軟體安全性缺失成為買賣標的

  瑞士的網路安全公司WSLabi於2007年7月9日宣佈一項訊息,未來將在線上公開交易或交換一些軟體的安全性漏洞和弱點予軟體相關研究人員、安全代理商和軟體公司,價格從數百美元至數萬美元不等。而此意謂拍賣軟體瑕疵的新興市場即將被打開。

 

  WSLabi公開拍賣軟體弱點與漏洞的作法引起了很大的爭論。以往軟體安全業者於發現軟體的弱點後,會與軟體開發者合作修補安全性弱點和漏洞,待修補完成後再公開宣佈修補軟體安全性弱點之相關訊息。但該公司的新作法將導致軟體公司未來可能因為無法及時修補弱點而商譽受損。因此該項計畫雖尚未實行,卻引起了不同看法的爭辯:支持者表示,此一計畫將有助於改善軟體弱點及安全漏洞的問題,並可鼓勵對於軟體的弱點的深入研究;然反對者卻認為,如果軟體的弱點和安全漏洞因而落入有心人的手中,利用於犯罪或幫助他人犯罪,將會對資訊安全形成極大威脅。再者,把其他公司開發的軟體弱點在市場上交易,可能也會引發道德與合法性的問題。

 

  WSLabi於瞭解這項做法可能引起侵害著作權(重製、散布、販賣軟體等行為)、營業秘密與犯罪防治等法律上的爭議及國家安全的問題後表示,他們將會審慎地過濾選擇買主,不會將研究之結果出售予犯罪者或敵國政府。雖然如此,他們的說法仍引起質疑,畢竟判斷買主是否為善意或確定身份並非易事。

相關連結
※ 軟體安全性缺失成為買賣標的, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=2340&no=0&tp=1 (最後瀏覽日:2024/11/22)
引註此篇文章
你可能還會想看
德國聯邦政府提出《資訊科技安全法2.0》草案

  德國聯邦政府(Bundesregierung)於2020年12月16日通過「提升資訊科技系統安全性的第二版法律(Zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme)」草案,又稱「資訊科技安全法2.0(IT-Sicherheitsgesetz 2.0)」,該草案概述如下: (1)加強德國聯邦資訊安全局(Bundesamt für Sicherheit in der Informationstechnik, BSI)權限: BSI可對聯邦行政事務行使控制與審查權、檢測資訊系統和公共電信網路相連的安全弱點、發展分析惡意軟體和攻擊的系統與程序,並擴張其對聯邦通訊技術紀錄資料的儲存期間至12個月。 (2)加強消費者保護: 導入IT安全標籤(IT-Sicherheitskennzeichen),製造商應於該標籤中置入產品安全性聲明與由BSI提供之IT安全性資訊;此外BSI有權要求電信服務業者和產品製造商提供其儲存資料與相關必要資訊。 (3)加強企業作為義務: 關鍵基礎設施提供者有報告及使用攻擊檢測系統檢測安全威脅的義務,該報告義務在草案中將擴張適用於具特定公共利益之公司,如與國防和保密資訊IT產業相關、具經濟上重要性的公司,以及受重大事故條例(Störfallverordnung, StöV)所規範者。 (4)加強國家保護功能: 國家應建立認證機制,並課予關鍵基礎設施的供應者通過該認證的義務,即供應者需確保其設施內的零件不具不適當的技術特性,尤其可能被間諜活動或恐怖主義用以破壞關鍵基礎設施的安全與功能之重要零件。   該草案目前於德國聯邦議院(Deutscher Bundestag)進行審查。

Blizzard使用Battle Tag取代網路實名制,並提供驗證器保護玩家帳戶

  自從2010年07月Blizzad曾經宣布針對旗下網站論壇欲推動實名制引起廣大爭議後,於沈寂一年後宣布採用Battle Tag取代原本想推動的實名方式,Battle Tag 類似連網帳號綁定的方式,由玩家自行選擇一個名稱,而該名稱最終將整合成為玩家在Blizzard旗下所有遊戲的官方網站或社群論壇的身分。   Battle Tag讓玩家用新的方式管理他們的帳戶資料,同時可以讓曾經在遊戲中並肩作戰的玩家,在不同遊戲間找到彼此,而能保持聯繫。原本Blizzard推實名制的目的之一在於確保玩家是否年滿18歲,但因引發爭議而作罷。現在他們使用Battle Tag作為替代方法,而Battle Tag 其實是由玩家自行選擇一個帳號名稱,另外再由系統隨機分配4位數的代碼方式(例如:名稱#1234),藉此創設出玩家自己獨特的名稱。   另一方面,為了保護這些整合的帳戶,且提昇玩家的帳戶安全,Blizzard並採用驗證器(Keychain Authenticator、 Mobile Authenticator),實際上驗證器就是一種憑證,玩家將驗證器與帳號連結後,即可讓自己的帳戶增加一層防護,Blizzard藉此希望降低玩家帳戶被盜的風險,因為越多玩家參與的遊戲,其帳戶實體價值可能越高,且2012年5月15日發售的暗黑破壞神3(Diablo Ⅲ),更開放了亞洲區以外的遊戲虛擬物品的現金拍賣場,如此玩家的帳戶更需要重重保護,不過才發售不到一週的時間,就有許多玩家回報帳戶遭盜用,其中亦有使用驗證器保護帳戶的玩家聲稱仍然遭盜用。

歐盟批准Google併購DoubleClick公司

  Google 在2007年4月買下DoubleClick之後,競標落敗的微軟連同其他Google對手,控告Google和DoubleClick的結合,恐怕有壟斷之嫌,因此引來FTC和歐盟執委會的調查。   Google此前已經於去年12月首先取得美國聯邦貿易委員會的併購核準。歐盟執行委員會(EUropean Commission;EC)則於日前宣布通過無條件批准Google以31億美元收購線上廣告業者DoubleClick的購併案。   另據CNN Money網站報導,歐盟執委會通過雙方合併,主要基於沒有重大證據顯示,雙方的結合將會削弱微軟(Microsoft)、雅虎(Yahoo!)、美國線上(AOL)等競爭對手的生存空間;其次,Google和DoubleClick彼此並不存在競爭關係,雙方合併對線上廣告市場的競爭,不至於帶來負面的衝擊。   不過,提倡保護個人隱私的組織反對該收購交易,他們認為Google與DoubleClick合併之後,使兩家公司更容易獲取消費者個人資訊。但是歐盟執委會表示個人隱私權問題並非是否同意兩家公司合併的考量事項。   在得到歐盟方面正式核準之後,Google將會正式採取行動併購DoubleClick,將其線上廣告的經營,從文字廣告拓展至顯示廣告(display advertisement)領域。但在這塊線上廣告市場的步步進逼,勢必會刺激微軟加速買下雅虎的決心。

美國 FCC 公布「衛星補充涵蓋」監理架構,持續向「未來單一網路」的政策願景邁進

美國聯邦通訊委員會(Federal Communications Commission, FCC)於2024年3月14日通過「衛星補充涵蓋(Supplemental Coverage from Space, SCS)」的監理架構,未來將增修聯邦法規電信專章(Title 47 of Code of Federal Regulation)開放600 MHz、700MHz、800 MHz、1800MHz中部分頻段及AWS H-block(1915-1920 /1995-2000 MHz),容許衛星通訊業者向地面行動通訊業者租用頻譜提供SCS服務。 SCS能讓用戶透過手機等既有的行動通訊終端接收衛星訊號,如Starlink目前正與T-mobile合作試驗,透過其第二代低軌衛星提供的手機直連(Direct to Cell)服務,能大幅延伸地面行動通訊系統的涵蓋區域。但為了最大程度防止有害干擾,FCC劃出6個獨立地理區域(Geographically Independent Area, GIA),地面行動通訊業者若要將頻譜出租予衛星通訊業者,除出租頻率需屬於SCS頻段外,還必須在一個GIA內擁有所有與出租頻率同頻的所有執照(all co-channel licenses),而衛星通訊業者僅能基於頻率租用協議,在該GIA內以次級使用的方式提供SCS服務。 雖然2023年底於杜拜落幕的世界無線通訊大會(WRC-23)才剛決議(Resolution com6/9 WRC-23)把「研究指配新頻率供衛星直接與地面行動通訊終端連接,以補充地面行動通訊的涵蓋範圍」納入WRC-27的議程項目 (Agenda Item 1.13 WRC-27),FCC就搶先開放SCS頻段,但表示會積極參與國際研究與活動,確保在國際電信聯盟(International Telecommunication Union, ITU)的無線電規則(Radio Regulation)下建立的SCS相關國際監理機制能取得重大進展,並隨著SCS市場的發展逐步開放能夠運用的頻段與應用場景,期能充分發揮衛星通訊與地面行動通訊整合的效益,互補不易涵蓋的區域並無縫銜接,達成「未來單一網路」(Single Network Future)的政策願景。

TOP