SyScan09二度來台 揭露虛擬化、手機、Web 2.0安全

SyScan09前瞻資安技術年會為亞洲重要的資安技術年會，今年是第2度於台灣舉辦，不少資安業界人士共襄盛舉。COSEINC與SyScan的創辦人兼CEO Thomas Lim提到，去年有許多學生參加，而今年參與族群多為專業人士，例如有趨勢科技、國防部等來自政府、軟體公司等資安、資安產品開發人員等公司團報，報名數量雖然不若去年，但整體參與者的品質是有提升的，在研討會後的問答也都較為精準且熱絡。

而我們也抓緊時機採訪了此次SyScan的講師。資安公司Immunity創辦人兼技術長Dave Aitel就提到，不管是何種虛擬化平台，其安全性架構相差無幾但重要的是虛擬化安全工具的佈署方式。而虛擬化技術究竟是否適合運用於關鍵重要的伺服器呢？Aitel說，虛擬化技術已臻成熟，這當然是沒問題的，只是，務必別將重要的伺服器擺在同台虛擬機上，例如說Web Server跟Mail Server應該要分開架設，但是，這是否與虛擬化的本意－節能，有所牴觸呢？Dave認為這也是必須在安全與成本考量之間必要取得的一個平衡點。

Charles Miller是CanSecWest舉辦的Pwn2Own駭客競賽中的最新兩屆冠軍得主（見圖），率先在幾分鐘之內破解Apple的Mac OS X作業系統上的Safari瀏覽器，贏得5,000美元和Macbook，是近年來資安界的紅人，這次在SyScan談的主題是Apple iPhone的手機安全，他說，iPhone幾乎就像是另外一台電腦一樣，因此任何惡意的行為也可以被移植過去，而且不只是Apple的iPhone，任何手機都存在漏洞。並且相較起來，手機幾乎是24小時連線，不像電腦可能關機的時數較少，另外，由於電腦的IP位址是浮動的，攻擊者可能會無法掌握，但是像本次他所揭發的漏洞，是可以透過簡訊發送惡意程式到手機，只要一但知道對方的手機號碼就可發動攻擊，這在未來也將會是個大問題，他推測Apple在短時間內可能無法修復他所揭露的這些漏洞。

iSEC Partners資安研究員Justine Osborne則發表對Rich Internet Application(RIA)技術的安全漏洞研究，她以5種RIA Frameworks為例，包括 Adobe AIR、Microsoft Silverlight、Google Gears、Mozilla Prism、HTML 5說明可能問題，並對程式開發人員、一般使用者及滲透測試人員提出不同建議。她強調，自動稽核工具是很必要的，也應對每種Framework準備詳細的檢核表，然後大家一起找bug。