OWASP亞洲年會開跑　聚焦網路安全議題

開放網站軟體安全組織（OWASP）今天（10/27）在台舉辦年度資安大會，這是OWASP第二度在台舉辦，同樣以該組織著重的網路安全為主要議題，從網站掛馬、網路駭客、以及電子郵件安全等議題都有著墨。

這次由於報名人數超乎預期，OWASP台灣分會還緊急將活動地點從台大醫院國際會議中心改至能容納較多人的台北國際會議中心。OWASP二度來台，議程規模從去年的半天擴大到兩天，相對討論議題也較廣泛。

第一天議程主要為討論國內網路犯罪手法，諸如透過網頁惡意程式、Javascript的攻擊特性，另外也有關於網站安全測試的技術解析。例如OWASP台灣分會會長、同時也是安全廠商阿碼科技執行長黃耀文就以網站掛馬為主題，探討Javascript攻擊特性。並指出這類攻擊由於變形迅速、因此難以完全監控的特性。

事實上從近一、兩年來安全廠商發表的報告也可看出，透過網頁進行的攻擊手法越來越多，因此這樣的議題也吸引國內各路安全產業相關人士。兩天收費一千元的議程仍舊造成報名額滿，超過650人參與。

另外內政部警政署也發表關於網路犯罪的研究，以日前傳出的五千萬筆資料外洩、駭客成立個資資料庫的事件為例，討論資料外洩的主要原因。當時警政署發現有駭客建置專業個資資料庫，提供詐騙集團以購買點數的方式搜尋他人資料。還可以關聯性查詢，有多個公家機關、大型企業的員工名單全都一覽無疑。

警政署巡官叢培侃（PK）表示，有心人士還會透過社交網站搜尋重要人士的私人電子郵件，再統一發送帶有惡意程式的電子郵件。他強調，重要的企業文件最好不要帶回家裡，就是因為私人信箱沒有受到企業內部安全網絡保護，很容易成為資料外洩的管道。尤其是夾帶了惡意程式的郵件，會引來更多隱私被竊取的問題。

今年的OWASP除了議程規模擴大以外，講師陣容更是堅強許多。去年只有兩位國外講師，今年則有九位。除了甫在OWASP美國、歐洲、印度年會發表演說的7名講師，更有曾參與美國駭客年會Black Hat以及DEFCON的資深人士。主辦單位表示，希望能讓台灣安全相關人士也能聽到國際水準的演說。

明天議程中，最受矚目的焦點將會是首度發表的「點閱綁架」（clickjacking）漏洞，主講者是曾四次在黑帽大會（Black Hat ）發表演說的SecTheory執行長Robert Hansen。他今天表示，即使相關廠商還未完全修補好漏洞，但他明天一定會如期發表這項新的安全威脅。