阿碼科技受邀在11月18、19日兩天所舉辦的道瓊年度科技創業論壇（Dow Jones VentureWire Technology Showcase）中發表演講，該論壇於美國加州Redwood市舉辦，是美國年度科技新創企業最盛大的發表交流論壇，參與對象由VentureWire讀者與編輯群嚴格篩選最有創新與名聲的企業，總計今年全球有75家科技新創公司受邀，到場對潛在投資人、併購企業與合作夥伴發表其營運模式與科技創新。
阿碼科技將由創辦人暨營運長(COO)黃耀明出席並發表阿碼科技獨步全球之源碼檢測（CodeSecure™）與網站應用系統防火牆（SmartWAF™）之整合技術。此項整合技術可以利用最低的成本，確保網站應用程式不被駭客所攻陷，提供可信賴的線上安全營運平台。阿碼科技專精於網站應用系統之安全管理，透過靜態源碼檢測科技提供企業級的旗艦解決方案- CodeSecure™。CodeSecure™是一個網頁式隨插即用的系統，透過靜態原始碼分析與驗證(Static Source Code Analysis and Verification)辨識出網站原始碼中存在的弱點，提供不同風險等級的矯正建議，以取代繁重且高成本的人工程式碼審查(Code Review)，在系統開發生命週期中提供一個有效率、高成本效益，可轉移系統風險的解決方案。
OWASP ( Open Web Application Security Project) 第二屆亞洲官方年會於10月27至28日在台北盛大舉辦，第一天總共出席人數超過1168位，讓國外來的演講者也感受到全球第一盛大的OWASP會議。OWASP是一個國際公開推廣網站應用軟體安全的非營利組織，宗旨在於研究最新資安攻擊，提供研究報告與相對應之免費開放源碼解決方案，讓決策人員能正確了解相關的風險，也讓資安工作人員與程式開發人員能有開放源碼的工具可以對抗威脅。 OWASP是一個國際公開推廣網站應用軟體安全的非營利組織，宗旨在於研究最新資安攻擊，提供研究報告與相對應之免費開放源碼解決方案，讓決策人員能正確了解相關的風險，也讓資安工作人員與程式開發人員能有開放源碼的工具可以對抗威脅。OWASP所訂的 Web 前十大威脅「OWASP Top 10」，為各國政府採用，也被業界之標準如 PCI （五大信用卡公司聯合標準）與 OCC（Office of the Comptroller of the Currency，美國財務部）等。中華民國行政院研考會「Web應用程式安全參考指引」，也倡導應於網站的徵求建議書 (RFP)與驗收階段涵蓋最迫切的OWASP資安弱點。
今年 OWASP 亞洲年會報名人數超過一千三百人，為亞洲有史以來最大型之 Web 資安會議。OWASP亞洲年會能夠在台北舉行，一方面證明了台灣資安之能量，展現了台灣各指導機關多年致力於資安意識之提升，各學術單位致力於資安基礎與應用之研究，產業界致力資安產品之研發與整合，以及媒體致力於各領域資安訊息之分析等之成果；一方面也證明了，台灣在資安領域有其獨特之政治與軍事防禦意義，由於對資安有高於他國之需求，也造就了我們資安實力與經驗之累積，能夠在多年努力後，開始與他國分享我們的成果。
西方有一句話說得很好 "A Picture Worth More Than Words Can Say"（一圖勝過千言萬語），隨著技術與文明的演進，古老的諺語也會跟著改變，我想 "A Picture" 可以直接換成 "A Video"， 因為現在在 Youtube 上就可以看到今天(10月17號)台灣咖啡網的紀錄片：
在影片中，眼尖的人會發現不只一頁被掛馬，那是因為從今年開始出現大規模SQL攻擊之後，從入侵網站到掛馬就都是全自動了，有興趣的人可以 Google 一下相關工具。由於這幾年高互動的網頁把廣大網民的胃口養壞了，現在的商業網站都要做得夠動態、美工夠光鮮亮麗才有人要看，一個小站隨便就數百隻程式碼，但常看到一個狀況就是趕程式加上沒經驗，看過許多直接延用書上範例程式的例子，所以當然直接被自動攻擊打穿，而較深處頁面被掛馬就不容易被發現，所以後續清除時，惡意IFRAME可能也就沒有移除。
滲透測試手法方面，有 RSnake、KK、Dhruv、YM 以及 Fyodor 五位講師，其中 KK 與 Dhruv 來自印度，KK是印度最有名的滲透測試公司 NII Consulting 的創辦人兼總經理，曾經擔任 Black Hat、Interop、IT Underground 等研討會講師，並為 Google、聯合國等大型客戶執行滲透測試專案。滲透測試的發展已經由技術導向轉變為商業導向，在預算緊縮的今天，如何有效運用時間，以最低的成本，找到最重要的漏洞？這就需要以客戶在商業營運上的風險面向為基礎，來建立相對應的滲透測試項目，例如現今企業面對的商業間諜（corporate espionage）、金融詐騙（financial fraud）等威脅嚴重，因此就需要有對應的滲透測試情境，如社交工程攻擊（social engineering)、實體安全演練等，才能提供更有價值的商業導向滲透測試服務。
為何我選了兩位來自印度的講師來講滲透測試？我在印度聽過 KK 的課，也看過印度大大小小的滲透測試團隊實際上執行專案的情形。我的看法是，印度以軟體產業立國，但是並不是一開始就能從專業的軟體開發案獲利。就如同我們以電子製造業起飛，但是我們是慢慢由做勞力密集的聖誕燈泡，到做收音機，到做 PC 、筆電、手機，慢慢從勞力密集轉而能獨立研發。印度也一樣，軟體產業發展的初期，很依賴勞力密集的軟體測試。所以對於軟體測試的方法論，流程，執行，測試環境的設計，測試資料的建立，到與客戶的溝通，專案的執行等，非常的有經驗，因為這是他們的本行！滲透測試的技術研究，不計成本，目的在找到漏洞，這個歐美的研究員做得很好。可是商業滲透測試，講的是如何有效運用預算，了解客戶需求，達到最大效果，在這方面，印度的軟體測試產業行之有年，商業模式很成熟，我相信他們的經驗會對各位有幫助。
Steven Adair—ShadowServer Foundation Steven Adair 是 ShadowServer Foundation 的重要成員之一，也是這次 2008 OWASP 美國年會的講師。ShadowServer Foundation 長期監控全球僵屍網路（botnet）與網站掛馬，擁有豐富資料，堪稱美國此方面研究最深入之組織之一。
Alexander Meisel—OWASP 德國分會、art of defence Alexander Meisel 是德國 art of defence 公司技術長，負責該公司之 Web應用程式防火牆（Web application firewall、WAF）之研發。之前在歐洲最大的ISP-LINX擔任網路安全首席，曾負責大規模的網站安全稽核與流量管理，專長為Web Security。他的安全專業可以追朔到在學階段所提出的預防與追蹤DDoS攻擊研究。Alex 是今年 2008 OWASP 美國年會與 2008 OWASP 歐洲年會的講師。
K. K. Mookhey—OWASP孟買分會、NII Consulting 印度最有名的滲透測試公司 NII Consulting 創辦人兼總經理，專長為滲透測試、資安鑑識、風險評估、資安相關規範（PCI、ISO 27001、BS 25999、ISO 20000）、IT基礎架構管理等。擁有CISSP、CISA、CISM、CEH等證照。是印度最知名的資安專家之一，著作有Linux Security And Control（ISACA 出版）與 Metasploit Toolkit（Syngress出版）兩本專業書籍。KK 為今年 2008 OWASP 印度年會講師，並曾經擔任 Black Hat、Interop、IT Underground 等研討會講師，並為 Google、聯合國等大型客戶執行滲透測試專案。
Chenxi Wang, Ph.D.—Forrester Research Dr. Chenxi Wang 是全球前三大市場調查研究機構 Forrester Research 的首席分析師，Forrester 出版的跟 Web 資安相關市場調查報告，都是出自她的研究。在加入 Forrester 之前，Dr. Wang 在卡內基美隆大學（Carnegie Mellon University）擔任助理教授，為當初幫助CMU成立著名資安實驗室 CyLAB 之關鍵人物之一。在 CMU 期間，Chenxi 負責執行了上百萬美元預算的研究專案，包過與美國國防部以及美國國家科學基金會（National Science Foundation、NSF）的共同研究專案。Chenxi 也曾擔任美國聯邦貿易委員會（Federal Trade Comission、FTC）、HP、Emerson、Lucent 等單位的資安顧問。
Chenxi 為今年 2008 OWASP 美國年會的講師，並定期在各大資安會議演講，其言論與發表常被美國主流媒體引述，包含 New York Times / InfoWorld 等媒體。
Wayne Huang（黃耀文）—OWASP台灣分會主席、Armorize 阿碼科技（大會主席） Wayne 為 OWASP 台灣分會會長，也是阿碼科技的創辦人兼執行長，對於推動台灣的資安社群，不遺餘力，在台灣舉辦 SySCAN、OWASP 亞洲年會等資安會議。
Wayne 是一位豐富經驗的資訊安全專家，專長領域包括，網路、系統及應用程式安全。Wayne 最為人所熟知的專長領域在網頁應用程式安全，並在全世界發表了許多相關主題的期刊論文。除此之外，Wayne 也時常受邀擔任全球安全會議的演講者，包含 RSA、OWASP、SySCAN、WWW、PHP 與 DSN 等。Wayne 同時也是阿碼科技在推動技術創新的重要推手。
Wayne 是第一位連續二年在國際全球資訊網路會議（WWW Conference）獲獎的作者，並且是 《 Web Application Security-Past，Present，and Future 》一書的共同作者。
Yen-ming Chen (YM Chen) —McAfee Foundstone Yen-Ming 於 2000 年加入 Foundstone 顧問團隊，現職為 McAfee Foundstone 的 Director，帶領 Foundstone 團隊於美國各地執行各種資安專案。Yen-Ming並為 Foundstone「Ultimate Hacking」、「Ultimate Hacking Expert」、「Ultimate Web Hacking」、以及「Ultimate Hacking: Incident Response」等四門課的首席講師。在加入Foundstone之前，他在CMU網路安全中心，曾參與Snort開發，製造出第一個在磁片上的Snort sensor(PicoBSD)。是Hacking Exposed、Hacking Exposed for Web Application、Windows XP Professional Security及HackNotes: Web Application Security的四本書的共同作者。Yen-Ming 曾被 BBC 採訪，並經常於國際大型研討會擔任主要講師，其中包含 PacSec、HITB、HACK.LU、台灣駭客年會、CSI、MISTI、APAC 等會議。
Fyodor Yarochki—GuardInfo Fyodor經常擔任各國際駭客年會之講師，包含Black Hat 2001 HK、Black Hat 2001 Singapore、Black Hat 2002、Ruxcon 2003、XCon 2003 / 2006、HITB 2004 / 2005、SyScan 2005 / 2008、Bellua 2005、VNSecurity 2007、DeepSec 2008等。他於頂尖資安學術會議與地下雜誌皆有重要文章發表，包含Usenix Conference與Phrack Magazine（最具影響力之地下駭客雜誌）。Fyodor並為Snort最早的開發者之一，目前仍為Snort FAQ的維護者。Fyodor並為XProbe的創辦人。
今年的 OWASP 美國年會，阿碼科技跟去年一樣，又派了九個同事參加。大家因為工作分散各地，這次從三個國家飛到紐約會合。行前我跟 YM 聊，我說其實我非常不喜歡旅行，除了自己家，我哪都不太想去。YM 說，哈，那我可真是入錯行了。唉！資安這行，到處跑是必須的，去幫客戶解決問題，去訓練代理商，去展覽，去演講，去聽演講…一年到頭，資安顧問總是得跑來跑去。我跟 YM 說，也許是吧，但是我希望阿碼科技的各位同事能快快成長，能挑大樑，就能幫我分擔了。
做了一陣子，抬頭一看，哇，飛機上阿碼的同事只有兩種，一種呼呼大睡，一種埋頭打字。現在台北下午六點，能這樣睡，真的表示平常大家都太累了。我問 Benson，哇，原來他也帶了三顆電池！「我跟 QA 借的！」他得意的說。我做他正後方，從此他一口氣做到電池用完，然後火速倒頭就睡。連續放兩場電影了，沒人看，不是工作就是睡覺。只有 Walter 盯著他的 iPod 看，我走過去看看是什麼好片，看得這麼專心，結果是從 Google Video 跟 Youtube 抓下來的最近一些重要的資安演講。WOW！看來阿碼的文化，非常統一，大家辛苦了！
第一天都是老外講師，第一場由 Black Hat / DEFCON 資深成員 Adam Laurie 開場，講 RFID 的諸多弱點，以及他的 RFIDIot，讀 RFID 的工具。Adam 的這個演講非常熱門，他願意來，我們非常感謝他。Adam 講了許多 RFID 的弱點，包含護照可以拷貝，信用卡可以被無線盜讀，捷運卡可以修改等等。（今年在 DEFCON 上最轟動的事之一，就是 MIT 的學生要講美國捷運系統的弱點，結果被法院禁講一事）。Adam 不愧是老 DEFCON 成員，我覺得他在內容，技術性，以及演講技巧方面，都做得很好，沒話說。
Petr 介紹了手機上 rootkit 的設計，以 Windows CE 6 為平台。Petr 講得非常的詳細，另外我覺得課程設計得好的地方是，他有詳細說明在 CE 6 上設計 rootkit 跟 Win32 上有什麼不同，跟 CE 5 上又有什麼不同。我覺得這很實用，很多人很熟 Win32 上的方法，用這樣引導可以很快切入主題。不過 Petr 演講的技巧還可以加強，雖然技術講得很清楚，可是語調有些平淡，個人看法啦！
（Petr 把 Window Mobile 6 上的 rootkit 手法講得很清楚）
Matt Conover（shok）是讓這次我很感動的一位講師，外國講師裡頭我給他最高分。Matt 講之前我有跟他溝通，大家英文程度不一樣，雖然有部分與會者英文非常好，聽老外演講完全沒有問題，但是也有一大部分比較吃力，所以希望他能盡量放慢，講不完的話，寧可放棄一些太深的東西不要講，也要求有講到的大家當場能聽懂。結果 shok 在台上刻意把英文放慢，有特別咬字清楚，加上他本身的演講技巧就很好，整場演場下來非常成功，也讓我很感動。我一年跑太多演講了，不是每個講師都願意這樣的，很多講師只顧把自己想講的講完，或顯示自己的研究很強，而不會去管觀眾的吸收度，因為畢竟是 talk 不是 training。不過 Matt 在這邊是出名的好講師，各地的年會，對他的評價都很高。
Matt 講的題目很有意思，是 Matt 最近在 Symantec Research Labs 研發出的一個雛形系統，可以把 kernel-mode 的驅動程式在 user-mode 下執行。這種技術主要用來在 user-mode 下觀察 kernel-mode 之 rootkit 的行為，並能有效控制其行為。有別於傳統利用模擬器之作法，此技術是直接將 rootkit 利用真實硬體執行起來，但是是在 ring 3 而非 ring 0。當此 rootkit 開始利用特殊指令，或開始讀取 / 修改 / 執行 kernel-mode 之記憶體時，我們將 faults 攔截下來並送入 kernel 內。這樣一方面可以使此 rootkit 得以正常執行，一方面又得將其行為限制於 sandbox 內。
訂閱文章
訂閱意見
訂閱文章