再探披著新羊皮的狼
▶▶▶不斷更新/0403地震 情況速報
接續3月21日前文「披著新羊皮的狼」提醒幾個重大「資訊安全」危機?近更聽說特定國內銀行業者在認和資訊人員陪同下,分別在去年十月與今年二月間曾專程拜訪「光大銀行」、「廣發銀行」、「廈門銀行」、以及「中國銀行」等單位,觀摹所謂先進的「信用卡核心系統」,並稱可能有七、八成機會考慮採用(更有說法刻在採購過程中)?當然也有銀行業者基於高強度資安顧慮斷然拒絕。
首先從「市場面」分析,根Nilson Report 預測,未來十年間,全球信用支付卡產業估算因詐欺、網路漏洞而造成的損失金額累積近四千億美元左右,因此銀行業者花費數百萬美元成本提昇引進先進的「信用卡核心系統」(簡稱PCI DSS)或有需要?
再以「資訊防護面」分析,僅略為深入探討「信用卡核心系統」 PCI DSS 處理的持卡人交易資料內容,表面上係包括「主要帳戶號碼」:即卡片上的帳戶號碼,通常為 16 位數字;「全名」:持卡人姓名;「到期日」:以及卡片到期時的月份和年份;「服務代碼」:自動從信用卡晶片中取回的數值,以便進行交易。
而PCI DSS 涵蓋的敏感認證資料則涵蓋「全軌資料」:信用卡芯片上同等資料;「卡片驗證碼」:芯片卡片上的三位數或四位數安全碼,網上購物時必須使用;「到期日」:卡片到期時間;以及「個人識別號碼 (PIN)」:允許 ATM 提款和其他交易的唯一號碼(通常是四位數)等;
另國際標準PCI DSS 基本框架至少應具備十二項基本「防狼要求」(具有 300 多項子要求),如安裝和維護防火牆;不要在連線網路裝置上使用廠商預設密碼;透過加密保護儲存持卡人資料;在開放公共網路上加密持卡人資料;防範惡意軟體;以及維護安全系統和應用程式等;同時要求在「需要知道」基礎上限制持卡人資料存取;識別並認證系統元件存取權限;控制和限制對持卡人資料實體存取;監控對持卡人資料片存取;定期測試安全系統;以及維護資訊安全政策。
聽說國內銀行業者要求「狼性」軟體廠商交付「原始碼軟體」來自我保證「資訊安全」?然其是否能代表高強度「資訊安全」作為,答案是絕對否定的。因為木馬化的「開放原始碼」極難被發掘,它們看起來就跟正常軟體一樣毫不起眼,特別適用於「目標式攻擊」與「潜伏式功擊」。
暫且不探討「龐大資料庫維運」、「大數據運算」、以「AI建模」等議題;前述重要資訊主、側翼防護強度至少應該與「數位國民卡」並駕齊驅?試問國內法規能否適時管轄、監督?國內主管機關(數位部、金管會、甚至國安單位等)能不擔心嗎?日日使用「信用支付卡」的民眾能不受怕嗎?值得三思!
再倒檔「披著羊皮的狼」歌詞內容:「我小心翼翼的接近怕你在夢中驚醒,…….,我决定我就是那一隻披著羊皮的狼;..….,我確定你就是那我心中如花的羔羊!」等語,不由得心跳加速,可能是「杞人憂天」嗎?