SSL加密連線不見得安全，不要在公眾網路使用網銀交易|數位時代 BusinessNext

日前行政院長江宜樺發函要公務人員不要使用LINE、WhatsApp等通訊軟體，要公務人員使用工研院研發的手機通訊軟體 Juiker（揪科），但Juiker卻爆出SSL憑證認證的問題，讓惡意攻擊者可利用中間人攻擊，竊取使用者的機敏資料。雖然工研院緊急修改App，已於1日重新上架，但這也揭示手機App在開發上的SSL憑證風險，對一般者來說，手機最機密的資料往往是手機上的帳密及網路金融交易資訊。

HITCON台灣駭客年會在6日舉辦論壇，提醒開發者特別注意手機App開發時，常被忽略的SSL處理，以及Android系統的WebView三大漏洞（註）。岑志豪提醒，Android系統的4.0.X及4.1.X版本是重災區，橫跨三個WebView漏洞，開發者不要小看每個漏洞，三個漏洞加總起來，危害不容小覷。

岑志豪指出，「不是用SSL加密連線就安全，要檢查憑證是否安全。」網路連線普遍發生的現象是，對資料層傳輸的保護不足。最常遇到中間人攻擊（Man-In-The-Middle Attack），當連線被中間人攻擊時，會攔截中間的資訊，使用者的連線被導往攻擊者的伺服器，使用者資料就會被竊取。

enter image description here
（圖說：戴夫寇爾資安研究員岑志豪指出，SSL憑證不安全的話，容易遭受中間人攻擊。郭芝榕攝影。）

不要在公眾網路使用銀行線上交易

資安專家戴夫寇爾資安研究員岑志豪建議，一般使用者盡量不要在公眾使用的網路如咖啡廳進行刷卡及網路金融交易，避免惡意攻擊者利用同一個網段進行惡意攻擊，取得機敏資訊，3G、4G網路或家中網路則相對安全。因為網路銀行也可能被中間人攻擊，台灣許多線上銀行都存在SSL風險，由於程式通常是委外開發，要看外包廠商是否注意到SSL的問題。

另外，岑志豪提醒使用者不要點進來歷不明的連結，更要注意是否點進連結後下載程式。他進一步指出，如果發現上網的速度變得很慢，或者突然在某個情況下耗電率很快，這兩個特徵可以協助使用者判斷是否手機可能被惡意攻擊。

如果真的發現手機被攻擊下載惡意程式，可以試著移除程式，如果無法移除的話，就把手機系統重置，恢復到原廠設定，大部分的情況應該可以解除危害。

SSL處理憑證風險，防範方法：避免在公眾網路傳輸機敏資訊

SSL問題普遍存在，資策會「2014年上半年臺灣風雲APP百強」中，Android的App有86個，其中存在SSL風險的App就有49個。岑志豪說，一般來說，系統預設會對伺服器做憑證的檢查，只要憑證有效，伺服器的設定也正確的話，就可以正常使用加密連線，如果憑證無效的話，開發者若沒有處理，連線就會被中斷。

使用預設設定而無法通過憑證的原因有以下三個：
1、憑證是對的，但伺服器設定有誤。
2、根憑證未預裝到裝置上，手機上有先預安裝憑證，但手機機型舊，導致憑證認為你的手機有問題。
3、其他：像是開發者常常會自行簽發憑證、憑證過期及網域名稱不符。

給開發者的建議：
- 務必採用加密連線傳輸機敏資料
- 嚴格做好對伺服器憑證的檢查(系統預設、憑證綁定)
- 只容許在開發階段忽略憑證檢查
- 注意使用的第三方函式庫是否有問題

給使用者的建議：
- 避免使用公眾場所所提供的無線網路
- 避免使用加密強度較弱的無線網路，如WEP、WPA等。

enter image description here
（圖說：Android系統上SSL問題的建議。圖片來源：郭芝榕攝影。）

三大WebView漏洞，防範方法：使用Android系統4.2.X或chrome、firefox、opera瀏覽器

開發者想讓程式與網頁結合時，通常會使用WebView，是可執行JavaScript，用於連結網路及顯示網頁的元件。不過，岑志豪也指出WebView目前的三大漏洞CVE-2012-6636、CVE-2014-1939、CVE-2014-6041，會讓攻擊者可以竊取資料，Android系統的4.0.X及4.1.X同時受到三個漏洞影響，算是「重災區」。

enter image description here
（圖說：手機App使用WebView常見的三大CVE漏洞，漏洞見紅色區域。圖片來源：郭芝榕攝影。）

岑志豪說，結合SSL的中間人攻擊及WebView的漏洞，攻擊者可取得手機應用程式的權限，進而控制使用者的手機。他並建議，千萬不要忽視每個漏洞的影響力，尤其是不同漏洞的組合，危害將遠大於每個漏洞各自的影響。開發者要在產品發佈前進行安全測試，定義App最低支援版本，避免因相容舊版而引發資訊安全的問題。

enter image description here
（圖說：資安專家提醒開發者不要忽略漏洞被結合攻擊的影響力。郭芝榕攝影。）

給開發者的建議：
CVE-2012-6636
- 避免WebView載入惡意內容，使用HTTPS，只讀取本地HTML
- 在4.2.X或以上版本使用時要為函數標註@Javascriptinterface
- 避免在4.1.X或以下版本的系統上使用addJavascriptInterface函數

CVE-2014-1939
- 避免WebView載入惡意內容，使用HTTPS，只讀取本地HTML
- 對版本3.0.X ~ 4.1.X的系統使用removeJavascriptInterface，把"searchBoxJavaBridge-"這個介面移除

CVE-2014-6041
- 避免WebView載入惡意內容，使用HTTPS，只讀取本地HTML
- 機敏cookie務必設定為HttpOnly（伺服器端）

給使用者的建議：
- 系統更新至4.2.X或以上版本
- 避免開啟不明來歷網址
- 採用非內建WebView(WebKit)作為核心的瀏覽器，像Chrome、Firefox、Opera

註：CVE（Common Vulnerabilities and Exposures）漏洞是一個國際知名的漏洞資料庫，由企業界、政府界和學術界共同參與的非盈利組織，可以快速發現軟體中的脆弱之處。

2025台灣設計展將開展！本次由彰化縣政府建設處陳昌茂處長與策展人何來香，共同聊聊「圓未來之行」展覽與其背後的城市發展與公共建設，時代帶來了哪些蛻變與機會，彰化的未來，會是什麼模樣？陳昌茂處長談到：「先輕鬆聊聊彰化最為人知的印象吧，許多外地人提到彰化，就是控肉飯與肉圓，美食旅遊確實是大家的共同嗜好，但是否有其他的深度內容，能給大眾重新認識彰化的機會？『台灣設計展：圓未來之行』就是一個好契機。

圓未來之行，與城市一起成長：你所知道的彰化，它是什麼？

300年來的發展，彰化的農業與工業在國內甚至國際都佔有舉足輕重的角色，半工又半農的發展成了城市獨有特色，在行政區劃及地方制度的調整下，縣市間的城鄉差距造成了資源上的落差，因此，政府近年於交通、城市規劃與建設上積極推動許多計畫，此次的展覽為的就是讓民眾看見設計中與蛻變進行中的彰化，包含：彰化交流道的農業區解編、國民運動中心興建、規劃與建設八大生活圈轉運站及全國首創的長照衛福大樓等等，從交通、建設面改善實質生活，正是此次展覽核心，透過時代回顧轉譯為當代及未來發展能量，讓彰化充滿地方鮮活的發展魅力。」

策展人何來香說起，『台灣設計展：圓未來之行』以時間、轉譯、共創為展出主軸，將時間梳理成「過去─現在─未來」，包含：源(回顧記憶與成長記號)、緣(轉譯與生活)、圓(圓未來城市之貌)、合(共創未來)，一如處長所說，將300年的背景梳理轉譯，在「交通、建設、生活」呈現，將其佈局為：三個室內展區X一個戶外展區，透過線上互動與實體呈現，讓彰化時代(過去─現在─未來)逐漸活起來，從低調走向鮮活光亮，「現在」，正是未來的縮影與定錨力量。

四大展區表述「三源一合」：未來可以被共創，一同設計理想的生活模樣

『台灣設計展：圓未來之行』共有四大展區，規劃為：源(記憶之源)、緣(轉譯之間)、圓(未來城市)、合(共創未來)，同時串接著「時間：過去─現在─未來」的脈絡線，一覽城市的成長姿態。走進展區，開始從「過去」中逐漸甦醒，壓艙石、鐵道枕木等建材文物彷若時光倒流，將觀展者帶回記憶之源，透過佈局中的架構語言，從最微觀的建築元素開始見證曾經，呈現彰化的移居風光；來到「現在」，城市逐漸有了治理與變化，交通疏通了生活與流動，當下的建設創造了更多的「宜居」，像是：「共生共享」，表述著近年的建設成果，如：交通樞紐轉運站、伸港青年住宅、鹿江綠建築，以及老屋改造返鄉青年創業案例等，透過不同形式的交通、城市建設的延伸，以延續更多的綠化、永續、教育與建築示範及全齡照顧與幸福範例城市、共融場域等，舒展著彰化的此刻宜居。
而「未來」正在萌發的可能性，則以情境式劇場呈現城市建設藍圖，置身體驗充滿希望的願景，陪伴居民一起邁向未來。

陳昌茂處長與策展人何來香提到，「未來城市」象徵著：綻放、圓滿、快捷與新鮮，展區整體風格呈現現代、乾淨、溫暖的未來感，此區域特別設計一個共創互動環節，以大尺度的城市規劃角度出發，邀請觀展者共同打造屬於彰化的未來城市，透過彰交特定區為城市共創背景，觀展者能透過平板互動，依需求、喜好選定主題類型與建築，如：該區域希望如何發展？公園綠地(共融公園、生態濕地)、產業經濟(百貨商場、研發大樓)、休閒育樂(美術館、圖書館等)，民眾意見將由 AI 即時生成建築並影響城市發展指數，進而反思發展過程中經濟建設與生活環境的平衡取捨，最終會將互動成果整理成報告做為縣府施政參考，此區域的未來，將是共創而生的實驗計畫之一。而代表「合」的「戶外串聯區」，則是由在地師生以自然素材共創的「魚的肚子是我們的生活」，延伸探索永續、自然、未來想像及綠色療癒，令「圓未來之行」參與民眾跨域孩童到成人，擁抱接納多齡意見，讓想像活躍充滿新鮮生命力。

彰化的蛻變，是成長留下的獨特印記──未來，由我們共創

有趣的是，『台灣設計展：圓未來之行』本次展出地點為：彰化縣立鹿江國際中小學，它不僅是彰化首間公辦的雙語學校，也確定籌設高中部，以接軌國際的教育為目標。當展區中的時間(過去─現在─未來)與交通、建設、生活相互交融與牽連，讓每個時代的彰化，蛻變都因成長而留下獨特印記。從海洋(船運、通商)而生的彰化，在展覽中扣回海洋生態的共創溯源反思。

陳昌茂處長認為，彰化的發展不必然要同於其他城市，當然也不會是其他城市的翻版，因為彰化有自己的專屬發展模式。期待透過此次展覽與共創，讓民眾與我們一起共同體驗最宜人與舒服的生活輪廓與幸福感受以及發掘彰化未來的無限發展可能；策展人何來香笑著分享，彰化是全球百大幸福城市的銀牌級城市，很期待各地民眾來參觀，重新感受彰化，並與群眾一同共創彰化。延續這樣的願景，彰化縣長王惠美也分享：「縣府其實一直在思考，如何擘劃下一個百年都市發展願景，讓民眾的生活變得更好，外移的人口逐漸回流。這些交通、城市建設的規劃、執行與聆聽大眾意見，都是為了一同探索未來、共同創造大家真正嚮往的生活」。

採訪・撰文／楊喻婷

【彰化縣政府廣告】

SSL加密連線不見得安全，不要在公眾網路使用網銀交易