資安與個人資料保護

Marcus RANUM看法
就像大部份的讀者一樣，作者也相當關心電腦安全相關的新聞。在持續聽到資料遺失、可攜式電腦被偷的新聞，以及最近接到退伍軍人管理局(Veterans Administration)的通知信函後，我認為該是整理一些統計資料的時候了。綜合最近關於個人資料失竊的報告，我想大概只剩15位美國人的個人資料還沒有遭受波及。
雖然這些人可能根本還不存在於世界上。既然老方法的成效並不是那麼好的狀況下，我很好奇他們為何仍繼續使用相同的方法來處理事務。安全從業人員極力的告誡人們密碼不是一個良好的安全機制，可是金融產業、醫藥產業、以及政府部門還是決定採用長度為九位數的社會安全碼以及長度為16位數的信用卡號來當成處理事務時主要的身分識別要件，這聽起來是多麼愚蠢的一個主意。
有一個很簡單的解決方法：公開所有的資訊。藉由放棄特定項目資訊所具有的價值，才是改變整個系統最好的方式。請記住，在現實狀況下你已經放棄了那些資訊。為了讓情況有所改善，我們必須跨越拒絕
放棄特定項目資訊所具有的價值的心態。

相對於依靠沒有作用的秘密，我們可以有哪些實際作為呢？對於信用卡公司來說在延展信用之前增進身分識別的驗證是很簡單的。信用卡公司也必須這樣做，否則他們就會產生大量的金錢損失。例如，使用者進行地址變更時，必須提出地址證明，或者是電子商務網站只會送貨到記錄檔中的地址。我個人信用卡號碼最後一次被偷的時候(在網際網路上被偷的)，一家專賣高消費產品的網站將價值四千美金的手錶和鞋子送到位於多倫多的ASD HJK先生的手上，這真是太荒謬了。
現在個人資訊的處境正反映了電腦安全的狀態。最近十幾年，每一個人降低自己的警戒心並在這個新興的技術中建立人際互動的關係。在沒有建立安全的基礎建設以及沒有詳細思考如何系統化解決問題的狀況下，企業以及政府機構只能如同腳陷泥沼，一直到整個問題無法收拾。
可不可以提供一個簡單的修補例子？為何我的Visa信用卡服務不可以包含有一百個長度為30碼且隨機產生的數位編號的列表？將這個列表寄送到我註冊的地址，並且讓我利用此僅能單次使用的密碼來進行驗證，如變更註冊地址、或者解除信用卡遺失時的交易行為，及寄送貨物到非註冊地址的交易記錄？
最明顯的答案是使用雙因素認證和授權管理：兩個你所知電腦安全開始時的簡單概念，使用你所知的(something you know)加上你所擁有的(something you have)來阻擋網路釣魚(phishing)詐欺，以及讓使用者可以自己做出簡單的決定，像是「在變更我的帳單地址時必須親自到櫃檯才能辦理」或者「我只會親自提出增加信用的請求。」
有人擔心對於個人資料的保護會阻礙進步，但首要問題是我們本來就不應該使用平凡的個人資料來當成認證的Token。有許多大量的個人資料是應該得到適當的保護，不過我的家族姓氏就不算是其中的一項。
Bruce SCHNEIER看法
個人資訊保護是一個經濟層面的問題而不是安全問題。為什麼是經濟問題而不是安全問題呢？這些受委託保護我們個人資料的公司，並不會因為資料外洩而有損失。另一方面，個人資料被外洩的受害者並沒有能力來保護自己的資料。
事實上，個人資料很容易被竊取，且這些被偷的資料是有價值的。我們不可能只單獨解決其中一項問題。這兩個問題的解決方案並不容易達成，而且你可能也會不喜歡這些解決方案。
第一，修正經濟層面的問題。信用卡公司投入更多的財力來開發簡易信用並增加發卡量，而不是增加預防客戶被詐欺的預算。只要你是資料被竊時的唯一受害者(而不是信用卡公司本身)，信用卡公司就不會增強他們的安全。這樣的狀況對於銀行和經紀公司也是一樣的，一但你的帳戶被駭而產生損失，他們沒有任何動機去修復這個問題。而ChoicePoint這一類資料管理公司的狀況更是糟糕，如果你的資訊被洩漏，他們完全不會有任何損失。你和他們完全沒有任何商業來往；你甚至無法轉換到他們的競爭對手。
因為1968年誠信借貸法限制客戶因詐欺的財務損失責任上限為50美金，信用卡安全就變成現在所見的情況。如果信用卡公司把客戶被詐欺的財務損失轉嫁到客戶身上，那麼信用上公司就不會花費任何經費來阻止這些因詐欺而造成的財務損失。而當立法機構強制要求這些公司來承擔因詐欺的財務損失，公司就開始投入各式安全機制－即時交易驗證、檢驗交易資料庫的專家系統等來避免詐欺。將當事人放在最合適的位置以減輕必須承擔責任的風險。這樣的方式將可以強制資本家投入相關的投資。一但受到財務機構的關注要求保護我們免於遭受個人資訊竊取，這些公司才會願意進行安全投資。

第二，停止使用個人資料作為認證資訊。Marcus是對的， 密碼和Token遠比使用你的家族姓氏來的安全。但是我們必須認清一點：停止過於強調認證個人身分。某些時候你需要認證，例如，取得對電腦帳號的存取權限，但是多數的時候你並不需要。安全並沒有要求我們必須為了功能而放棄自己的隱私。
我們來看看信用卡是怎麼運作的？留意一下商店的售貨人員幾乎是不會比對你的簽名，甚至你可以在完全不用提供簽名的狀況下遠端的使用信用卡。信用卡產業在十年前就學到認證人群只會獲得有限的收益。取而代之的是投資認證交易記錄。而且透過這樣的機制還可以取得更佳的安全。這樣還不會解決保全我們個人資料的問題，但是可以降低威脅。一但資訊不再有價值，你只需要針對偷窺者來對資訊進行安全，而不用擔心一般常見存有財務動機的詐欺者。
第三，修補其他經濟問題。洩漏個人資訊的組織並不會因為這樣的行為而受到傷害。我們需要專業的隱私保護法，讓個人擁有個人資訊的自主權，並且允許個人可以採取行動來對抗受委託保管資訊卻不提供適當保護的組織。
使用「密碼」可以達到和信用卡號碼以及家族姓氏一樣的身分辨識效果，但是在個人資料隱私的問題上卻常常遺忘使用這個機制。我們必須拋棄難以使用並無用的安全系統，並且建立法律保護機制來保障因為科技所帶來的資料洩漏。

Marcus Ranum現任職於Tenable網路安全公司的CSO，也是知名安全技術的開發人員、老師、及講師。Bruce Schneier 現任職於 Counterpane網路安全公司的CTO及Beyond Fear: Thinking Sensibly about Security inan Uncertain World這本書的作者。