2009年10月25日

聽 FBI 主任 Robert Mueller 演講筆記

Robert Mueller
最近住在美國加州的 Palo Alto。今天早上在收音機上聽到 FBI 主任 Robert Mueller 去舊金山 CommonWealth Club演講,大談網路犯罪和恐怖份子,30 分鐘講完後,還回答了 30 分鐘的問題。

趁忘記之前把聽到的東西筆記一下。
  • 他自己也中過 phishing,以為真的是銀行寄來的 e-mail,糊裡糊塗連上了 e-mail 裡附的網址,還好在假的銀行網站上填密碼之前警覺到可能有問題,找他手下來查,把 phishing 的人抓了起來。不過從此他老婆就不准他用 online banking 了,哈哈哈!
    (註:釣魚的人誰不好釣,跑去釣 FBI 主任,我該說他活該嗎?)

  • 他說各公司和組織在建立網站的時候,一定要事先把保全(security)納入考慮,而不是事後再亡羊補牢。

  • 之前有個案子,是罪犯組織先從網路入侵銀行,盜取了提款卡上的密碼後,做了許多張偽卡,在 24 小時內,從全球各地數百個 ATM 提領了上百萬美金。

  • 九一一之後,美國愛國者法案(USA Patriot Act)通過了,FBI 歷經了組織重整,並且和美國的情報機構(CIANSA 等等)開始交換情報。FBI 一向負責的是美國境內的治安,CIA 是美國境外的情報蒐集;情報整合之後,對恐怖組織在境外和境內的活動有了比較完整的輪廓。
    (註:其實是對任何人在美國境內和境外的活動都很了解吧?)

  • FBI 的五個最優先的工作:(其實這個 FBI 網頁列得很清楚,但 FBI 主任被問到的時候背得出來耶!)
    1. 保護美國不受恐怖攻擊
    2. 保護美國對抗外國的情報工作和間諜活動
    3. 保護美國對抗基於網路的攻擊和高科技犯罪
    4. 在各層級查緝公共人物的貪污
    5. 保護公民權利

  • 有聽眾問:「美國有很多愛國的阿拉伯裔人民,FBI 有沒有這樣的成員?」Robert Mueller 的回答是:「美國是個移民國家,FBI 的成員應該要反映出來,但目前阿拉伯裔的人數還不夠。」

  • 有聽眾問:「與其要防範青少年駭客破進伺服器讀了我們的 e-mail,我們不是更應該擔心 FBI 偷看嗎?」(註:這不是當面嗆主任嗎?嗆得好!)
    Robert Mueller 的回答大致是這樣:「你其實真的要防範青少年駭客破進伺服器,很多人覺得他自己的機器裡沒什麼好偷的資料,就不想花力氣去保護;但是資訊就是力量(Information is power),你不知道罪犯拿到資訊後會做什麼事、産生什麼後果。相比起來,FBI 如果要看你線上的資料,必須先向法官申請搜索票,然後希望你的服務業者配合。」
    (註1:他講了幾種法官,但我沒聽懂。註2:真的有這麼克制自己?很難相信耶!看看 2001 年美國法務部幹的好事。)

  • 有聽眾問:「FBI 會聘厲害的駭客進 FBI 工作嗎?」(註:這讓我聯想到 Leonardo DiCaprio 和 Tom Hanks 演的 "Catch me if you can",中譯【神鬼交鋒】)
    Robert Mueller 回答是:「不會。」他又繼續講:「青少年駭進別人的系統,常常不知道自己在犯罪,被逮捕的時候一臉錯諤。關進去之後,就會留下犯罪紀錄,幾年之後出來,要找工作都變難了。」
先記到這裡,如果還有想到什麼再補記吧!

2009年10月21日

Stop making a fuss on things you don't know the context

OK, Chris Yeh of Yahoo! openly apologized about having "Hack Girls" in the Yahoo! Open Hack Day in Taiwan. I understand that there were waves of complaints in the English-speaking part of the world that drove Yahoo! to apologize. But since none of the English-speaking complainers were in the event, the complaints were based on pictures and/or a video that has been taken down.


If you are not there and haven't heard first-hand from any attendees, you are out of context and shouldn't make a fuss.

I myself wasn't there, so I'm not jumping into conclusions. Instead I'm trying to find out what attendees think.

ZDNet has a report on this, I'd suggest that you either read it if you know Chinese, or get it translated to your language.

Beyond the report, I've chatted with some attendees, including one female developer (let's call her X) and a friend of another female developer (let's call her Y). But let's establish some facts first.

First of all, it was only a 3 minute dance to entertain the developers in an otherwise exhausting 24 hour hacking event. It was not an all night dance party.

Second, some bloggers think these girls are strippers. No, that's totally wrong. They are girls that are good at dancing and are invited to exhibitions, trade shows or other events to dance with clothes ON to attract customers. Strip dancing is illegal in Taiwan according to this Q&A page of Hsinchu District Prosecutor Office. If having dance girls in technology events gives you a bitter taste in your mouth, don't blame it on Yahoo!. That practice has been there for for than 5 years.

Third, it has been dubbed "lap dancing", but is it really that intimate? I can't tell from the pictures on Simon Willison's blog. It seems the dance girls touched developer's shoulders with their hands. But there were no other apparent physical contacts. Does this constitute lap dancing? I'm not sure.

Now on to my attendee friends. My summary of the responses to the 3 minute dance are as follows.
  • X, being in the Open Hack Day for both 2008 and 2009, complained about 2 things last year on her blog (in Chinese):
    1. the loud music distracted her and her team from coding;
    2. the dance girls pulled attendees to stage, interfering with developers' hacking work.
    She did not write about the dancing itself, and hasn't written any blog about the event this year.
  • Y's friend said Y didn't care.
  • A male friend wrote on his plurk microblog that he enjoyed the Open Hack Day event overall, but felt uncomfortable in those few dancing minutes. He also thought that dance girls pulling attendees to stage is over the line.
  • Several others view that "it was a distraction", pointing to the loud music, but not the dance because
    • some of them were trying to keep coding;
    • the rest didn't bother to watch.
  • Some didn't even bother to comment on it, instead complained that some teams came with a half-baked project and the competition wasn't fair.

Today, finally there is an English blog entry by a male attendee. Similarly, he complains about the distraction, not the dancing.

So far I haven't seen a single participant, male or female, feel offended by the dance.

So, no matter who you are, which philosophy you believe in, or how many subscribers your blog enjoys, stop making a fuss unless you were in the event, or until an attendee writes that he/she is offended by such an arrangement.

2009年10月13日

資料在雲端蒸發,怎麼辦?

最近有個連續劇般的新聞,我看了幾天...

10/10 Engadget 報導:"T-Mobile: we probably lost all your Sidekick data"。啥?T-Mobile 把手機客戶的聯絡人、照片的資料搞丟了?

10/11 ZD Net 文章:"The T-Mobile-Microsoft Sidekick data disaster: Poor IT management going mainstream"。「T-Mobile 微軟的資料災難:差勁的 IT 管理進入主流」,這種話都出來了,挨踢也是應該的。

10/12 The Inquirer 報導:"Danger no backups"。不論是外包給別人去升級 SAN 也好、是微軟和 Danger 系統整合有問題也好,資料還真的沒有備份?!

第一次看到這個新聞的時候,我還真不敢相信,所以才多看了幾天。

資料中心裡的客戶個人資料竟然沒有備份?

這樣也可以出來做生意?

我本來覺得歐巴馬上任不到一年獲諾貝爾和平獎一定是本月最離譜事件了,沒想到馬上被這件事追過!


網路上有關這個事件的部落格也是隨手找就一大堆,有人說這是雲端運算目前為止最大的災難,有人說這是無能的人經營的傳統資料中心,和新興的雲端運算無關

這個事件,算不算雲端運算的災難?


我所認同的「雲端運算」是「應用程式和資料都放在遠端伺服器,用任何可上網設備均可取用」的運算模式,不是任何單一技術或單一廠商,和資料中心傳不傳統、網管厲不厲害也沒有關連。

所以,不要牽拖,這就是雲端運算的大災難!

雲端運算不安全?

這個例子說明了,再先進的技術,在無能的營運或管理者的手上,都可能出問題!(唉喲,害我又想起張國龍教授當年批評核四安全性的說法...)

這個單一事件,不會阻止、但可能會減緩雲端運算模式的普及。因為:
  • 你的銀行外洩了所有信用卡客戶的資料,你會說整個信用卡的消費模式就此垮台嗎?
  • 還是你會說,這家銀行太爛了,趕快把卡剪了,換用另外一家的?
你也許要記住這次出包的雲端服務公司,以後在選擇服務業者時,考慮一下要不要選這家。


那麼,作為一個雲端消費者,要如何保護自己的資料?

依我看,有兩件事可以做:
  1. 自己的資料自己救!把所有上傳到 flickr/picasaweb 的照片、上傳到 YouTube/Vimeo 的影片,在 Pixnet/無名/Blogger 寫的部落格文章、在 Google docs 裡作的文件、用 Google Sites 做的網頁... 通通拷貝一份在家裡。

  2. 慎選雲端服務商。以後選擇只會更多,每個人因為穩定性、移植性、方便性、同儕推薦等等各種原因會選擇不同的服務商,但為了你辛辛苦苦寫的文章或難得拍到的小孩照片不要人間蒸發,千萬別漏了考慮「資料安全性」。

1.自己的資料自己救

這說來容易,做來難。不是空間的問題,一顆硬碟 1 TB 的時代,買個外接碟就能裝進幾百小時的影片、或一二十萬張照片、或幾十萬份文件,容量真的不是問題;問題是在維護上。

天下沒有不散的筵席,更沒有不壞的硬碟。

出去旅遊拍的照片和小孩幼稚園畢業典禮的影片,一旦失去就再也回不來了,小心的人都會自己備份;管理日漸成長的檔案和備份的最簡單方法,大概叫做「買兩顆硬碟回來對拷」吧!不過要有心理準備,這種事不太好請學長幫你做(你確定學長不會看到不該看的?),金錢和時間是要自己花的。而且有些東西是直接在雲端平台產生的(如這篇部落格),要如何備一份在家裡?這是另外一個課題,改天再來寫一篇。

不過,話說回來,連小心的一般使用者都會備份資料了,堂堂的手機廠商和配合廠商(好大的一間公司喔)竟然會沒有備份?我二個禮拜前才在台大教了 distributed file systemsGFS 的課,連大學生都大約知道容錯的分散式檔案系統是怎麼回事了,這些大公司是在用二十年前的技術存資料嗎?

2.慎選雲端服務商

如果在金錢或時間上有困難,實在沒辦法自己備份怎麼辦?只好仔細選家服務商,然後祈禱不會所選非人啦。

怎麼看一家雲端服務商的資料安全性好不好?
  1. 歷史記錄:以前有沒有掉過資料?掉了有沒有找回來?花多長時間?資料是否外洩過?
  2. 資料保全技術:它用什麼技術保全你的資料?有沒有容錯機制所以不怕單一硬碟的損壞?有沒有異地備援所以不怕單一資料中心發生火災?
  3. 人員素質和制度流程:它的工程師和 IT 網管的素質如何?有沒有完善制度和流程以避免人為疏失?
第一點在網路上搜尋或打聽,多少可以知道一些。

第二點比較困難取得,服務商不見得會揭露這些技術細節,但我認為雲端運算要漸趨成熟的話,這些是雲端服務商應該要揭露的內容。目前一般的做法是提供「服務等級同意書」(service level agreement),但就像安裝軟體大概超過 99% 的人都是 Next > Next > Next,雲端服務的 SLA 那頁應該也是沒看就「我同意」了吧?有心的人不妨注意一下 SLA。

第三點的話,每一家要嘛不說,要嘛一定是自吹自擂,這時候口碑就很重要了,尤其是在行家之間的口碑。


你可以反問:「我存錢到銀行都沒過問銀行是如何保全它金庫裡的錢了,存資料到雲端難道比存錢還要更小心?」

當然!

錢失去了,再賺就有,何況銀行被搶了,你還是可以憑存褶去領錢,如果把銀行擠兌倒了,還有存款保險寥表心意的理賠,要到的每一塊錢,都和你存進去的錢有一樣的效用。可是,你在金字塔前騎駱駝的照片萬一不見了,難道要摸神燈請燈神幫你變回來?業者最多只能賠你錢,但你寧願賠錢的狀況不要發生吧?

在雲端產業和法律配套還沒成熟的今天,業者必未會主動揭露資料保全的方式,所以,還是多搜尋多打聽吧!口碑很重要的,不是你身邊非行家的同學、同事、同鄉、同胞的口碑,而是網路上行家的口碑。

誰是行家?那就要由你來發現了。希望你不會和這幾十萬個 Sidekick 的客戶一樣,資料掉了還救不回來,也希望你永遠不會問我標題上的問題。


2009年10月11日

陳水扁去美國軍事法庭狀告美國的判決:駁回

在美國軍事法庭日誌 10-026 號記載了陳水扁去告美國的案子的處理結果,順手轉貼並翻譯一下。我不是法律專業,用詞如有錯誤請專家指正。

Misc. No. 10-8003. Chen Shui-Bian, Petitioner v. United States, Respondent. Notice is hereby given that a petition for extraordinary relief in the nature of a writ of mandamus was filed by mail under Rule 27(a) on September 21, 2009, and placed on the docket this 6th day of October, 2009. On consideration thereof, it is ordered that said petition is hereby dismissed for lack of jurisdiction.
雜項 10-8003 號,請願人:陳水扁,被告:美國。
在此公告,要求本庭依法履行書面命令以破例釋放請願人的請願書,已於 2009 年 9 月 21 日依法規 27(a) 以郵件寄達本庭,並於 2009 年 10 月 6 日進入備審案件目錄表。在審慎考慮之後,本庭命令,因缺乏法律管轄權而駁回該請願書。


這裡面有些我不太確定譯得對不對的文字,條列如下:

extraordinary: 破例的

relief: 釋放

writ: 書面命令

mandamus: 依法應履行的執務

dismiss: 駁回

歐巴馬獲諾貝爾和平獎:文字記錄

這兩天最大的意外新聞,應該就是美國總統歐巴馬才上任九個多月就獲得諾貝爾和平獎這件事吧!各國媒體充斥著各種解讀和猜測,我不是國際關係專家,不想解讀,只想把諾貝爾基金會的公開文字轉貼和翻譯出來,留個文字記錄。

正式的 citation

"for his extraordinary efforts to strengthen international diplomacy and cooperation between peoples"
「因為他在強化國際外交和民族之間的合作上異於常人的努力」


記者會的宣佈

The Norwegian Nobel Committee has decided that the Nobel Peace Prize for 2009 is to be awarded to President Barack Obama for his extraordinary efforts to strengthen international diplomacy and cooperation between peoples. The Committee has attached special importance to Obama's vision of and work for a world without nuclear weapons.
挪威諾貝爾委員會業已決定將 2009 年諾貝爾和平獎頒給歐巴馬總統,以表揚他在國際外交和民族之間的合作上異於常人的努力。委員會尤其重視歐巴馬對於無核武世界的願景和工作。


Obama has as President created a new climate in international politics. Multilateral diplomacy has regained a central position, with emphasis on the role that the United Nations and other international institutions can play. Dialogue and negotiations are preferred as instruments for resolving even the most difficult international conflicts. The vision of a world free from nuclear arms has powerfully stimulated disarmament and arms control negotiations. Thanks to Obama's initiative, the USA is now playing a more constructive role in meeting the great climatic challenges the world is confronting. Democracy and human rights are to be strengthened.
身為總統,歐巴馬創造了國際政治的新氣氛。多方外交重新取得中心地位,並且強調聯合國和其他國際組織所能扮演的角色,即使是最艱難的國際衝突,對話和談判也成為解決問題的優先手段。無核武世界的願景已經有效地激發了裁減核武和控制核武的談判,幸虧歐巴馬的主動,在全世界面對巨大氣候變遷的時刻,美國現在扮演了更有建設性的角色。民主和人權則有待加強。


Only very rarely has a person to the same extent as Obama captured the world's attention and given its people hope for a better future. His diplomacy is founded in the concept that those who are to lead the world must do so on the basis of values and attitudes that are shared by the majority of the world's population.
很少有人能像歐巴馬一樣引起全球關注並同時給予人民美好未來的憧憬,他的外交政策根植在一個觀念之上,就是:要領導世界的人一定要以全世界多數人的共同價值和觀點為基準。


For 108 years, the Norwegian Nobel Committee has sought to stimulate precisely that international policy and those attitudes for which Obama is now the world's leading spokesman. The Committee endorses Obama's appeal that "Now is the time for all of us to take our share of responsibility for a global response to global challenges.
108 年來,挪威諾貝爾委員會不斷試圖鼓勵的,就是這樣的國際政治和由歐巴馬領先全世界展現出來的這種態度。委員會支持歐巴馬發出的呼籲:「現在是我們全體共同肩負起對全球性挑戰作出全球性回應的責任的時候了。」


Oslo, October 9, 2009
2009 年 10 月 9 日於奧斯陸