SSL加密連線不見得安全，不要在公眾網路使用網銀交易|數位時代 BusinessNext

日前行政院長江宜樺發函要公務人員不要使用LINE、WhatsApp等通訊軟體，要公務人員使用工研院研發的手機通訊軟體 Juiker（揪科），但Juiker卻爆出SSL憑證認證的問題，讓惡意攻擊者可利用中間人攻擊，竊取使用者的機敏資料。雖然工研院緊急修改App，已於1日重新上架，但這也揭示手機App在開發上的SSL憑證風險，對一般者來說，手機最機密的資料往往是手機上的帳密及網路金融交易資訊。

HITCON台灣駭客年會在6日舉辦論壇，提醒開發者特別注意手機App開發時，常被忽略的SSL處理，以及Android系統的WebView三大漏洞（註）。岑志豪提醒，Android系統的4.0.X及4.1.X版本是重災區，橫跨三個WebView漏洞，開發者不要小看每個漏洞，三個漏洞加總起來，危害不容小覷。

岑志豪指出，「不是用SSL加密連線就安全，要檢查憑證是否安全。」網路連線普遍發生的現象是，對資料層傳輸的保護不足。最常遇到中間人攻擊（Man-In-The-Middle Attack），當連線被中間人攻擊時，會攔截中間的資訊，使用者的連線被導往攻擊者的伺服器，使用者資料就會被竊取。

enter image description here
（圖說：戴夫寇爾資安研究員岑志豪指出，SSL憑證不安全的話，容易遭受中間人攻擊。郭芝榕攝影。）

不要在公眾網路使用銀行線上交易

資安專家戴夫寇爾資安研究員岑志豪建議，一般使用者盡量不要在公眾使用的網路如咖啡廳進行刷卡及網路金融交易，避免惡意攻擊者利用同一個網段進行惡意攻擊，取得機敏資訊，3G、4G網路或家中網路則相對安全。因為網路銀行也可能被中間人攻擊，台灣許多線上銀行都存在SSL風險，由於程式通常是委外開發，要看外包廠商是否注意到SSL的問題。

另外，岑志豪提醒使用者不要點進來歷不明的連結，更要注意是否點進連結後下載程式。他進一步指出，如果發現上網的速度變得很慢，或者突然在某個情況下耗電率很快，這兩個特徵可以協助使用者判斷是否手機可能被惡意攻擊。

如果真的發現手機被攻擊下載惡意程式，可以試著移除程式，如果無法移除的話，就把手機系統重置，恢復到原廠設定，大部分的情況應該可以解除危害。

SSL處理憑證風險，防範方法：避免在公眾網路傳輸機敏資訊

SSL問題普遍存在，資策會「2014年上半年臺灣風雲APP百強」中，Android的App有86個，其中存在SSL風險的App就有49個。岑志豪說，一般來說，系統預設會對伺服器做憑證的檢查，只要憑證有效，伺服器的設定也正確的話，就可以正常使用加密連線，如果憑證無效的話，開發者若沒有處理，連線就會被中斷。

使用預設設定而無法通過憑證的原因有以下三個：
1、憑證是對的，但伺服器設定有誤。
2、根憑證未預裝到裝置上，手機上有先預安裝憑證，但手機機型舊，導致憑證認為你的手機有問題。
3、其他：像是開發者常常會自行簽發憑證、憑證過期及網域名稱不符。

給開發者的建議：
- 務必採用加密連線傳輸機敏資料
- 嚴格做好對伺服器憑證的檢查(系統預設、憑證綁定)
- 只容許在開發階段忽略憑證檢查
- 注意使用的第三方函式庫是否有問題

給使用者的建議：
- 避免使用公眾場所所提供的無線網路
- 避免使用加密強度較弱的無線網路，如WEP、WPA等。

enter image description here
（圖說：Android系統上SSL問題的建議。圖片來源：郭芝榕攝影。）

三大WebView漏洞，防範方法：使用Android系統4.2.X或chrome、firefox、opera瀏覽器

開發者想讓程式與網頁結合時，通常會使用WebView，是可執行JavaScript，用於連結網路及顯示網頁的元件。不過，岑志豪也指出WebView目前的三大漏洞CVE-2012-6636、CVE-2014-1939、CVE-2014-6041，會讓攻擊者可以竊取資料，Android系統的4.0.X及4.1.X同時受到三個漏洞影響，算是「重災區」。

enter image description here
（圖說：手機App使用WebView常見的三大CVE漏洞，漏洞見紅色區域。圖片來源：郭芝榕攝影。）

岑志豪說，結合SSL的中間人攻擊及WebView的漏洞，攻擊者可取得手機應用程式的權限，進而控制使用者的手機。他並建議，千萬不要忽視每個漏洞的影響力，尤其是不同漏洞的組合，危害將遠大於每個漏洞各自的影響。開發者要在產品發佈前進行安全測試，定義App最低支援版本，避免因相容舊版而引發資訊安全的問題。

enter image description here
（圖說：資安專家提醒開發者不要忽略漏洞被結合攻擊的影響力。郭芝榕攝影。）

給開發者的建議：
CVE-2012-6636
- 避免WebView載入惡意內容，使用HTTPS，只讀取本地HTML
- 在4.2.X或以上版本使用時要為函數標註@Javascriptinterface
- 避免在4.1.X或以下版本的系統上使用addJavascriptInterface函數

CVE-2014-1939
- 避免WebView載入惡意內容，使用HTTPS，只讀取本地HTML
- 對版本3.0.X ~ 4.1.X的系統使用removeJavascriptInterface，把"searchBoxJavaBridge-"這個介面移除

CVE-2014-6041
- 避免WebView載入惡意內容，使用HTTPS，只讀取本地HTML
- 機敏cookie務必設定為HttpOnly（伺服器端）

給使用者的建議：
- 系統更新至4.2.X或以上版本
- 避免開啟不明來歷網址
- 採用非內建WebView(WebKit)作為核心的瀏覽器，像Chrome、Firefox、Opera

註：CVE（Common Vulnerabilities and Exposures）漏洞是一個國際知名的漏洞資料庫，由企業界、政府界和學術界共同參與的非盈利組織，可以快速發現軟體中的脆弱之處。

台灣向來以品質絕佳、強大的產品力著稱，近年來，隨著新銳品牌陸續崛起，從創新健身器材、手搖茶飲到永續設計產品，在在展現台灣開放創新的精神，從提供富含永續、綠能及藝術的地球儀的MOVA Globes、居家健身品牌Wonder Core，及以台灣珍奶席捲全球即食界的O’s Bubble，都在市場上占有獨特地位。台灣已不再甘於做「代工者」，而是具備「品牌」思維。有愈來愈多企業以卓越產品力打造品牌，透過亞馬遜全球開店前進國際市場，並在各自領域中，締造令人矚目的成績，成為不折不扣的「台灣之光」。

MOVA Globes光能自轉地球儀，跨越文化吸引馬斯克、GD主動分享

你知道科技巨頭馬斯克（Elon Musk）、韓國巨星權志龍（G-DRAGON）都擁有並在社群分享出鏡的產品是什麼嗎？答案是來自台灣的「MOVA Globes」。

結合太陽能技術與地球磁場，不須電池、不須充電，只要一縷光線就能永恆自轉的地球儀，在2023年第四季登上亞馬遜的短短一年間，便創下於亞馬遜全球18大站點年銷量破萬、營收破億元的亮眼成績，尤其在歐洲市場，更一舉成為2024全台新手賣家營收第一名。

MOVA Globes電商運營總監陳泓瑋透露，亞馬遜是全球領先的電商網站，擁有數億活躍用戶，能讓品牌快速擴展國際業務。當初MOVA Globes投入亞馬遜後，便透過亞馬遜全球開店官方經理的輔導與新銳品牌加速器，從最基礎的產品上架、文案撰寫，到進階的供應鏈管理、物流倉儲、各國的稅務與金流，皆獲得全方位協助，「這對完全沒有電商經驗的品牌來說，不只是學習的跳板，更是拓展國際市場的關鍵。」陳泓瑋強調，創新的產品來自創新人才，MOVA Globes耕耘跨境電商時，也自建電商營運團隊，藉此累積品牌發展需要的知識、經驗，更能降低營運成本、提升利潤。

如今，MOVA Globes憑藉著強大的產品力，吸引美國太空總署（NASA）、美國職棒大聯盟（MLB）、西班牙足球豪門皇家馬德里(Real Madrid) 、拉斯維加斯Sphere等世界頂級單位、地標，聯名和客製合作；更吸引全球網紅自主拍攝開箱影片，在沒有任何廣告下，獲得破億觀看人次。

MOVA Globes在短短一年多的時間，成功進駐北美、歐洲、日本、新加坡、澳洲、中東等地共18個亞馬遜站點的秘訣是什麼？陳泓瑋解釋，其實品牌是「逆向思考」，選擇先進入語言共通、文化相近、法規相對寬鬆的市場，因為規模小、風險較低，有測試選品方向、調整文案的空間，能逐步累積可複製的經驗模板，待基本功到位後，再將經驗應用到法規嚴謹、供應鏈要求更高的歐美市場，「這讓我們有效降低初期投入的風險。」接下來，MOVA Globes也將持續深耕並拓展更多國際市場，期望將台灣的創新設計與工藝美學，帶到地球的每一個角落。

O’s Bubble以首款即食珍珠，讓台灣本土飲品席捲全球

2019年創立的O’s Bubble，和MOVA Globes相似，都是近兩年才加入跨境電商的「新手」，而且O’s Bubble同樣表現優異，一舉拿下美國站點即食珍奶品類銷售排行榜冠軍！

台灣珍珠奶茶名聲享譽全球，O’s Bubble成立之初，便鎖定消費者想隨時隨地都能喝到珍奶的渴望，致力創造消費者與珍奶的連結，因此推出全球首款「即食珍珠」。O’s Bubble副總經理陳慧珊強調，為了做到文化翻譯、讓珍奶融入人們日常，O’s Bubble進軍歐美市場時，特別針對當地習性，調整產品配方、包裝語言、吸管材質和食用方式。例如美國人喜歡開派對，一盒即食珍珠就做成六人份；歐洲徵收糖稅、對食用色素有嚴格規範，便開發減糖配方、減少人工添加物，「我們切入珍珠市場，不是因為它熟悉，而是看見市場上缺乏真正簡單、高質感和視覺吸引力強的珍奶體驗。O’s Bubble要讓消費者不必出門，也能在家創造自己的『boba party』！」

2024年，O’s Bubble希望跳過傳統線下通路的層層銷售壁壘，讓品牌直接和消費者對話，決定加入亞馬遜全球開店，營運美國、英國站點，沒想到憑藉著優異的產品力和善用亞馬遜賣家後台提供的各種工具，取得佳績。在亞馬遜美國站，O’s Bubble的派對珍奶組（Boba Party Kit）不僅上架半年，便穩居品類銷售第一，在2025年7月的亞馬遜會員日（Prime Day）中，也繼續穩固冠軍地位。

陳慧珊認為，亞馬遜不只提供銷售管道，還能扮演成長引擎，輔助品牌試驗產品、驗證市場並優化商業模式。O’s Bubble會運用亞馬遜生成式AI工具，迅速生成商品的情境圖，也會利用「亞馬遜商機探測器」，即時看到整體品類的市場現況，並在了解自家產品的搜尋量、銷售量後，再據此做出相應的產品組合、行銷活動。由於食品類商品的保存要求嚴格，亞馬遜的FBA物流除了能確保配送品質與時效，還能有效壓低倉儲、運輸成本。

也多虧了亞馬遜的消費者評論功能，讓O’s Bubble收穫許多暖心回饋，「你們的產品讓我和孩子有了新的互動方式」、「喝下你們的每一杯珍奶都讓我開心」是常見的留言。陳慧珊透露，接下來，O’s Bubble將進軍法國、德國和澳洲市場，期待更多人喝到令人「幸福洋溢」的珍奶。

Wonder Core輕巧便攜，創造居家健身新革命

早在2015年，Wonder Core便看中人們消費習慣的改變，率先投入亞馬遜，堪稱台灣跨境電商的「老鳥」。

Wonder Core創辦人莊龍飛透露，早期Wonder Core是靠電視購物打開知名度，但因為消費者的購物行為變化太快，愈來愈多人開始直接上網搜尋、比較、購物，「跨境電商就成為必要的一步！」

起初，由於跨境電商和電視購物主動的銷售節奏不同，必須讓產品在龐大的平台中被找到、信任、下單，還有語言、文化差異，以及物流配送和售後服務等問題，讓團隊遭遇不小挑戰。幸好，亞馬遜提供FBA物流、數據分析工具、新銳品牌加速器計畫和陪跑機制等方方面面的協助，讓布局亞馬遜日本、美國、歐洲多元站點的Wonder Core，即便投入跨境電商多年，至今仍穩居日本的類目排名第一。

莊龍飛特別提到，雖然「輕巧便攜」是Wonder Core器材的特色之一，在跨境運輸時，仍需確保器材不會在過程中變形、受損，「亞馬遜物流FBA不僅為Wonder Core省下國際物流、倉儲的麻煩，配送速度和服務品質也讓消費者信任，轉單率因此提升！」

另外，藉由亞馬遜新銳品牌加速器，Wonder Core一方面學習優化頁面內容、關鍵字和廣告頭放策略，也接觸到更多跨境電商領域專家；近來隨著AI浪潮興起，Wonder Core也善加利用亞馬遜生成式AI工具。莊龍飛指出，健身器材需要示範，不只是照片好看，還必須搭配影片讓人看清動作、感同身受，團隊便利用影片生成工具生成各種影片，大幅提升效率、減省成本。

他提醒，有心進軍跨境電商的企業、品牌，首先必須找出自己的產品力，像是Wonder Core便積極投入研發，在單一器材上創造多功能、使用零門檻、耐用安全與智慧方便等特色；其次是要有長期經營的心態，重視在地化，讀懂當地文化、審美與購物習慣。而開創產品力、設計符合在地市場需求的產品後，還要善用亞馬遜所提供的資源，「不論是陪跑機制、物流服務還是廣告工具，都是讓自家產品力發揚光大、加速成長的關鍵。」

世界舞台並不遙遠，亞馬遜助攻台灣企業成就品牌全球夢

對於台灣賣家的驚人成績，亞馬遜全球開店台灣總經理謝孜希補充：「我們很高興看到越來越多台灣新銳品牌，能透過亞馬遜全球開店，把卓越的產品力與創新力推向世界的舞台。我們將持續透過在地專屬的陪跑計畫、新銳品牌加速器等官方資源，與亞馬遜全球提供的多元營運工具，全力支持更多台灣品牌，成為下一個賣向世界的『台灣之光』。」

站點第一的成績，並非一蹴可及。當被問到最初一個地球儀都賣不出去的時候，是如何堅持下去的？MOVA Globes 陳泓瑋回覆：「我就是知道我們的產品很好，我只是還沒找到方法，讓更多人看見他。」

透過亞馬遜全球開店經營跨境電商，成為品牌實現夢想的燃料。未來，會有更多台灣品牌跟隨而上，讓世界看見，台灣中小企業不只是優秀產品的研發者與製造者，更是能以創新與設計打動人心的夢想實踐者。

想知道更多品牌挑戰出海的故事？

SSL加密連線不見得安全，不要在公眾網路使用網銀交易