大家都知道买猪肉 要买有认证的猪肉就要经过CAS认证 写App也是有资安认证的 MAS (mobile app security) 也就是 经济部工业局 行动应用App基本资安自主检测推动制度 这次台北市自己没有经过资安认证 可见 又是地方政府与中央不同调的关系 ------------------ 如果App 又牵涉到金流的部分 不单单只是要经过国家的验证 更是要经过国际的认证 而不是App开发完就Release 台北市政府资讯局如此行事真的令人担忧 ※ 引述《clsshan2010 (livingroom)》之铭言： : 未用 HTTPS、明文传输密码，pay.taipei 北市府支付平台安全性不及格 : 更新： : 台北市政府资讯局 27 日晚间 发出声明 ，表示已於 6 月 27 日下午 2 时发现 app 存 : 在资安风险，背景资料未采用较安全的方式传输，并於当日下午 4 时 做应变处理完毕。 : 因系统上线仍有资料更新及修正所需时间，网站会 在 6 月 27 日完成更新重新上线，而 : app 暂停服务会需要 2 到 3 天左 右的时间再度上线提供服务。 : 原本预计 5 月初上线，由台北市政府推行的一站式缴费平台 pay.taipei 经历延後推出 : ，终於在 6/25 正式上线。 : 然而上线後网友却不太满意，从图示、logo 太丑，到使用体验太差的意见都有，也可以 : 从 Google Play 上 1.4 颗星的评价看出，底下光登入流程都会卡住的留言绝非个案。 : https://goo.gl/7RTW6j : 更严重的问题是，身为政府支付平台，pay.taipei 的 app 安全性严重不足，更可能将大 : 众的资讯暴露於危险当中。Gandi.net 亚洲区总经理 Thomas Kuiper 试用後， 发文 指 : 出 pay.taipei 的 app 连 https 都没用上，密码还是以纯文字传送，而且用固定 IP 传 : 输资料。他也向 INSIDE 补充，「就算专案预算『只有』700 万台币 ，资料防护不是可 : 有可无的选项之一而已。」（Data protection is not only an option, even if the : budget of a project is "just" 7 million NT$.） : http://imgur.com/a/rmnrT : 台北市资讯局长李维斌在今年 2 月的 记者会 上，表示 pay.taipei 平台企图整合各类 : 缴费项目，并且支援多家支付业者，除了提供民众更多元的缴费方案以外，也能推广台湾 : 的数位支付使用情境，系统由蓝新科技建置，也耗费了不少时间与各家支付业者协调及介 : 接系统。 : 尽管可以理解统整资源来建置统一缴费入口 pay.taipei 并不容易，而且根据李维斌所说 : ，主要为面向支付业者提供资源，但市政府自家 app 资料传输的安全性却是不容妥协与 : 忽视的问题，除了应尽速修补外，对於 pay.taipei app 整体的使用体验和目的性可能要 : 再多花点心思及专业来重新考量。 : 原网址连结: : https://www.inside.com.tw/2017/06/27/pay-taipei-failed-on-safety-levels : 心得: : 听说连Layout都不是自己拉的，还是从Github载下来 : https://github.com/Friend-LGA --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 1.165.2.95 ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Soft_Job/M.1498629998.A.C71.html