立場新聞 Stand News

「2017特首民投」認有安全漏洞 今更新系統 網絡安全專家:仍不建議使用

2017/2/8 — 16:42

「2017特首民投」網站

「2017特首民投」網站

供市民就提名特首參選人表態的「2017特首民投」昨日正式展開,但系統遭質疑有安全漏洞,用戶的通訊軟件Telegram戶口資料有機會被盗取。有份協辦的「公民數據」今承認系統有風險,並已凌晨更新系統,今早重新供市民使用,但有網絡安全專家接受《立場》查詢時指出,市民的Telegram戶口仍有被盗取風險,仍不建議使用投票系統。「前線科技人員」則呼籲,如果市民使用 Telegram 作機密用途,不應利用相關電話號碼參與是次投票。

由身兼高教界選委戴耀廷以及民間團體發起「特首民投」計劃,要求市民先需要輸入個人電話號碼,再透過通訊軟件Telegram取得短訊認證碼,若在Telegram設定了雙重認證的用戶,則需要輸入個人密碼才可繼續參與投票。

不過,有關做法惹來質疑,因用家變相把Telegram戶口使用權限交出,以致戶口有機會被盗取。「前線科技人員」、資訊科技界議員莫乃光等,昨日曾呼籲不要使用有關系統。

廣告

公民數據:攻擊儘管難度高  難以排除

有份協辦的「公民數據」今早回應,提及使用Telegram的本意,是儘量簡化使用程序,同時令系統更安全。公民數據承認,若然駭客成功繞過保安網站,找到系統伺服器,成功入侵並修改程式,用家確實有機會被盗取其Telegram戶口,「這種攻擊儘管難度高,但面對國家級網絡暴力,我們也實難排除其可能。」

廣告

公民數據指出,為挽回公眾信心,將提前開放源碼、每晚都會暫停一次系統,從可靠程式碼來源重新灌製程式,確保在系統上程式碼可靠等。公民數據的網頁,提及會加入了「完成提名即強制自動登出Telegram」功能。

不過,華爾基利信息安全研究組織電腦保安研究員賴灼東認為,系統的關鍵問題仍未見改善,用家的Telegram戶口仍有機會被盗取。

香港資訊科技商會資訊保安召集人范健文同樣不建議市民使用有關系統。范健文解釋,由於系統要求用戶輸入Telegram「雙重認證碼」,而「雙重認證碼」是保安「最後防線」,不應交予第三者,「(做法)是在底線以下。」

賴灼東強調,即使「特首民投」加密處理市民輸入資料,「但偷資料唔容易睇到足跡。」賴灼東提到,「特首民投」未公開交代,一旦系統被入侵的應對措施,包括如何通知用戶等問題。賴提到,自己也是Telegram用戶,對有關投票系統仍然有憂慮,不會使用。他認為,系統愈傾向簡單直接,愈有助保安,「點解要用咁複雜認證?網絡保安著重簡單、易明、流程清晰,盡量減少同第三方好多溝通,同目的不相符系統、Apps串連而又影響其他系統,這些就是電腦保安要思考地方。」

賴灼東指出,較適合的做法,是經電訊商作短訊認證,雖然所涉成本更高,但有關成本「不能慳」,如果未能解決現有問題,倒不如只用實體票站。

范健文則提到,過往數次民間電子公投面臨DoS(阻斷服務攻擊),估計「特首民投」計劃借用Telegram,是想把一部分被攻擊風險轉嫁予Telegram,但同時受制於Telegram程式,登入系統變相要使用Telegram雙重認證碼,暴露現有風險。

已投票市民可手動強制登出   改雙重認證密碼

范健文認為,坊間提出市民Telegram戶口有機會被盗取的質疑合理,「特首民投」計劃未有考慮清晰用戶疑慮及風險,有關方面應公開數據庫有否儲存用戶輸入的認證碼,有否足夠加密,系統有否諮詢第三者意見。

對於已經參與「2017特首民投」的市民,范健文建議,市民在Telegram可手動強制登出(即 Terminate all other sessions,步驟:Telegram Settings -> Active Sessions -> Terminate all other sessions),一旦系統被入侵,也可避免Telegram被盜用。

賴灼東提到,為安全計,市民可更改「雙重認證(Two- Step Verification)」的密碼。

若果本身並無Telegram的帳戶,已使用「2017特首民投」的市民,會自動被登記Telegram戶口,賴灼東指出,若果無意繼續Telegram,可考慮取消戶口(相關連結),待日後有需要時可重新申請。不過,要注意的是,一旦用戶取消戶口,Telegram以往的訊息也全數被删除。

前線科技人員則呼籲,如果市民使用 Telegram 作機密用途,不應利用相關電話號碼參與是次投票,即使市民 Telegram 並非用作機密用途,仍然建議使用者在投票前先暫停雙重認證,並於投票後重啟,或於投票後更改雙重認證的密碼。
 

發表意見