週一 週二 週三 週四 週五 週六 週日
 12
3456789
10111213141516
17181920212223
24252627282930

Pazu 薯伯伯.威脅模型

一樣米養百樣人,有些人食極唔肥,但其消脂模式不能套用在他人身上。消脂與資安一樣,基因及處境不同,應對也各異。此即所謂「威脅模型」(threat models)。如不先搞清楚面臨的威脅模型,談論資安往往得出自相矛盾的結論。

所謂威脅模式,其實就是問:「我面臨甚麼風險?」即使時空相同,對應也有別。例如在法治文明之地,執法人員要求解鎖手機,你有權拒絕;但在同一境地,要求解鎖之人是你的戀人,對一些人來說就很難拒絕。只因你與要求者之間的關係,已能影響你的決定。

又或要你解鎖的人是綁匪,動用武力威脅,不給密碼會割手指,或是甜言蜜語,軟攻硬施,逼你開機,你又如何應對?防範對像若是鼠竊狗盜,只會在鄰桌偷窺目標輸入密碼,侍機搶去電話,會是完全不同的綢繆之法。

若不先搞清楚威脅模型,對策便可能自相矛盾。例如有人一方面拒絕使用 Face ID 或指紋等生文認證,擔心被持刀賊人要求解鎖,聽起來似是合理擔憂。然而持刀賊人不能強制用生物認證解鎖,難道就不能強逼受害者親口說出密碼,否則武力解決?若然有人擔心生物認證之安全因而停用,是否有心理準備抵抗暴力套取密碼?若無此打算,卻又同時把最敏感的個人及客戶資料放在同一部手機,是否周全之策?

如果純粹因停用生物認證而自我感覺安全,甚至因為這種安全感而沒顧慮手機存放之數據,如此應對豈不是自我矛盾,甚至可以說是活在安全假像迷霧之中?

此種安全虛實往往引申更大禍害,不得不察。

圖片:Dalle-3

授權轉載:Pazu 薯伯伯

註:論壇版歡迎投稿,來函請電郵至editorial@photonmedia.net並註明「論壇版投稿」。本論壇發佈之內容均為作者個人觀點,並不代表《光傳媒》立場。

熱門文章