Pazu 薯伯伯

Pazu 薯伯伯

旅遊寫作人,為最早一批在網上連載遊記的香港人,多年來足迹遍佈歐、亞多國,在喜馬拉雅山麓、東南亞、南亞等地區生活。著有《風轉西藏》、《北韓迷宮》、《西藏西人西事》及《不正常旅行研究所》,分別在香港、北京及首爾出版。作者 Facebook:https://www.fb.com/pazukong;網誌:https://pazu.com/blog;Pazu 兒歌網:https://www.pazu.com;相集:https://www.instagram.com/pazu;Patreon 頻道:https://www.patreon.com/pazu

2021/4/29 - 12:29

零基資安訓練營(二十七):人與電腦之互動,應成系統的核心組件

資料圖片,來源:Marcel Friedrich @ Unsplash

資料圖片,來源:Marcel Friedrich @ Unsplash

有一句說話,在資訊保安界別裡面算是老生常談,那句說話是:「保安系統裡最大的漏洞是用家本身。」這句話的意思,是說即使保安如何森嚴,只要有人類存在,就總會犯錯誤。

其實想深一層,這句話可以是對,也可以是錯,更可能反映了系統設計者與使用者之間缺少了應有的互動。其中較近期的例子,是在 2020 年美國花旗銀行的職員誤把化妝品公司原定向債權人支付的 800 萬美元貸款利息,錯誤輸入為還款 9 億美元,導致嚴重虧損。

聽起來好像是職員的問題,應驗了「保安系統裡最大的漏洞是用家本身」,但在設計系統時,如果程式員、管理層與用家多作協調,就可能預測到用戶有機會錯誤把還款金額與利息金額混淆,在設計程式之時,已經能自動避免類似錯誤。如果把一切的錯誤都怪罪於使用者,雖然也是事實,但卻忽略了人類與電腦之間的互動(HCI,Human Computer Interaction)。

廣告

我警惕自己在撰文推廣資訊保安時,也應避免踩入類似的誤區。有讀者跟我說,太多保安措施,反而無從入手,又或會有「防賊疲勞」。原則上保安的措施應該要方便易用,成為讀者日常生活的一部份,級別越高越好,但如果用家根本無法適應,是否可以按使用者個人的適應能力,再作相應調整?

我的資訊保安文章,雖然想儘量做到「零基礎」,但有時也會把一些基礎知識當作「人所皆知」的常識,部份讀者未必能跟隨。反而想提及兩個小例子,算是示範了因應不同人的情況,而給出更符合當事人使用習慣的保安方式。

一,長者的手機密碼

話說有次遇到一位長者,手機完全不設開機密碼,說是因為擔心記不住,用 Touch ID 又不方便(指模不清),手機又沒有 Face ID。我之前寫過一篇文章,提及密碼要有 11 個位或以上才算較為安全,但現在面對的,是一位連開機密碼都嫌多的長者。

長者說自己的手機「沒有任何秘密」,但我問長者,如果有壞人檢到手機,打開他的 WhatsApp,發訊息給他朋友騙財匯款買點數卡之類,他的朋友會否上當。長者猶豫了,最後決定使用密碼。

但這組密碼,只有四個位,而且是舊居電話的最後四位數字。這個保安級別當然不足,但以他的情況,最大的風險只是別人檢到手機,而不是面對以色列貴價軟件的入侵,那麼這個措施,總比完全不設防好。如此的保安方法不佳,但也算是與用戶互動及商量之後,採取一個較為折衷的方法。

二,電郵的二步認證

有一位朋友,本身對電腦不熟悉,電子郵箱的密碼寫在紙版的筆記本上,密碼簡單到我過目不忘。我一看到他的情況,第一時間就想叫他更改所有密碼,以後使用密碼管理器去記錄。

但問題是,他目前無法適應,有可能連最簡單的登入都做不了。如果一味只顧提升保安級別,卻連登入都做不到,那是矯枉過正。

所以最後我給他的建議,是先啟用二步認證,但他的手機不適合使用 authenticator,且多年以來沒有固定的手機號碼,連 SMS 認證都做不到。最後我給他選定的方案,是使用固網電話,每次登入帳號,Google 均會自動打電話去指定的固網電話,以廣東話或普通話說出六個數字,輸入後便可登錄。這個方法當然有其他隱憂,我自己就絕對不會使用這些方法,但以該名用家的情況來說,起碼可以防止較為低端的遠程攻擊,總比只有一層密碼(而且是過目不忘的密碼)來得安全。

結論:

以上兩個例子,不是說我認同那些保安措施,但按用家的能力或其他條件,選取更為合適的保安措施。而非一味追求更高的保安級別。

設計資安措施時,切忌把用家當成是必然的潛在漏洞,處處要求用家接受高度培訓。更應在設計資訊安全的方案時,把用家的執行速度、效率、學習能力、記憶能力及使用取向等納入其中,才不致於本末倒置。

 

🔑 【資訊保安文章整理,超務實長清單】 

作者 Patreon / Facebook / MeWe