資安與個人資料保護

Marcus RANUM看法
就像大部份的讀者一樣，作者也相當關心電腦安全相關的新聞。在持續聽到資料遺失、可攜式電腦被偷的新聞，以及最近接到退伍軍人管理局(Veterans Administration)的通知信函後，我認為該是整理一些統計資料的時候了。綜合最近關於個人資料失竊的報告，我想大概只剩15位美國人的個人資料還沒有遭受波及。
雖然這些人可能根本還不存在於世界上。既然老方法的成效並不是那麼好的狀況下，我很好奇他們為何仍繼續使用相同的方法來處理事務。安全從業人員極力的告誡人們密碼不是一個良好的安全機制，可是金融產業、醫藥產業、以及政府部門還是決定採用長度為九位數的社會安全碼以及長度為16位數的信用卡號來當成處理事務時主要的身分識別要件，這聽起來是多麼愚蠢的一個主意。
有一個很簡單的解決方法：公開所有的資訊。藉由放棄特定項目資訊所具有的價值，才是改變整個系統最好的方式。請記住，在現實狀況下你已經放棄了那些資訊。為了讓情況有所改善，我們必須跨越拒絕放棄特定項目資訊所具有的價值的心態。
相對於依靠沒有作用的秘密，我們可以有哪些實際作為呢？對於信用卡公司來說在延展信用之前增進身分識別的驗證是很簡單的。信用卡公司也必須這樣做，否則他們就會產生大量的金錢損失。例如，使用者進行地址變更時，必須提出地址證明，或者是電子商務網站只會送貨到記錄檔中的地址。我個人信用卡號碼最後一次被偷的時候(在網際網路上被偷的)，一家專賣高消費產品的網站將價值四千美金的手錶和鞋子送到位於多倫多的ASD HJK先生的手上，這真是太荒謬了。
現在個人資訊的處境正反映了電腦安全的狀態。最近十幾年，每一個人降低自己的警戒心並在這個新興的技術中建立人際互動的關係。在沒有建立安全的基礎建設以及沒有詳細思考如何系統化解決問題的狀況下，企業以及政府機構只能如同腳陷泥沼，一直到整個問題無法收拾。可不可以提供一個簡單的修補例子？為何我的Visa信用卡服務不可以包含有一百個長度為30碼且隨機產生－的數位編號的列表？將這個列表寄送到我註冊的地址，並且讓我利用此僅能單次使用的密碼來進行驗證，如變更註冊地址、或者解除信用卡遺失時的交易行為，及寄送貨物到非註冊地址的交易記錄？
最明顯的答案是使用雙因素認證和授權管理：兩個你所知電腦安全開始時的簡單概念，使用你所知的(something you know)加上你所擁有的(something you have)來阻擋網路釣魚(phishing)詐欺，以及讓使用者可以自己做出簡單的決定，像是「在變更我的帳單地址時必須親自到櫃檯才能辦理」或者「我只會親自提出增加信用的請求。」
有人擔心對於個人資料的保護會阻礙進步，但首要問題是我們本來就不應該使用平凡的個人資料來當成認證的Token。有許多大量的個人資料是應該得到適當的保護，不過我的家族姓氏就不算是其中的一項。