觀點

SyScan09二度來台 揭露虛擬化、手機、Web 2.0安全

2009 / 07 / 13
吳依恂
SyScan09二度來台 揭露虛擬化、手機、Web 2.0安全
SyScan09前瞻資安技術年會為亞洲重要的資安技術年會,今年是第2度於台灣舉辦,不少資安業界人士共襄盛舉。COSEINC與SyScan的創辦人兼CEO Thomas Lim提到,去年有許多學生參加,而今年參與族群多為專業人士,例如有趨勢科技、國防部等來自政府、軟體公司等資安、資安產品開發人員等公司團報,報名數量雖然不若去年,但整體參與者的品質是有提升的,在研討會後的問答也都較為精準且熱絡。

而我們也抓緊時機採訪了此次SyScan的講師。資安公司Immunity創辦人兼技術長Dave Aitel就提到,不管是何種虛擬化平台,其安全性架構相差無幾但重要的是虛擬化安全工具的佈署方式。而虛擬化技術究竟是否適合運用於關鍵重要的伺服器呢?Aitel說,虛擬化技術已臻成熟,這當然是沒問題的,只是,務必別將重要的伺服器擺在同台虛擬機上,例如說Web Server跟Mail Server應該要分開架設,但是,這是否與虛擬化的本意-節能,有所牴觸呢?Dave認為這也是必須在安全與成本考量之間必要取得的一個平衡點。

Charles Miller是CanSecWest舉辦的Pwn2Own駭客競賽中的最新兩屆冠軍得主(見圖),率先在幾分鐘之內破解Apple的Mac OS X作業系統上的Safari瀏覽器,贏得5,000美元和Macbook,是近年來資安界的紅人,這次在SyScan談的主題是Apple iPhone的手機安全,他說,iPhone幾乎就像是另外一台電腦一樣,因此任何惡意的行為也可以被移植過去,而且不只是Apple的iPhone,任何手機都存在漏洞。並且相較起來,手機幾乎是24小時連線,不像電腦可能關機的時數較少,另外,由於電腦的IP位址是浮動的,攻擊者可能會無法掌握,但是像本次他所揭發的漏洞,是可以透過簡訊發送惡意程式到手機,只要一但知道對方的手機號碼就可發動攻擊,這在未來也將會是個大問題,他推測Apple在短時間內可能無法修復他所揭露的這些漏洞。

iSEC Partners資安研究員Justine Osborne則發表對Rich Internet Application(RIA)技術的安全漏洞研究,她以5種RIA Frameworks為例,包括 Adobe AIR、Microsoft Silverlight、Google Gears、Mozilla Prism、HTML 5說明可能問題,並對程式開發人員、一般使用者及滲透測試人員提出不同建議。她強調,自動稽核工具是很必要的,也應對每種Framework準備詳細的檢核表,然後大家一起找bug。