管理線上密碼
談到線上安全，許多使用者都會感到不知所措。Google 的 Mark Risher 和 Stephan Micklitz 談到，這些情緒也是開發安全性相關措施時的考量
Risher 先生，您是 Google 網際網路安全領域的產品管理總監，請問您曾遇過網路詐騙嗎？
Mark Risher：我一時想不到具體的例子，但我想應該確有其事。我和大家一樣，瀏覽網路時也會犯錯，例如我最近用我的 Google 密碼登入了一個錯誤的網站，幸好我已經安裝 Chrome 密碼防護警示擴充功能，因此有收到系統警示，我也立刻變更了密碼。
Google 隱私權與安全性團隊的工程總監 Stephan Micklitz：人類難免會犯錯。當我們記住密碼後，很容易下意識直接輸入密碼，卻對自己當下瀏覽的網站沒有足夠的警覺。
Risher：我們很希望能夠完全取消在登入帳戶時使用密碼的機制，可惜這麼做並不容易。
「我們現已在背後安排了許多安全性相關措施。」
Mark Risher
密碼有什麼壞處？
Risher：缺點很多。密碼容易遭竊，卻很難記住，而且管理密碼是一件非常無聊乏味的事。許多使用者認為密碼如果越複雜、越長，就越安全，事實上，複雜的密碼反而會提高安全性風險，因為使用者常會將幾個複雜密碼重複用於多個帳戶，讓帳戶更容易出現安全漏洞。
Micklitz：輸入密碼的頻率越低越好，因此建議不要頻繁登入及登出帳戶。如果常常登入及登出帳戶，可能會在一段時間後對自己瀏覽的網頁失去警覺，讓密碼小偷有機可乘，所以我們建議使用者保持登入狀態。
我的銀行網頁只要閒置幾分鐘，就會自動登出帳戶。
Micklitz：很可惜，許多公司仍未與時俱進。過去之所以會建議使用者時常登出帳戶，原因在於大多數人以前會到網路咖啡廳上網或與人共用電腦。根據我們的研究，使用者越常輸入密碼，就越容易成為網路攻擊的目標。因此，只要啟用手機或電腦的螢幕鎖定，再搭配安全的密碼，就能夠增加防護效果。
Risher：沒錯。很可惜，坊間流傳很多錯誤或不切實際的建議，因而造成許多使用者的困惑。最壞的情形是使用者因為不知所措而直接放棄，並認為「既然自我保護這麼困難，那就算了。」這種情況就像因為知道附近有竊賊，乾脆不關大門。
Mark Risher 是 Google 的安全性與隱私權產品管理總監。他在 2010 年成立網路安全新創公司 Impermium，Google 於 2014 年收購了該公司。從那之後，Risher 就在 Google 的加州山景城總部裡服務。右側相片裡是用於進階保護計畫的安全金鑰，只要支付一小筆購買費用即可用於各種網站中。
Google 如何在不使用密碼的情況下，確保使用者的安全？
Risher：我們現已在背後安排了許多額外的安全性相關措施。即便駭客可能會知道你的密碼和手機號碼，但我們依然能夠在 99.9% 的情況下保證 Google 帳戶的安全性。舉例來說，我們會檢查登入者使用的裝置或所在的國家/地區，如果有人在登入帳戶時連續多次輸入錯誤的密碼，就會觸發 Google 安全性系統的警示。
Micklitz：我們也開發了「安全設定檢查」這項工具，讓使用者可以逐步檢查 Google 帳戶中的個人安全性設定。此外，我們也透過進階保護計畫進一步保護使用者的安全。
為什麼會有開發這項計畫的念頭？
Micklitz：政治人物、企業高層或新聞記者等人特別容易成為犯罪者的下手目標，因此這項計畫一開始是為了這些人而開發。不過，凡是需要額外線上保護機制的人，現在都能加入這項計畫。加入計畫後，使用者必須使用特殊的 USB 或藍牙外接式安全金鑰，才能登入自己的 Google 帳戶。
Risher：所有 Google 員工都使用安全金鑰保護公司帳戶的安全，根據大家的使用經驗，我們知道這套系統非常有效。自從導入這項安全機制之後，我們就沒再遇到起因是密碼確認的網路詐騙案例。安全金鑰大幅強化了 Google 帳戶的安全性，即使攻擊者知道密碼，也會因為沒有金鑰而無法登入帳戶。一般來說，駭客可以從世界上任何地方駭入線上帳戶，卻無法入侵有實體安全金鑰保護的帳戶。
Micklitz：順帶一提，這些安全金鑰可支援許多不同的網站，並不是只能用於 Google 的進階保護計畫。你可以透過 Google 或其他供應商購買金鑰，購買時只要支付一小筆費用。如要瞭解詳情，請前往 g.co/advancedprotection。
「許多人有時會覺得評估網際網路風險並不容易。」
Stephan Micklitz
你認為網路世界現在潛藏的最大危機是什麼？
Risher：目前在網路上流傳的許多使用者名稱和密碼清單就是其中的一大問題。我們的同事 Tadek Pietraszek 和他的團隊花了六個星期搜尋網際網路，最後找到 35 億個使用者名稱和密碼組合。這些資料的來源並不是遭入侵的 Google 帳戶，而是來自其他供應商服務中遭人竊取的資料。不過，許多使用者將同一個密碼重複用於多個帳戶，這些清單同樣也會對我們造成問題。
Micklitz：我認為魚叉式網路釣魚 (spear phishing) 是很嚴重的問題。在這類攻擊中，攻擊者會精心設計個人化訊息，讓使用者因為難以察覺詐欺意圖而上當。我們發現越來越多駭客使用這種詐騙手法並且得逞。
Risher：我同意 Stephan 的看法，魚叉式網路釣魚 (spear phishing) 實際上並不像聽起來那般花時間。通常只要幾分鐘，就能設計出一封個人化垃圾電子郵件，而駭客可以根據使用者自己在網路上發布的資訊找出下手的目標。這就是加密貨幣的問題。舉例來說，假設有人公開宣稱自己擁有 10,000 枚比特幣，即使這個資訊引起網路犯罪份子覬覦，也不該因此而感到驚訝。
Micklitz：這就像是拿著一個大聲公，在菜市場中大肆公告自己的銀行帳戶餘額一樣。有人會這樣做嗎？應該沒有吧。不過，許多人有時會覺得評估網際網路風險並不容易。
一般的垃圾電子郵件還是問題嗎？
Risher：對我們來說，裝置和服務的連結是一大挑戰。大家除了會使用筆電和智慧型手機上網，也會透過電視、智慧型手錶和智慧型揚聲器瀏覽網路。這些裝置上都執行了許多應用程式，給了駭客許多可乘之機。此外，許多裝置現在會互相連結，因此駭客只要入侵一部裝置，就能夠嘗試存取其他裝置上的資料，也產生了我們現在必須解決的問題：在新的網路使用習慣越來越多的情況下，我們該如何確保使用者的線上安全？
Micklitz：我們要先自己想想，在每項服務中有哪些資料是必要的，而各項服務間又會交換哪些資料？
Stephan Micklitz
Google 隱私權與安全性團隊的工程總監。他於慕尼黑工業大學 (Technical University of Munich) 攻讀電腦科學，並從 2007 年下半年起於 Google 慕尼黑辦公室服務。Micklitz 是德國線上安全計畫組織 Deutschland sicher im Netz (DsiN) 的董事會成員。
如何透過人工智慧協助保護使用者？
Micklitz：Google 使用人工智慧已有很長一段時間。
Risher：這項技術一開始是應用在 Gmail 這項電子郵件服務中。Google 還自行開發了 TensorFlow 機器學習資料庫，協助工程師處理機器學習的工作。TensorFlow 在識別典型模式的成效極佳，因此對 Gmail 有很大的幫助。
可以請您解釋這個模式識別機制的運作方式嗎？
Risher：假設我們在多個使用者之間觀察到無法分類的可疑活動，可自我學習的機器會比較這些活動，並在最理想的情況下，搶先偵測到新型詐騙手法，防患於未然。
Micklitz：不過機器的成效取決於使用者，因此還是會有極限。假設我將錯誤或偏頗的資料提供給機器，最後必然會識別出錯誤或偏頗的模式。儘管人工智慧是時下顯學，但成效最終仍取決於使用者，使用者必須以高品質的資料訓練機器，並檢查訓練成果。
Risher：過去在另一家電子郵件服務供應商工作時，我曾收到一名拉哥斯的銀行員工寄來的郵件，當時網路上流竄著許多詐欺電子郵件，據說來源是奈及利亞。那位員工在信中抱怨自己雖然在信譽良好的銀行工作，但寄出的工作電子郵件老是跑到收件者的垃圾郵件資料夾，這個案例就是因資訊不足而造成模式識別錯誤一般化的典型，而我們可以透過變更演算法來解決這個問題。
照片來源：Conny Mirbach
資訊安全
瞭解跟世界上其他公司相比，Google 如何保障更多使用者的線上安全。
瞭解詳情