當時「閃電戰」席捲歐洲就是全靠它！（貞德編）
enigma 加密 在 TEEPR 亮新聞 Facebook 的最佳貼文
enigma 加密 在 阿扁們俱樂部 Facebook 的最佳貼文
作者: 林宗男／台大電機系教授、李忠憲／成大電機系教授
內政部宣稱結合自然人憑證、健保卡、駕照等多卡合一的數位身分識別證（以下簡稱New eID），整合強大資訊解決不便，晶片資料要透過加密保護，要民眾輸入密碼才能使用，「資安絕對無虞，請民眾放心」。贊成內政部New eID政策的人也因為初看之下行政數位化帶來理解的單純性，而對背後所帶來的資安風險視而不見，而以「所有的創新都有代價」支持這個政策。在政府推行數位國家的過程中，報稅、各種補助、車籍資料、勞健保等，各種業務橫跨財政部、內政部、交通部、衛福部等各個不同的部會。New eID做為登入各個網絡服務的憑證，其所帶來的「方便性」確實讓人心動。
但是忽略這種集中式設計所帶來的單點失效（single point of failure）資安風險，New eID將成為我國數位國家的資安阿基里斯腱。對於一般民眾而言，會使用由不同單位不同性質的資訊服務如：公司或學校的電子郵件、Gmail、雲端硬碟、網路銀行帳號等，如果這些不同帳號都用同一個密碼，對使用者而言當然是非常方便。但是稍微有一丁點資安意識的人都會知道這是非常危險的。如果駭客掌握了這個民眾的公司郵件密碼，這位民眾的Gmail、雲端硬碟、網路銀行的資料全部淪陷。單一民眾的數位資產、隱私受到駭客攻擊、竊取，受害的只是單一的個人，當New eID做為全體國民登入政府提供的資訊服務憑證，當然也為國家級駭客滲透竊取全國民眾的個資隱私帶來同等的便利。
政府的高階資訊官員通常沒有資訊安全的概念，即便是高考及格，也很少接觸到技術。唯一的一招就是外包給廠商，廠商負責資訊安全防衛的問題，發生問題的時候當然再交由廠商解決。在這樣的情況下說要發行New eID，這種造成單點失效的巨大資安風險難道不是造成不必要的國安風險嗎？到底是哪個公務員能真正負責？要怎麼負責？
稍微有資安概念的人都知道，沒有百分之一百絕對安全的資訊系統。資訊安全既不是單一產品，也非技術人員專責業務項目，而應該是一個由上到下的一個管理制度。
資訊安全包括技術和管理，技術上就有非常多的問題，而且即使技術可以達到百分之百的安全，管理的部分才是最大的風險，人是所有系統裡面最脆弱的，尤其在國家的資訊安全治理裡面，缺乏「資安許可身家調查」，對於敏感機密的資料，沒有明確的制度和法律規定誰有權限可以接觸，尤其沒有足夠的罰則來威嚇制裁機敏資料系統及個資外洩，在這樣的情況之下貿然實施數位身分證，完全是不負責任的政策措施。
內政部宣稱New eID「資安絕對無虞，絕對安全」不是無知就是蓄意說謊。第二次世界大戰時納粹德國利用號稱「unbreakable」的Enigma機器加密，但是被數學家圖靈成功的破解。中國有難以想像非常多的超級電腦，一旦我國政府採用這樣集中化的設計，系統和晶片一定遭遇中國全力的弱點掃描和旁通道分析攻擊，從最底層一直到最高層，一旦這個資安防護的阿基里斯腱有任何的破口，後果不堪想像。
晶片的公私鑰雖然是在晶片內產製，但是需將公鑰資料讀出才能產生個人憑證申請檔（CSR）。公鑰能匯出當然私鑰也能匯出。但是內政部卻告訴國人無法匯出，明顯與事實不符。全體國民公私鑰key pair只有廠商知道如何產生，公務機關無法驗證，憑空製造國家安全的治理危機。
我們呼籲政府應當採取分散式架構建構我國數位國家政策，放棄這個不當政策，正面回應民間及學術界「一卡一用」的主張。
enigma 加密 在 無限期支持陳水扁總統，台灣加油！ Facebook 的最佳貼文
作者: 林宗男／台大電機系教授、李忠憲／成大電機系教授
內政部宣稱結合自然人憑證、健保卡、駕照等多卡合一的數位身分識別證（以下簡稱New eID），整合強大資訊解決不便，晶片資料要透過加密保護，要民眾輸入密碼才能使用，「資安絕對無虞，請民眾放心」。贊成內政部New eID政策的人也因為初看之下行政數位化帶來理解的單純性，而對背後所帶來的資安風險視而不見，而以「所有的創新都有代價」支持這個政策。在政府推行數位國家的過程中，報稅、各種補助、車籍資料、勞健保等，各種業務橫跨財政部、內政部、交通部、衛福部等各個不同的部會。New eID做為登入各個網絡服務的憑證，其所帶來的「方便性」確實讓人心動。
但是忽略這種集中式設計所帶來的單點失效（single point of failure）資安風險，New eID將成為我國數位國家的資安阿基里斯腱。對於一般民眾而言，會使用由不同單位不同性質的資訊服務如：公司或學校的電子郵件、Gmail、雲端硬碟、網路銀行帳號等，如果這些不同帳號都用同一個密碼，對使用者而言當然是非常方便。但是稍微有一丁點資安意識的人都會知道這是非常危險的。如果駭客掌握了這個民眾的公司郵件密碼，這位民眾的Gmail、雲端硬碟、網路銀行的資料全部淪陷。單一民眾的數位資產、隱私受到駭客攻擊、竊取，受害的只是單一的個人，當New eID做為全體國民登入政府提供的資訊服務憑證，當然也為國家級駭客滲透竊取全國民眾的個資隱私帶來同等的便利。
政府的高階資訊官員通常沒有資訊安全的概念，即便是高考及格，也很少接觸到技術。唯一的一招就是外包給廠商，廠商負責資訊安全防衛的問題，發生問題的時候當然再交由廠商解決。在這樣的情況下說要發行New eID，這種造成單點失效的巨大資安風險難道不是造成不必要的國安風險嗎？到底是哪個公務員能真正負責？要怎麼負責？
稍微有資安概念的人都知道，沒有百分之一百絕對安全的資訊系統。資訊安全既不是單一產品，也非技術人員專責業務項目，而應該是一個由上到下的一個管理制度。
資訊安全包括技術和管理，技術上就有非常多的問題，而且即使技術可以達到百分之百的安全，管理的部分才是最大的風險，人是所有系統裡面最脆弱的，尤其在國家的資訊安全治理裡面，缺乏「資安許可身家調查」，對於敏感機密的資料，沒有明確的制度和法律規定誰有權限可以接觸，尤其沒有足夠的罰則來威嚇制裁機敏資料系統及個資外洩，在這樣的情況之下貿然實施數位身分證，完全是不負責任的政策措施。
內政部宣稱New eID「資安絕對無虞，絕對安全」不是無知就是蓄意說謊。第二次世界大戰時納粹德國利用號稱「unbreakable」的Enigma機器加密，但是被數學家圖靈成功的破解。中國有難以想像非常多的超級電腦，一旦我國政府採用這樣集中化的設計，系統和晶片一定遭遇中國全力的弱點掃描和旁通道分析攻擊，從最底層一直到最高層，一旦這個資安防護的阿基里斯腱有任何的破口，後果不堪想像。
晶片的公私鑰雖然是在晶片內產製，但是需將公鑰資料讀出才能產生個人憑證申請檔（CSR）。公鑰能匯出當然私鑰也能匯出。但是內政部卻告訴國人無法匯出，明顯與事實不符。全體國民公私鑰key pair只有廠商知道如何產生，公務機關無法驗證，憑空製造國家安全的治理危機。
我們呼籲政府應當採取分散式架構建構我國數位國家政策，放棄這個不當政策，正面回應民間及學術界「一卡一用」的主張。
