認識「安全隔區」
今時今日太多敏感資料經過手處理，除了用戶見到的個人私隱資料，還有看不見手機背後各層級保密運作，當中包括手機起動、儲存加密解密、個人生物特徵等。這些資料萬一洩漏，除了面對金錢損失及身份被盜的風險，密匙失竊可令你點對點加密運作被破解，傳送資料被中間人窺看。生物特徵一旦失竊更是不可逆轉。如何保護這些資料是手機安全重要一環。昔日的做法是將這些資料直接儲存於手機內存，但這做法極不穩妥，因為只要取得讀取權限就可獲得相關資料。因應安全要求提升，今時今日的手機大多有「安全隔區」(Secured Enclave) 。所謂「安全隔區」，是一個獨立的處理單元，以硬件或軟件技術保護手機關鍵敏感數據。外在的作業系統及軟件只向其提出動作要求，例如要求核實生物認證，但不能直接取得內部的敏感資料。安全隔區還有另一重要功能，就是啟動時驗證作業系統完整性。只有在確保程序沒有受到篡改情況下才執行啓動。蘋果是首先提出安全隔區概念，其它牌子的手機陸陸續續加入行列，而且應用範圍擴展至電腦系統及晶片。雖然安全隔區暫未有行業通用的標準，但某些地區已制定廣泛認可的框架及安全標準，例如美國國家標準與技術研究院的NIST 800-171。
硬件隔區需要審計
針對手機設計，安全隔區主要分三大類，一類是獨立硬件安全隔區（Hardware Secure Enclave)，利用一完全獨立於作業系統、中央處理器及其它應用程式的硬件晶片運作，其優勝之處是即使裝置遭到入侵，作業系統出現漏洞，資料仍受保護。通常這枚晶片經過特別設計，擁有防簒改及抽取資料機制，即使將晶片完全取出，亦無法取得內裏資料。另一類是軟體安全隔區（Software Secure Enclave)，即利用軟體的技術提供一個安全的執行環境，但運作依然倚賴作業系統及應用程式的安全機制來實現隔離和保護。由於沒有完全與作業系統及應用程式分離，所以相對容易受到各種攻擊，包括透過惡意軟體、權限提升或系統漏洞等，敏感資料亦較容易暴露於系統上運行的程式。還有一種是受信執行環境(Trusted Execution Environment)隔區，利用中央處理器內的一個安全區域，與作業系統及軟件分隔，並利用內置應用程式管理。受信執行環境較軟體安全格區穩妥，但相對硬件安全隔區仍較易受到攻擊。利用硬件安全隔區有明顯優勢，國際大牌子例如蘋果iPhone、谷歌Pixel、三星高規格手機等皆使用硬件安全隔區。即使備有安全格區，下一個關鍵問題，就是如何得知安全隔區如其描述運作？答案是獨立第三方驗證。上述牌子皆有可信，第三方提供驗證。一些中國大陸牌子例如One Plus、華為等亦稱擁有硬件安全隔區，不過未能提供公開的可信的第三方認證及細節。
使用上仍需留意
既然硬件安全區有壓倒性優勢，為何手機不全部使用，主要是成本與安全的平衡。資訊安全往往要付出代價，面對今時今日各種威脅，筆者認為審慎為上。若你對手機安全有較高要求，應選擇擁有獨立硬件安全隔區的國際品牌手機。購買手機請多做功課，留意安全隔區的資訊技術細節及有否可信獨立第三方審計。若你現時使用的手機未有硬件安全隔區，較穩妥的做法是首先避開使用生物認證，改用密碼或PIN，並適時更改。兩大手機作業平台均提供遠端刪除資料，請啟動相關功能。亦可考慮安裝可信的防毒及網絡安全軟件。即使你手機有安全隔區，仍要留意隔區只負責關鍵敏感資訊並非所有密匙，亦可能運作時產生一部份臨時鎖匙在隔區範圍外，所以請習慣每天重新啟動，可將臨時鎖匙清洗，加強裝置資訊安全。軟件亦通常自行儲存通訊加密鎖匙，這些鎖匙亦不在隔區管理範圍。另外，軟件可按權限，向硬件安全隔區提出要求，處理身份認證。若果軟件不妥當，即使不能直接取得極敏感資料，當你批准身份認證後仍可進行其它攻擊。有效保護手機安全的方法還是大幅減少安裝軟件，查清軟件底細才好安裝，並控制軟件權限。若軟件提供PIN碼才可進入請啟動相關功能。一些基本資訊安全守則依然適用，例如儘量減少在手機處理敏感資訊，並將資料儘快轉移手機內的加密儲存庫等。
要保護資訊安全，往往要留意隱藏在細節中的魔鬼。不論軟件還是硬件，不少第三方就是看中用戶不留意細節的弱點，從中獲益或獲取資訊。科技日新月異，用戶必須多加留意，不斷提升防護知識，才可避開陷阱。◇
----------------------
🏵️ 法輪大法洪傳世界33周年特刊：
https://tinyurl.com/3p4e4yrn
----------------------
【不忘初衷 延續真相】
📰周末版復印 支持購買👇🏻
http://epochtimeshk.org/stores
