本論壇文章反映作者意見,不代表《遠見》立場

子導覽列
首頁 > 人物 > 葉丙成台北 > 引爆資安爭議,教育部禁用!Zoom 好危險、好可怕?

引爆資安爭議,教育部禁用!Zoom 好危險、好可怕?

發文時間: 2020/04/08   文 / 葉丙成台北 瀏覽數 / 17,500+

編按:
視訊軟體龍頭Zoom引爆資訊安全爭議,延燒全球。昨天(4/7)教育部閃電公告,要求各級學校全面禁止使用Zoom,引發教育現場軒然大波。

長期提倡遠距教學的台大教授葉丙成,昨天下午對此爭議,陸續在臉書發表兩篇文章。第一篇〈Zoom好危險、好可怕?!〉探討Zoom資安爭議,至今天中午已近萬人按讚、超過3500則分享、逾300個留言。

而在教育部禁止公告一出,葉丙成隨即發表第二篇文章:〈一紙公文,老師們一個月的努力,一切歸零〉,認為教育部決策草率:「現在立委質詢、一紙公文壓下來,叫大家換個軟體,以為全台灣的老師們跟數位落差那麼大的學生們很快就能學會了?」此文至今天中午也有萬人按讚、近千則留言。

兩篇文章引發熱烈討論。今早,葉丙成接受《遠見》訪問,表示不應該一遇民代質詢就立即煞車,應該多去諮詢資安專家。因為各地教育局、全國學校準備了一、兩個月的遠距教學,用的軟體幾乎都是Zoom,「一下子喊卡,大家的努力就泡湯!」很多人說,換一個軟體就好了,但其實,事情沒有那麼簡單。

他重申,「資訊安全」與「教育需求」是天秤的兩端。資訊安全有問題,應該詢問專家,例如台灣的趨勢科技是全球資訊安全防毒專家,決策者應可諮詢專家意見。至於教育現場,萬一沒有適合軟體,會不會放空呢?也要考量。此次決策過程是否急就章,值得討論。

他強調,不是幫Zoom背書,而是認為決策過程有更周延的空間。以下是葉丙成臉書文章〈Zoom好危險、好可怕?!〉全文:

取自@Zoom_us twitter圖/取自@Zoom_us twitter

最近好幾位朋友問我對於 Zoom 視訊會議軟體資安問題的看法。但我一直沒有想說什麼。主要的原因是,我對 Zoom 台灣帳號的收費比美國帳號貴,拎北覺得很不爽。所以當 Zoom 被譙的時候,我也懶得說什麼。

但這段期間,網路上對於視訊會議資安問題的報導沸沸揚揚,甚至還變成反對數位教學的人士用來反對線上補課的論述。而且所謂的「資安威脅」,我看到有很多點是過度解讀,甚至有的說法已經到了反智的地步。

有的學校還因此被教育局處長官要求不能用 Zoom,原先的數位準備全部被打亂。

這一切實在讓我看不下去。

所以雖然我知道跟風向不同,我想我還是要說一下我的看法。

先看一下國外知名科技網站 Tom's Guide 針對 Zoom 的資安問題所做的報導,結論是:

We disagree with that decision, because we think Zoom is safe to use for meetings that aren't highly sensitive. For school classes, after-work get-togethers, or even workplace meetings that stick to routine business, there's not much risk in using Zoom. 

結論就是,除非你是英國國防部、SpaceX、或是高科技公司、等這類要討論高度機密的人,不然對於教學、或是一般商務的會議而言,用 Zoom 沒有太大風險 (quote: not much risk in using Zoom)。

那大家一直在傳的資安問題,到底是怎麼回事?這裡面有很多,坦白說真的很瞎,我先抓幾點來說:

1.  Zoom Boombing:

不是說有什麼 Zoom Bombing 很可怕,用 Zoom 開會上課到一半,會出現有駭客駭入會議突然丟色情照片擾亂。Zoom 也太糟糕了,居然會被人這樣駭入,太糟糕了!

等等,你有沒有去了解過 Zoom Bombing 是怎麼來的?Zoom 的會議室可以設密碼。但為了方便大家連進來開會,大部分使用者都省略不設密碼,直接把會議室號碼/連結傳給大家。有的人把會議室號碼/連結流出給不相干的人,不相干的人進來亂。這叫做「駭入」?

靠杯喔,你在外面租「小樹屋」的房間開會,門有鎖可以鎖而你不鎖,被無聊人士闖進來丟色情圖片,這叫被駭入?你叫小樹屋要負責?!

以臉書社團為例,你開一個臉書社團,然後你自己不設成私密而設公開讓每個人都可以進得來。然後有人進來亂貼直銷廣告、色情照片,你怎麼不說是臉書資安有問題被人「駭入」?明明就是你自己社團權限沒管控好,不是臉書害你被駭啊。

那為什麼你 Zoom 要開屬於你們自己人的會議,然後你都不設密碼,也沒有告誡大家會議室號碼不要給不相干的人。然後被不相干的人闖進來,你才在哭說是軟體有問題害你被駭?

我也是傻眼了。

根本就是使用者貪圖方便不設會議室密碼啊!

(據說 Zoom 已經自動生成密碼了,以後這種使用者自己不設防的問題應該就會解決)

2. 安裝檔有惡意軟體:

Tom's Guide 上面有說到,有的 Zoom 安裝軟體可能會被連帶偷裝幫人挖礦的程式,造成系統的問題。但 Tom's Guide 也說,這個責任不是 Zoom 的錯,因為任何人都有可能製作出這種惡意的安裝檔給別人下載安裝。

許多人說這是資安問題,我又傻眼了。

每個人都應該要有最基本的資安素養:要安裝軟體,要從官方網站下載,不要從非原廠網站下載來源不明的程式安裝。

Zoom 你不去人家官方網站下載來裝,你偏偏要偷懶從人家給你的來源不明的安裝檔去安裝,結果電腦免費幫人挖礦,你說是誰的錯?如果你就是有這種糟糕習慣的人,你用其他軟體也會幫人家免費挖礦,不會只有 Zoom。

這根本就是使用者偷懶不去官方下載啊!

要安裝軟體,請從官方網站下載。這是常識,OK?

3. 聊天室點了惡意連結,導致系統被駭中毒:

講到這個,我又傻眼了。來源不明的連結不可以點,這你不知道嗎?你在 LINE、在 Chrome、在 IE、在 Safari 點了來源不明不該點的連結,會不會中毒?你都知道來源不明連結點了會出問題,那你為什麼在 Zoom 聊天室還要去點來源不明的連結,然後出事了才說是 Zoom 資安有問題被駭?

這根本是使用者手癢亂按不明的連結啊!

***

最後,我再來談談真正最重要的資訊安全原則是什麼。

真正的資訊安全,就是要假定任何地方都可能出錯,有機密性的東西都完全不該在網路上跟人家談。

你今天用 Meet 或 Team 跟別人視訊會議,就會安全?我也是笑笑了。你今天跟人家視訊會議,說的任何話,都能夠被人錄製桌面而錄下來,事後流出去。

所以真相是,只要你是用視訊會議或網路軟體跟人談事情,不管你是用哪一家的,你都沒有真正的資訊安全。真正的安全是,機密的事情要跟真人實際面對面的口頭談,才會安全。

喔是嗎?你確定對方身上沒有偷裝錄音機?你要不要搜身一下才能確定真正安全?

如果你是做高科技技術的公司、或是高階政府單位,有高機密性的資訊,原本就不應該用任何視訊會議來傳達。很多國際大企業都用美國思科 Cisco 的 Webex 系統,相對比較安全。話說 Webex 是誰開發的?就是 Zoom 的創辦人當年所開發的,他離開 Cisco 之前去創立 Zoom 之前,是副總裁。國際大企業過去十幾二十年都用這個人的東西,這個人有沒有問題,這是個參考指標。

任何軟體都有洞,你個別搜尋各家軟體公司的名字 Google、Microsoft、LINE、Facebook、Apple 再加上「資安漏洞」,你都會看到每個軟體都有洞。愈多人用的軟體,愈有機會被大家找出洞來,也愈有機會讓洞被補起來,而變得愈安全。

以最多人用的微軟為例,這麼多年來的「資安漏洞」、「被駭風險」的新聞不多嗎?

Zoom 這段期間因為許多人大量使用,所以被看到的洞自然就比較多(雖然有很多洞我認為根本上是使用者習慣的問題),之後就看他們是否有補起來。現在的觀察是,我看他們最近的更新滿頻繁,看起來是有努力在把一些洞補起來。

Zoom創辦人兼CEO袁征來自中國。取自@Zoom_us twitter圖/Zoom創辦人兼CEO袁征來自中國。取自@Zoom_us twitter

最後的最後,你問我說我會不會改用其他會議軟體?

從資訊安全的角度來說,如同國外網站說的,並沒有太大的風險。但在台灣,卻被炒作到好像用了電腦就完了。更別說當中很多的風險,都是使用者自己資安習慣不好,用其他軟體也會遇到的。

我的看法是,在台灣,Zoom 的資安問題,已經不是技術問題,而是政治問題。

Zoom 的創辦人來自中國,但他的主要資金來源還是美國的資本市場,Zoom最大外部股東是Emergence Capital,持股12.5%。紅杉資本持股11.4%。跟華為的資金來自政府是不同的。我不覺得 Zoom 有必要亂搞去得罪他在美國的眾多金主投資人。

有人提到,如果中國政府要求 Zoom 提供使用者資料,他們敢不從嗎?

Google 當初退出中國就是這個原因,因為公司的決策要求的是公司最大利益。在大陸,目前大多數的人用的是阿里巴巴跟微信的會議軟體,用 Zoom 的很少。美國跟其他國家市場,才是 Zoom 的主要利基來源。如果 Zoom 在大陸同意把使用者資料交給政府,他在美國的市場絕對雪崩,這也是為什麼當初 Google 寧可全面退出大陸也不把資料給大陸官方。

董事會成員在乎的是公司的最大利益。Zoom 的主要股東是來自美國資本市場,這些人不會由著公司去做傷害公司利益的事。這是為什麼前述的假設狀況,出現的機會不大。當然,我也有可能是錯的。

但同樣的問題,為什麼大家會認為如果中國政府要求,微軟就不會就範呢?特別微軟在大陸投入很多的資源,也有很大的市場。微軟中國分公司就不會就範?我反而覺得微軟若不從,要冒的風險比 Zoom 大很多。

微軟在中國大陸有很大的市場。取自pixabay圖/微軟在中國大陸有很大的市場。取自pixabay

所以,我會繼續用。反正我的課程教學沒有什麼機密。真正有什麼很機密的事,還是來找我喝咖啡再當面聊吧!

如果你要用視訊會議軟體,不管是用哪一家,請注意:

1. 如果有真正很機密的事情,任何視訊軟體通通都不該用,那才是真正的安全。
2. 視訊會議最好設密碼,避免不相干人士進來鬧。
3. 請務必去官方網站下載官方版的安裝軟體,千萬不要用來路不明的安裝檔。
4. 在聊天室不要點擊不明的連結。
5. 不要讓自己的電腦離開自己的視線,被別人摸到。

註:Tom's Guide 評論全文連結: https://bit.ly/2Rg3b8n

(本文作者為台大電機系教授)

(原文刊載於「葉丙成的FB」)