成大教授李忠憲在臉書解釋「為什麼政府機關應該禁止使用華為等中國製手機」

最近前工研院產經趨勢研究主任、現任文化大學競爭力研究中心主任杜紫宸針對政府單位可能要禁用中國製的通訊產品等問題，向政府喊話「why bother？」，認為中國製的產品不至於對政府單位構成威脅，還呼籲想請資安專家出來說明中國的國安單位要如何來竊取、使用這些資料。而今天成大電機與通訊工程研究所教授李忠憲就在臉書上回應杜紫宸，說明「為什麼要禁止華為等中國製手機」。

根據UDN的報導，昨天杜紫宸針對禁用中國製產品的新聞舉例，表示如果他使用的是華為手機，可是他的4G電信服務商是中華電信，請問他的手機如何自我傳送資訊，中間透過中華電信，告知華為，他的動態、名錄和聯絡信息？

他又表示，如果他的通訊錄上都是Nancy、Henry、David，請問華為背後的中共國安部門，如何辨别誰是誰？就算以上兩件事均屬可行，請問 「有心人」 需要在幾噸的垃圾大數據中，才能抽絲剝繭出一公克的有價值資訊？

在昨天的報導中，杜紫宸請求「專家大大」指點迷津。

其實如果這個報導如果對杜紫宸先生的說法沒有誤傳的話，不需要資安專家，一般略懂網路安全的人都能輕易指出他說法中的錯誤。針對第一點，惡意程式要傳送資訊，根本不管你用哪一家電信服務，你用中華電信或是跑到韓國用KT電信對於惡意程式來說一點問題也沒有。至於第二點，如果他的說法成立的話，那全世界對於個資、隱私蒐集的擔憂就都是無稽之談，FB的祖克伯也不會滿頭包了。

不過，還是來看看成大電機與通訊工程研究所教授李忠憲在臉書上以「為什麼禁止華為等中國製手機」，是怎麼解釋的吧！

他表示，如果華為手機暗藏後門，不管是中華電信、遠傳或台灣大哥大的4G服務，或是無線網路Wi-Fi等等下層的網路連線，手機上層的這些應用程式就可以利用下層網路隨時隨地傳送資料到中國的資料庫。

至於中國製的手機在政府機關裡面使用？因為假如這些手機暗藏後門，即使是資訊單位已經針對華為手機的用戶做嚴格的網路管控，在內網流量分析和利用資安設備管制後門所造成的可疑連線之後，這些手機一樣會在內網裡面收集資料，然後當脫離內網之後，手機就可以利用沒有管制的網路、例如像中華電信的商業用 4G 服務傳送到中國去。

而針對杜紫宸的第二個問題，要如何辨別通訊錄之中以Nancy、Henry、David等普通名字為名之人？

李忠憲則是以APT攻擊來解釋。由於他在臉書中寫的比較簡單，我們在這裡進一步說明什麼是APT。

APT指的是進階持續性滲透攻擊（Advanced Persistent Threats, APT）它是針對特定組織所作出複雜且多方位的攻擊。APT不是一種新的攻擊手法，也不是可以藉由阻止或破壞一次攻擊就讓問題消失。APT可以想成是進行中的過程，一個APT是一段持續的攻擊。如果一個戰術行不通，就會再嘗試另外一個。

其實APT是資安防護的一個議題，也是討論駭客攻擊手段最常被提到的一個名詞。李教授拿這個攻擊來說明的是，駭客組織會針對特定的人物、特定的企業，進行長期的APT攻擊，默默的收集到你所有的資料、數據、企業的漏洞等等，在這過程中他們會用到各種手段，去進行收集以及分析。

回到主題，以杜紫宸的問題來說，沒錯，如果你以亂槍打鳥的角度來看，某個駭客拿到某個人通訊錄中的「Nancy」、「Henry」的名字，或許真的不知道這些人是誰。但是，如果是特定的駭客，已經鎖定了杜紫宸（或是其他特定官員）為攻擊目標，那麼他之前只要對你的人際關係做過一些功課的話，要知道你手機中的「Nancy」、「Henry」是誰，其實也不是那麼困難，是不是？

• 李忠憲教授臉書全文請看 為什麼禁止華為等中國製手機