問︰谷歌(Google)的Advanced Protection Program推薦的其中一款FIDO二步認證金鑰,發現有保安問題,需要停用,以及更換相關的金鑰,是哪一款金鑰出問題,又出了甚麼問題?
李建軍︰這次需要更換的金鑰,是谷歌委託中國深圳一間公司代為生產,以泰坦(Titan)為型號名的無線藍芽金鑰,而金鑰的機身,印有T1或T2字樣。谷歌指由於藍芽設定上的失誤,只要有人在你三十呎範圍內,對方在可以有你的密碼和帳戶名稱情況下,暗中取得你的資料。因為這次失誤,無法透過軟件升級解決,所以唯一方法是谷歌公司更換沒有問題,但同公司所生產的藍芽金鑰,雖然這個做法並不理想,但為保障自己仍然合資格使用Advanced Protection Program,這是暫時可行的方法,或再花一點錢,買另一間公司在美國和瑞典製造的NFC金鑰取代,或改用由歐美公司生產的藍芽金鑰。
問︰在之前翻牆問答,已經對這公司生產的金鑰有保留,如果並無使用相關金鑰,是否仍然要更換金鑰?
李建軍︰縱使你平日主力並非使用這次受影響的無線金鑰,但由於這次問題,涉及可能有人近距離遙控偷戶口的問題(在中國這種高度敏感的環境,相信中國當局或個別黑客,有可能濫用漏洞行事),以及慎防一旦你要使用後備金鑰時,可能面對的風險,因此,你平日有沒有用也好,谷歌雖然已經暫停有關金鑰,你仍然應該更換金鑰,並將舊金鑰交予谷歌公司處置,而不是在中國這種環境,隨意丟棄相關有問題的金鑰。
問︰那由谷歌手上換來的新金鑰,又應否使用?
李建軍︰如果仍然由相關中國公司生產,你做好配對後,就當成後備金鑰使用,縱使未有發現任何問題,平日不應主力使用中國公司生產的新金鑰。
問︰這次出問題的技術,在於被稱為BTLE的低耗能藍芽技術之上,其實這個技術安不安全?有否足夠的加密,避免問題發生?
李建軍︰理論上,如果相關金鑰使用藍芽4.0或以上的技術,因為已經有128位元的AES加密,不應該出現問題,但因藍芽始終是比較舊的技術,再加上有些設計人員處理不當的話,就會出現問題。理論上,藍芽用於二步認證金鑰上是安全,但實際上要視乎相關公司有否妥善作出設計。特別是藍芽本來並非用於保安相關的應用上,藍芽的用途廣泛,由最初用於耳機,到今時今日連廣告都會用得上藍芽,藍芽二步認證金鑰的安全度,實有賴生產商的謹慎行事。如果相關生產商,有生產銀行等使用的保安或加密產品經驗,會令使用者比較有信心使用。
問︰為何NFC技術,暫時又未有問題?
李建軍︰NFC技術因為本來設計用於財務交易之上,設計時所需發射範圍極短,而且加密方面十分之強,亦保留十分少的空間在一些未加密通訊之上,所以至今大部分信用卡等交易,仍然十分信賴NFC。如果你的手機是屬於比較新或高階手機,支援NFC功能,那你應該用NFC版的二步認證金鑰,而避免用藍芽版。藍芽版是針對無NFC支援,比較低階或舊型號手機,那只是一個技術上的過渡方案。
0:00 / 0:00