在卡耐基美濃大學的CyLab實驗室正在進行創新的資安研究工作，包含生物特徵辨識、內部威脅防禦、金鑰交換與虛擬化等議題。
螢幕上如雪花般的影像，靜靜地映射出一個男子的臉，幾乎快要看清楚他的臉型。這是CMU（卡耐基美濃大學）電子與電腦工程學系所發展出來的演算法，在Savvides所主導的生物特徵辨識實驗室中醞釀著，不一會功夫，一個3D的臉型已經顯是在電腦螢幕上，可以透過滑鼠控制左右上下翻滾來看清楚各方面的特徵，這個系統的作用就是拿來儲存與比對已知的恐佈份子資料庫。
這是在CMU校園中典型的資安腦力激盪所爆發出來的成果之一，CyLab則是孕育此網際安全研究環境的翅膀。他們不見得可以處理最新的木馬與網路詐欺、身分竊取等資料外洩事件。但他們專注於研究人臉與虹膜識別軟體、金鑰交換及虛擬化電腦安全等先進的議題，以提供未來防禦各種威脅的變化。對於明日資訊安全的關注議題領先從事既寬且深的探討，更聰明地早期解決這些問題。
臉部與虹膜辨識 Savvides生物識別技術實驗室多數的研究項目是由國家科學基金會所支持，是政府專門針對一些像CMU的研究教育機構的贊助計畫，而有些研究也是由某些政府單位（如NSA、CIA、FBI等）所贊助，是一點都不會令人訝異的。針對虹膜辨識的研究可以應用在車站中，捕捉會移動的人形，進而提供更多可以比對的詳細圖樣與儲存至中央資料庫供未來運用。Savvides試著從二維圖像中找出完美的臉型比對方式，像是報紙上的人像與監視器所拍攝的影像，並且將這些資訊轉換成3D的模型。採取最小的臉部特徵以建立三維的立體影像，更可以協助判斷人臉（這套系統日本政府也有使用）。雖然已可成功地建立許多3D的模型資料，但是離實用還有一段距離。Savvides說，還有很多的挑戰要面對。
Savvides不願證實該實驗室的工作是否已經進行實際應用，但是在字裡行間無法斷下結論，實驗室是資安研究的心臟，但是許多工作是不能公布而無法見於經傳。但是他的價值在於幫助追蹤恐怖分子，以及透過臉型與虹膜辨識科技來協助在伊拉克和阿富汗的地面部隊。
虹膜辨識是Savvides研究室重要的開發項目之一，研究人員要研讀許多醫學期刊技術，以發展出虹膜模式比對的特點，同時也要了解相關的疾病如糖尿病、白內障和癌症對於虹膜的組織影響。Savvides說，虹膜識別是不一無二的個人辨識方法之一，比指紋還要有更高的穩定度，透過成熟的演算法採集虹膜的資訊，但是最大的問題是一般攝影機是由上往下拍攝而不利於採集這些資訊。這就是CyLab要繼續突破的挑戰。
幾年前，該實驗室獲得了Sarnoff的虹膜移動偵測系統，像是一座7英尺高的戶外機場金屬探測器。Savvides政府這是第一個應用在戶外的系統，只要目標進入系統的範圍，就可以在10英呎的範圍中檢測出走進這個範圍的人員之虹膜資訊，重點是可以針對移動中的物體偵測出虹膜的型態和特徵值。要同時註冊與檢測虹膜值目前還有一些要克服的困難，應用在美國軍隊的辨識裝置，就必須先儲存且上傳至監視資料庫再進行辨認比對，該系統就是應用SarnoffSanford 系統，幫助防範機場安全與辨識出叛亂軍隊與恐怖份子。
你認為你了解內部威脅嗎？ CyLab多數的工作收獲來自於和長期合作的CERT協調中心相關的工作內容中，不只因為CERT/CC是所有關鍵系統與軟體弱點、資安事件的清算匯集中心，而且已經發展出引領企業對於風險研究的方向與資訊來源。尤其是企業的內部員工，已經被認為是對資訊資產最大的威脅來源，對於客戶資料、智慧財產與機敏文件，經常都會有在授權和存取管理上不夠嚴謹之處，而取得超過員工完成他們本份工作的資料等級與資料量。
許多新的科技方案像是身分識別與存取管理(IAM)即是解決此問題的方案，可幫助IT與人資等營業部門經理解決這最大的威脅，不單單僅是依賴結合軟硬體的管制方式，因為內部員工很有可能是高權限的用戶，或者不滿公司心態、在離職邊緣者。
在這些嚴重事件未發生之前就提前預防，是CERT/CC最希望看到的成果之一，因此它們提供一套更為詳細的流程去發現不懷好意的員工有哪些行為以及如何找出他們所釋放出來的異常訊號。
小組領導人Dawn M. Capelli表示，系統管理者、資料庫管理者等具有高權限的員工，都有可能有心去造成IT竊密的大災難，而這是外部攻擊很難造成的巨大風險。只要一次就將防禦的防線破壞殆盡。儘量不要讓高權限者有單獨工作的機會，這樣比較不會製造出危險，因為人心隔肚皮，通常IT竊密與破壞案嫌犯的同事都會說：「他是一個好人，我不相信他會做出這種事！」
我們已經驗證相關的案例研究，Capelli表示，CERT/CC有一個資料庫有超過150個案例研究，建立起相關的改善與預防措施，是一個非常獨特的模式資料庫。這樣的內部員工焦慮，通常會反映在與同事的衝突、遲到、對於與人合作的推諉，這些擁有權限者有此狀況時，可能已經計畫襲擊公司的資訊資產，而心中也已經認定離職是無可避免且心存報復的念頭。
Capelli 表示，組織必須注意這些跡象。「技術人員對於我們所找到的這些案例並不感到驚訝，在我們的交談中發現，他們經常怪罪管理階層不了解他們工作辛苦，且不容易拿到資源進行他們曾經積極主動要幫公司做的建設。」
科技化的監控措施是必要的。調查log記錄與帳號行為是了解員工科技行為的一種方法，可早期發現不懷好意的內部人員，甚至預防建立後門與邏輯炸彈的可能性。IT破壞者模型已經非常成熟，CERT/CC針對內部破壞者建立一個行為模式的資訊模型與偵測方式，透過CyLab的努力可以幫助組織評量內部威脅的行為與衝擊性。經過3～5天的實地稽核，與相關人員面談後，了解企業的政策、流程和可能的科技弱點，在與CERT/CC的資料庫進行分析找出最相近的案例分析做參考。如果管理者可以認同這個警訊，就可以會同IT、人資與法務人員，甚至提權至高層管理人員，對於內部威脅的問題進行預防與處置。Capelli表示，我們會列出許多風險問題，簡單的容易的問題可以用很低的成本解決，而難的問題則需要企業從整體風險策略上來強化。
深入思考的安全實務 Adrian Perrig為CyLab的技術總監，他是深思熟慮的網路安全專家，他了解非常廣泛的協定、身分鑑別、虛擬化與金鑰交換等，甚至希望重新打造更安全的網際網路。雖然擁有技術，但他最大的貢獻在於產出非常多的文獻，照顧許多新進的安全專家。他的小組成員中很多都是不具有電腦科學學位的博碩士，甚至無法對一項資安產品進行設定，但是Perrig說，我對於安全的看法就是從基礎問題探討起，要讓安全變的更簡單易用。
Perrig與前同事Michael K. Reiter、Jonathan M.McCune發展出一套Seeing is Believing (SiB)協定，可以保障行動裝置之間的資料通訊安全，而不需事先建立起相對關係的背景資訊。採用二維條碼作為裝置之間辨識的公開金鑰，可以透過藍芽獲得彼此的公開加密金鑰，若兩者比對成功則可以建立起一個安全的通訊管道。他認為科技可以幫助建立起可信賴的關係，可以讓生活變得更容易、更便宜一些。
另外還有一個叫做SecVisor 的專案，針對虛擬化環境的安全防護，在hypervisor 中加入一段偵測機制，只有管理者所允許的軟體可以被執行，可以預防像kernel 等級的rootkits 等未來的無形安全威脅。虛擬化是一個非常熱門的話題，在公司精簡伺服器與預算之下，是一個非常環保的理念，但是安全還是需要有相對的進步。
CyLab培育了超過1 3 0位研究生來自於各種不同的系所，對於上述專案都可以發揮一己之長的貢獻，未來在隱私議題、風險管理和語音式的CAPTCHA機制、Botnet偵測與電子投票均會有更深入的研究成果。
迎接AIP，PKI 再見
AIP，全名是Accountable Internet Protocol，是透過一種自我驗證的交易機制，要吹熄PKI風中的殘火。PKI是很穩固的安全概念，但是尚未被大規模地成功實施（譯註：台灣佈署很普遍），CMU的助理研究員Dave Anderson表示，PKI可能快要被整個踢出安全版圖上。AIP專案採用自我認證的位址取代IP位址，可以將你的公開金鑰做一個hash值，而通訊雙方原本必須透過IP位址才能夠交換雙方的公開金鑰，PKI必須要在一個可以互相通訊解析位址的架構下才能運行，因此CyLab在今日更多通訊管道暢行的前提之下，跳脫思考的框架，開始了這個專案的研究。
你還可以繼續使用PKI，但是我們認為有些安全機制只要透過一些現有的本質資訊就可以完成，你不需要外部的憑證資料庫、也不用擔心有過期的問題，更不用擔心根憑證中心今天是否正常運作或是高不高興，也不必擔心別人偽造這些資訊。 簡單的說，自我驗證機制提供交易上不需要仰賴第三方的存在機制，透過AIP你可以自己擁有自主的系統識別，也就是你的公開金鑰，你可能不再需要龐大複雜的PKI機制，在你設定憑證前，我早已完成了交易。 |