[資安觀念] 更新，還是不更新？

過去我們常被告誡，千萬不要下載或安裝來路不明的軟體。即使今天我要更新微軟 Windows 的漏洞，也應該透過 Windows Update 自動更新或者直接到微軟的網站下載才比較保險。至於其他第三方的軟體，雖然可能沒有自動更新的功能，但是至少還是有機會到官方網站下載正式釋出的版本。當然，對於那些你根本就搞不清楚用來幹嘛的軟體，請二話不說就是直接敬謝不敏。姑且不論有多少使用者確實遵守這些”教誨”，但是這些教誨確實是可行而有效的，一直到…

這幾年在企業間很流行終端設備安全 (End point security) 這個概念，主要是為了因應大量來自內部所產生的資安事件。嚴格來說，終端設備安全是一個很廣泛的概念，相關產品也是功能各異。其中有一些產品會檢查終端設備的狀態，並據此決定這個終端設備是否可以正常地使用企業網路。所謂檢查的狀態通常包含是否安裝防毒軟體以及防毒軟體病毒碼是否是最新版、是否安裝防火牆、是否進行相關的更新 (最主要的是 Windows Update) 等。如果檢查不過，這個終端設備就不能正常的使用網路。此時有兩種情況，一種是網路完全不能使用。這種情況很不近人情，所以現在大多是第二種情況，也就是提供使用者補救的手段，讓使用者可以通過檢查。舉例來說，如果是 Windows Update 沒有更新，那讓這個終端設備更新完畢既可。除了 Windows Update 之外，其他第三方的軟體，當然也可以透過同樣的方法更新。除了更新，這些產品可能會要求終端設備額外安裝其他軟體，以符合管理的需求。

聽起來很合理的情境，只是現實生活當然沒那麼單純。如果今天你帶著心愛的筆電到國防部作客，正要連上網時發現被要求更新某個軟體，我想大部分的人都不會有所遲疑。但是如果場景移到你家樓下的阿里不達咖啡廳，此時你是更新還是不更新？好吧，你可能很有骨氣，寧可忍受片刻無網路的生活也不要成為受害者聯盟的一員。再把場景移動一下，如果你正在國外旅行，出發前還特地確認了住宿的飯店有提供上網的服務。正當你興高采烈的連上飯店的 WiFI 網路時，跳出要你更新軟體才能繼續使用網路的訊息，你會做何打算？忍受數日無網路的原始生活，還是眼睛一閉按下去就對了？我不敢奢望自己能夠忍受數的日原始生活，但是千萬也別閉著眼睛按下去….否則可能真的會直達地獄了。

Internet Crime Compliant Center (IC3) 在本 (5) 月初發表了一篇新聞稿，警告美國人到外國旅遊時要小心在飯店上網時所跳出的軟體更新訊息。想當然爾，這些訊息絕對不是為了你的安全著想，而是設法讓你在不知情情況下把那座特洛伊木馬帶回家。 其實這類手法之前就很常見，只是當你身在”別人家”時，對方就更容易對你進行網路的攻擊。而終端設備安全檢查的普及，更讓使用者覺得上網前要求更新軟體是很”正常”的一件事，可能將使得這類攻擊的成功率更為提高。也因為終端設備安全檢查的普及，我再也不能說請你一定要到”官方網站”下載正式釋出的版本。通常你能做的，只有斷線跟按下去兩個選項…對了，還有一個選擇，那就是完全不管他，畢竟這類訊息很多只是嚇人的紙老虎而已。