惡意產品資安事件記事本

2013 年 Edward Snowden 爆料美國國安局的全面電子監控， 我也在部落格上接連著摘要了幾年的相關新聞。 後來沒力寫部落格了， 於是大部分的資安相關新聞都以噗浪簡短摘要， 留下了了很多事件的報導連結。 現在我想把這些超連結整理成表格， 方便大家及我自己查詢。 所以我建了一頁 惡意產品資安事件記事本， 邀請大家一起來幫忙填寫。 為了避免惡意塗鴉， 並沒有採用唐鳳所撰寫的 (無政府主義試算表) ethercalc 而是採用需要登入的 google sheet。 想參與協助的朋友， 請 e-mail 給我 (ckhung 在 朝陽科大 點 教育 點 臺灣)， 讓我把你加入編輯群。

資訊安全問題可能來自潰客的積極攻擊； 但也可能來自產品本身。 來自產品本身的資安問題， 有可能是 (廠商/用戶) 寫程式或設密碼等等疏失所造成的漏洞， 也可能是產品製造者本身惡意植入的後門。 你很難預測下一個潰客攻擊來自哪裡， 也很難預測會犯下下一個疏失的是誰， 更不可能因為有風險而完全拒用資訊產品。 但是過去有多次不良紀錄的惡意產品製造者， 它們的下一代產品繼續植入後門的機率極高， 而且 (與潰客攻擊不同) 你有能力選擇拒用惡意產品。 所我特別關心累犯的惡意產品製造者， 也致力於提醒大眾避免使用它們的產品。

很多人天真地認為大公司的產品就不會有後門。 事實上大公司在自身產品當中惡意藏後門的案例很多 -- 特別是蘋果電腦。 但是主流媒體以及教育體系不敢得罪大公司 -- 特別是蘋果電腦 -- 所以大家會有錯誤的印象。 如果你有一定程度的電腦知識， 如果你的英文閱讀無礙， 我可以提供許多連結、 許多搜尋關鍵詞 (例如 『62078』) 來說服你： 這些案例很明顯地並不是粗心的疏失； 除了惡意後門之外， 找不到其他合理的解釋。 我的職志， 就是讓這些主流媒體和教育體系不敢談的大公司惡意後門廣為人知。

在民主國家， 每一家公司必須為其自身的政策負責； 但在專制國家， 任何公司都必須聽命於獨裁者。 如果你是獨裁者， 如果你知道人手一機的那些資訊產品有多大的潛力可以幫助你維持甚至強化獨裁， 你會不會下令安置後門監控你的 (還有他國的) 民眾？ 答案至為明顯。 川普以法令禁抖音， 我跟 EFF 一樣， 認為 這是有問題的政策， 甚至可能導致美國版防火長城。 但是他大聲警告大家抖音的危險， 這是正確的。 單就 「警告抖音的危險」 一事而言， 川普是全球自由世界各國領袖的典範。 可惜他太晚談、 警告的範圍太小。 從 「陽光是最好的消毒劑」 的角度來看， 任何不提供原始碼的軟體， 都是不安全的； 特別是來自中國的無原始碼熱門軟體， 你更應該預設它含有後門。 因為民主國家的軟體公司受到法律的約束， 必須考慮傷害用戶行為被揭發的後果 (除非你很會作公關， 例如蘋果)； 而獨裁國家的夠大的軟體公司則必須接受獨裁者的指揮， 沒有第二個選擇。 再換個角度想， 如果中國沒有全面監控所有軟體， 如果有任何管道允許民眾之間傳送私密訊息， 中國的言論管制不就破功了嗎？ 言論管制的國家， 當然需要全面監控民眾的所有私密對話。 這些都是很簡單的邏輯推論。 這也是為什麼 貴哥的節慾手機資安與隱私策略 建議不要安裝任何來自中國的 apps。 想想中共為了鎮壓香港與圖博、 為了消滅維族， 願意付出多少經濟/社會/國際經貿與形象成本； 想較之下， 監控手機比武警施暴或抓人進集中營要簡單省力太多、 大眾的接受度要高太多了， 習匪近平和他的中共黑幫怎麼可能會放著這個低成本高效率的武器不用？

基於以上， 所以在表格裡， 中共轄下的所有案例的 「惡意黑手」 欄位都填中共； 而自由國家案例的 「惡意黑手」 欄位則填寫各家公司自身。

填寫時， 建議大家可以參考 「資訊人權貴」 所有噗的歷史記錄。 最重要的 「原始報導」 欄位最好是 (可以是任何語言的) 第一手資料或是維基百科頁面 (通常會有超連結連至原始報導)。 後面的 「更多連結」 欄位最好是中文且富含超連結的文章或噗文 (例如我的文章， ^_^) 凡是填入表中的超連結， 最好可以到 網路時光機 確認已有備份， 或馬上幫它手動備份。 「年月」 填寫 「原始報導」 的年份與月份， 採字串格式。 「分類關鍵詞」 的用意是方便將來一次撈出所有同類型的連結， 所以最好要有一般性、 有機會重複出現。 「搜尋關鍵詞」 則相反， 目的是要方便讀者自行獨力尋找非我們提供的其他連結。

編輯的技巧：

1. 找到報導連結、 複製連結網址。
2. 回到 google sheet 分頁、 在適當的格子按 ^k 插入連結。
3. 按 ^v 填入連結、 按 Enter 儲存。
4. 切回報導分頁、 複製連結標題。
5. 切回 google sheet 分頁、 點 「edit link」 (鉛筆圖示)、 在 「text」 欄位按 ^v 填入連結標題。
6. 按 ^\ 清除格式。

若有問題或意見， 可在這裡留言， 或是在 這一噗 留言， 我可能會更快回應。 謝謝大家的支持！