德國出品竊聽技術大拍賣： FinFisher 幫助各國政府監視/側錄異議人士行蹤及通話

本文由 家樂福食物轉型計畫 委託，泛科學企劃執行。

• 文 / 陳彥諺

《烘焙東西軍》熱映開播啦！這一集真的很「熱」，因為節目邀請到了兩位烘焙達人來到現場熱烘烘的烤！麵！包！

第一位華麗登場的，是有著亮麗小鬍子、動作咻咻咻超有效率的「有添加師傅」，另外一位古意老實、動作慢條斯理的，則是近年來越來越被看重的「無添加師傅」——這是一場「有添加」與「無添加」的世紀大對決！

「有添加」與「無添加」的世紀大對決

外表亮麗的有添加師傅，其實早已憑著「三好」稱霸市場多年。所謂的三好，是好快、好吃、好美！為何會這麼說呢？

食品添加物存在於食品中許久，早期因為食物加工技術不夠精良，為了食品安全無虞，便添加可以讓食物安定的添加物，延長保存期限。又因為食品添加物可以改變食品的外觀、口感、縮短製作時程等，因此，長期以來受到業者及消費者的偏愛。

不過，近來由於食安事件頻繁，食品添加物早已偏離了原先讓食物安全的初衷，在追求好吃、好快、好美的背後，卻可能造成身體上的負擔與健康風險！製造過程是否安全合理？乾淨衛生？也是打了許多問號。

再加上現在因健康養生的意識抬頭，消費者們越來越注重吃下肚子的食物成份，開始努力追求簡單無添加。也因為隨著食品加工技術越來越棒，能夠透過改善製程，有效減少添加物的必要性。終於，在消費者意識抬頭、技術成熟等各方條件皆備下，古意老實、耗費工時的無添加師傅，多年以後，開始受到矚目啦！

在這場世紀對決中，有添加師傅在民眾都還來不及反應時，就已經做好了熱騰騰的麵包，每一個麵包都飽滿好看、香氣濃郁，簡直是施了魔法一樣！但見到這麼多食品化工添加物做出來的麵包，難道就不能有更健康的材料選擇或做法嗎？

反觀無添加師傅，他按部就班的從麵粉開始精心挑選，接著再逐一加入可以溯源的材料，接下來，順應麵包的特性自然發酵。即使有添加師傅已經端出熱騰騰的麵包了，無添加師傅仍然不為所動，他循序漸進，寧可耗時製作，堅持做自己的無添加麵包。

無添加師傅之所以堅持，那是因為他秉持著麵包不用任何添加物，不講求快速便利，用純淨的原料配方、遵循傳統法國工法，做出來的麵包也可以照樣香氣四溢、美味好吃，更重要的是每一口都吃的健康又安心！

當兩位師傅的麵包端上評審桌⋯⋯

有添加師傅的麵包外表金黃澎潤漂亮，無添加師傅的則是外表非常質樸。

不過，當評審們吃下麵包後，外表質樸的無添加師傅，竟然擄獲了評審們的心！

怎麼辦到的呢？這是因為花了較多時間製作的無添加麵包，保濕度較佳，口感也較有層次。當評審一口接著一口品嚐，會發現吃的都是食物的鮮甜原味—無添加麵包是名為「裸麵包」的寶藏男孩啊！他不同於外表上看起來質樸敦厚，只要用心切開，裏頭包裹著滿滿新鮮在地的果乾和堅果，是誠心誠意的美味。

烘焙界的寶藏男孩「裸麵包」，是怎麼來的？

堪稱烘焙界的寶藏男孩「裸麵包」，是來自於家樂福自製的烘焙產品。長期關注食物真實性與為顧客把關健康的家樂福，2014 年就開始著手了「無添加驗證計畫」，也在 2019 年取得了「A.A. 無添加驗證標章」，更透過第三方專業機構親赴產線檢驗、不定期抽查等層層審核程序，取得了嚴謹認可。

要打造寶藏男孩般的「裸麵包」，並不是容易的事。許多標榜安心安全的麵包，都只能做到製程及配料上的無添加；而追求極致的家樂福，自製白吐司則從特製 100% 的無添加麵粉開始，掌握源頭，做最純淨、最真實且赤裸的麵包。

這是一款依循歐盟規範，取得 A.A. 無添加標章，第三方驗證後可信賴的麵包。

這是關注在地的暖心麵包，嚴選在地好食材、講求動物福利，選用當季水果、非籠飼雞蛋、透明鮮奶、以安佳奶油取代人造奶油⋯⋯。

這是減塑又減廢，以醜蔬果製作配料，減少食材浪費，更導入環保包材，友善環境的麵包。

烘焙東西軍「有添加師傅」與「無添加師傅」的對決，我們看到了，天公疼憨人，穩扎穩打、工法較繁複的無添加製程，受到消費者的青睞——這一場對決，由純粹、誠實、充滿善意的裸麵包，「無添加師傅」獲勝。

「身為交友軟體公司的執行長，用自家服務找對象並不道德，可是我偶爾會做市場調查，所以手機裡下載了 20 個同行的產品。當我打開其一，便收到一個月前，某位友善男士的來訊。內容實在迷人，可惜他整頭紅髮……」幸好見面之後，一拍即合。她徵求對方的同意，採集其口腔的 DNA 樣本，進而得知他們擁有最頂尖 10% 的相容性。「我從不想要紅髮伴侶，認為自己不會喜歡，但其實我超愛。……，這都在你的 DNA 裡。」^[1]

Netflix 影集《真愛基因》

Netflix 影集《真愛基因》（The One）講述科學家發現有一種 DNA 檢測，可以找到完美伴侶，於是數百萬人踴躍嘗試。以此營利的媒合公司執行長，卻在事業愛情兩得意之際，捲入一場謀殺案……。^[2][3]

話說回來，本文第一段引述的並不是影集劇情，而是美國交友網站 Pheramor 的共同創辦人兼執行長，接受德州醫療中心（Texas Medical Center）專訪時的自白。^[1]

真實的基因配對業者

影集《真愛基因》於 2021 年上映，然而在更早之前，就已經有業者開始提供類似的服務。以下是幾個知名的例子：

基因配對的原理與目的

在考慮註冊一般交友軟體或網站的帳號之前，我們由最基本的動機，例如：純交友、約砲、短期約會、長期戀愛，甚至是以婚姻為前提交往等，搜尋適合的平台。選擇基因配對服務時，想清楚使用的目的，同樣也是首要之務。同時，最好瞭解這些檢測的功能，是否符合您的需求。有鑑於業界廣告的項目繁多，單一基因觸及的層面也相當複雜，以下只簡單說明其中一小部份：

• 人類白血球抗原（human leukocyte antigens，HLA），即人類的主要組織相容性複合體（major histocompatibility complex，MHC）：^[15]1995 年瑞士 Claus Wedekind 教授等人，發現動物身上的MHC，會影響體現免疫特質的體味。排除避孕藥干擾的情形下，女人喜愛的味道，通常屬於與自己 HLA 差異較大的男人。^[16]2016 年的德國研究，認為 HLA 相異者的結合，能帶來令人滿意的關係和性愛，以及強健的子代。^[15]不過，2020 年另一群德國科學家檢視 3,691 對情侶後，覺得 HLA 對人類求偶的實際作用甚微。^[17]
• 血清素轉運體（serotonin transporter，SERT）基因：編寫蛋白質 SERT 的基因變異體 5-HTTLPR，^[18]是調節神經系統中血清素濃度的關鍵，與情緒控管有關。^[19]
• 催產素受體基因（oxytocin receptor gene）：這種基因有幾個不同的類型，2019 年的美國研究指出，GG 基因型的人合群、有同情心，且情緒穩定。他們或他們的伴侶，比 AA 或 AG 基因型婚姻滿意度高。^[20]
• 多巴胺受體基因（dopamine receptor gene）DRD4：多巴胺帶給人愉悅感，但相應受體遲鈍的 DRD4 7R+ 基因型，必須要更大的刺激，才能達到相同效果。^[21] 2010 年美國研究 DRD4 的論文指出，相較於 7R-，屬於 7R+ 者，傾向從事一夜情、出軌等高風險的行為，因而有旺盛的繁殖力，且容易繁衍多元的子代。^[22]
• 兒茶酚－O－甲基轉移酶基因（COMT gene）：COMT 基因若異常，會提高某些精神疾病的風險。^[23]2019 年的德國研究顯示 COMT 基因的不同類型，會導致情緒辨識表現的差別。與 Val／Val 相比，有 Met／Met 和 Met／Val 基因型的人，能更準確的辨識負面情緒。因此，遇到負面的社交經驗時，也更輕易地陷入焦慮或憂傷的情緒。^[24]
• 單核苷酸多態性（single-nucleotide polymorphism，SNP）：SNP 是指 DNA 序列中的變異，可以用來尋找致病基因和療法、做親子鑑定，或是瞭解族群的演化等。目前科學界已知約 400 萬個 SNP，^[25]如果交友網站沒說要驗哪些，其實算是過度籠統。

值得注意的是，許多現有的相關研究均以順性別異性戀為主，所以對性少數的族群而言，未必有參考價值。Instant Chemistry 為此展開大型研究，正在招募後者參加。^[6]

基因在戀愛中的角色

除了正在尋覓另一半的單身人士，Instant Chemistry 更鼓勵情侶們購買雙人檢驗套組，說是有助於解決兩人對關係的不滿。^[6]影集《真愛基因》的原著小說《命定之人》（The One）裡，就有這麼一個經典的橋段：「如果我們的 DNA 結果不合，怎麼辦？」「那就要留心，或許我們得為戀情更加把勁。就像約翰．藍儂說的，『你只需要愛』。」「對，可是他也說過『我是海象』，所以咱們還是別太相信他智慧的箴言。」^[26][註1]

想去驗基因的伴侶，是不是早就對感情缺乏信心？若是心中的芥蒂被科學驗證了，又該如何面對？

換個角度來說，這可能要看兩人不合的基因，是關乎哪個面向。比方，美劇《宅男行不行》（The Big Bang Theory）裡，不用驗也知道大難臨頭的 Amy，以反諷的口吻抱怨：「噢，當然，因為 Sheldon 跟我的 DNA 加起來，會等於一個曉得怎麼交朋友的孩子。成熟點！」^[27]憂慮子代基因無法適應社會的心情，擺在生育意願超低的臺灣，不僅很難激起觀眾共鳴，應該也不太會動搖已經成形的交往關係。

但，要是基因檢測，還有其他風險呢？

基因資訊的隱私疑慮

「你知道今年五角大廈叫所有軍人，不准使用 DNA 試劑，因為那會造成國安問題嗎？」曾任記者的知名美國作家 Michael Connelly，在 2020 年出版的虛構小說《合理警告》（Fair Warning；暫譯）裡，^[註2]描述真實世界可能上演的基因隱私危機。「骯髒四號。有些遺傳學家這麼稱呼 DRD4。」故事中，有心人士從盜用的基因資料，斷定哪些女性水性楊花，然後跟蹤並殺害她們。^[28]當原本屬於隱私的個人資訊被交予私人企業，以獲取服務，消費者究竟能得到多少法律的保障？

根據 Michael Connelly 的調查，目前美國食品藥物管理局（Food and Drug Administration，FDA）尚且無法有效規範基因資料的蒐集與運用。^[28][29]DNA Romance 強調他們遵守美國《健康保險攜帶和責任法案》（Health Insurance Portability and Accountability Act，HIPAA）的隱私準則，而且不會把使用者個資賣給第三方。^[11]

可是美國國家人類基因組研究所（National Human Genome Research Institute）坦承：「雖然很多公司設有健全的隱私及知情同意政策，但沒有聯邦法律能禁止他們將個人的基因資訊提供給第三方。」^[30]

臺灣的基因隱私保障

科技部 2021 年的《科技魅癮》數位季刊，曾探討臺灣與美國在基因法規方面的異同。^[31]比起美國允許某些科學研究不經當事人同意，就能使用去識別化的基因資訊；^[30][31]臺灣的規範較為嚴謹，卻也因阻礙科技發展而為人詬病。^[31]基因檢測等相關科技，是一個仍在不斷演進的領域。

我們一來不能光看基因就認識一個人的特質，畢竟後天環境也是造就人格和生理條件的重要因素；二來在研究還未成熟的階段，對檢測的解讀必有其侷限。另外，還得注意檢測單位是否遵循當地法規，以保障消費者權益。萬一不小心，資料外洩或是驗出個本來不曉得的基因缺陷，當事人受到的打擊，說不定會比失戀還嚴峻。

總之，基因檢測是潘朵拉的盒子。一旦勇敢嘗試，便如同 Michael Connelly 書中所言：「你的 DNA　可以開啟任何事物，從此秘密再也不是秘密了。」^[28]

備註

1. 影集《真愛基因》和原著小說《命定之人》的原文名稱都叫做「The One」。本文引述的段落是由筆者自行翻譯，所以可能與目前通行的繁體中文版用字略有出入。
2. Michael Connelly 小說改編的作品中，較為臺灣人所知的，大概是電影《下流正義》（The Lincoln Lawyer）和影集《絕命警探》（Bosch）。至於《Fair Warning》，目前好像沒有中文譯本。

參考資料

1. Dating app taps genetics and social media (Texas Medical Center, 2019)
2. The One (Netflix, 2021)
3. The One (IMDB, 2021)
4. GenePartner (2022)
5. Instant Chemistry (LinkedIn, 2022)
6. Instant Chemistry (2022)
7. SingldOut (Crunchbase, 2022)
8. This Online Dating Site Thinks It Can Match You Based On Your DNA (Business Insider, 2014)
9. How Identity Evolves in the Age of Genetic Imperialism (Scientific American, 2015)
10. DNA Romance (LinkedIn, 2022)
11. DNA Romance (2022)
12. Nozze (2022)
13. The Illusion of Genetic Romance (Scientific American, 2020)
14. Pheramor (Facebook, 2019)
15. Kromer J, Hummel T, Pietrowski D, Giani AS, et al. (2016) ‘Influence of HLA on human partnership and sexual satisfaction’ Scientific Reports, 6: 32550.
16. Wedekind C, Seebeck T, Bettens F, and Paepke AJ. (1995) ‘MHC-dependent mate preferences in humans’ Biological Sciences, 260: 1359, pp. 245 -249.
17. Croy I, Ritschel G, Kreßner-Kiel D, Schäfer L, et al. (2020) ‘Marriage does not relate to major histocompatibility complex: a genetic analysis based on 3691 couples’. Biological Sciences, 287: 1936.
18. serotonin transporter (SERT) (APA Dictionary of Psychiatry, 2022)
19. Cao H, Harneit A, Walter H, et al. (2018) ‘The 5-HTTLPR Polymorphism Affects Network-Based Functional Connectivity in the Visual-Limbic System in Healthy Adults’. Neuropsychopharmacology, 43, pp. 406–414.
20. Monin JK, Goktas SO, Kershaw T, DeWan A. (2019) ‘Associations between spouses’ oxytocin receptor gene polymorphism, attachment security, and marital satisfaction’. PLOS One, 14 (2): e0213083.
21. Muda R, Kicia M, Michalak-Wojnowska M, Ginszt M, et al. (2018) ‘The Dopamine Receptor D4 Gene (DRD4) and Financial Risk-Taking: Stimulating and Instrumental Risk-Taking Propensity and Motivation to Engage in Investment Activity’. Behavioral Neuroscience, 12: 34.
22. Garcia JR, MacKillop J, Aller EL, et al. (2010) ‘Associations between Dopamine D4 Receptor Gene Variation with Both Infidelity and Sexual Promiscuity’. PLOS One, 5(11): e14162.
23. COMT gene (APA Dictionary of Psychiatry, 2022)
24. Lischke A, Pahnke R, König J, Homuth G, et al. (2019) ‘COMTVal158Met Genotype Affects Complex Emotion Recognition in Healthy Men and Women’. Frontiers in Neuroscience, 12:1007.
25. single_nucleotide_polymorphism_snp （國立中正大學生物資訊實驗室，2014）
26. John Marrs. (2020) Chapter 9. ‘The One: Now a major Netflix series!’ USA: Random House.
27. Big Bang Theory Quote 11016 (The Big Bang Theory)
28. Michael Connelly. (2020) ‘Fair Warning‘. USA: Little Brown and Company.
29. Beautiful Places to Die (The New York Times, 2020)
30. Privacy in Genomics (National Human Genome Research Institute, 2021)
31. 【個人vs.社會】基因檢測如打開潘朵拉盒子？隱私權成為重要問題！（科技魅癮，2021）

• 本文轉載自科技大觀園，原文為《AI 智鬥駭客，數位戰警網路掃黑》
• 作者／李宗祐｜科技大觀園特約編輯

網路數位世界黑影幢幢，美國有線電視新聞網 CNN 曾報導，全世界每天產生超過 100 萬個惡意程式；臺灣軟體聯盟也曾發布調查報告，全球企業因惡意程式攻擊，每年損失超過 10 兆新臺幣，相當於我國 109 年度政府總預算的 5 倍。駭客散播惡意程式橫行網路，不僅企業深受其害，各國政府也防不勝防。

行政院資通安全處偵測統計，我國各政府單位每月被攻擊次數高達 2,000 萬到 4,000 萬次。近期最受矚目的就是，總統府在蔡英文總統 520 連任就職前夕，驚傳遭駭客入侵電腦竊取資料；接著 5 月底美國資安公司「Cyble Inc」揭露駭客在暗網^[1]兜售「臺灣全國戶政登記資料庫」超過 2,000 萬筆臺灣民眾個資，接連引發輿論譁然。

面對駭客無窮盡的闇黑攻擊，臺灣大學電機工程學系教授林宗男從 2018 年開始，帶領團隊利用資料科學處理分析，建立網路異常與攻擊預測模式，發展「AI Cyber Security」（人工智慧網路安全）系統，從偵測藏身於 Windows 與 Android 系統的惡意程式、暗網流量分類與網路惡意流量偵測等「四管齊下」，全面展開網路掃黑行動，防堵駭客散播惡意程式搞破壞。 

抓出惡意程式的 AI 網路安全系統

這項研究計畫今年邁進第 3 年，「我們做出來的技術，都是可以馬上用的真槍實彈！」林宗男透露，相關前瞻技術初步成果陸續發表後，「國家安全局就找上門，要跟我們技術合作。」隨著世界各國競相重點投資，引領 AI 成為國力象徵，研究團隊除了以建置臺灣國家級網路防禦系統為目標，更希望這套系統能夠推廣成為捍衛各國企業或組織的數位戰警。

就如同 CNN 報導，全世界每天產生超過 100 萬個惡意程式，網路數位世界危機四伏；但值得注意的是，這個數據還是 2015 年的統計，現在恐怕有增無減。研究團隊以先發制人策略，杜絕惡意程式伸出魔爪，利用 CNN（Convolutional Neural Networks，卷積神經網路）模型^[2]訓練 AI ，偵測是否有惡意程式潛伏在使用者電腦 Windows 或手機 Android 系統蠢蠢欲動。

Windows 與 Android 的惡意程式偵測

「我們的目標是在他還沒有執行之前，阻止惡意程式啟動。」面對五花八門的應用程式，研究團隊指出，使用者在下載執行前，「把程式的 exe 執行檔轉換成圖片檔，放進我們建立的模型，AI 就會告訴你這個程式是惡意程式的機率是多少。如果很高，就不要執行，避免系統被惡意程式感染。」林宗男強調，能夠辨認程式碼到底是惡意或者是正常，是確保網路安全最重要的基本功。

經過測試驗證，Windows 偵惡系統成功率與準確率達 88.9%，超越全球圖形處理器領導廠商 NVIDIA 發表的 AI 偵惡技術 7.2%。林宗男指出，很多軟體公司都競相投入研究，就過去已公開發表的研究論文，NVIDIA 抓駭效率暫時領先群雄；臺大團隊與擁有雄厚資源的 NVIDIA 研究團隊相較，就像是小蝦米與大鯨魚，能夠超越他們很不容易。「但這僅是初步研究結果，我們還在持續精進中。」 

相對於 Windows 偵惡系統獨立開發，Android 偵惡系統則是與日本 NICT（情報通信研究機構）合作研發，利用臺大團隊提出的新演算法，把 NICT 研發的 AI 偵惡系統抓駭效率從 92% 提升到 96.2%，青出於藍而勝於藍，讓日本團隊印象深刻。 

透過機器學習，分析暗網流量

雖然無法做到百分之百滴水不漏，但為了知已知彼，研究團隊更直搗黃龍，「潛水」暗網蒐集情資，分析駭客行為特徵。林宗男表示，駭客為了躲避追蹤，都在暗網活動，因為透過 TOR 瀏覽器加密，網管人員無法辨識使用者到底是在上網聊天、傳資料、發送 Email，還是看 YouTube 聽音樂或追劇等。對追蹤技術研究者而言，到暗網觀察駭客「水面下」的活動，是很重要的情資來源。 

研究團隊透過 AI 研究分析已知惡意程式的網路行為特徵，再側錄蒐集暗網不同使用者上傳流量與行為模式，找出「壞人經常走的路徑」，把暗網流量做善惡分類，研判哪些是正常上網行為，哪些是惡意程式發動攻擊。林宗男舉例，就像防疫期間每個人都戴著口罩，但年紀大的和年紀輕的行為就是不一樣，「我們就是利用 AI 從行為特徵分辨使用者上網行為是否正常。」 

研究成果經與美國 IBM 和中華電信合作驗證測試，辨識率高達 99.6%，遠超過加拿大研究團隊的 81.6%。對 ISP（網路服務供應商）而言，若能明確辨識暗網流量分類，就不必把看影片或聽音樂等受到惡意攻擊可能性極低的影音串流，全部導入 IDS（入侵檢測系統）資安偵測，大幅節省資源。

惡意流量偵測，鞏固第 2 道防線

研究團隊也利用最近 3 年眾所周知的 10 種惡意程式，包括 2017 年肆虐全球的勒索軟體 WannaCry（想哭）進行惡意流量偵測「實兵演練」。畢竟惡意程式偵測不可能做到百分之百，漏網之魚在所難免。根據資安調查顯示，惡意程式滲透入侵電腦系統之後，平均長達 56 天才會被發現。 

「惡意流量偵測其實是第 2 道防線！發生惡意流量代表電腦已經中毒了，我們的目標是在最短時間偵測出惡意流量。」林宗男透露，跨國網路科技公司 CISCO 現有商用偵測系統精確度已達 97.7%，「我們做得再好，也僅能微幅提升到 98.2%。」研究團隊再發揮 3 個臭皮匠勝過 1 個諸葛亮的精神，把 2 套系統截長補短，將精確度再向上提升 0.3%，堅持沒有最好、只有更好的信念，鍥而不捨地挑戰不可能的任務。

eID 的潛在風險

然而，林宗男也深知，資安不可能做到百分之百的絕對安全。當內政部決定在明年全面換發 new eID 數位身分證，建置 T-Road（政府資料傳輸平臺），打造跨政府機關資料通道網路，推動「一卡多用」串聯戶籍資料、健保資料庫、汽機車駕照交通監理資料、國民年金與勞保勞退年金等，同時政府也將讓 new eID 擁有線上交易完整性與不可否認性，做為電子商務交易憑證。林宗男對此呼籲政府應正視 new eID 缺乏法源依據的問題，更要從資訊安全的角度，重新審慎評估全面換發數位身分證的必要性。 

「透過 new eID 建置 T-Road 聽起來好像很方便、很進步，但對駭客而言，要偷取全國 2,300 萬人的資料，也非常方便。一旦出現資安破口，整個系統就會因單點失效而全面瓦解。」林宗男說，「new eID 把國人從出生到死亡所有資料全部放在 T-Road，我們都知道網路沒有絕對安全，還要把所有的東西全部放在一個籃子裡面嗎？」政府應該要有分散風險的危機意識，數位身分證絕對不能「一卡多用」。  

註解

1. 利用 TOR（The Onion Router 洋蔥路由器）瀏覽器遮蔽使用者真實位址，避開網管系統追蹤的匿名網路。
2. 參考人類大腦視覺組織建立的深度學習模型。

2012 年在巴林， 民運人士收到可疑的 e-mail， 於是轉交給加拿大多倫多大學的 Citizen Lab。 C.Lab 的專家 分析 之後， 發現這些 「偽裝成圖檔的可執行檔」 內含 FinSpy。 它入侵電腦之後， 很刻意地隱匿自身行蹤； 還特別製造一些陷井讓除錯器當掉 （以便讓分析研究變得更困難）； 並且針對不同的防毒軟體 （甚至同一套軟體的不同版本） 採取不同的攻擊手段。 它竊取的資料包含螢幕快照、 鍵盤輸入側錄、 skype 通話側錄、 各廠牌的即時通密碼、 各廠牌瀏覽器所儲存的密碼。 FinSpy 會把偷到的資料先加密， 再傳回某些伺服器， 並隨時等候伺服器發出指令。 令人不安的是： 這隻神秘的竊聽軟體竟然獲得蘋果電腦、 Nokia、 RIM （出黑莓機的公司） 等等手機大廠某種程度的認證。 中文只找到一則簡短報導； 本文主要摘要 C.Lab 一系列文章 報導一下這一系列的重要舊聞。

事實上早在 2011 年， 維基解密的 Spyfiles 就已揭露： 德國公司 Gamma International 的英國分公司有一項產品 FinFisher 專門賣木馬軟體給各國政府。 Gamma 宣稱這是要用來協助政府打擊罪犯的工具。 政府如果在某人的電腦與手機當中植成功地植入 FinSpy （FinFisher 其中的一個元件）， 就可以遠端監視/監聽/控制他候電腦/手機。 但因為一般人無從（有意識地）取得/得知自己的手機是否受感染， 所以網路上甚少關於它的技術資料。 隨著 C.Lab 刊出電腦版的分析， 各國許多爭取民主人權的異議人士發現類似可疑的樣本時， 便寄給他們分析。 於是在 2012 年 8 月， C.Lab 又發表另一份 分析手機版 FinSpy 的報告。

iOS 版的開發者 Martin Muench 正是 Gamma 的總監； iOS 版的程式碼甚至獲得蘋果電腦的認證 （含有 Apple Root CA、 Apple Worldwide Developer Relations Certification Authority、 以及 Martin Muench 的簽章） 它會竊取通話記錄、 通訊錄、 手機位置、 簡訊、 手機的 IMEI/IMSI （類似手機的身份證字號）、 … 等等資訊。

C.Lab 所拿到的 Android 版似乎還在測試當中。 安裝之後， 它自稱是 「Android Services」。 它索求的權限包含： 取得手機位置、 讀取通訊錄、 讀/收/寫/寄簡訊、 連網、 藍芽、 … 等等。 因為它似乎隱藏了一些資訊， 分析很有限。 後來 另有資安專家的分析向前推進一小步。

Symbian 版 （舊的 Nokia 手機的作業系統） 索求了 TrustedUI 權限。 令人好奇的是： Nokia 開發者手冊裡提到： 「Trusted UI 鮮少用到。 只有在極機密與安全的情況下才應用到它 — 例如輸入密碼的對話框。 與使用者一般的互動並不需要用到它。」 它獲得 Cyan Engineering Services SAL （offshore） 的 Symbian CA I。 （Symbian 的某種認證吧）

黑莓機版的檔案獲得官方三個簽章 （RBB/RCR/RRT）， 具有處理 apps、 使用加解密函式庫、 存取簡訊等等權限。 C.Lab 仔細研究， 發現這個版本有一個 “SpyCall” 功能： 控制中心可以偷偷打電話進來， 仿佛是在通話狀況下一樣聽到手機持有人身邊的聲音。 除了監聽黑莓機自身的 BBM messages 之外， 也側錄 e-mail、 WhatsApp （含畫面快照）

Windows Mobile 版似乎是 demo 版， 但也含有 GPS、 通話記錄、 通訊錄、 … 等等多種監聽/監視功能。

一些伺服器 （command & control servers） 專門負責蒐集這些竊聽/側錄資訊以及送出命令。 C.Lab 指出： 前前後後偵側到的伺服器 （有些已離線） 總共出現在 36 個國家。 這些國家並不必然就等於使用 FinFisher 的政府 — 例如其中有一部是 Amazon EC2 上面， 商業出租的虛擬主機。 但另一方面， 諸如位於土庫曼通訊部的主機、 位於巴林/新加坡/汶萊/印尼/衣索比亞/蒙古/阿聯各國電信公司的主機， 至少跟地主國的關係可能就非常密切了。 其他報告進一步顯示： 除了 踐踏人權的巴林政府 可能已向 Gamma 購買 FinFisher 之外， 先前 埃及獨裁者穆巴拉克也有意購買。 在墨西哥， 「政府使用 FinFisher」 一事同時也扯上浮報價格貪腐醜聞。 人權團體透過資訊透明法 （聽說臺灣也有 「陽光法案」， 可是我怎麼從來沒聽說過它曾被成功拿來揭弊？） 要求政府釋出相關資訊。 現在墨西哥政府已承認有在使用， 而人權團體也正在 持續施壓要求政府全面調查。 C.Lab 今年三月的報告 特別分析衣索比亞跟越南的案例， 指出 FinFisher 似乎經常被人權評等有問題的政府拿來跟監異議人士。 四月的報告 當中提到： 有一個馬來語的版本似乎是針對馬來西亞今年五月的大選所設計的。

FinFisher 甚至 假冒 firefox 名義入侵電腦， 導致 Mozilla 跳腳警告 Gamma。 Gamma International 也在今年被無國界記者列為 網路五大公敵 之一。

搜尋 「finfisher detection」 可以找到一些聲稱具有偵測能力的軟體， 但因為沒有原始碼， 我個人不推薦使用。 搜尋 「finfisher samples」 沒找到樣本。 可以想像的是： 這 36 個國家 很多民眾的手機可能已中鏢， 但因為它不像病毒明顯搞破壞， 又能躲過防毒軟體， 所以大家都沒察覺。 好可惜， 先前 替馬總統上監聽課 的時候， 還沒讀過這麼多關於 FinFisher 的詳細報導。 不過也很難講， 馬總統身邊那麼多人才， 其中如果有些人被賦予重要任務、 比貴哥更密切關心監聽技術， 這也大有可能啊…

(本文轉載自 資訊人權貴ㄓ疑)