關於 safari 中毒了 ，我們在網路上蒐集到這些相關的討論、資訊與評價

為何看個網頁也會讓iPhone中毒和造成入侵？Safari網頁也能偵測病毒？建議大家都要點開來了解，別在那恐慌 😖

#Safari #iPhone中毒 #瘋先生教學 #網頁病毒

【Zoom 好危險、好可怕？！】

最近好幾位朋友問我對於 Zoom 視訊會議軟體資安問題的看法。但我一直沒有想說什麼。主要的原因是，我對 Zoom 台灣帳號的收費比美國帳號貴，拎北覺得很不爽。所以當 Zoom 被譙的時候，我也懶得說什麼。

但這段期間，網路上對於視訊會議資安問題的報導沸沸揚揚，甚至還變成反對數位教學的人士用來反對線上補課的論述。而且所謂的「資安威脅」，我看到有很多點是過度解讀，甚至有的說法已經到了反智的地步。

有的學校還因此被教育局處長官要求不能用 Zoom，原先的數位準備全部被打亂。

這一切實在讓我看不下去。

所以雖然我知道跟風向不同，我想我還是要說一下我的看法。

先看一下國外知名科技網站 Tom's Guide 針對 Zoom 的資安問題所做的報導，結論是：

"We disagree with that decision, because we think Zoom is safe to use for meetings that aren't highly sensitive. For school classes, after-work get-togethers, or even workplace meetings that stick to routine business, there's not much risk in using Zoom."

結論就是，除非你是英國國防部、SpaceX、或是高科技公司、等這類要討論高度機密的人，不然對於教學、或是一般商務的會議而言，用 Zoom 沒有太大風險 (quote: not much risk in using Zoom）。

那大家一直在傳的資安問題，到底是怎麼回事？這裡面有很多，坦白說真的很瞎，我先抓幾點來說：

1. Zoom Boombing：

不是說有什麼 Zoom Bombing 很可怕，用 Zoom 開會上課到一半，會出現有駭客駭入會議突然丟色情照片擾亂。Zoom 也太糟糕了，居然會被人這樣駭入，太糟糕了！

等等，你有沒有去了解過 Zoom Bombing 是怎麼來的？Zoom 的會議室可以設密碼。但為了方便大家連進來開會，大部分使用者都省略不設密碼，直接把會議室號碼/連結傳給大家。有的人把會議室號碼/連結流出給不相干的人，不相干的人進來亂。這叫做「駭入」？

靠杯喔，你在外面租「小樹屋」的房間開會，門有鎖可以鎖而你不鎖，被無聊人士闖進來丟色情圖片，這叫被駭入？你叫小樹屋要負責？！

以臉書社團為例，你開一個臉書社團，然後你自己不設成私密而設公開讓每個人都可以進得來。然後有人進來亂貼直銷廣告、色情照片，你怎麼不說是臉書資安有問題被人「駭入」？明明就是你自己社團權限沒管控好，不是臉書害你被駭啊。

那為什麼你 Zoom 要開屬於你們自己人的會議，然後你都不設密碼，也沒有告誡大家會議室號碼不要給不相干的人。然後被不相干的人闖進來，你才在哭說是軟體有問題害你被駭？

我也是傻眼了。

根本就是使用者貪圖方便不設會議室密碼啊！

（據說 Zoom 已經自動生成密碼了，以後這種使用者自己不設防的問題應該就會解決）

2. 安裝檔有惡意軟體：

Tom's Guide 上面有說到，有的 Zoom 安裝軟體可能會被連帶偷裝幫人挖礦的程式，造成系統的問題。但 Tom's Guide 也說，這個責任不是 Zoom 的錯，因為任何人都有可能製作出這種惡意的安裝檔給別人下載安裝。

許多人說這是資安問題，我又傻眼了。

每個人都應該要有最基本的資安素養：要安裝軟體，要從官方網站下載，不要從非原廠網站下載來源不明的程式安裝。

Zoom 你不去人家官方網站下載來裝，你偏偏要偷懶從人家給你的來源不明的安裝檔去安裝，結果電腦免費幫人挖礦，你說是誰的錯？如果你就是有這種糟糕習慣的人，你用其他軟體也會幫人家免費挖礦，不會只有 Zoom。

這根本就是使用者偷懶不去官方下載啊！

要安裝軟體，請從官方網站下載。這是常識，OK？

3. 聊天室點了惡意連結，導致系統被駭中毒：

講到這個，我又傻眼了。來源不明的連結不可以點，這你不知道嗎？你在 Line、在 Chrome、在 IE、在 Safari 點了來源不明不該點的連結，會不會中毒？你都知道來源不明連結點了會出問題，那你為什麼在 Zoom 聊天室還要去點來源不明的連結，然後出事了才說是 Zoom 資安有問題被駭？

這根本是使用者手癢亂按不明的連結啊！

------------

最後，我再來談談真正最重要的資訊安全原則是什麼。

真正的資訊安全，就是要假定任何地方都可能出錯，有機密性的東西都完全不該在網路上跟人家談。

你今天用 Meet 或 Team 跟別人視訊會議，就會安全？我也是笑笑了。你今天跟人家視訊會議，說的任何話，都能夠被人錄製桌面而錄下來，事後流出去。

所以真相是，只要你是用視訊會議或網路軟體跟人談事情，不管你是用哪一家的，你都沒有真正的資訊安全。真正的安全是，機密的事情要跟真人實際面對面的口頭談，才會安全。

喔是嗎？你確定對方身上沒有偷裝錄音機？你要不要搜身一下才能確定真正安全？

如果你是做高科技技術的公司、或是高階政府單位，有高機密性的資訊，原本就不應該用任何視訊會議來傳達。很多國際大企業都用美國思科 Cisco 的 Webex 系統，相對比較安全。話說 Webex 是誰開發的？就是 Zoom 的創辦人當年所開發的，他離開 Cisco 之前去創立 Zoom 之前，是副總裁。國際大企業過去十幾二十年都用這個人的東西，這個人有沒有問題，這是個參考指標。

任何軟體都有洞，你個別搜尋各家軟體公司的名字 Google, Microsoft, Line, Facebook, Apple 再加上「資安漏洞」，你都會看到每個軟體都有洞。越多人用的軟體，越有機會被大家找出洞來，也越有機會讓洞被補起來，而變得越安全。

以最多人用的微軟為例，這麼多年來的「資安漏洞」、「被駭風險」的新聞不多嗎？

Zoom 這段期間因為許多人大量使用，所以被看到的洞自然就比較多（雖然有很多洞我認為根本上是使用者習慣的問題），之後就看他們是否有補起來。現在的觀察是，我看他們最近的更新滿頻繁，看起來是有努力在把一些洞補起來。

------------

最後的最後，你問我說我會不會改用其他會議軟體？

從資訊安全的角度來說，如同國外網站說的，並沒有太大的風險。但在台灣，卻被炒作到好像用了電腦就完了。更別說當中很多的風險，都是使用者自己資安習慣不好，用其他軟體也會遇到的。

我的看法是，在台灣，Zoom 的資安問題，已經不是技術問題，而是政治問題。

Zoom 的創辦人來自中國，但他的主要資金來源還是美國的資本市場，Zoom最大外部股東是Emergence Capital，持股12.5%。紅杉資本持股11.4%。跟華為的資金來自政府是不同的。我不覺得 Zoom 有必要亂搞去得罪他在美國的眾多金主投資人。

有人提到，如果中國政府要求 Zoom 提供使用者資料，他們敢不從嗎？

Google 當初退出中國就是這個原因，因為公司的決策要求的是公司最大利益。在大陸，目前大多數的人用的是阿里巴巴跟微信的會議軟體，用 Zoom 的很少。美國跟其他國家市場，才是 Zoom 的主要利基來源。如果 Zoom 在大陸同意把使用者資料交給政府，他在美國的市場絕對雪崩，這也是為什麼當初 Google 寧可全面退出大陸也不把資料給大陸官方。

董事會成員在乎的是公司的最大利益。Zoom 的主要股東是來自美國資本市場，這些人不會由著公司去做傷害公司利益的事。這是為什麼前述的假設狀況，出現的機會不大。當然，我也有可能是錯的。

但同樣的問題，為什麼大家會認為如果中國政府要求，微軟就不會就範呢？特別微軟在大陸投入很多的資源，也有很大的市場。微軟中國分公司就不會就範？我反而覺得微軟若不從，要冒的風險比 Zoom 大很多。

所以，我會繼續用。反正我的課程教學沒有什麼機密。真正有什麼很機密的事，還是來找我喝咖啡再當面聊吧！

如果你要用視訊會議軟體，不管是用哪一家，請注意：

1. 如果有真正很機密的事情，任何視訊軟體通通都不該用，那才是真正的安全。
2. 視訊會議最好設密碼，避免不相干人士進來鬧。
3. 請務必去官方網站下載官方版的安裝軟體，千萬不要用來路不明的安裝檔。
4. 在聊天室不要點擊不明的連結。
5. 不要讓自己的電腦離開自己的視線，被別人摸到。

註：Tom's Guide 評論全文連結：https://bit.ly/2Rg3b8n

（歡迎分享）

如果你真的在乎你的個資的話，就不該關閉iPhone上Safari的「詐騙網站警告」。

今天網路輿論又毫不意外的爆炸了，這次矛頭指向的是蘋果。
簡單敘述一下，很多網站都有詳細文章，雖然他們都做了很糟糕的建議，導致我不得不在一個遊戲類粉專發這篇文。
有網友指出蘋果在Safari的隱私權政策中表示，預設開啟的「詐騙網站警告」將會把使用者的IP和網址回傳給 「Google 安全瀏覽」和「騰訊安全瀏覽」，用以檢測是否為詐騙網站。
而且根據不具名網路部落客指出，在原始碼中，這兩個安全瀏覽會同時接收到資料。所以就結論而言，你的瀏覽紀錄、個資都已經被中共知曉了。
換瀏覽器也沒用哦，因為iOS上全部的瀏覽器都是基於Safari去做的，而唯一的解法就是關閉「詐騙網站警告」。
那些文章大概都是這樣寫的，我們來看看：
回傳IP，打勾。
回傳網址，打勾。
回傳給騰訊，打勾打勾打勾。
結論：蘋果是中共同路人。
嗯，全球大炎上，可以把蘋果烤來吃了。

我要再重複我的第一句話：
如果你真的在乎你的個資的話，就不該關閉iPhone上Safari的「詐騙網站警告」。
真的，誰關誰白癡。
接下來是工程師語言，看不懂請自己跳到結論。

首先，Safari是基於Webkit引擎開發的網頁瀏覽器，而Webkit是iOS唯一的網頁引擎。
這個引擎本身是開源的，你可以在很多地方找到它，比方說Github。
而一切的問題，就是出在Webkit的安全瀏覽警示中。
根據原始碼SafeBrowsingWarningCocoa.mm Line:40開始的那串。我們可以看到Webkit確實會去取得騰訊和Google的安全中心網址。
但是，這裡的判斷式是用二擇一的方式。
判斷的方式是根據SSBServiceLookupResult中的provider，如果是騰訊，就傳騰訊，如果不是，就傳Google。
至於寫入provider的方式和次數，沒寫，十之八九是封在系統框架中。
是根據手機語言、使用者IP、還是手機發售地來判斷，在蘋果說明之前都不會有人知道。
隱私權政策確實有寫到IP和網址「可能」會傳送給「Google 安全瀏覽」和「騰訊安全瀏覽」。
我個人對這個「可能」的解讀是，蘋果只是將隱私權政策整合成一個版本。
如果以騰訊的加入進程來看，騰訊安全中心更像是一個在中國的補充，畢竟在中國連不到Google的安全庫。
考慮到這點的話，這邊的「可能」指的應該是「根據使用者連網IP的不同，可能會使用不同的安全提供商」。
其中一個證據就是，這個SSBServiceLookupResult在iOS11之前是不存在的，而SafeBrowsingWarningCocoa.mm是在2018年11月15日被新增的。
其前身SafeBrowsingResultCocoa.mm則是在2018年11月6日正式加入對騰訊安全中心的判斷。
這個時期是iOS 12，蘋果特別強調Safari安全性的那段時間。

但，對，即便這是有根據的猜測，這依然是我猜的。
所以為什麼我會說誰關誰白癡？
不知道大家還記不記得以前的假登入頁面和有毒的跳窗廣告？
前者是透過設計和官方很像的登入畫面來竊取使用者的帳密。
後者則是簡單直白的網頁投毒。
而這個「詐騙網站警告」的功能，就是在防範這兩件事情，他可以在你點開網站的同時，確保你不會真的立刻連上並且受騙或中毒。
正是得益於這項功能的普及，讓有心人士無法透過這招來惡意詐財，才使得我們能夠更放心的在網路上亂逛。
他在某種意義上跟防毒軟體是一樣的。
而那些文章叫你關掉的意思其實就等同於：
為了防止一個「不知道是真是假」的個資洩漏事件，直接把自己的個資門戶大開。
讓任何詐騙業者都可以隨便透過一封詐騙簡訊或在FB廣告拉一個超便宜商品騙你進去，再用假登入頁面、假刷卡頁面或直接下毒的方式控制你的帳號或手機本體。
這才叫個資被竊取，好嗎？

所以，懶人包在這裡。
1. 蘋果在這件事情上有沒有跪中國→可能有，可能沒有。
港警地圖那件事我個人傾向有，但此案我認為沒有。
2. 怎麼辦，關掉「詐騙網站警告」嗎？→不准關，關了你才真的會被個資大爆射。
3. 防人之心確實不可無，反對企業向中共低頭妥協是大家普遍的共識。
但如果你連最基礎的個資合理授權都無法信任，那我想你還是別用手機信用卡這些會存放個資的東西了。
再說，中共要知道你的網路行動軌跡，跟本不用那麼麻煩。
畢竟，我們台灣就是一堆人死愛用小米跟華為手機。
不要說網路紀錄，你幾點幾分開了什麼app、打了什麼字，原則上他們都能log到。

最後順帶一提，其實前幾天爆出來的台北市教育局購置悠遊卡販賣機在個資爭議上也是同樣的道理。
我沒講不代表我不關心，只是這個專頁不適合去提這些事而已。

補幾個不知道有沒有機會增加觸及的tag
#Safari #資安 #個資洩漏 #蘋果 #騰訊
#詐騙網站警告

---
最後更新一下
有高手反解了SafariSafeBrowsing.framework，得到的結論是：
「只要你的iPhone地區不是設定為中國，就不會有任何影響。」
來源在這裡：https://hiraku.tw/2019/10/4963/
還有老外比他更早解出來，雖然解出來的內容不知道為什麼不太一樣，但結論是相同的。
來源：https://news.ycombinator.com/item?id=21242628

大概是這樣，既然有結論，那我內文應該不會再改了。
感謝大家提供的補充資料。