天氣預報
2003-11-29, 05:43 PM
間諜軟體危機浮現（CNET）
John Borland•郭和杰譯 21/11/2003
六月底，一封鑽進英國信用卡及金融公司員工信箱的電子郵件，偷走了機密的人事資料。
這種所謂的「間諜軟體」（spyware），可以透過網路複製並傳送公司企業的機密資料，其危機已經逐漸浮出台面。
這封電子郵件的主旨為「Wedding Invitation」（喜帖），乍看之下讓人認為就是一封垃圾郵件，或者只是普通的病毒。但是資訊安全公司Clearswift如今認為，這封電子郵件是有目標的攻擊，想要從鎖定的受害公司那裡竊得特殊的資訊──這也正是公司企業最怕的資訊安全噩夢。
Clearswift表示，這場意外顯示出電腦災害裡的一場新的恐怖潮流，間諜軟體在這股潮流流將扮演主角。相較之下較為「厚道」的攻擊方式已經逐漸淡出，也就是破壞電腦網路贏得大家的注意，取而代之的是較為「智慧」的方式，偷取一些可以用來取得現金的密碼或是機密資料。
「以前那種玩票性質的駭客或只是想測試功力的高手時代已經過去了」，Clearwift的ThreatLab（資訊威脅實驗室）部門經理Pete Simpson表示，「現在都是犯罪集團在幕後指導，而且有很清楚的詐財動機。」
多年以來大家對「間諜軟體」的恐懼和疑慮，現在已經開始在全世界引起資訊安全和政治界的注意。這個字彙本身就是相當曖昧的，經常混雜了兩種不同的意思，其中之一是Clearswift所指出的這種所謂的「資料竊取」程式，另一個意思則是指一種很煩人的廣告程式，這種程式通常會暗藏在Kazaa或是Grokster等免費的軟體裡。
但不管指的是那一種軟體，間諜軟體已經越來越需要受到監督了。美國國會的一個委員會預計在週三對該議題舉辦公聽會，同時研究加州共和黨議員Mary Bono所提的「反間諜軟體」（antispyware）法案，該法案將以法律禁止這些打擾消費者的行為。
同時，民間企業的公會也正以另一種方式在阻擋spyware的企圖，籌資成立了「反間諜軟體科技廠商公會」（Consortium Of Anti-Spyware Technology Vendors），該公會由Ad-ware及Pest Patrol（反間諜軟體的程式）等軟體的製作公司所主導，並希望建立一個標準定義，釐清「spyware」、「adware」（廣告軟體），或是其他病蟲（pest）的區別，同時對於一些不希望公司軟體受到阻斷的廠商，提出最佳的建議。
Pest Patrol的業務開發副總裁Pete Cafarchio表示：「我們正努力制定標準，定義出什麼是可以接受的，什麼是不可接受的。」「廠商迫不及待地想看我們的成果，他們希望知道什麼是道德的。」
小病蟲 大問題
資訊安全公司表示，過去幾個月以來已經看到幾股新趨勢的興起，從煩人的到危險的都有。
就煩人的一面來看，越來越多公司在製作所謂的「瀏覽器輔助物件」（browser helper objects）──這種小程式可以外掛到IE瀏覽器，然後可以開始做許多事，從提供廣告到監視網路瀏覽。安全顧問表示，雖然這種軟體往往用「網路下載加速器」或是「搜尋工具」的名義在做行銷，但是往往有許多消費者無法直接了解的功能，而且當你發現時也很難解除安裝。
有越來越多的adware軟體夾帶在一些免費軟體裡，例如數位影像播放程式或是檔案交換軟體等。有些adware只會在軟體中顯示一些廣告，但有些卻會監視使用者的習慣，然後將資料匯整報告它的母公司。
比較危險的軟體類型則是諸如Clearswift在「喜帖」垃圾郵件裡所發現的軟體。這款已經商品化的程式是名為iSpyNow的所謂「遠端監視」軟體，它可以讓間諜軟體偽裝滲透到電腦裡，然後回傳使用者所輸入的所有資料。
這種遠端監視軟體雖然專屬於一些駭客或是一些不肖的電腦程式設計師，但是過去幾個月以來，已有一些廠商以「追蹤小孩子或另一半的電腦使用」功能在做行銷。然而公司企業越來越擔心，這種類型的「鍵盤側錄程式」（key loggers）可能會讓駭客或垃圾蟲（spammers）安裝在員工電腦裡，然後盜取公司機密。
安全專家特別點名遠端工作的員工，不管是從家中的電腦還是筆記型電腦，都是間諜軟體上身的高危險群。因為這些電腦都會在公司防火牆之外上網，並使用虛擬私人網路（VPN）登錄到公司網路，最可能帶進內神通外鬼的間諜軟體。
Cafarchio表示：「在控管的網路環境裡，有防火牆可以把壞人阻擋在外，但這些電腦不在控管裡，如果通訊訊號是由公司內部所發起的，大部份的防火牆都會放行的。」
什麼是間諜？
不管是像駭客的軟體，或者是簡單的網路外掛軟體，各種不同的間諜軟體都讓人防不勝防。
Bono的法案也是針對這個問題所提出的最大立法行動。這位女眾議員的辦公室人員表示，她正在修改原始的草案，因為有人擔心該法案會妨礙到一般的網功能，例如cookies或是微軟軟體的自動更新。
華盛頓的隱私權擁護團體「民主與科技中心」Center for Democracy and Technology)週二所發表的一份報告則反對只因為這種軟體的曖昧特性，而針對任何間諜軟體而來的一些立法。公司企業所恐懼的許多不肖軟體監視程式都已經是違反電腦隱私法，反駭客法，或是FTC法（聯邦貿易委員會）。
反而，消費者應該受到範圍更廣的隱私法保障，例如強制所有的軟體若要搜集資訊都要明確告知使用者，並讓電腦使用者能夠關閉或是輕易地解除安裝。
這份報告還指出，更重要的是，消費者在安裝軟體之前，要先詳細閱讀服務條款，同時，若擔心電腦可能被安裝了間諜軟體時，可以用Lavasoft的Ad-Aware等一類的軟體檢查。
CDT副總監Alan Davidson表示，「我們想點出的差別在於是否有告知，或者有合理的選擇。」「問題在於使用者是否知道他們的電腦如何遭利用，以及他們如果不喜歡時，是否有合理的選擇可以解除安裝軟體。在大部份間諜軟體所產生的問題裡，答案都是否定的。」
http://taiwan.cnet.com/enterprise/technology/0,2000062852,20085734,00.htm
贊助商連結
John Borland•郭和杰譯 21/11/2003
六月底，一封鑽進英國信用卡及金融公司員工信箱的電子郵件，偷走了機密的人事資料。
這種所謂的「間諜軟體」（spyware），可以透過網路複製並傳送公司企業的機密資料，其危機已經逐漸浮出台面。
這封電子郵件的主旨為「Wedding Invitation」（喜帖），乍看之下讓人認為就是一封垃圾郵件，或者只是普通的病毒。但是資訊安全公司Clearswift如今認為，這封電子郵件是有目標的攻擊，想要從鎖定的受害公司那裡竊得特殊的資訊──這也正是公司企業最怕的資訊安全噩夢。
Clearswift表示，這場意外顯示出電腦災害裡的一場新的恐怖潮流，間諜軟體在這股潮流流將扮演主角。相較之下較為「厚道」的攻擊方式已經逐漸淡出，也就是破壞電腦網路贏得大家的注意，取而代之的是較為「智慧」的方式，偷取一些可以用來取得現金的密碼或是機密資料。
「以前那種玩票性質的駭客或只是想測試功力的高手時代已經過去了」，Clearwift的ThreatLab（資訊威脅實驗室）部門經理Pete Simpson表示，「現在都是犯罪集團在幕後指導，而且有很清楚的詐財動機。」
多年以來大家對「間諜軟體」的恐懼和疑慮，現在已經開始在全世界引起資訊安全和政治界的注意。這個字彙本身就是相當曖昧的，經常混雜了兩種不同的意思，其中之一是Clearswift所指出的這種所謂的「資料竊取」程式，另一個意思則是指一種很煩人的廣告程式，這種程式通常會暗藏在Kazaa或是Grokster等免費的軟體裡。
但不管指的是那一種軟體，間諜軟體已經越來越需要受到監督了。美國國會的一個委員會預計在週三對該議題舉辦公聽會，同時研究加州共和黨議員Mary Bono所提的「反間諜軟體」（antispyware）法案，該法案將以法律禁止這些打擾消費者的行為。
同時，民間企業的公會也正以另一種方式在阻擋spyware的企圖，籌資成立了「反間諜軟體科技廠商公會」（Consortium Of Anti-Spyware Technology Vendors），該公會由Ad-ware及Pest Patrol（反間諜軟體的程式）等軟體的製作公司所主導，並希望建立一個標準定義，釐清「spyware」、「adware」（廣告軟體），或是其他病蟲（pest）的區別，同時對於一些不希望公司軟體受到阻斷的廠商，提出最佳的建議。
Pest Patrol的業務開發副總裁Pete Cafarchio表示：「我們正努力制定標準，定義出什麼是可以接受的，什麼是不可接受的。」「廠商迫不及待地想看我們的成果，他們希望知道什麼是道德的。」
小病蟲 大問題
資訊安全公司表示，過去幾個月以來已經看到幾股新趨勢的興起，從煩人的到危險的都有。
就煩人的一面來看，越來越多公司在製作所謂的「瀏覽器輔助物件」（browser helper objects）──這種小程式可以外掛到IE瀏覽器，然後可以開始做許多事，從提供廣告到監視網路瀏覽。安全顧問表示，雖然這種軟體往往用「網路下載加速器」或是「搜尋工具」的名義在做行銷，但是往往有許多消費者無法直接了解的功能，而且當你發現時也很難解除安裝。
有越來越多的adware軟體夾帶在一些免費軟體裡，例如數位影像播放程式或是檔案交換軟體等。有些adware只會在軟體中顯示一些廣告，但有些卻會監視使用者的習慣，然後將資料匯整報告它的母公司。
比較危險的軟體類型則是諸如Clearswift在「喜帖」垃圾郵件裡所發現的軟體。這款已經商品化的程式是名為iSpyNow的所謂「遠端監視」軟體，它可以讓間諜軟體偽裝滲透到電腦裡，然後回傳使用者所輸入的所有資料。
這種遠端監視軟體雖然專屬於一些駭客或是一些不肖的電腦程式設計師，但是過去幾個月以來，已有一些廠商以「追蹤小孩子或另一半的電腦使用」功能在做行銷。然而公司企業越來越擔心，這種類型的「鍵盤側錄程式」（key loggers）可能會讓駭客或垃圾蟲（spammers）安裝在員工電腦裡，然後盜取公司機密。
安全專家特別點名遠端工作的員工，不管是從家中的電腦還是筆記型電腦，都是間諜軟體上身的高危險群。因為這些電腦都會在公司防火牆之外上網，並使用虛擬私人網路（VPN）登錄到公司網路，最可能帶進內神通外鬼的間諜軟體。
Cafarchio表示：「在控管的網路環境裡，有防火牆可以把壞人阻擋在外，但這些電腦不在控管裡，如果通訊訊號是由公司內部所發起的，大部份的防火牆都會放行的。」
什麼是間諜？
不管是像駭客的軟體，或者是簡單的網路外掛軟體，各種不同的間諜軟體都讓人防不勝防。
Bono的法案也是針對這個問題所提出的最大立法行動。這位女眾議員的辦公室人員表示，她正在修改原始的草案，因為有人擔心該法案會妨礙到一般的網功能，例如cookies或是微軟軟體的自動更新。
華盛頓的隱私權擁護團體「民主與科技中心」Center for Democracy and Technology)週二所發表的一份報告則反對只因為這種軟體的曖昧特性，而針對任何間諜軟體而來的一些立法。公司企業所恐懼的許多不肖軟體監視程式都已經是違反電腦隱私法，反駭客法，或是FTC法（聯邦貿易委員會）。
反而，消費者應該受到範圍更廣的隱私法保障，例如強制所有的軟體若要搜集資訊都要明確告知使用者，並讓電腦使用者能夠關閉或是輕易地解除安裝。
這份報告還指出，更重要的是，消費者在安裝軟體之前，要先詳細閱讀服務條款，同時，若擔心電腦可能被安裝了間諜軟體時，可以用Lavasoft的Ad-Aware等一類的軟體檢查。
CDT副總監Alan Davidson表示，「我們想點出的差別在於是否有告知，或者有合理的選擇。」「問題在於使用者是否知道他們的電腦如何遭利用，以及他們如果不喜歡時，是否有合理的選擇可以解除安裝軟體。在大部份間諜軟體所產生的問題裡，答案都是否定的。」
http://taiwan.cnet.com/enterprise/technology/0,2000062852,20085734,00.htm
贊助商連結