【翻墙问答】 TPM晶片及Wifi WPA2加密漏洞 须更新软件

2017-10-20
电邮
评论
分享
打印
  • 打印
  • 分享
  • 评论
  • 电邮

如何对你用的加密匙作出测试

问︰近日,都有很多加密匙保安太弱的问题被暴露出来,其中比较严重是英飞凌公司的TPM晶片,因为所用的加密演算法程式太弱,产生很多加密匙都很容易被黑客攻破,这到底是怎样一回事?

李建军︰所谓的TPM晶片,中文名叫可信平台模块,由2006年后出产的手提电脑,以及不少手机都内置这个晶片,为产生加密匙时提供一个独一无二的签署,提高黑客破解的难度。而德国英飞凌公司出产的TPM晶片,其实的一个程式库出现漏洞,黑客可以透过取得公用匙,推算出私密匙的资料,这会对很多人的系统构成相当大的威胁。由于很多手机和电脑都使用英飞凌公司的晶片,所以现时有可能要对不同的电脑或手机软件作出大规模更新,以补救这个漏洞所造成的问题。由于用户不一定知道自己的电脑或手机,或用作产生加密匙的机器,是否受这次事件影响。因此,我会建议听众,尽早对日常使用的加密匙,特别用作加密电邮用的加密匙,以及自己网站的数码证书作出测试,以策安全。

问︰那我怎知自己的PGP或其他加密匙所用的加密技术有没有问题,是否容易被攻破?

李建军︰如果用PGP或其他加密匙,可以透过研究这个保安漏洞团队组织的网站,测试一下PGP或其他加密匙,是否受这次英飞凌公司晶片所用的RSA程式库太弱问题所影响。这次翻墙问答,我准备了视频,示范如何对你用的加密匙作出测试,欢迎各位听众浏览本台网站,收看有关视频。

问︰在之前的翻墙问答曾介绍一些二步认证用的USB加密匙,在这次事件有否受影响,因为不少都使用英飞凌公司的技术。

李建军︰近年买的型号应不受影响,但早期的型号有可能出问题,最好前往制造商的网站下载最新软件,修补相关漏洞。这次事件由于可以靠软件来修补,因此现时使用USB二步认证匙为户口加密的听众,不用买新型号,或者停用手上的二步认证匙。

问︰近日除了英飞凌公司的TPM问题,另有Wifi WPA2加密有漏洞的问题,这是甚么漏洞?暂时有否解决方案?

李建军︰WPA2由于演算法有漏洞,黑客可以突破加密机制,甚至连http加密都可以突破,取得用户不同敏感资料。只不过这个漏洞同样可以利用软件修补,现时Windows以及Mac,还有iOS设备,都可以透过更新作业系统作出修补,只要你的作业系统是最新版本,那就不会受到这个问题困扰,一切在Wifi上的通讯,基本上是安全的。

但这次事件的重灾区其实是Android手机,Android 6.0以上手机的受灾情况最严重,而谷歌预料在11月中至12月初,才陆续发放修补漏洞的软件,所以现时使用Android手机的听众,不要透过Wifi处理敏感资料。由于中国情况比较特殊,国有电讯公司都信不过,因此,在海外可以纯粹关闭WiFi,用3G和4G网络处理财务敏感资料,但在中国,很可能要停用任何Android手机处理敏感资料,直至谷歌以及你的手机生产商推出更新软件,并成功安装为止。

部分小厂商有可能不提供更新软件,这意味著你的手机一直会受到这个保安漏洞所困扰,若然你的手机未有软件更新,唯一可以做的,就是不要在这部手机处理任何敏感资料,并且另买一部新机,而新机的作业系统必须在购买的时候,已经更新妥当。

完整网站