禁用華為手機  張善政批:手機被植入惡意後門程式的管道是軟體非硬體

禁用華為手機  張善政批:手機被植入惡意後門程式的管道是軟體非硬體

▲張善政。(圖/翻攝自張善政Facebook)

張岑宇/綜合報導

近日工研院禁止公務員及公部門使用中國製造手機議題炒得沸沸揚揚,前行政院長張善政25日以及26日在個人臉書發文批評,禁用華為手機根本抓錯方向,他強調手機要被植入惡意後門程式的管道是來自APP軟體,並非硬體。 

張善政,中華民國政治人物,美國康乃爾大學土木與環境工程學博士。曾任行政院國家科學委員會國家高速電腦中心主任、Google有限公司亞洲硬體營運總監、行政院政務委員、科技部部長、行政院副院長以及行政院院長。 2014年12月8日,出任毛治國內閣的行政院副院長一職。 

張善政在個人臉書表示,我對近日政府準備禁止大陸產品或網站的看法。這裡面有幾個層次: 

1. 禁止採購大陸電信設備:這是假議題,政治性宣示居多。幾年前某電信業者購買了對岸4G基地台及後端設備,NCC當時雖然沒有明確說不行,但也一直沒有放行(有立法院關注壓力),最後業者知難而退撤案。從此國內電信業者就知道買大陸設備是給自己找麻煩,根本不會去想要買。但是,從實務面來說,大陸電信設備物美價廉,吸引力很高。以英國為例,政府已命令禁止華為設備,但英國電信就是執意想買,給英國情報單位MI6很大壓力。 

2. 禁止連結大陸網站:在馬政府時代就已經禁止機關網路連結大陸網站,且在網路閘道口都有設定自動攔阻,只有因業務需要才能特別開設連線通道。這是顧慮大陸網站良莠不齊,連上後被植入惡意後門程式。現在行政院把公務手機也納入連線管制,只要是有保留業務需要可以連線的機制,這樣做法基本上是合理的。 

3. 工研院等單位禁用華為手機:這個規定完全抓錯方向,沒有必要。手機要被植入惡意後門的管道是來自APP軟體,不是硬體。我在行政院任職時曾有定義明確分工,手機硬體安全性由NCC負責,APP軟體安全性由經濟部工業局負責。工業局也非常稱職的進行APP安全檢測,並把結果公告給外界。只要繼續落實這個機制,禁用大陸手機是完全沒有必要的。只是2016年政權交給民進黨後,這個措施是否仍有繼續執行,就不得而知。 

整體來看,目前行政院的措施有對有錯,但也是的確凸顯目前政府資安政策紊亂,有被政治干預的現象。而由行政院資安處長出面說明,層級也不對,公信力也不足。這些事當然是應該由政府資安長(某政務官兼任)出面。只是自從民進黨上台以後,政府資安長已經不見了。資安就是國安,這是超級的大諷刺。 

協尋政府資安長(Partll) 

我上一篇評論政府準備禁止華為設備、公務手機聯網到大陸政策的文章,在華為手機的議題上能引起許多技術高手的討論和轉載,並有非常多的專業建議,成為諸方焦點,很精彩。尤其有許多建設性建議,值得政府重視和持續討論! 

當初我貼文時,顧慮內容可能會超出某些網友技術的理解範圍,所以把觀念化繁為簡化成硬體與 APP 兩個層次,這也成為許多技術朋友質疑之處。 

技術朋友批評我過度簡化的論點:「硬體的後門不是顧慮,APP的後門才是要注意的」。是的,我的確是想儘量簡化(過度簡化了?),讓一般人易懂。既然大家不在意太多技術,我就試著來說完整一點。 

1. 硬體會不會有後門?

技術上不能排除,但是實務上已知發生的案例很少。據我所知,僅有近年一起Intel晶片的案例(甚至嚴格說只是bug,還構不上是後門)。業者在硬體設計上都會如履薄冰,深怕出錯。因為不論是疏忽或故意,對業者來說一旦曝光就商譽盡失,風險很大,是否值得?當然你可以說,華為就是壞人,就是會故意做壞事。我這裡不討論這樣的前提。 

2. 硬體與APP以外,沒有其他層次的問題來源嗎?

有的,作業系統OS與韌體Firmware。這裡一樣有業者疏忽與故意兩種可能。有的可以透過網路下載更新版本彌補,有的無法遠端修正。 

3.既然手機問題的可能來源這麼多,我們要怎樣面對?

一般人不可能去面對這樣複雜的技術問題,所以當然是仰賴政府把關。政府應該在同意產品上市銷售前,確認設備的安全保密性合乎我國法規,不該用臆測的方式造成市場消費信心的困擾。歐美許多國家禁用華為電信設備,是有其國家政策,但是並沒有禁止消費市場銷售華為手機。工研院禁用華為手機,如果沒有透過具體的技術程序,確認安全性有問題,並公諸於世,當然會引起社會的關注。畢竟華為是個國際大品牌,國內也有許多人使用。 

4. 確認手機安全性很困難嗎?

要確認「手機是否安全」,與確切「找出安全漏洞之所在」,困難度是不一樣的。就像你很容易知道一個人身體不舒服,但是要找出他的明確病源,就未必容易。政府責任應該是在確認安全性的層次。不安全就禁賣,讓消費者安心。至於解決問題,是業者的責任,除非他不想賣手機。檢測安全性的技術隨著惡意程式技術的演進,也日益複雜,隨時在改變。基本上針對資訊外洩這種敏感事項,其實可以在封閉可控制的網路環境中觀察手機的連線行為,並且擷取封包瞭解連線對象與封包內容。如果手機業者不能合理解釋觀察到的詭異連線行為,就是有安全疑慮。(上面這也是簡化的邏輯說法) 

5. 我在政府時怎麼處理這種事?

在政府分工上,NCC主管通訊設備,工業局主管軟體。所以我曾明確定義二者責任,手機上市前的整機安全性由NCC負責,可以隨時下載的APP由工業局負責。二者都應該透過適當的程序和技術,確認軟硬體的安全性,讓消費者安心。只是不確定這樣的分工原則目前是否仍在執行。 

6. 技術朋友如何可以幫上忙?

許多技術朋友提供了許多資安技術的討論,有些在檢測安全性這層次用不上,但是可以用來進一步瞭解後門運作的原理,還是有其價值。資安可貴在實戰經驗,政府上面兩個單位如能設計一個機制讓技術朋友進來一起幫忙檢測,不但可以加強政府認定安全性的可信度,技術朋友功力也可以成長。換言之,就是趁此機會建立國家級的 Bug/Security Bounty Program,或在相關標案中要求廠商導入這樣的思維,讓網友高手一起進來幫忙。這是我對政府單位與熱血技術網友一個雙贏的建議。 

總結,我當初的確因為顧慮網友理解力而極度簡化前一篇貼文的技術內涵。不過因此帶出許多技術朋友的討論,雖然意外,也是好事。不管對我個人正面負面評論,引起大家注意這問題,台灣資安在整體就算是有進步。 

延伸閱讀

驚!成大教授披露華為手機藏後門 精闢分析這幾點讓你隱私全都露

臺灣作家陸之駿突破盲點!禁用中國手機治標不治本

中國手機竟自帶病毒?惡意軟體「RottenSys」感染近 500 萬用戶 華為、小米、OPPO 全中獎

華為創始人任正非萬字回應 15 個核心觀點 向外媒表示「隱私保護方面要學習蘋果」

構成國家安全威脅 捷克將加入抵制華為、中興隊伍

紐西蘭抵制華為 5G 設備 華為回應:5G 禁令很不紐西蘭!有可能錯失 5G 良機

留言

延伸閱讀