管理​網​上​密碼

Risher ​先生，​您​是​ Google ​的​產品​管理​總監，​負責​互​聯網​安全​方面​的​工作。​您有​沒有​試過​成為​網​上​騙局​的​受害​者​？

Mark Risher：​我​現​在​想不​到​具​體​例子，​只能​假​設​自己​有​試過。​我​和​其他​人​一樣，​在​上網​時​亦會​犯錯。​例如，​我​最近​試過​在​錯誤​的​網站​上​輸入​自己​的​ Google​ ​密碼。​幸好​我​有​安裝 Chrome ​的​『密​碼​防護​警示​』外掛​程式，​程式​及​時​指出​了​我​的​錯誤。​之後，​我​當然​立即​更​改​自己​的​密碼。

Google ​私隱​及​安全​團隊​工程​總監 ​Stephan Micklitz：​這​是​人之​常情。​當我們​記住​密碼​之後，​很​容易​就​會​隨便​輸入​密碼，​而​沒有​仔細​留意​輸入​密碼​的​地方。

Risher：​我們​也​希望​可以​完全​棄​用​密碼，​不過​這​並​非易事。

「許多​安全​措施都​在​幕後​進行。​」

Mark Risher

密碼​有​什麼​問題？

Risher：​密碼​有​很​多​弱點。​它們​容易​被​盜，​同時​又​難​以​牢記，​而且​管理​密碼​的​工作​可能​非常​煩瑣。​很多​使用​者​以​為​密碼​越長​越複雜​就​越好，​但​其實​這​只會​增加​安全​風險。​如果​密​碼​太​複雜，​就會​讓​使用​者​想偷懶，​在​多​個​帳戶​上​重複​使用​同​一​密碼，​結果​令​密碼​更易​受到​攻擊。

Micklitz：​越少​輸​入​密碼​就​越​安全。​所以​您應​避免​重複​登入​並​登出​帳戶。​經常​這樣​做，​使用​者​就會​對​自己​正在​瀏覽​的​網頁​減低​戒心，​令​密​碼竊賊​有​機​可​乘。​因此​我們​建議​使用​者​保持​登入​帳戶。

在​使用​銀行​網站​的​時候，​假如​我​閒置​了​數​分鐘，​網站​就​會​把​我​自動​登出。

Micklitz：​可惜​的​是，​很多​公司​仍然​墨守​成規。​以​前會​建議​使用​者​恆常​登出，​是​因為​那時​候​很​多​人會​在​網吧​上網，​又​或​者​與​其他​人​共用​電腦。​我們​的​研究​顯示，​使用​者​輸入​密碼​的​次數​越多，​就​越易​成為​網上​攻擊​的​受害者。​所以​更​安全​的​做法，​是​在​您​的​手機​或​電腦​上​啟用​螢幕​鎖定​功能，​同時​使用​一​個​安全​的​密碼。

Risher：​沒錯。​很​可​惜現​時​有​很​多​虛假​或​不設​實際​的​建議​到​處流傳，​令​很​多​使用​者​感到​混淆。​最壞​的​情況​是​使用​者​感到​毫無​保障，​於​是​乾脆​放棄：​「要​保護​自己​這​麼​困難，​那多​做​不如少​做​好​了。​」​情況​就​有​點像​家​裡​的​大門​從​不​上鎖，​因為​您知​道到​處​都​有​爆竊案，​簡直防​不​勝防。

Mark Risher ​是​ Google​ ​安全​及​私隱​產品​管理​總監。​20​1​0年，​他​創立​了​網絡​安全​初創公司​ Impermium，​該​公司​於​ 2​01​4 年​被​ ​Google ​收購。​此​後，​Risher ​一直​在​位於​加州​山景城​的​公司​總部​工作。​右方：​進階​保護​功​能​程式​中​使用​的​安全​密鑰。​只需​支付少​許​費用，​就​可以​在​不同​網站​上​使用。

如果​密碼​被​淘汰，​Google ​可以​怎樣​確保​使用者​的​網上​安全？

Risher：​我們​早​已​在​背後​採取​了​不少額​外​的​安全​措施。​駭客​可能​知​道您​的​密碼​和​手機​號碼，​但​我們​仍然​可以​保證您​的​ Google 帳戶​ 99.9​%​ ​安全。​舉例​而言，​我們​會​檢查​使用​者​從​哪些​裝置​或​國家​/​地區​登入。​假如​有​人​連續​數​次​嘗試​以​錯誤​密碼​登入您​的​帳戶，​就會​觸發​我們​安全​系統​中​的​警報。

Micklitz：​我們​也​開發出​「安全​檢查」，​讓​使用​者​可以​在​自己​的​ Google ​帳戶​中逐步​檢查​自己​的​個人​安全​設定。​而​「進階​保護​功能」​計劃​則​可​進一步​加強​保安​防範。

這​個​計劃​的​理念​是​什麼？

Micklitz：​這​個​計劃​原本​專為​政治​人物、​行政​總裁​或​記者​等​特別​易受​不法​之​徒​針對​的​人士​而​設，​但​現在​已​向​任何​希望​獲得額​外網​上​安全​保護​的​人士​提供。​使用​者​需要​有​特別​的​ U​S​B ​或​藍牙外​接式​安全​密鑰，​才​能​存取​其​受​保護​的​ Google ​帳戶。

Risher：​經驗​告訴​我們​這​套​系統​相當​有效，​因為​所有​ Google​ ​員工​都​以​安全​密​鑰來​保障​自己​的​公司​帳戶。​自​這​項​安全​措施​推出​以來，​我們​從​未​有​過​一​宗​仿冒詐騙​個案​的​問題​根源，​可以​追溯​至​密碼確認​問題。​這​種​憑證​能​大幅​提升​ Google ​帳戶​的​安全性，​因為​即使​入​侵​者​知道​密碼，​沒有​憑證​在​手一樣​無法​存取​帳戶。​一般​而言，​網上​帳戶​可​在​世界​上​任何​地方​被​入​侵；​但​假如​帳戶​使用​實物​安全​憑證來​加強​保護，​這​種​問題​就​不會​出現。

Micklitz：​其實​這些​安全​憑證可以​用於​多​個​網站，​而​不​只是​ Google ​的​「進階​保護​功能」​計劃。​您​只​需​支付少​許​費用，​就​可以​向​我們​或​其他​供​應​商購買​憑證。​詳​情請​參閱g.co/advancedprotection。

「我們​有​時難​以​評估​網​上​的​風險。​」

Stephan Micklitz

您​認為​目前​互​聯網​中隱​藏著​的​最​大​危機​是​什麼？

Risher：​網上​大量​載​有​使用​者​名稱​和​密碼​的​清單​是​一​大​問題。​我們​的​同事​ Tadek Pietrasze​k ​和​他​的​團隊​花​了​ 6​ ​星期​尋遍​互​聯網，​發現​了​ 3​5 億​個​使用​者​名稱​和​密碼​組合。​這些​資料​並​非來自​駭​客入侵​的​ Google ​帳戶，​而​是​其他​供​應商​的​被​盜​資料。​但​由於​很多​使用​者​為​不同​帳戶​設定​同​一​個​密碼，​這些​清單​對​我們​而言​也​是​個​問題。

Micklitz：​我​認為​魚叉式​網絡​釣魚​是​個​大​問題。​攻擊​者會​利用​巧妙​的​出​個​人化​的​訊息，​令​受害者​無法​識別​出欺​詐行為。​我們​看到​駭客​越來​越常​使用​這​種​方式，​並​取得​成功。

Risher：​我​同意 Stephan ​的​看法。​魚叉式​網絡​釣魚​並​非​如​想像​中​般​耗​時，​個人化​的​垃圾​郵件​只​需數​分鐘便​可​寫出，​而​駭客​更​可​利用​使用​者​在​網上​發佈​的​個人​資訊來​撰寫​訊息。​這​個​問題​與​加密​貨幣​特別​相關，​舉例來​說：​如果​有​人​公開​自己​擁有​ 10,00​0​ ​比​特幣，​自然​會​吸引​網​絡​罪犯​的​注意。

Micklitz：​就​像站​在​市場​中心​拿起​擴音​器​宣讀​自己​的​銀行​帳戶​結餘​一樣。​有​人會​這樣​做嗎？​沒有。​但​我們​有​時難​以​評估​網​上​的​風險。

一般​的​垃圾​郵件​仍然​是​個​問題​嗎？

Risher：​裝置​和​服務​之間​的​連結​對​我們​而言​是​個​重大​挑戰。​大家​不再​只用​手​提電腦​和​智​能​手機​上網，​亦會​透過​電視、​智能​手錶​和​智​能​喇叭​連接​互​聯網。​這些​裝置​執行​多​個​應用​程式，​讓​駭客​有​更多​不​同​機會​發動​攻擊。​由於​現在​很​多​裝置​均​互​相​連接，​駭客​可以​使用​一部​裝置​來嘗試​存​取​儲存在​其他​裝置​上​的​資料。​因此，​我們​現在​要​面對​的​問題​是：​我們​如何​因應​這​種​全​新​的​使用​習慣，​繼續​保障​使用者​的​安全？

Micklitz：​於​是​我們​開始​問​自己：​每​項​服務​真正​需要​的​資料​是​什麼，​同時​有​什麼​資料會​在​服務​之間​互相交換。

您如何​運用​人​工智​能​來​保護​使用​者？

Micklitz：​Google ​至今​已經​使用​人工智​能​好​一段​時間​了。

Risher：​我們​的​電郵​服務​ Gmail ​一​開始​就​已經​融合​了​人​工智​能​科技。​Google ​甚至​自行​開發機器​學習​資料庫​並​取​名​為 Tensor​Flow，​以​協助​機器​學習​的​程式​編寫​人​員​工作​更​暢順。​Gmail 尤​其​受​惠於​ Tensor​Flow：​在​識別​典型​模式​上，​Tensor​Flow ​為​ Gmail ​提供​了​非常​重要​的​服務。

請​問​這​種​模式​識別​功能​如何​運作？

Risher：​假設​我們​觀察到​多​位​使用​者​出現​可​疑​活動，​而​又​無法​將​之​分類。​自我​學習​機器​可以​比較​這些​可疑​活動，​並​在​最佳​情況​下於​新​的​欺詐​形式​在​網上​散播前​及​早偵測。

Micklitz：​當中​其實​仍​有​限制：​機器​的​智能​水平​無法​高過​使用者。​如果​我​向​機器​提供​錯誤​或​單方面​的​資料，​機器​亦​會​識別​出​錯誤​或​單方面​的​模式。​雖然​現時​大眾​對​人​工智​能​充滿​期待，​人工​智能​的​成效​仍​需視乎​使用者。​使用​者​需要​用​高質素​的​資料來​訓練​機器，​並​在​之後​檢查​結果。

Risher：​當我​在​為另​一間​電郵​服務​供​應商​工作​時，​曾經​有​一​位拉​各斯​的​銀行​員工​向​我們​傳來​訊息。​當時，​網上​流​傳​許多​估計來自​尼日利亞​的​欺詐​電郵。​這​位​銀行​員工​向​我們​投訴，​雖然​他​的​公司​是​信譽​良好​的​銀行，​但​他​的​電郵​總是​落入​收件​者​的​垃圾​郵件​資料夾。​這​是​典型​的​案例，​展示出​模式​識別​功​能​因為​資料​不足​而​導致錯誤歸納。​透過​變​更​演算法，​我們​最​終​成功​協助​解決​此​問題。

。

相片：​Conny Mirbach