#zoom資安七大漏洞的對應措施

上週四（9日）立法院國民黨團召開記者會，抨擊教育部無配套措施就禁止使用zoom，且未說明教學與資安疑慮的關係。更有國民黨籍立委表示「如果真的有陸方監控，真的有情資問題，那不是很好嗎？」，認為反而可利用zoom來「反反滲透」，讓中國了解台灣民主自由價值。

其實，遠在教育部上週二（7日）發布禁止各級學校使用有資安疑慮的聲明之前，我的臉書從三月開始就陸續有關於zoom的資安問題討論。這幾天更是沸沸揚揚，有認為基於對該公司背後的中資、大量中國境內工程師以及數據流往中國的不信任，支持教育部的決策、認為不該使用；也有不少朋友認為zoom的許多疑慮都來自於新創公司常犯的便宜行事，只要修正就好，視自己的資安需求斟酌要不要使用。

面對臉書上的各方見解，我決定來請教 #強者我朋友！這次請到的是台灣工程師的矽谷故事的Winston大大，目前正在做監控系統的新創（Startup)，他為我整理了目前常見的七大疑慮，並提供對應的方法。

以下，給對zoom有疑慮和曾經下載過zoom的朋友，提供資訊安全的補強方法：

①#亂入的惡作劇攻擊（zoom bombing）
由於zoom的會議預設無密碼、會議 ID 過短而很好猜，所以容易讓有心人士亂入，發生下述②的問題。
➡︎預防的方法很簡單，就是 #所有的會議都要設定密碼！

②#公開會議裡的陌生人與不明訊息
第一點的 zoom bombing 讓有心人士可以直接加入沒有被邀請的會議，在會議中進行釣魚工作，最嚴重的狀況是邀請與會者下載安裝間諜軟體，導致電腦手機成為駭客可以遠端控制的殭屍網路（botnet）。
➡︎這事不限於在zoom發生，不管在哪裡，#都不要亂點來路不明的連結或是下載奇怪的東西，這是資訊安全的基本防護。

③#被駭客抓到你的密碼
zoom有一個安全漏洞可以讓駭客抓到你的 windows hash 過後的密碼。
➡︎ #讓他抓不到你的路徑 如下，請直接從 windows 作業系統中禁止： Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options -> Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers and set to "Deny all".

④#蒐集大量使用者個人資料
其實大部份人不太在意這件事情，有不少軟體、網站都有類似的行為。
➡︎最好的處理方式就是 #用一台沒有連接你任何社交帳戶的電腦/手機使用 zoom ，這樣他們什麼也抓不到。但是如果你之前已經使用過 facebook 、google 、或是 linkedin 登入的話，他們已經知道了⋯⋯來不及了。

⑤#各式軟體安全疑慮
zoom的程式中使用了一些常用於電腦病毒的方法和造成登錄憑證漏洞，在macOS跟Windows 系統中都產生了一些資訊安全問題。
➡︎要避免風險的方式是 #用一台專門的電腦/手機來進行 zoom 的會議，會議後立刻關機斷電，該機不能做任何其他用途。

⑥#謊騙加密等級
Zoom先前宣稱有做到全面的End-to-End (E2E) Encryption 點對點加密。事後卻被發現，他們只有「聊天室」有E2E，「視訊」是沒有的，而其安全防護也被資安專家認為有破口；作為一個標榜資訊安全的公司，用謊言欺騙信賴它的使用者，是違背其宣稱的核心價值的。
➡︎無解，不要用 zoom 來討論公司或國家機密！

⑦#加密的金鑰被送到北京
加密的金鑰被送到北京的機器去，可說是這次教育部禁用的關鍵因素，強者我朋友認為，這應該不是故意要做什麼攻擊，只是zoom便宜行事，這也表示標榜注重資訊安全的zoom其實沒有很重視資訊安全。
➡︎無解，在意就不要用 zoom！

👆綜觀上面七點，從 #資訊安全、#企業誠信 到 #中國因素，就看大家的選擇囉！關於zoom的資訊安全漏洞，一直都有許多討論，創辦人也一直都是中國人，教育部推翻先前推薦zoom的決策過程確實有點令人措手不及。

👊回到新竹市，因為擔心教師們重新適應新軟體可能帶來的教學與受教權益的衝擊，我也向教育處瞭解我們新竹市學校的目前狀況。

教育處表示，由於一開始就 #要求各校至少要採取兩種以上的方案來模擬演練，所以當zoom不能用時，備案的啟動都還算順利。

也歡迎老師同學們和我分享你的視訊軟體選擇，防疫期間有任何疑問和建議也都可以和我聯絡喔！

————
參考資料連結🔗
Zoom's Encryption Keys Are Sometimes Being Sent to China, Report Finds
https://reurl.cc/j7R0qD

Zoom security bug lets attackers steal Windows passwords
https://reurl.cc/xZ1q0V

————
大家還記得上次的「強者我朋友」是聊什麼嗎？😂

[網友來信]
我想學遊戲程式設計。但我無法分辨「遊戲程式設計」與「軟體程式設計」差別在哪裡？我是新手，想透過自修學會。有人說學遊戲程式設計得先學 ActionScript 3 或 Java 語言，是真的嗎？它們差別在哪裡？另外，可以推薦我一些書籍或網站讓我自修嗎？我有興趣的是「桌機遊戲」這一方面的。

[紀老師回答]
遊戲設計屬於軟體設計的一種。就像你問「游泳與自由式有什麼分別？」我會回答「自由式是游泳的一種」是一樣的。

如果想學「遊戲程式設計」，沒有一定從哪一種語言入手，就像想學會開車，沒有一定要從 Toyota 還是 Nissan 先學是一樣的。目前遊戲平台有三：網頁遊戲（類似 Facebook 的一些小遊戲）、手機遊戲（Android 與 iPhone/iPad）、桌機遊戲（一般是 Windows 平台）。每種要學的語言不同。

如果是「網頁遊戲」，你應該依照 HTML5 --> CSS3 --> JavaScript 這樣的學習路徑進行。有人告訴你要學 ActionScript 3 (AS3)，就是指「網頁遊戲」這一塊。不過由於 iPhone/iPad 不支援 Flash（ActionScript 就是 Flash 背後的電腦語言），加上開發 Flash 的 Adobe 公司，自己都已經宣布不再開發 Flash 新版本了（放棄了）。所以現在開始學「網頁遊戲」的人，我個人不推薦學 ActionScript 3。因為這樣設計出來的遊戲，可能沒辦法讓 iPhone/iPad 上面的玩家玩你的遊戲。所以還是推薦你用 HTML5 / CSS3 / JavaScript 這三種技術來製作「網頁遊戲」。

如果是「手機遊戲」，又得細分「Android 平台」與「iPhone/iPad 平台（後簡稱 iOS 平台）」。「Android 平台」使用 Java 當成官方語言，寫遊戲就得用 Java。這就是你為何被建議要學 Java 的原因。「iOS 平台」使用 Objective-C 這種語言（C 語言的進化版，包含 C 語言所有語法）當成官方語言。所以如果你要寫「iOS 平台」上的遊戲，就得學 Objective-C。

如果是「桌機遊戲」，類似「暗黑破壞神 III」這類的，使用的是 C++ 這種語言。所以你得學 C++。

入門難度部分，「桌機遊戲」（C++）與「手機遊戲」（Java 或 Objective-C）差不多，「網頁遊戲」相對簡單。沒有說從哪一種入手才是「正確」的。大多看你個人的選擇與技術背景偏向哪一邊來決定。

每一條路從「完全不懂」，到能「獨立作業」，「網頁遊戲」一般約需 9 ~ 12 個月的訓練。「手機遊戲」與「桌機遊戲」則大約需 1.5 年～2 年。期間包括「語法學習」、「遊戲設計概念」、「美術處理（原畫、動畫製作）」、「遊戲函式庫學習」這四大塊。當然實際上手時間，還是依個人狀況而不同。

如果您有興趣的是「桌機遊戲」，我個人會推薦先往 C++ 那一條路邁進。不知您會不會排斥看英文書呢？我個人都是看英文的，因為有些中文書的電腦名詞翻譯比較混亂（如：Literals 在台灣就有「定字」、「字面字」、「實字」...等翻譯），會造成理解上的困難。所以先推薦英文的給您。如果看英文有困難再跟我說。

書籍的話，我個人推薦這本：
http://www.amazon.com/Primer-Plus-Edition-Developers-Library/dp/0321776402/

當然，國外網友推薦的這一系列 C++ 書單，每本都是經典：
http://www.drdobbs.com/cpp/c-reading-list/240155654/

您也可以試著看看這一系列的 C++ Tutorials：
http://www.tutorialboneyard.com/Pages/CTutorials.aspx

如果懶得看書，喜歡「視頻教學」的，可以看這個 YouTube 播放清單 (73 支影片，英文發音，完全免費）：
https://www.youtube.com/watch?v=tvC1WCdV1XU&list=PLAE85DE8440AA6B83

以上都是我個人珍藏。不知道適不適合您？希望有幫助！