键盘资工博士生发表一下看法，虽然我不是做资讯安全方面的。 而且我也不确定这跟博士後有什麽相关啦... 1. 电信设备几乎都是SoC，来的时候直接整台过来，这对资安的分析来说是很大的挑战。 从硬体的角度来说，他都变成晶片封装还焊好出货给你了，你要分析它里面有没有漏洞， 除了把他当一个blackbox测试之外，还有什麽其他的方法？ 就算你可以拆封装去拍他里面的layout，这样可以看得出里面有没有埋不该埋的功能？ (这部份我比较不熟，如果真的有方法可以这样就看出问题，还请不吝赐教) 从软体的角度来说，对方一定没给你source code，所以你只能从binary去分析， 就算给你source code，你也要确定他那个binary真的是用这份Code编出来的...... 你还要确定binary是你看得懂的，这又要回到硬体/指令集的问题了。 一般来说就算有原始码，作static code analysis都不见得可以找到所有的漏洞了， 所以基本上，如果他出货给你的时候里面有埋不该埋的东西，我认为很难抓。 至於您问到台湾有没有人才可以做这样的检测，我认为应该有， 但是政府要花多少成本多少时间去做？政府卖方买方才能接受？ 鸿海可以接受等三年中科院国科会计画结束後才能买吗？华为愿意配合释出Source吗？ 就算有人才，也要有时间有预算才能做得出来，更不用说上面有没有想要做的问题... 2. 华为的手机台湾到处都买的到，如果有後门，一台机器泄漏的是几位民众的资讯， 鸿海今天身为ISP，所采购的东西是所谓的骨干设备， 这东西一出包牵扯到的可能是数十万甚至上百万的用户，风险自然比起一般手机来的高。 所以谨慎的程度自然应该比起一般民众选购手机、家用路由器等等来的高。 话又说回来，国安机构难道会轻易采购华为的手机进来用吗？(现在的政府是有可能啦...) 就算不想买华为的手机，你难道可以知道你的ISP经过了哪些厂商的Router吗？ 所以说NCC在设备上进行管制我认为是有他的道理的，因为关系重大而且使用者无法选择。 至於您提到的微软的OS更新，如果是在敏感的单位确实是会造成问题， 除了安全性的隐忧之外，还有更新打上去会不会造成相容性的问题等， 所以就算是使用微软的产品，也不是每个地方都有那个胆子给他放着让他自动更新的。 3. 至於为什麽要针对华为？因为华为有很浓厚的解放军背景。 华为创始人兼总裁任正非本身就是解放军军官退役， 华为也在资金与订单上受到中国政府的大力赞助，光是这点就足以提防了。 说到为什麽不针对Cisco一样提防，难道美国有宣称我们是美国神圣不可分割的一部份吗？ 最後我做个结论，资讯软硬体跟一般东西不同，很难用工程的方法来确保完全没问题， 因为本身有太多的可能性存在，所以补洞上patch已经成为资讯人员的日常。 君不见就连Open Source的OpenSSL 也可以出一个这麽大的Heartbleed漏洞了。 在这样的前提下，鸿海居然想要在骨干网路的采购上面，在有取代性商品的情况下， 去购买一个不承认你国家主权的不友善邻国中，有明显军事背景的厂商的设备？ 我认为不应该为了便宜冒这个风险。 最後，跟上文比较没关，但是提到了打仗时会不会用对方的子弹， 用假子弹去刻意膛炸敌人武器的事，二次世界大战几乎各国都有干过， 美军在打越战时也弄了个Project Eldest Son，专门生产膛炸子弹。 从这个例子更可以看出，如果对方是你的敌人，你就应该更提防对方恶毒的手段。 ※ 引述《ggg12345 (ggg)》之铭言： : 大陆对日抗战时, 捡到或俘获敌人的三八步枪与子弹, 会因敌伪安全考量而不用吗? : 华为的手机也进军台湾, 上网都买得到, 这会也是资安问题吗? : 微软的OS每天都会定时上网 update, 这会不会有严重的资安与国安问题? : 台湾也培养甚至设置了一些资安人才的技术官员职位, 这些人难道无法处理 : 这些外来的设备与软体? : ============================================================================== : http://news.ltn.com.tw/news/business/breakingnews/1003201 : 郭台铭杠上NCC 扬言拒绝缴税 : 2014-05-08 15:23 : 〔本报讯〕鸿海董事长郭台铭去年取得4G执照，正式跨足电信业，但他想采用中国厂商华 : 为的基地台，因此计划被卡在国家通讯传播委员会（NCC），郭台铭今天表示，不论NCC肯 : 不肯放行，都要在1周内给出清楚答覆，否则他拒绝缴税。 : 台湾4G市场即将开打，电信业者为了节省成本，希望采购华为的电信设备，首先提出申请 : 的，就是鸿海旗下的国碁电子，但NCC尚未做出决定，导致国碁的计画书遭到搁置，也让 : 郭台铭与NCC杠上。 : 有媒体指出，NCC曾私下希望国碁撤件，否则其他业者都会「有样学样」采购中国厂商的 : 设备，不过郭台铭不肯，要求NCC给个理由。 : 郭台铭表示，台湾电信业者采用华为的网通设备，并非国安问题，「要看用刀的人，不是 : 作刀的人」，且用华为设备其实是互补双赢。 : 郭台铭也讲明，NCC一定要在一周内给出明确答覆和理由，更不可以私下撤案，否则他会 : 拒绝缴税。 --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 118.168.98.42 ※ 文章网址: http://webptt.com/cn.aspx?n=bbs/AfterPhD/M.1399863262.A.6C4.html