受器？），不過掃到的竟是MAC ADDRESS這點，著實讓我嚇一跳。（更懷疑藍牙的安全性）
雖然它的耗電量隨著Bluetooth 1.0、1.1、1.2，直到2.0都慢慢地在改善，對我來說安全性更加重要，以下是網路上的相關文件，例：
中研院：藍芽與無線區域網路IEEE 802.11安全性之比較從上述的文章中可以發現藍牙採用的E0加密法有一定的複雜程度，除了直接進行暴力破解法之外（PIN碼大多為四位數的10進位數字），主要就是要在安全的環境中建立連線（怎樣才算安全...方圓10公尺內空無一物嗎？），之後的資料傳輸是經過跳頻及加密技術所保護。
DIGITIMES：藍芽技術建構個人無線傳輸網路
或許我的擔憂是多此一舉，因為有心想要破解藍牙的人，早已不是為了顯露技術或是將某些技術的弱點公諸於世，而是在有利之圖的狀況下才有可能嘗試，就拿現在最多人採用的藍牙設備來說（手機＋藍牙耳機），除非真的是達官顯要，不然那有破解的價值呢？
況且，有看過那些重要人士是透過藍牙在說手機的？（除了某些發表會上，耳朵上掛隻耳機也沒有多美觀吧！），真的要竊聽語音通訊的方式太多，光是透過竊聽設備或是透過有線的方式接線竊聽，也比在那兒破解個半天有效率。
不過，這一類的無線通訊技術上，雖然不能拿藍牙跟WiFi或是WLAN相比，但是我還是讚同它的發展，畢竟它對於懶得設定的一般人來說，提供了友善且容易上手的界面，雖然有數量上的限制（一般而言，最多只能連接7個Bluetooth裝置），但是對於一般使用者來說應該夠用。（別跟我說數位家庭的夢，那個應該是IPv6實現後的事...）
藍牙：我會把它定位在個人商務，或是簡單環境下能使用的無線網路技術，雖然還有紅外線（僅能一對一）、WLAN（還得會設定網路或加密法），畢竟都比不上藍牙的輕易上手及應用呀！
2008年1月21日 星期一
手動還是自動？（Manual or Automatic ？）
最近寫了兩篇跟自動執行有關的文章，分別是：
1.區網更新病毒碼。
2.自動刪除過期備份檔。
雖然減輕了常態性的工作，卻仍有不少隱憂，例如：先前一些日子K牌的病毒更新碼出問題、更新主機的網路狀態或系統不穩定...等。
因此在使用自動化的同時，也要先想好該怎麼應對突如其來的Trouble，千萬別以為自動化後，就不需定期檢查系統與備份，往往它會殺你個措手不及。
在企業或公司內部，很多事情都需要自動化，尤其是在人力精簡之下，如果不利用軟體或是技巧來化繁為簡，每天光是處理那些瑣事就夠你瞧的，只要同時有人中毒或電腦無法開機，就開始要請它們領號碼牌（不然就看誰對公司營運的影響大），更何況還有每天要做的既定事務。
不過，想透過自動化的軟硬體來協助我們達成這件事，也要有一定的經費來支持，如果是用在多人使用的企業上，那價位也十分驚人，尤其是硬體部份，例：硬體RAID、自動備份系統、NAS...等。
如果是軟體部份，大都透過SNMP來跟硬體來溝通（用來收集資料與數據，再進行其它的控制與判斷），或者利用本機端的軟體和硬體規劃來處理（例：將LINUX系統掛在最前端，做為IP分享器及防火牆之用）。
無論是硬體或軟體，首要條件都是硬體要能夠符合實用性，SNMP最常應用在ROUTER上或專業的SWITCH，其實在軟體的部份可以找到不少資源，重點還是在於使用的硬體是否有提供相對應的支援能力。
這都是自動化前的條件，像我先前那些文章，都是未使用硬體下的小技巧，除了在公司或企業內部可以視狀況使用外，在個人使用上也沒有什麼門檻。
你可以不花一分一毫就達到自動化的效果（原本的系統支援或免費軟體），但是在風險的評估上它就比那些硬體的設備弱了許多，光是透過相關軟體來發送MAIL通知管理者，對一般使用者來說就是件極為頭疼的事，這一類的功能在相關硬體上，應該是再基本不過的功能（一般家用的IP分享器就有類似的機制，不過對於機器的負載上也要量力而為）。
先前有提過自動執行的優缺點，針對管理上的自動化，其實帶來的風險是不同的，尤其是人力與時間的配合上，一旦忽略了回報的機制，很有可能到了系統完全停擺前才會發現問題。
人力與時間的掌握是公司或企業體內常見的問題，最重要的一定是績效跟利潤，對於我們這些IT的管理人來說，我們只能以時間來解決問題，或是透過機制來主動發現問題（並不代表一定能改善，明哲保身居多...），證明我們的績效，並非所有的公司都能夠以維護費用化來突顯IT績效，只是本土公司能夠想到這一點，真的不多！
管理上這些自動化流程是必要的，無論是在有經費（預算制度）或無經費（自行解決）的狀況下，在自動化流程中，還是得加入人力稽核的部份（尤其是與公司營運有關的部份），一昧地相信自己設定的自動化流程，可以說它是種自信，同時也是盲點。
反觀現在的環境，公司中真的有人專門負責這一塊領域嗎？還是採用外包、約聘，甚至是公司內部的人兼任？（通常是研發或業務），如果公司是採用外包、約聘來處理資訊相關問題的話，是否要採用自動化，導入之前都得仔細評估，以免發生我所說的狀況（例：資料庫備份或主機的備援機制停擺卻沒人發覺、甚至發生資安事件也無法即時修補）。
該使用手動操作還是自動化處理，端看公司能承擔的風險有多大，如果能接受停擺超過24Hrs以上的話，那你大可採用自動化來管理相關設備（一般而言，大多數的作業系統及資料都能在24Hrs內重建，除非資料量或是整體架構太過繁雜），如果是連幾秒鐘斷線都無法容忍的公司，一定會有維護部門存在，就算採責任制的手動操作，在人力與時間的分配上也還算合理。（就算是金融服務業，在半夜RUN BATCH跑交換資料時，網路平台的某些服務，也是停擺居多。）
手動還是自動？如果你跟高層能達到共識，當然最好不過，如果無法取得平衡點，只好自行取捨應用範圍及時效性的長短，「戲法人人會變，各有巧妙不同」。
1.區網更新病毒碼。
2.自動刪除過期備份檔。
雖然減輕了常態性的工作，卻仍有不少隱憂，例如：先前一些日子K牌的病毒更新碼出問題、更新主機的網路狀態或系統不穩定...等。
因此在使用自動化的同時，也要先想好該怎麼應對突如其來的Trouble，千萬別以為自動化後，就不需定期檢查系統與備份，往往它會殺你個措手不及。
在企業或公司內部，很多事情都需要自動化，尤其是在人力精簡之下，如果不利用軟體或是技巧來化繁為簡，每天光是處理那些瑣事就夠你瞧的，只要同時有人中毒或電腦無法開機，就開始要請它們領號碼牌（不然就看誰對公司營運的影響大），更何況還有每天要做的既定事務。
不過，想透過自動化的軟硬體來協助我們達成這件事，也要有一定的經費來支持，如果是用在多人使用的企業上，那價位也十分驚人，尤其是硬體部份，例：硬體RAID、自動備份系統、NAS...等。
如果是軟體部份，大都透過SNMP來跟硬體來溝通（用來收集資料與數據，再進行其它的控制與判斷），或者利用本機端的軟體和硬體規劃來處理（例：將LINUX系統掛在最前端，做為IP分享器及防火牆之用）。
無論是硬體或軟體，首要條件都是硬體要能夠符合實用性，SNMP最常應用在ROUTER上或專業的SWITCH，其實在軟體的部份可以找到不少資源，重點還是在於使用的硬體是否有提供相對應的支援能力。
這都是自動化前的條件，像我先前那些文章，都是未使用硬體下的小技巧，除了在公司或企業內部可以視狀況使用外，在個人使用上也沒有什麼門檻。
你可以不花一分一毫就達到自動化的效果（原本的系統支援或免費軟體），但是在風險的評估上它就比那些硬體的設備弱了許多，光是透過相關軟體來發送MAIL通知管理者，對一般使用者來說就是件極為頭疼的事，這一類的功能在相關硬體上，應該是再基本不過的功能（一般家用的IP分享器就有類似的機制，不過對於機器的負載上也要量力而為）。
先前有提過自動執行的優缺點，針對管理上的自動化，其實帶來的風險是不同的，尤其是人力與時間的配合上，一旦忽略了回報的機制，很有可能到了系統完全停擺前才會發現問題。
人力與時間的掌握是公司或企業體內常見的問題，最重要的一定是績效跟利潤，對於我們這些IT的管理人來說，我們只能以時間來解決問題，或是透過機制來主動發現問題（並不代表一定能改善，明哲保身居多...），證明我們的績效，並非所有的公司都能夠以維護費用化來突顯IT績效，只是本土公司能夠想到這一點，真的不多！
管理上這些自動化流程是必要的，無論是在有經費（預算制度）或無經費（自行解決）的狀況下，在自動化流程中，還是得加入人力稽核的部份（尤其是與公司營運有關的部份），一昧地相信自己設定的自動化流程，可以說它是種自信，同時也是盲點。
反觀現在的環境，公司中真的有人專門負責這一塊領域嗎？還是採用外包、約聘，甚至是公司內部的人兼任？（通常是研發或業務），如果公司是採用外包、約聘來處理資訊相關問題的話，是否要採用自動化，導入之前都得仔細評估，以免發生我所說的狀況（例：資料庫備份或主機的備援機制停擺卻沒人發覺、甚至發生資安事件也無法即時修補）。
該使用手動操作還是自動化處理，端看公司能承擔的風險有多大，如果能接受停擺超過24Hrs以上的話，那你大可採用自動化來管理相關設備（一般而言，大多數的作業系統及資料都能在24Hrs內重建，除非資料量或是整體架構太過繁雜），如果是連幾秒鐘斷線都無法容忍的公司，一定會有維護部門存在，就算採責任制的手動操作，在人力與時間的分配上也還算合理。（就算是金融服務業，在半夜RUN BATCH跑交換資料時，網路平台的某些服務，也是停擺居多。）
手動還是自動？如果你跟高層能達到共識，當然最好不過，如果無法取得平衡點，只好自行取捨應用範圍及時效性的長短，「戲法人人會變，各有巧妙不同」。
2008年1月18日 星期五
超微存活於否？（AMD Survived the War？）
今天一早，朋友傳了一篇Tom's Hardware對AMD CEO專訪的文章給我，這讓我想到最近A社和I社的CPU大戰，似乎有點失衡。內容摘要如下：
使用者會被I社或A社的CPU效能、C/P值、核心數...搞混，而購買時的賣相、行銷手法，加上網路上各大平台的測試報告，也是失衡的助力之一，不過...這也是人的天性呀！
最近在各大電腦討論區裡，都充斥著AMD危急的相關新聞跟觀點，因為它們沉寂太久了！或者說現在的市場上只剩下小眾在用他們的東西（死忠派），或者抱著舊機器想繼續奮戰下去的，也大有人在。
不過，市場機制不是靠守舊活下來的，你只要去個大賣場繞一圈，你就會發現配A社CPU的電腦，無論是PC或是NB大多是掛在促銷區角落，快被人遺忘的那一塊。
頂多就像個人玩家或是想弄一台低耗電主機的人，才會把矛頭指向A社出的CPU來搭配其它的配備（Athlon X2 BE-2350），可是I社也有類似的產品線，推出了低耗電的Pentium Dual Core E2160，雖然沒辦法跟BE-2350一樣低耗電，但是卻具有較高的超頻空間（參考Tom's Hardware），就算如此，I社在0.45nm製程的CPU是否會有更大的改善，還是未知數。
除了低耗電的CPU之外，另一個可以幫A社加分的就是它們的整合技術，除了已經在市面上有的690G之外，據說在今年三月可以看見790G露臉，可以省下顯示卡的購買成本與電力消耗，雖然這不是CPU大戰的重點之一，至少能夠讓使用者多接觸一點A社的產品。
對我而言，效能不代表一切，何況多高時脈的CPU、幾個核心可以跑、多強的顯示卡...等，在一般使用上，只有極少數的狀況下會需要那樣的硬體，還不如把那些錢省下來做其它部份的應用。
雖然說時間上的考量很重要，不過...在一般人使用電腦的習慣上，會有多少分秒必爭的時刻呢？（網路下單、搶車票，還是線上交易...），就算你的硬體再好，還得一大堆周邊都配合得上，才能夠有這樣子的效能吧！
說到這，也許會覺得我偏心於A社，其實我的PC跟NB也都是I社的產品，我單就大多數使用者的需求來說明，很多時候只需50c.c.小綿羊代步就可以，何必非要買台十倍價格的550 c.c.的重機車在高架道路上馳騁，很多時候只是數字迷思跟優越感作祟。
如果，整個大環境都往I社倒！最不願見到的狀況就是A社不玩CPU這一塊，或是漸漸地讓出江山，消費者很有可能要回到組台電腦，效能普通的就要3~4萬元（記得P-586的年代，一台電腦隨便就要4萬多）。
最後吃虧的還是消費者本身，而兩大陣營之間的角力與互動還算良性，像早期，A社的K8把I社的P4打掛，事過沒多久，就換I社的C2D打趴A社的K9，其實互相競爭而進步是件好事。
以我個人觀察市場的使用狀況：K8 vs P4＝6：4，一直轉變成現在的C2D vs K9＝7：3。如果天平再往I社傾倒，這個天平可能就會崩坍，那使用者就準備看著CPU的價格悄悄地、明顯地攀升。
雖然市場機制可用供需平衡來控制，這道理消費者懂，上游公司也懂呀！它們也不會笨到產了一堆的庫存來砸自己腳，也不會讓自己的產品出不去，如果有一間獨大，只要它打個噴嚏，就足以讓市場價格瘋狂波動一陣子。（謎之音：就像現在的作業系統大戰。）
對於現在的局勢，我們無法積極地去要求誰購買A社的產品（有錢，要怎麼花是個人自由），如果真有其高效能的需求與應用，選用I社是正確的決擇（不過，要不要攻頂就請三思而行，參考此篇）。
為了大家能夠有更平價、更好用的CPU，或是更省能源的使用環境（至少A社的出發點我認同），超微是有存在的必要性，至少我個人這麼認為，況且產品線多一點，比較能夠避開壟斷的風險，這些都是為何我會支持他存活的理由。
AMD：存活與未來 (AMD CEO專訪) - 2008-01-15 Cliff Lin這兩大龍頭的相互制衡，對一般使用者來說，優點絕對比缺點多，光是能拿到低價又合理效能的CPU，就是最大的吸引力。
Toms’s：波斯特先生，2006年併購ATI之後，AMD現在已經和主要競爭對手地位相仿。目前貴公司已經具備供應電腦全部核心組件的能力，這點是否能幫助貴公司爭取新客戶？畢竟現在除了CPU之外，AMD也製造晶片組和GPU，讓我們想到「平台」這個詞。...
使用者會被I社或A社的CPU效能、C/P值、核心數...搞混，而購買時的賣相、行銷手法，加上網路上各大平台的測試報告，也是失衡的助力之一，不過...這也是人的天性呀！
最近在各大電腦討論區裡，都充斥著AMD危急的相關新聞跟觀點，因為它們沉寂太久了！或者說現在的市場上只剩下小眾在用他們的東西（死忠派），或者抱著舊機器想繼續奮戰下去的，也大有人在。
不過，市場機制不是靠守舊活下來的，你只要去個大賣場繞一圈，你就會發現配A社CPU的電腦，無論是PC或是NB大多是掛在促銷區角落，快被人遺忘的那一塊。
頂多就像個人玩家或是想弄一台低耗電主機的人，才會把矛頭指向A社出的CPU來搭配其它的配備（Athlon X2 BE-2350），可是I社也有類似的產品線，推出了低耗電的Pentium Dual Core E2160，雖然沒辦法跟BE-2350一樣低耗電，但是卻具有較高的超頻空間（參考Tom's Hardware），就算如此，I社在0.45nm製程的CPU是否會有更大的改善，還是未知數。
除了低耗電的CPU之外，另一個可以幫A社加分的就是它們的整合技術，除了已經在市面上有的690G之外，據說在今年三月可以看見790G露臉，可以省下顯示卡的購買成本與電力消耗，雖然這不是CPU大戰的重點之一，至少能夠讓使用者多接觸一點A社的產品。
對我而言，效能不代表一切，何況多高時脈的CPU、幾個核心可以跑、多強的顯示卡...等，在一般使用上，只有極少數的狀況下會需要那樣的硬體，還不如把那些錢省下來做其它部份的應用。
雖然說時間上的考量很重要，不過...在一般人使用電腦的習慣上，會有多少分秒必爭的時刻呢？（網路下單、搶車票，還是線上交易...），就算你的硬體再好，還得一大堆周邊都配合得上，才能夠有這樣子的效能吧！
說到這，也許會覺得我偏心於A社，其實我的PC跟NB也都是I社的產品，我單就大多數使用者的需求來說明，很多時候只需50c.c.小綿羊代步就可以，何必非要買台十倍價格的550 c.c.的重機車在高架道路上馳騁，很多時候只是數字迷思跟優越感作祟。
如果，整個大環境都往I社倒！最不願見到的狀況就是A社不玩CPU這一塊，或是漸漸地讓出江山，消費者很有可能要回到組台電腦，效能普通的就要3~4萬元（記得P-586的年代，一台電腦隨便就要4萬多）。
最後吃虧的還是消費者本身，而兩大陣營之間的角力與互動還算良性，像早期，A社的K8把I社的P4打掛，事過沒多久，就換I社的C2D打趴A社的K9，其實互相競爭而進步是件好事。
以我個人觀察市場的使用狀況：K8 vs P4＝6：4，一直轉變成現在的C2D vs K9＝7：3。如果天平再往I社傾倒，這個天平可能就會崩坍，那使用者就準備看著CPU的價格悄悄地、明顯地攀升。
雖然市場機制可用供需平衡來控制，這道理消費者懂，上游公司也懂呀！它們也不會笨到產了一堆的庫存來砸自己腳，也不會讓自己的產品出不去，如果有一間獨大，只要它打個噴嚏，就足以讓市場價格瘋狂波動一陣子。（謎之音：就像現在的作業系統大戰。）
對於現在的局勢，我們無法積極地去要求誰購買A社的產品（有錢，要怎麼花是個人自由），如果真有其高效能的需求與應用，選用I社是正確的決擇（不過，要不要攻頂就請三思而行，參考此篇）。
為了大家能夠有更平價、更好用的CPU，或是更省能源的使用環境（至少A社的出發點我認同），超微是有存在的必要性，至少我個人這麼認為，況且產品線多一點，比較能夠避開壟斷的風險，這些都是為何我會支持他存活的理由。
2008年1月17日 星期四
記憶體的懷舊（Reviewing Memory Modules）
這兩天在整理成堆的資訊用品時，發現了一大批已經停役的記憶體，其中不乏上了年紀的老古董，以現在動不動就有512MB、1GB，甚至2GB的記憶體容量來說，它們這些前輩們，早已過了時代的潮流。
雖然如此，這些曾在沙場服役的的先烈們（因為現在都是躺在那兒，應該可以這樣稱呼吧！？），還是具有其歷史意義，我索性拿起相機，給它們拍個照留念。
今天，沒有太多的文字說明，一切就以圖片來代替文字，頂多我會加上個註解，玩電腦沒超過十年的人，有部份的RAM可能連見都沒見過吧！（照相技術不好，辛苦各位的眼睛了！）
EDO RAM：72 PIN（有興趣可算一下金手指數量）
說明：由上而下，分別是4MB、8MB和16MB各兩條，因為它們在市面上算是絕跡的東西（二手網站有），所以個別再為它們照了幾張：
4MB：
說明：4MB要拿來做什麼？一首MP3？還是...
8MB：
說明：沒錯！是台灣的「Transcend」出品，不知還保固嗎？
16MB：
說明：從正面看不太出來容量，其實背面有貼個 EDO RAM 16MB。
SDRAM：144 PIN
說明：從上而下，依序是32MB、64MB、128MB和256MB（硬湊出來的），其中128MB的RAM還支援ECC（說明如下）。
除了容量之外，在時脈上採用PC100、PC133或PC150（特殊規格）來分類，圖中皆為PC100的記憶體，這部份的記憶體，只要接觸過P2~P4等級電腦的人，應該都看過它們，某些公司裡，應該還有吃這種RAM的機器在服役吧！。
DDR SDRAM：
說明：這是市面上最常見的記憶體規格，不過184 PIN的DDR SDRAM已經比較少見（最上方），通常用在P4等級（含）以下，現在主流的記譯體規格則是240 PIN的DDR2 SDRAM（667或800），甚至連DDR3 SDRAM（800~1,600）都已問世。
最後，介紹一個網站，裡面對於記憶體的說明還頗為詳細，唯一美中不足的是...它是英文網站，有興趣的人可以去該網站增加取經。
PS：為什麼我一直要提到「主流」兩字呢？因為，主流代表你有機會以較合理的價格取得，否則很有可能要花更多的錢去買一個效能較低的記憶體。（通常有不得已的苦衷，例：機器不能壞、昂貴的舊主機記憶體毀損...）
雖然如此，這些曾在沙場服役的的先烈們（因為現在都是躺在那兒，應該可以這樣稱呼吧！？），還是具有其歷史意義，我索性拿起相機，給它們拍個照留念。
今天，沒有太多的文字說明，一切就以圖片來代替文字，頂多我會加上個註解，玩電腦沒超過十年的人，有部份的RAM可能連見都沒見過吧！（照相技術不好，辛苦各位的眼睛了！）
EDO RAM：72 PIN（有興趣可算一下金手指數量）
說明：由上而下，分別是4MB、8MB和16MB各兩條，因為它們在市面上算是絕跡的東西（二手網站有），所以個別再為它們照了幾張：
4MB：
說明：4MB要拿來做什麼？一首MP3？還是...
8MB：
說明：沒錯！是台灣的「Transcend」出品，不知還保固嗎？
16MB：
說明：從正面看不太出來容量，其實背面有貼個 EDO RAM 16MB。
SDRAM：144 PIN
說明：從上而下，依序是32MB、64MB、128MB和256MB（硬湊出來的），其中128MB的RAM還支援ECC（說明如下）。
ECC： (Error-correcting code) 是指在傳輸時間允許偵測並校正錯誤的一種編碼方法，它是在接收端藉由已編碼資料的檢查以偵測並校正傳輸錯誤。ECC使用電子方法檢查儲存在DRAM中的資料是否一致。通常有ECC功能的記憶體主要用於高階個人電腦、伺服器或工作站。（以上資料引用自創見官網）
除了容量之外，在時脈上採用PC100、PC133或PC150（特殊規格）來分類，圖中皆為PC100的記憶體，這部份的記憶體，只要接觸過P2~P4等級電腦的人，應該都看過它們，某些公司裡，應該還有吃這種RAM的機器在服役吧！。
DDR SDRAM：
說明：這是市面上最常見的記憶體規格，不過184 PIN的DDR SDRAM已經比較少見（最上方），通常用在P4等級（含）以下，現在主流的記譯體規格則是240 PIN的DDR2 SDRAM（667或800），甚至連DDR3 SDRAM（800~1,600）都已問世。
最後，介紹一個網站，裡面對於記憶體的說明還頗為詳細，唯一美中不足的是...它是英文網站，有興趣的人可以去該網站增加取經。
LOSTCIRCUITS：http://www.lostcircuits.com/（memory）
PS：為什麼我一直要提到「主流」兩字呢？因為，主流代表你有機會以較合理的價格取得，否則很有可能要花更多的錢去買一個效能較低的記憶體。（通常有不得已的苦衷，例：機器不能壞、昂貴的舊主機記憶體毀損...）
2008年1月16日 星期三
家用還是公司用？（Domestic or Company Use？）
最近手上又出現同事掛點的電腦（無法開機），開膛破肚之後，發現是上了年紀的硬體（P3-9XX MHz、PC-133 256MB的RAM），不過它還是很神勇的在跑WIN XP，真不知該說是物盡其用，還是電腦使用者的時間太多（也不能怪他，畢竟電腦是公司的財產...）。
在企業採購裡，五年內購買的電腦，都不見得有這種硬體規格的主機，更別提一般使用者在市場通路上買到的電腦了（企業採購的主機受價格限制，主機規格總是比市面上的弱一些），市場的主流能夠反應出廠商成本以及顧客能買到什麼合理價格的產品。
雖然如此，你若真心想買舊規格的東西，只要你捧著錢登高一呼，還是會看見有人拿著「新品」或「未拆封」的正品出現，只是效益？真的是見仁見智...（非必要，絕不建議這麼做）
究竟適合家用還是公司用？我想這應該是每個IT人都會面臨的問題？究竟成本、效能、維護和保固孰重孰輕，我想每個管理者心中的尺，長短都不一樣吧！
就拿最近又有同事問我買筆記型電腦（NB）需要注意些什麼一樣？我只能簡單的問預算、用途跟為什麼想買？其它部份，對一般使用者來說真的不重要，很多時候，他們只在意外觀跟維修是否方便。（要女生抱著主機四處求救，也不太方便吧！）
在個人家用或公司用的選擇中，也會面臨這樣子的問題，最近幾次採購的經驗，總希望自己能夠做出明確的判斷，以達到較高的效益（價格合理、省電及評估適用設備），雖然花得不是我的錢，但是IT部門（人）在公司內經常是處於弱勢，如果無法突顯自己的功用，自己的格局也就只能停在原地。
當然，自己的專業還是得找到適當的佐證及數據，才能夠讓相關人士信服（通常就是老闆跟採購窗口），此時業界較具公信力的測試網站（例：Tom's Hardware）就成了不錯的資料來源。
很多時候，只告訴老闆你選用的設備能夠省下多少建構費用是不夠的，反而是設備或技術能夠讓公司流程花費的時間減少？營運成本減少？或許還比較實際。
畢竟，公司在硬體大幅度建構的機會不多，只有在建廠或是大規模翻新時有可能變動之外，其餘的時間都是維護，所以...只用硬體成本來說服關鍵人士，還不如從其它地方下手。
如果真的要討論家用及公司用的設備差異，我個人的看法比較直覺：
公司用：
我只在意穩定跟成本，至於效能...，除非是核心部份（對外網站主機、ERP連線主機...），不然很多都能用時間或人力來取代，況且，每個人的電腦需求並非是齊頭式的相等，很多時候還是得透過人腦來處理。
以現在極高價位的主機（內含四核心、具備RAID功能的主機板、支援高畫質的顯卡...），光是一顆CPU的價格，就比其它硬體的總價或整台主機的價位還高，以我在線上估價查到的價格，Intel的Q6600約8,500元，而市面上能找的到最貴的QX6950甚至要價33,000~35,000元不等（你沒看錯！是台幣唷！不是日幣...）
這類硬體在企業採購來說，應該絕少有人會以此為標準，如果真有需要用這麼高檔的硬體，或許直接從廠商採購專業級的硬體，或許還比較有保障一點（至少東西有問題，還可以叫廠商來跪...），更何況市場上的頂極硬體，廠商當作技術宣告的意味較濃。
個人用：
使用者的觀感就決定一切，如果錢太多要組一台硬體價位達十幾萬的電腦，也沒有人能夠干涉，筆者一時興起，去原x屋線上估價，把最貴的硬體湊在一起（不含軟體、螢幕），合計約14萬，規格如下：
當然，這只是極端的例子，現在個人電腦的主流，預算只要在25,000~30,000之間（甚至更低），就可弄到一台，足以應付大部份使用者的電腦，就像我前面所說，使用者的觀感決定一切，如果是魔人級的玩家，那就另當別論（這種人通常也是硬體的佼佼者）。
我在前面還有提到NB的選購，在詢問預算及相關條件之前，我通常都會把醜話說在前頭：「千萬別期望NB能和桌上型電腦比效能」，就算能夠與桌上型電腦媲美，你所付出的金錢極有可能超過你原有的預算。（以相同的作業系統相比）
以現在NB的價位，從萬把塊到十幾萬的都有，若以主流來說，大約落在30,000~45,000元左右（不含品牌價格！例：S牌的就再高一些...）可是就算是30,000的NB，實際使用的感覺，對桌上型電腦來說，大約也只是2萬左右就能夠達到的效能。
如果使用者先前沒有接觸過NB的話，最好先讓對方有這樣子的心理準備，以免自己做了吃力不討好的建議，至於規格部份，除了Santa Rose的新架構之外，其它部份的變化不大，頂多是顯示晶片或記憶體的升級，可參考我先前的文章。
除了電腦主機之外，周邊產品一樣有不同的觀點，例：鍵盤、滑鼠。應該沒有公司會主動提供無線滑鼠或鍵盤的吧！而在個人使用上，愈來愈多人使用無線產品（羅技應該賺了不少），畢竟主機後的一堆線很容易藏污納垢（還是眼不見為淨...）
在桌上型電腦使用無線鍵盤、滑鼠的人愈來愈多，對於NB的使用者，我想攜帶的便利性很重要，如果非得帶滑鼠出門，有線跟無線就差很多（畢竟感控板對一般人來說，還是不容易上手），所以NB的使用者，很多人會另外添購筆電專用的無線滑鼠。
其實，家用還是公司用沒有一定的標準，我聽過某些公司是每人一台NB，管理上或許不易控管，但是行動力卻大大提升，至於管理的部份就以白紙黑字來規範吧！
在企業採購裡，五年內購買的電腦，都不見得有這種硬體規格的主機，更別提一般使用者在市場通路上買到的電腦了（企業採購的主機受價格限制，主機規格總是比市面上的弱一些），市場的主流能夠反應出廠商成本以及顧客能買到什麼合理價格的產品。
雖然如此，你若真心想買舊規格的東西，只要你捧著錢登高一呼，還是會看見有人拿著「新品」或「未拆封」的正品出現，只是效益？真的是見仁見智...（非必要，絕不建議這麼做）
究竟適合家用還是公司用？我想這應該是每個IT人都會面臨的問題？究竟成本、效能、維護和保固孰重孰輕，我想每個管理者心中的尺，長短都不一樣吧！
就拿最近又有同事問我買筆記型電腦（NB）需要注意些什麼一樣？我只能簡單的問預算、用途跟為什麼想買？其它部份，對一般使用者來說真的不重要，很多時候，他們只在意外觀跟維修是否方便。（要女生抱著主機四處求救，也不太方便吧！）
在個人家用或公司用的選擇中，也會面臨這樣子的問題，最近幾次採購的經驗，總希望自己能夠做出明確的判斷，以達到較高的效益（價格合理、省電及評估適用設備），雖然花得不是我的錢，但是IT部門（人）在公司內經常是處於弱勢，如果無法突顯自己的功用，自己的格局也就只能停在原地。
當然，自己的專業還是得找到適當的佐證及數據，才能夠讓相關人士信服（通常就是老闆跟採購窗口），此時業界較具公信力的測試網站（例：Tom's Hardware）就成了不錯的資料來源。
很多時候，只告訴老闆你選用的設備能夠省下多少建構費用是不夠的，反而是設備或技術能夠讓公司流程花費的時間減少？營運成本減少？或許還比較實際。
畢竟，公司在硬體大幅度建構的機會不多，只有在建廠或是大規模翻新時有可能變動之外，其餘的時間都是維護，所以...只用硬體成本來說服關鍵人士，還不如從其它地方下手。
如果真的要討論家用及公司用的設備差異，我個人的看法比較直覺：
公司用：
我只在意穩定跟成本，至於效能...，除非是核心部份（對外網站主機、ERP連線主機...），不然很多都能用時間或人力來取代，況且，每個人的電腦需求並非是齊頭式的相等，很多時候還是得透過人腦來處理。
以現在極高價位的主機（內含四核心、具備RAID功能的主機板、支援高畫質的顯卡...），光是一顆CPU的價格，就比其它硬體的總價或整台主機的價位還高，以我在線上估價查到的價格，Intel的Q6600約8,500元，而市面上能找的到最貴的QX6950甚至要價33,000~35,000元不等（你沒看錯！是台幣唷！不是日幣...）
這類硬體在企業採購來說，應該絕少有人會以此為標準，如果真有需要用這麼高檔的硬體，或許直接從廠商採購專業級的硬體，或許還比較有保障一點（至少東西有問題，還可以叫廠商來跪...），更何況市場上的頂極硬體，廠商當作技術宣告的意味較濃。
個人用：
使用者的觀感就決定一切，如果錢太多要組一台硬體價位達十幾萬的電腦，也沒有人能夠干涉，筆者一時興起，去原x屋線上估價，把最貴的硬體湊在一起（不含軟體、螢幕），合計約14萬，規格如下：
當然，這只是極端的例子，現在個人電腦的主流，預算只要在25,000~30,000之間（甚至更低），就可弄到一台，足以應付大部份使用者的電腦，就像我前面所說，使用者的觀感決定一切，如果是魔人級的玩家，那就另當別論（這種人通常也是硬體的佼佼者）。
我在前面還有提到NB的選購，在詢問預算及相關條件之前，我通常都會把醜話說在前頭：「千萬別期望NB能和桌上型電腦比效能」，就算能夠與桌上型電腦媲美，你所付出的金錢極有可能超過你原有的預算。（以相同的作業系統相比）
以現在NB的價位，從萬把塊到十幾萬的都有，若以主流來說，大約落在30,000~45,000元左右（不含品牌價格！例：S牌的就再高一些...）可是就算是30,000的NB，實際使用的感覺，對桌上型電腦來說，大約也只是2萬左右就能夠達到的效能。
如果使用者先前沒有接觸過NB的話，最好先讓對方有這樣子的心理準備，以免自己做了吃力不討好的建議，至於規格部份，除了Santa Rose的新架構之外，其它部份的變化不大，頂多是顯示晶片或記憶體的升級，可參考我先前的文章。
除了電腦主機之外，周邊產品一樣有不同的觀點，例：鍵盤、滑鼠。應該沒有公司會主動提供無線滑鼠或鍵盤的吧！而在個人使用上，愈來愈多人使用無線產品（羅技應該賺了不少），畢竟主機後的一堆線很容易藏污納垢（還是眼不見為淨...）
在桌上型電腦使用無線鍵盤、滑鼠的人愈來愈多，對於NB的使用者，我想攜帶的便利性很重要，如果非得帶滑鼠出門，有線跟無線就差很多（畢竟感控板對一般人來說，還是不容易上手），所以NB的使用者，很多人會另外添購筆電專用的無線滑鼠。
其實，家用還是公司用沒有一定的標準，我聽過某些公司是每人一台NB，管理上或許不易控管，但是行動力卻大大提升，至於管理的部份就以白紙黑字來規範吧！
2008年1月15日 星期二
使用網銀如何自保（Self Protection on Internet Banking）
最近跟朋友聊到了網路銀行的使用，他原本是打死不用網路銀行（安全性顧慮），現在受時間與空間的壓縮下，不得不使用這個方便的金融平台。
不過，他對安全性還是有所疑慮，所以在MSN上問了我一些細節，其中包括了在網銀交易上怎麼樣可以保護自己，我記得先前寫過線上交易與安全一文中有大略提過，竟然朋友問了，我也來整理一下。
以下是我個人使用的經驗，以及對金融業的認識所整理出來的，無法代表所有的狀況，這一點我還是要先說明一下，話說回來，我也沒這麼大能耐，每家銀行都去開網路銀行呀！（雖然在打工時期，開了不下十個銀行帳戶...）
在使用網路銀行之前，我想有些東西還是得先交待一下，那就是網路銀行的資料傳送方式，基本上所有的網路銀行都建立在https的通訊協定之下（不代表使用https的就一定是正確的金融網站唷！）。
其實https就是瀏覽網網頁時用的http＋ssl而已（有興趣的人再去參考WikiPedia吧！）
所以，在你連線到網路銀行的同時，在使用者電腦與主機間傳送的資料全都經過加密，但是，使用者的電腦不一定安全，甚至連主機部份的安全也有可能偽造。
1.電腦本身不安全：
因為加密的只有資料內容，但是輸入的介面還是可以透過木馬程式（例：KEYLOG...等）側錄，所以網路銀行也增加了相關機制，避免使用者被側錄。例：北富銀（動態鍵盤）、渣打銀行（動態密碼）等，都可以避開鍵盤側錄程式。
一般網路銀行的使用，都是使用身份證字號、使用者代碼和使用者密碼，甚至有些網路銀行還有兩道密碼（例：最近很熱門的HSBC Direct），這些都是常見的登入方式，使用者就得更小心自身的安全性，除了防毒軟體之外，防火牆的設置也是相當重要的課題。
2.主機部份的安全：
其實現在的網路犯罪，就是把自己偽裝成合法主機（例：網路釣魚），懹使用者誤以為自己是連到一個正常的官方網站，甚至也能去申請ssl憑證，這也是為何前面會說，就算是https的網站也不一定安全，畢竟類似的網站（例：英文的小寫L和數字1），要去申請ssl憑證並不困難。
所以https並非是萬靈丹，千萬別以為是採用經過加密的通訊協定就相信它，因為網路銀行的平台設計，就是種基於登入者為本人所進行的金融交易，所以遭受詐騙、側錄、或其它方式經過網路銀行所造成的損失，銀行僅站在協助處理的角色，並不負擔任何責任。（調閱相關證明，還得使用者付費...除非問題出在銀行的主機端）
當然，也有比較複雜的自保方式（需配合防火牆），這部份還得針對網路銀行的相關資訊來設置，例：
1.經防火牆設定網路銀行的IP或網段，允許傳送及接收資料。
（例：www.chinatrust.com.tw的ip＝203.66.181.190）
2.本機僅開放網路銀行的port（https 443），其它全部封鎖。
3.注意網站訊息（因金控整併，網站可能會消失或留存）。
不僅使用網路銀行要注意，只要進行敏感資料傳遞時，都要留意
1.不允許瀏覽器記錄使用者資訊（帳號、密碼、使用者代號...）。
2.使用信任的網路（例：不共用網路，若問題在ISP端，只能認了）。
其實在網路銀行或是任何一種線上金融的機制下，都有一定的風險存在，就算是看起來較安全的https，也有可能透過某些攻擊方式而被破解（類似釣魚網站的手法，可參考MITM attack）
最重要的是使用者要掌控好網路銀行的操作環境，至於使用者帳號、代號及密碼，自己必須盡到妥善保管的責任（盡可能放腦子裡，不要留下文字記錄）。
筆者曾有耳聞，有人把網銀的帳戶及密碼資料置於同一地點，被竊後造成帳戶被提領一空的慘劇（六位數字的損失），一般人都知道存摺和印章不能放在一起，更何況是不需身份證明的網路銀行資料。
最後，補上金管會提供的網銀安全資訊：
金管會製作的網銀使用的小秘訣：（心得摘要如下）
除此之外，許多Toolbar（Google、Yahoo...等）都會造成無法正常使用網路銀行，所以金管會還有針對快顯封鎖程式的說明（Html、doc檔）供大家參考。
不過，他對安全性還是有所疑慮，所以在MSN上問了我一些細節，其中包括了在網銀交易上怎麼樣可以保護自己，我記得先前寫過線上交易與安全一文中有大略提過，竟然朋友問了，我也來整理一下。
以下是我個人使用的經驗，以及對金融業的認識所整理出來的，無法代表所有的狀況，這一點我還是要先說明一下，話說回來，我也沒這麼大能耐，每家銀行都去開網路銀行呀！（雖然在打工時期，開了不下十個銀行帳戶...）
在使用網路銀行之前，我想有些東西還是得先交待一下，那就是網路銀行的資料傳送方式，基本上所有的網路銀行都建立在https的通訊協定之下（不代表使用https的就一定是正確的金融網站唷！）。
其實https就是瀏覽網網頁時用的http＋ssl而已（有興趣的人再去參考WikiPedia吧！）
所以，在你連線到網路銀行的同時，在使用者電腦與主機間傳送的資料全都經過加密，但是，使用者的電腦不一定安全，甚至連主機部份的安全也有可能偽造。
1.電腦本身不安全：
因為加密的只有資料內容，但是輸入的介面還是可以透過木馬程式（例：KEYLOG...等）側錄，所以網路銀行也增加了相關機制，避免使用者被側錄。例：北富銀（動態鍵盤）、渣打銀行（動態密碼）等，都可以避開鍵盤側錄程式。
一般網路銀行的使用，都是使用身份證字號、使用者代碼和使用者密碼，甚至有些網路銀行還有兩道密碼（例：最近很熱門的HSBC Direct），這些都是常見的登入方式，使用者就得更小心自身的安全性，除了防毒軟體之外，防火牆的設置也是相當重要的課題。
2.主機部份的安全：
其實現在的網路犯罪，就是把自己偽裝成合法主機（例：網路釣魚），懹使用者誤以為自己是連到一個正常的官方網站，甚至也能去申請ssl憑證，這也是為何前面會說，就算是https的網站也不一定安全，畢竟類似的網站（例：英文的小寫L和數字1），要去申請ssl憑證並不困難。
所以https並非是萬靈丹，千萬別以為是採用經過加密的通訊協定就相信它，因為網路銀行的平台設計，就是種基於登入者為本人所進行的金融交易，所以遭受詐騙、側錄、或其它方式經過網路銀行所造成的損失，銀行僅站在協助處理的角色，並不負擔任何責任。（調閱相關證明，還得使用者付費...除非問題出在銀行的主機端）
當然，也有比較複雜的自保方式（需配合防火牆），這部份還得針對網路銀行的相關資訊來設置，例：
1.經防火牆設定網路銀行的IP或網段，允許傳送及接收資料。
（例：www.chinatrust.com.tw的ip＝203.66.181.190）
2.本機僅開放網路銀行的port（https 443），其它全部封鎖。
3.注意網站訊息（因金控整併，網站可能會消失或留存）。
不僅使用網路銀行要注意，只要進行敏感資料傳遞時，都要留意
1.不允許瀏覽器記錄使用者資訊（帳號、密碼、使用者代號...）。
2.使用信任的網路（例：不共用網路，若問題在ISP端，只能認了）。
其實在網路銀行或是任何一種線上金融的機制下，都有一定的風險存在，就算是看起來較安全的https，也有可能透過某些攻擊方式而被破解（類似釣魚網站的手法，可參考MITM attack）
最重要的是使用者要掌控好網路銀行的操作環境，至於使用者帳號、代號及密碼，自己必須盡到妥善保管的責任（盡可能放腦子裡，不要留下文字記錄）。
筆者曾有耳聞，有人把網銀的帳戶及密碼資料置於同一地點，被竊後造成帳戶被提領一空的慘劇（六位數字的損失），一般人都知道存摺和印章不能放在一起，更何況是不需身份證明的網路銀行資料。
最後，補上金管會提供的網銀安全資訊：
金管會製作的網銀使用的小秘訣：（心得摘要如下）
一、確認網路銀行網址（電話查證）PS：此為心得摘要，如需原文，可連至PDF檔觀看。
二、網路密碼的設定（避免懶人密碼）
三、網路密碼的保管（勿使用電腦自動記錄）
四、使用晶片金融卡及網路ATM加強網路交易安全
五、使用行動通訊及無線網路的風險（與網路安全雷同）
六、使用電腦應注意事項（可參考我先前的文章）
除此之外，許多Toolbar（Google、Yahoo...等）都會造成無法正常使用網路銀行，所以金管會還有針對快顯封鎖程式的說明（Html、doc檔）供大家參考。
訂閱：
文章 (Atom)