OpenBSD 並沒有內藏 FBI 後門；值得關切的是神秘版的 RSA 加解密演算法及 SecurID

本文由 建研所 委託，泛科學企劃執行。 

當你走進一棟建築，是否能感受到它對環境的友善？或許不是每個人都意識到，但現今建築不只提供我們居住和工作的空間，更是肩負著重要的永續節能責任。

綠建築標準的誕生，正是為了應對全球氣候變遷與資源匱乏問題，確保建築設計能夠減少資源浪費、降低污染，同時提升我們的生活品質。然而，要成為綠建築並非易事，每一棟建築都需要通過層層關卡，才能獲得標章認證。

為推動環保永續的建築環境，政府自 1999 年起便陸續著手推動「綠建築標章」、「智慧建築標章」以及「綠建材標章」的相關政策。這些標章的設立，旨在透過標準化的建築評估系統，鼓勵建築設計融入生態友善、能源高效及健康安全的原則。並且政府在政策推動時，為鼓勵業界在規劃設計階段即導入綠建築手法，自 2003 年特別辦理優良綠建築作品評選活動。截至 2024 年為止，已有 130 件優良綠建築、31 件優良智慧建築得獎作品，涵蓋學校、醫療機構、公共住宅等各類型建築，不僅提升建築物的整體性能，也彰顯了政府對綠色、智慧建築的重視。

說這麼多，你可能還不明白建築要變「綠」、變「聰明」的過程，要經歷哪些標準與挑戰？

綠建築標章	智慧建築標章	綠建材標章

第一招：依循 EEWH 標準，打造綠建築典範

環境友善和高效率運用資源，是綠建築（green building）的核心理念，但這樣的概念不僅限於外觀或用材這麼簡單，而是涵蓋建築物的整個生命週期，也就是包括規劃、設計、施工、營運和維護階段在內，都要貼合綠建築的價值。

關於綠建築的標準，讓我們先回到 1990 年，當時英國建築研究機構（BRE）首次發布有關「建築研究發展環境評估工具（Building Research Establishment Environmental Assessment Method，BREEAM®）」，是世界上第一個建築永續評估方法。美國則在綠建築委員會成立後，於 1998 年推出「能源與環境設計領導認證」（Leadership in Energy and Environmental Design, LEED）這套評估系統，加速推動了全球綠建築行動。

臺灣在綠建築的制訂上不落人後。由於臺灣地處亞熱帶，氣溫高，濕度也高，得要有一套我們自己的評分規則——臺灣綠建築評估系統「EEWH」應運而生，四個英文字母分別為 Ecology（生態）、Energy saving（節能）、Waste reduction（減廢）以及 Health（健康），分成「合格、銅、銀、黃金和鑽石」共五個等級，設有九大評估指標。

我們就以「台江國家公園」為例，看它如何躍過一道道指標，成為「鑽石級」綠建築的國家公園！

位於臺南市四草大橋旁的「台江國家公園」是臺灣第8座國家公園，也是臺灣唯一的濕地型的國家公園。同時，還是南部行政機關第一座鑽石級的綠建築，其外觀採白色系列，從高空俯瞰，就像在一座小島上座落了許多白色建築群的聚落；從地面看則有臺南鹽山的意象。

因其地形與地理位置的特殊，生物多樣性的保護則成了台江國家公園的首要考量。園區利用既有的魚塭結構，設計自然護岸，保留基地既有的雜木林和灌木草原，並種植原生與誘鳥誘蟲等多樣性植物，採用複層雜生混種綠化。以石籠作為擋土護坡與卵石回填增加了多孔隙，不僅強化了環境的保護力，也提供多樣的生物棲息環境，使這裡成為動植物共生的美好棲地。

第二招：想成綠建築，必用綠建材

要成為一幢優秀好棒棒的綠建築，使用在原料取得、產品製造、應用過程和使用後的再生利用循環中，對地球環境負荷最小、對人類身體健康無害的「綠建材」非常重要。

這種建材最早是在 1988 年國際材料科學研究會上被提出，一路到今日，國際間對此一概念的共識主要包括再使用（reuse）、再循環（recycle）、廢棄物減量（reduce）和低污染（low emission materials）等特性，從而減少化學合成材料產生的生態負荷和能源消耗。同時，使用自然材料與低 VOC（Volatile Organic Compounds，揮發性有機化合物）建材，亦可避免對人體產生危害。

在綠建築標章後，內政部建築研究所也於 2004 年 7 月正式推行綠建材標章制度，以建材生命週期為主軸，提出「健康、生態、高性能、再生」四大方向。舉例來說，為確保室內環境品質，建材必須符合低逸散、低污染、低臭氣等條件；為了防溫室效應的影響，須使用本土材料以節省資源和能源；使用高性能與再生建材，不僅要經久耐用、具高度隔熱和防音等特性，也強調材料本身的再利用性。

在台江國家公園內，綠建材的應用是其獲得 EEWH 認證的重要部分。其不僅在設計結構上體現了生態理念，更在材料選擇上延續了對環境的關懷。園區步道以當地的蚵殼磚鋪設，並利用蚵殼作為建築格柵的填充材料，為鳥類和小生物營造棲息空間，讓「蚵殼磚」不再只是建材，而是與自然共生的橋樑。園區的內部裝修選用礦纖維天花板、矽酸鈣板、企口鋁板等符合綠建材標準的系統天花。牆面則粉刷乳膠漆，整體綠建材使用率為 52.8%。

在日常節能方面，台江國家公園也做了相當細緻的設計。例如，引入樓板下的水面蒸散低溫外氣，屋頂下設置通風空氣層，高處設置排風窗讓熱空氣迅速排出，廊道還配備自動控制的微噴霧系統來降溫。屋頂採用蚵殼與漂流木創造生態棲地，創造空氣層及通風窗引入水面低溫外企，如此一來就能改善事內外氣溫及熱空氣的通風對流，不僅提升了隔熱效果，減少空調需求，讓建築如同「與海共舞」，在減廢與健康方面皆表現優異，展示出綠建築在地化的無限可能。

在綠建材的部分，另外補充獲選為 2023 年優良綠建築的臺南市立九份子國民中小學新建工程，其採用生產過程中二氧化碳排放量較低的建材，比方提高高爐水泥（具高強度、耐久、緻密等特性，重點是發熱量低）的量，並使用能提高混凝土晚期抗壓性、降低混凝土成本與建物碳足跡的「爐石粉」，還用再生透水磚做人行道鋪面。

同樣入選 2023 年綠建築的還有雲林豐泰文教基金會的綠園區，首先，他們捨棄金屬建材，讓高爐水泥使用率達 100%。別具心意的是，他們也將施工開挖的土方做回填，將有高地差的荒地恢復成平坦綠地，本來還有點「工業風」的房舍告別荒蕪，無痛轉綠。

等等，這樣看來建築夠不夠綠的命運，似乎在建材選擇跟設計環節就決定了，是這樣嗎？當然不是，建築是活的，需要持續管理–有智慧的管理。

第三招：智慧管理與科技應用

我們對生態的友善性與資源運用的效率，除了從建築設計與建材的使用等角度介入，也須適度融入「智慧建築」（intelligent buildings）的概念，即運用資通訊科技來提升建築物效能、舒適度與安全性，使空間更人性化。像是透過建築物佈建感測器，用於蒐集環境資料和使用行為，並作為空調、照明等設備、設施運轉操作之重要參考。

為了推動建築與資通訊產業的整合，內政部建築研究所於 2004 年建立了「智慧建築標章」制度，為消費者提供判斷建築物是否善用資通訊感知技術的標準。評估指標經多次修訂，目前是以「基礎設施、維運管理、安全防災、節能管理、健康舒適、智慧創新」等六大項指標作為評估基準。
以節能管理指標為例，為了掌握建築物生命週期中的能耗，需透過系統設備和技術的主動控制來達成低耗與節能的目標，評估重點包含設備效率、節能技術和能源管理三大面向。在健康舒適方面，則在空間整體環境、光環境、溫熱環境、空氣品質、水資源等物理環境，以及健康管理系統和便利服務上進行評估。

樹林藝文綜合大樓在設計與施工過程中，充分展現智慧建築應用綜合佈線、資訊通信、系統整合、設施管理、安全防災、節能管理、健康舒適及智慧創新 8 大指標先進技術，來達成兼顧環保和永續發展的理念，也是利用建築資訊模型（BIM）技術打造的指標性建築，受到國際矚目。

在興建階段，為了保留基地內 4 棵原有老樹，團隊透過測量儀器對老樹外觀進行精細掃描，並將大小等比例匯入 BIM 模型中，讓建築師能清晰掌握樹木與建築物之間的距離，確保施工過程不影響樹木健康。此外，在大樓啟用後，BIM 技術被運用於「電子維護管理系統」，透過 3D 建築資訊模型，提供大樓內設備位置及履歷資料的即時讀取。系統可進行設備的監測和維護，包括保養計畫、異常修繕及耗材管理，讓整棟大樓的全生命週期狀況都能得到妥善管理。

智慧建築導入 BIM 技術的應用，從建造設計擴展至施工和日常管理，使建築生命周期的管理更加智慧化。以 FM 系統 ( Facility Management，簡稱 FM ) 為例，該系統可在雲端進行遠端控制，根據會議室的使用時段靈活調節空調風門，會議期間開啟通往會議室的風門以加強換氣，而非使用時段則可根據二氧化碳濃度調整外氣空調箱的運轉頻率，保持低頻運作，實現節能效果。透過智慧管理提升了節能效益、建築物的維護效率和公共安全管理。

總結

綠建築、綠建材與智慧建築這三大標章共同構建了邁向淨零碳排、居住健康和環境永續的基礎。綠建築標章強調設計與施工的生態友善與節能表現，從源頭減少碳足跡；綠建材標章則確保建材從生產到廢棄的全生命週期中對環境影響最小，並保障居民的健康；智慧建築標章運用科技應用，實現能源的高效管理和室內環境的精準調控，增強了居住的舒適性與安全性。這些標章的綜合應用，讓建築不僅是滿足基本居住需求，更成為實現淨零、促進健康和支持永續的具體實踐。

• 本文轉載自科技大觀園，原文為《AI 智鬥駭客，數位戰警網路掃黑》
• 作者／李宗祐｜科技大觀園特約編輯

網路數位世界黑影幢幢，美國有線電視新聞網 CNN 曾報導，全世界每天產生超過 100 萬個惡意程式；臺灣軟體聯盟也曾發布調查報告，全球企業因惡意程式攻擊，每年損失超過 10 兆新臺幣，相當於我國 109 年度政府總預算的 5 倍。駭客散播惡意程式橫行網路，不僅企業深受其害，各國政府也防不勝防。

行政院資通安全處偵測統計，我國各政府單位每月被攻擊次數高達 2,000 萬到 4,000 萬次。近期最受矚目的就是，總統府在蔡英文總統 520 連任就職前夕，驚傳遭駭客入侵電腦竊取資料；接著 5 月底美國資安公司「Cyble Inc」揭露駭客在暗網^[1]兜售「臺灣全國戶政登記資料庫」超過 2,000 萬筆臺灣民眾個資，接連引發輿論譁然。

面對駭客無窮盡的闇黑攻擊，臺灣大學電機工程學系教授林宗男從 2018 年開始，帶領團隊利用資料科學處理分析，建立網路異常與攻擊預測模式，發展「AI Cyber Security」（人工智慧網路安全）系統，從偵測藏身於 Windows 與 Android 系統的惡意程式、暗網流量分類與網路惡意流量偵測等「四管齊下」，全面展開網路掃黑行動，防堵駭客散播惡意程式搞破壞。 

抓出惡意程式的 AI 網路安全系統

這項研究計畫今年邁進第 3 年，「我們做出來的技術，都是可以馬上用的真槍實彈！」林宗男透露，相關前瞻技術初步成果陸續發表後，「國家安全局就找上門，要跟我們技術合作。」隨著世界各國競相重點投資，引領 AI 成為國力象徵，研究團隊除了以建置臺灣國家級網路防禦系統為目標，更希望這套系統能夠推廣成為捍衛各國企業或組織的數位戰警。

就如同 CNN 報導，全世界每天產生超過 100 萬個惡意程式，網路數位世界危機四伏；但值得注意的是，這個數據還是 2015 年的統計，現在恐怕有增無減。研究團隊以先發制人策略，杜絕惡意程式伸出魔爪，利用 CNN（Convolutional Neural Networks，卷積神經網路）模型^[2]訓練 AI ，偵測是否有惡意程式潛伏在使用者電腦 Windows 或手機 Android 系統蠢蠢欲動。

Windows 與 Android 的惡意程式偵測

「我們的目標是在他還沒有執行之前，阻止惡意程式啟動。」面對五花八門的應用程式，研究團隊指出，使用者在下載執行前，「把程式的 exe 執行檔轉換成圖片檔，放進我們建立的模型，AI 就會告訴你這個程式是惡意程式的機率是多少。如果很高，就不要執行，避免系統被惡意程式感染。」林宗男強調，能夠辨認程式碼到底是惡意或者是正常，是確保網路安全最重要的基本功。

經過測試驗證，Windows 偵惡系統成功率與準確率達 88.9%，超越全球圖形處理器領導廠商 NVIDIA 發表的 AI 偵惡技術 7.2%。林宗男指出，很多軟體公司都競相投入研究，就過去已公開發表的研究論文，NVIDIA 抓駭效率暫時領先群雄；臺大團隊與擁有雄厚資源的 NVIDIA 研究團隊相較，就像是小蝦米與大鯨魚，能夠超越他們很不容易。「但這僅是初步研究結果，我們還在持續精進中。」 

相對於 Windows 偵惡系統獨立開發，Android 偵惡系統則是與日本 NICT（情報通信研究機構）合作研發，利用臺大團隊提出的新演算法，把 NICT 研發的 AI 偵惡系統抓駭效率從 92% 提升到 96.2%，青出於藍而勝於藍，讓日本團隊印象深刻。 

透過機器學習，分析暗網流量

雖然無法做到百分之百滴水不漏，但為了知已知彼，研究團隊更直搗黃龍，「潛水」暗網蒐集情資，分析駭客行為特徵。林宗男表示，駭客為了躲避追蹤，都在暗網活動，因為透過 TOR 瀏覽器加密，網管人員無法辨識使用者到底是在上網聊天、傳資料、發送 Email，還是看 YouTube 聽音樂或追劇等。對追蹤技術研究者而言，到暗網觀察駭客「水面下」的活動，是很重要的情資來源。 

研究團隊透過 AI 研究分析已知惡意程式的網路行為特徵，再側錄蒐集暗網不同使用者上傳流量與行為模式，找出「壞人經常走的路徑」，把暗網流量做善惡分類，研判哪些是正常上網行為，哪些是惡意程式發動攻擊。林宗男舉例，就像防疫期間每個人都戴著口罩，但年紀大的和年紀輕的行為就是不一樣，「我們就是利用 AI 從行為特徵分辨使用者上網行為是否正常。」 

研究成果經與美國 IBM 和中華電信合作驗證測試，辨識率高達 99.6%，遠超過加拿大研究團隊的 81.6%。對 ISP（網路服務供應商）而言，若能明確辨識暗網流量分類，就不必把看影片或聽音樂等受到惡意攻擊可能性極低的影音串流，全部導入 IDS（入侵檢測系統）資安偵測，大幅節省資源。

惡意流量偵測，鞏固第 2 道防線

研究團隊也利用最近 3 年眾所周知的 10 種惡意程式，包括 2017 年肆虐全球的勒索軟體 WannaCry（想哭）進行惡意流量偵測「實兵演練」。畢竟惡意程式偵測不可能做到百分之百，漏網之魚在所難免。根據資安調查顯示，惡意程式滲透入侵電腦系統之後，平均長達 56 天才會被發現。 

「惡意流量偵測其實是第 2 道防線！發生惡意流量代表電腦已經中毒了，我們的目標是在最短時間偵測出惡意流量。」林宗男透露，跨國網路科技公司 CISCO 現有商用偵測系統精確度已達 97.7%，「我們做得再好，也僅能微幅提升到 98.2%。」研究團隊再發揮 3 個臭皮匠勝過 1 個諸葛亮的精神，把 2 套系統截長補短，將精確度再向上提升 0.3%，堅持沒有最好、只有更好的信念，鍥而不捨地挑戰不可能的任務。

eID 的潛在風險

然而，林宗男也深知，資安不可能做到百分之百的絕對安全。當內政部決定在明年全面換發 new eID 數位身分證，建置 T-Road（政府資料傳輸平臺），打造跨政府機關資料通道網路，推動「一卡多用」串聯戶籍資料、健保資料庫、汽機車駕照交通監理資料、國民年金與勞保勞退年金等，同時政府也將讓 new eID 擁有線上交易完整性與不可否認性，做為電子商務交易憑證。林宗男對此呼籲政府應正視 new eID 缺乏法源依據的問題，更要從資訊安全的角度，重新審慎評估全面換發數位身分證的必要性。 

「透過 new eID 建置 T-Road 聽起來好像很方便、很進步，但對駭客而言，要偷取全國 2,300 萬人的資料，也非常方便。一旦出現資安破口，整個系統就會因單點失效而全面瓦解。」林宗男說，「new eID 把國人從出生到死亡所有資料全部放在 T-Road，我們都知道網路沒有絕對安全，還要把所有的東西全部放在一個籃子裡面嗎？」政府應該要有分散風險的危機意識，數位身分證絕對不能「一卡多用」。  

註解

1. 利用 TOR（The Onion Router 洋蔥路由器）瀏覽器遮蔽使用者真實位址，避開網管系統追蹤的匿名網路。
2. 參考人類大腦視覺組織建立的深度學習模型。

• 本文轉載自科技大觀園，原文為《大資安時代，走跳江湖有些事你不能不知道》
• 作者 / 科技大觀園特約編輯｜曾繁安

正在瀏覽這篇文章的你，很可能正被看不見的腥風血雨所籠罩——這不是危言聳聽，因為第三次世界大戰的戰場，極有可能就發生在網路上。網路與數位化的浪潮勢不可擋，面對資安環境高速變遷帶來的新興風險，我們又該如何自保防身？來聽聽資安專家——中山大學資訊管理系陳嘉玫教授怎麽說！

方便與安全，兩者不可兼得也

註冊或登入會員、設定和輸入密碼、提供各種個資如網頁瀏覽記錄，來換取和生活大小事離不了關係的線上服務，已經是數位原住民的日常。而在高度依賴網路、講求高效率的今日，我們都希望電腦軟體和手機 APP 的使用能越方便越好，但一味追求便捷，卻可能讓自己露出資安破綻，叫不法分子有機可乘。

「越安全的東西，越不方便使用。」陳嘉玫教授指出，安全與方便自古兩難全，如何找到兩者之間的平衡就是關鍵。

資工系出身、喜歡寫程式的陳教授，曾在美國花旗銀行全球資訊網路研究總部擔任要職。該企業内部一切開發需求重視安全遠勝於方便的嚴謹文化，成為她日後投身資安領域的契機。

客制化誘餌與駭客聯盟，讓威脅更升級

科技的進步，也見證駭客攻擊手法的進化錄。研究網路安全多年的陳教授指出，每個時期的使用者都有不同的使用習慣，從早期的電子郵件，到現在的臉書和 Line 群組，都是心懷不軌者潛伏之處。他們長期觀察和收集目標攻擊對象相關資訊、和刺探目標網路，利用人性的弱點，客製化各種引人上鈎的「誘餌」，來獲得他們想要的機密資訊。這就是網路犯罪最常見的社交工程（Social engineering）攻擊和釣魚式攻擊。

過去駭客都單打獨鬥，但現在也出現分工明確、系統化的「駭客聯盟」。目前的攻擊趨勢，也演變成更危險的進階持續性威脅攻擊（Advanced Persistent Threats，簡稱 APT）。APT 是針對一個特定組織，長期滲透、客製化且多階段的網路攻擊。為了全方面瞭解目標攻擊對象、擬定有效戰略，駭客除了進行技術面的研究，會對目標組織做身家調查，包括員工名單、財務狀況、社交活動、社群網路留言。APT 棘手之處在於，如果一個戰術行不通，駭客會持之以恆，不斷嘗試直到找出破口。

「韓國黑暗日」（Dark Korea），就是著名的 APT 攻擊事件之一。這場韓國史上最大駭客攻擊，推論是由北韓主導，至少歷經八個月的精心策劃。駭客偷渡惡意程式到多家電視媒體與金融服務的電腦與伺服器，進行破壞性攻擊，造成各項服務停擺多日，韓國將這次攻擊視為國家級的戰爭行為。

如今「資訊即權力」當道，國家勢力著手培養駭客已不是新聞，不少國家也紛紛成立不需要一槍一彈的「第四軍種」——資通電軍 (俗稱網軍)。比起傳統軍武，發起資訊戰，無需花費一槍一彈，卻對社會經濟產業造成極大的衝擊。

零時差漏洞，得之可得天下？

提到駭客攻擊，就不得不談談號稱可一秒癱瘓世界的零時差漏洞（zero-day vulnerability）。零時差漏洞是可謂資安界最害怕的威脅，是指當漏洞被發現，而軟體開發商尚未發布修補程式 (patch) 之前，在這段時間，任何使用該軟體的主機，都有此安全漏洞，都有可能遭受駭客攻擊。

不過，要取得零時差漏洞也非易事。陳教授以武俠小説作比喻，零時差漏洞就像壓箱底的最後法寶，除非遇到最難纏的對手，否則駭客也不會輕易使出這一殺手鐧。這些高利用價值的漏洞，在黑市可是千金難換。一個小小的零時差漏可能掌握著一國民生基礎架構的命脈，是要挾國安的重要籌碼，可得也可毀滅天下。

為了避免讓自身弱點落入他人手中，很多公司重金懸賞發現該公司產品的安全漏洞的駭客。而就像江湖上同時存在邪道與正派，除了進行不法勾當、謀取利益的黑帽（Black Hat）駭客，也有著用意良善的白帽（White Hat）駭客。這個典故源自美國西部電影中，正派戴著白帽，而反派往往著黑帽的形象。

白帽駭客維護精益求精的駭客文化，以「提升安全性」為目的，挖掘程式漏洞，提供開發商漏洞資訊，以改善該系統的安全性，稱得上是駭客武林中的俠義心腸的一群。

守護資安，人人有責

雖然武俠故事的鎂光燈往往都聚焦在少數幾個武林高手身上，但江湖其實更大部分是由你我這樣平凡老百姓組成。陳教授坦言，很多人誤以為資安都是 IT（Information Technology）或 MI（(Manager Information System）部門的責任，但守護資安，應是所有使用者的責任。

「資安其實就是攻與防。知己知彼，才能百戰百勝。」

陳教授一再強調，要打造良好的資安環境，從小教育年輕一代正確使用手機、電腦等電子設備的資安知識，才是最有效的方式。根據調查，管理層級的主管越重視資安，透過資安教育訓練和宣導提高員工資安意識，才能在組織中形塑健全的資安文化。

除了管理好個人資訊和帳號密碼外，在上網時多存一份疑問，才能在第一時間發現不對勁、主動通報，越資訊化的時代，我們也越沒有隱私，駭客攻擊防不勝防。因此在江湖上行走時，常常更新資安資訊，隨時保持警惕，是避免遭受攻擊的不二法門。

參考資料

• 什麼是 APT 進階持續性威脅 (Advanced Persistent Threat, APT)？
• 韓國史上最大 APT 駭客事件始末
• 2021 年零日攻擊的數量破記錄！是攻擊次數比以前多，還是資安公司更擅長發現駭客？
• 維基百科：社交工程
• 維基百科：駭客