SSL加密連線不見得安全，不要在公眾網路使用網銀交易|數位時代 BusinessNext

日前行政院長江宜樺發函要公務人員不要使用LINE、WhatsApp等通訊軟體，要公務人員使用工研院研發的手機通訊軟體 Juiker（揪科），但Juiker卻爆出SSL憑證認證的問題，讓惡意攻擊者可利用中間人攻擊，竊取使用者的機敏資料。雖然工研院緊急修改App，已於1日重新上架，但這也揭示手機App在開發上的SSL憑證風險，對一般者來說，手機最機密的資料往往是手機上的帳密及網路金融交易資訊。

HITCON台灣駭客年會在6日舉辦論壇，提醒開發者特別注意手機App開發時，常被忽略的SSL處理，以及Android系統的WebView三大漏洞（註）。岑志豪提醒，Android系統的4.0.X及4.1.X版本是重災區，橫跨三個WebView漏洞，開發者不要小看每個漏洞，三個漏洞加總起來，危害不容小覷。

岑志豪指出，「不是用SSL加密連線就安全，要檢查憑證是否安全。」網路連線普遍發生的現象是，對資料層傳輸的保護不足。最常遇到中間人攻擊（Man-In-The-Middle Attack），當連線被中間人攻擊時，會攔截中間的資訊，使用者的連線被導往攻擊者的伺服器，使用者資料就會被竊取。

enter image description here
（圖說：戴夫寇爾資安研究員岑志豪指出，SSL憑證不安全的話，容易遭受中間人攻擊。郭芝榕攝影。）

不要在公眾網路使用銀行線上交易

資安專家戴夫寇爾資安研究員岑志豪建議，一般使用者盡量不要在公眾使用的網路如咖啡廳進行刷卡及網路金融交易，避免惡意攻擊者利用同一個網段進行惡意攻擊，取得機敏資訊，3G、4G網路或家中網路則相對安全。因為網路銀行也可能被中間人攻擊，台灣許多線上銀行都存在SSL風險，由於程式通常是委外開發，要看外包廠商是否注意到SSL的問題。

另外，岑志豪提醒使用者不要點進來歷不明的連結，更要注意是否點進連結後下載程式。他進一步指出，如果發現上網的速度變得很慢，或者突然在某個情況下耗電率很快，這兩個特徵可以協助使用者判斷是否手機可能被惡意攻擊。

如果真的發現手機被攻擊下載惡意程式，可以試著移除程式，如果無法移除的話，就把手機系統重置，恢復到原廠設定，大部分的情況應該可以解除危害。

SSL處理憑證風險，防範方法：避免在公眾網路傳輸機敏資訊

SSL問題普遍存在，資策會「2014年上半年臺灣風雲APP百強」中，Android的App有86個，其中存在SSL風險的App就有49個。岑志豪說，一般來說，系統預設會對伺服器做憑證的檢查，只要憑證有效，伺服器的設定也正確的話，就可以正常使用加密連線，如果憑證無效的話，開發者若沒有處理，連線就會被中斷。

使用預設設定而無法通過憑證的原因有以下三個：
1、憑證是對的，但伺服器設定有誤。
2、根憑證未預裝到裝置上，手機上有先預安裝憑證，但手機機型舊，導致憑證認為你的手機有問題。
3、其他：像是開發者常常會自行簽發憑證、憑證過期及網域名稱不符。

給開發者的建議：
- 務必採用加密連線傳輸機敏資料
- 嚴格做好對伺服器憑證的檢查(系統預設、憑證綁定)
- 只容許在開發階段忽略憑證檢查
- 注意使用的第三方函式庫是否有問題

給使用者的建議：
- 避免使用公眾場所所提供的無線網路
- 避免使用加密強度較弱的無線網路，如WEP、WPA等。

enter image description here
（圖說：Android系統上SSL問題的建議。圖片來源：郭芝榕攝影。）

三大WebView漏洞，防範方法：使用Android系統4.2.X或chrome、firefox、opera瀏覽器

開發者想讓程式與網頁結合時，通常會使用WebView，是可執行JavaScript，用於連結網路及顯示網頁的元件。不過，岑志豪也指出WebView目前的三大漏洞CVE-2012-6636、CVE-2014-1939、CVE-2014-6041，會讓攻擊者可以竊取資料，Android系統的4.0.X及4.1.X同時受到三個漏洞影響，算是「重災區」。

enter image description here
（圖說：手機App使用WebView常見的三大CVE漏洞，漏洞見紅色區域。圖片來源：郭芝榕攝影。）

岑志豪說，結合SSL的中間人攻擊及WebView的漏洞，攻擊者可取得手機應用程式的權限，進而控制使用者的手機。他並建議，千萬不要忽視每個漏洞的影響力，尤其是不同漏洞的組合，危害將遠大於每個漏洞各自的影響。開發者要在產品發佈前進行安全測試，定義App最低支援版本，避免因相容舊版而引發資訊安全的問題。

enter image description here
（圖說：資安專家提醒開發者不要忽略漏洞被結合攻擊的影響力。郭芝榕攝影。）

給開發者的建議：
CVE-2012-6636
- 避免WebView載入惡意內容，使用HTTPS，只讀取本地HTML
- 在4.2.X或以上版本使用時要為函數標註@Javascriptinterface
- 避免在4.1.X或以下版本的系統上使用addJavascriptInterface函數

CVE-2014-1939
- 避免WebView載入惡意內容，使用HTTPS，只讀取本地HTML
- 對版本3.0.X ~ 4.1.X的系統使用removeJavascriptInterface，把"searchBoxJavaBridge-"這個介面移除

CVE-2014-6041
- 避免WebView載入惡意內容，使用HTTPS，只讀取本地HTML
- 機敏cookie務必設定為HttpOnly（伺服器端）

給使用者的建議：
- 系統更新至4.2.X或以上版本
- 避免開啟不明來歷網址
- 採用非內建WebView(WebKit)作為核心的瀏覽器，像Chrome、Firefox、Opera

註：CVE（Common Vulnerabilities and Exposures）漏洞是一個國際知名的漏洞資料庫，由企業界、政府界和學術界共同參與的非盈利組織，可以快速發現軟體中的脆弱之處。

觀點一：深化內部資本市場創新動能，鼓勵「小金雞」早期上市

這幾年臺灣的新創趨勢，簡立峰指出一個現象：現今成功的上市櫃案例，多半是大型集團的「小金雞」（子公司或孫公司），但集團通常傾向在小金雞獲利穩定並能確保控股後，才會在市場上釋出少數股份（25%）允許其上市。此情況容易造成臺灣的資本市場動能不足，甚至讓國際以為臺灣缺乏新創的誤解。

對此，簡立峰認為創新板的價值，即是鼓勵小金雞能提早登板的腳步，一來展現創新能量、翻轉產業典範；二來邁向資本市場不只是需要募資，更重要是上市後的經營策略，知道自身優勢所在，將營運方向隨時調整更貼近資本市場的需求。

因應簡立峰的觀察，本次創新板的新制，即是讓本國公司的股票集保期間從二年縮短為一年，並免除三年的承銷商保薦。此舉有助於降低集團小金雞提早進入市場的法規門檻，讓企業能更快速、更早實現「面對市場」的目標。

觀點二：強化產業聚落思維，主動招募國際上與臺灣互補的新創

亞洲創新籌資平臺成立的重要訴求之一，便是要成為亞洲NASDAQ。簡立峰直言，「如果是以此為願景，那它就不應該只是『臺灣人的亞洲』，而是成為『世界的亞洲』，也就是主動吸引更多國家的創新企業來臺上市，那麼招商策略必須從被動等待，轉為主動積極洽談。」

至於招商的目標該如何鎖定？簡立峰認為臺灣資本市場最重要的價值，在於其聚落現象，因此建議可瞄準能與臺灣產業有高度互補的區域國家或技術領域。讓臺灣的供應鏈業者與他們成為戰略夥伴關係，共同分享這些國外企業來臺上市後所創造的利潤。

如果是區域國家，簡立峰拿「以色列」為例，該國新創擁有強大的創意和軟硬整合能力，但缺乏生產製造基地，若考慮來臺灣上市或募資，將有利於他們與臺灣的製造商建立關係，增加其信賴度，並容易找到供應商。至於前瞻技術方面，簡立峰認為矽光子、3D封裝/先進封裝、AI資料中心冷卻等，與臺灣半導體產業有緊密合作關係，可借助資本市場吸引這些企業來臺投資、上市，不僅是實體的產業聚落，更有助於形成虛擬的資本市場聚落。

簡立峰的論述，也呼應亞洲創新籌資平臺鎖定的重點產業，涵蓋半導體、人工智慧、智慧製造、數位雲端、機器人、次世代通訊等前瞻新經濟領域。另外國際企業來臺上市的門檻，證交所也優化了既有制度，針對主要營運地或股東結構均未涉及陸港澳地區之外國企業，調整臺籍董事席次過半規範，僅須設置臺籍獨立董事至少二席。

觀點三：吸引國際分析師、產業媒體，成為亞洲NASDAQ絕佳觀測站

最後，簡立峰認為一個能持續有活水挹注的國際籌資平臺，成功上市是手段，但真正關鍵的目的，是能持續獲得投資並取得市場關注的聲譽。要獲得聲量，具體的執行策略是提高國際能見度，吸引國際級分析師的關注。

簡立峰以當時Appier在日本上市為例，他提到上市對Appier的最大益處並非來自本益比，而是被國際金融機構的分析師看到，並獲得他們的分析與報導。「這些報導對於B2B企業來說，是最紮實的行銷加分，能極大化取得業界客戶的信賴。」

簡立峰認為亞洲創新籌資平臺的下一步，可主動規劃一些登板的亮點案例，形成「標竿」進而產生群聚效應。對此，證交所回應未來將以多元行銷策略，配套措施包括加強外國公司資訊揭露，提高法人說明會的召開頻率，藉此提升企業國際知名度，為國際分析師提供更充足的資訊來源，助力更多指標的企業打響全球名氣。

國家發展委員會副主任委員詹方冠在亞洲創新籌資平臺啟動典禮上提到，臺灣經濟發展已從勞動密集、資本密集階段，進入到創新驅動的全新里程。最後簡立峰肯定表示，「亞洲創新籌資平臺的成立後，期待它的角色能槓桿資本市場的力量，讓『臺灣人的產業』轉變為『臺灣人主導的產業』，仰賴國際企業壯大臺灣的人才庫，同時也為臺灣創造新的經濟發展動能。」