自從今年六月以來， Edward Snowden 每個月都會爆料更多關於美國國安局 （NSA） 監聽的內幕。最近一爆是：NSA 真的以三億台幣的價碼 誘騙 （還是買通？） 大哥級資安公司 RSA， 在其產品植入後門。 不是說好的， end-to-end encryption 不怕竊聽嗎？ 那現在到底地球上還有什麼通訊工具是真正能夠保障私密通訊權的呢？ 所以我就畫一張圖來解釋各種可能攻擊加密通道的方式好了。

捍衛私密通訊權利的最佳方式，就是加密。以簡訊/即時通軟體來說， 自由軟體界的大大們共同推薦 「支援 OTR 的通訊軟體」（改天再寫一帖好了）；以 e-mail 來說， 那就非 GnuPG 莫屬了。 圖片中的兩位主角採用加密通訊軟體來傳遞訊息；但如果他們不像貴哥一樣堅持（幾乎）只使用自由軟體的話，那麼 NSA 跟黃世銘 （還有尚未被爆料出來的不知道誰）還是可以試著從這幾個切入點下手：

1. 側錄寄件人的鍵盤或螢幕， 看見加密之前的訊息。
2. 側錄收件人的螢幕，看見解密之後的訊息。
3. 側錄封包，甚至深度封包檢測，進行 「中間人 （MitM） 攻擊」。
4. 在收件人的亂數產生器（Random Number Generator）裡動手腳。

側錄鍵盤螢幕的軟體，基本上就是未經你允許而入侵了你的電腦的惡意程式。在電腦上要避免側錄鍵盤螢幕，最主要的方法就是安裝防毒軟體之類的（linux 與 *bsd 則不需要）。另外，也要避免亂點 e-mail 裡面的附加檔 （一般 linux 與 *bsd 的預設設定，稍微比較不怕這類錯誤）。瀏覽器安裝 noscript 之類的，可以避免來自陌生網站上的惡意程式；不過有時要開某些網頁 — 特別是那些 「只針對特定瀏覽器甚至特定版本設計、不遵循公開標準」 的網頁 — 會變得比較麻煩。至於在手機上要避免側錄鍵盤螢幕，就比電腦更困難一些了。 FinFisher 透過 Windows 版 iTunes 多年未補的升級 「漏洞」，讓人不知從何防起。 Carrier IQ（ android 版/ iPhone 版 則是直接燒在原廠手機裡面，誰會想得到；知道了又能怎麼辦呢？看來把 android 手機刷成開放原始碼版本的 CyanogenMod （CM），然後 不要 root CM，這似乎是可以大幅提升安全度的策略 — 因為 CyanogenMod 絕不可能被植入 Carrier IQ 這樣的程式。 貴哥自己都還沒做到。

但是不只是網路上的潰客會試圖在你的電腦/手機植入惡意程式側錄鍵盤螢幕。最近 臺灣政府/ 蘋果/美國政府 的一連串動作顯示：你們公司的網管也有可能會以 統一管理公司所有行動裝置 為由，要求安裝 MDM 軟體。你可以選擇拒絕相信這背後有陰謀；但你至少要知道一個不爭的事實：MDM 就是公司網管安裝在你的手機裡的 rootkit，它當然可以側錄你的鍵盤螢幕。它會不會真的這麼做？ 我不知道。但請不要跟我談 「以小人之心度君子之腹」——加密的意義就是要讓所有人都沒有機會成為小人；如果私密通訊還需要仰仗第三者的君子風範，那一開始就不需要談加密了啊！

同樣地，像是 臉書側錄你未 po 的文章，這也都不在加密保護的範圍之內，因為臉書的 javascript 直接在你的電腦上執行，它看到的是加密之前跟解密之後的資訊。 臉書版的 OTR 可能可以解決這個問題，我還沒仔細研究過。

再來是 「中間人攻擊」。它主要是針對未加密的資料。但是某些加密演算法 （例如原始版的 Diffie–Hellman） 本身具有這樣的弱點，讓中間人不需要破解也可進行竊聽。比較奇特的是 iMessage 的後門：蘋果電腦原本明明採用不怕 MitM 攻擊的加密演算法，但是蘋果卻不是讓通話的兩者直接看見對方的公鑰、直接對話，而是在當中穿插了不必要的複雜機制，反而讓 MitM 有機可乘。總之， 要避免 MitM，就要堅持： （1） 選用不怕 MitM 的加密演算法 （2） 直接看到對話方的公鑰。 這樣，就算政府/ISP/網管進行深度封包檢測 （deep packet inspection），也無法打開你的訊息。 GnuPG 符合這兩點，自由軟體的 OTR 實作應該也都會符合這兩點。

最後是亂數產生器 （RNG）。因為當今的加密演算法大多要產生極大的數字作為金鑰，所以幾乎都會用到它。這兩天爆開的 NSA 誘騙/買通 RSA 安置後門一事，證實了 RSA 演算法的 RNG 後門 不只是理論而已；它所採用的 Dual EC DRBG 亂數演算法，正好也就是 埋在微軟 Windows 裡的同一個後門。這種類型的後門，受影響的是收件人的金鑰。也就是說，RNG 後門的中鏢者，他所寄出去的訊息並不必然會被監聽，但別人寄給他的訊息則會被監聽。（圖中右側的兔子如果他產生金鑰時，使用的是中了鏢的 RNG，那麼因此而被竊聽的，卻會是左側的貓耳女寄給兔子的訊息。）想要避免成為 RNG 後門的受害者，就要確認你在寄出私密訊息時，收件人所使用的加解密軟體的程式（包含亂數產生器!）的原始碼有公開。不過， Intel Ivy Bridge 系列 CPU 裡 充滿爭議的硬體亂數產生器，會不會是 傳說中的 linux 後門？這還有待進一步研究，不過我相信 GnuPG 與 OTR 自由軟體應該沒去使用它，所以不會有問題。

談了那麼多，最重要的結論還是同一個：如果你在乎私密通訊權，那麼就請下定決心，努力勸說自己以及可能接收自己私密訊息的朋友們 逐步改用自由軟體 吧！另外，「隱私/安全」跟「方便」經常是成反比的。「Linux/*BSD 比較難用」 有很大一部分原因跟這個因素有關。然後，因為今天（12/22）是冬至，所以應該也可以算是世界末日滿一週年，我決定要以正面的態度看待這個新世界。我要在此公開向 NSA 跟黃世銘銘謝，因為有你們的努力，讓我們推動自由軟體的工作變得比舊世界的年代更省力一些 ：-） （被毆）

(本文轉載自 資訊人權貴ㄓ疑)

• 日常隨手的物品，看起來像是海底世界！？
• 德國紅點大獎 — 兩顆球對準，讓磁鐵相互吸引，觸發開關點亮燈！
• 帶你看見看不見的世界，科學實驗室EP.4 — 史上最小顯微鏡！
• 25 的 16%是多少？ 帶你一起更靈活思考！
• FinTech 持續發燒，玩出 Baas 金融生態圈！
• 夢想覺醒！探索自我潛能、打造夢想藍圖！

為什麼有些人吃不胖，有些人沒抽菸卻得肺癌，有些人只是吃個感冒藥就全身皮膚紅腫發癢？這一切都跟我們的基因有關！無論是想探究生命的起源、物種間的差異，乃至於罹患疾病、用藥的風險，都必須從了解基因密碼著手，而揭開基因密碼的關鍵工具就是「基因定序」技術。

基因定序對人類生命健康的意義

在歷史上，DNA 解碼從 1953 年的華生（James Watson）與克里克（Francis Crick）兩位科學家確立 DNA 的雙螺旋結構，闡述 DNA 是以 4 個鹼基（A、T、C、G）的配對方式來傳遞遺傳訊息，並逐步發展出許多新的研究工具；1990 年，美國政府推動人類基因體計畫，接著英國、日本、法國、德國、中國、印度等陸續加入，到了 2003 年，人體基因體密碼全數解碼完成，不僅是人類探索生命的重大里程碑，也成為推動醫學、生命科學領域大躍進的關鍵。原本這項計畫預計在 2005 年才能完成，卻因為基因定序技術的突飛猛進，使得科學家得以提前完成這項壯舉。

提到基因定序技術的發展，早期科學家只能測量 DNA 跟 RNA 的結構單位，但無法排序；直到 1977 年，科學家桑格（Frederick Sanger）發明了第一代的基因定序技術，以生物化學的方式，讓 DNA 形成不同長度的片段，以判讀測量物的基因序列，成為日後定序技術的基礎。為了因應更快速、資料量更大的基因定序需求，出現了次世代定序技術（NGS），將 DNA 打成碎片，並擴增碎片到可偵測的濃度，再透過電腦大量讀取資料並拼裝序列。不僅更快速，且成本更低，讓科學家得以在短時間內讀取數百萬個鹼基對，解碼許多物種的基因序列、追蹤病毒的變化行蹤，也能用於疾病的檢測、預防及個人化醫療等等。

在疾病檢測方面，儘管目前 NGS 並不能找出全部遺傳性疾病的原因，但對於改善個體健康仍有積極的意義，例如：若透過基因檢測，得知將來罹患糖尿病機率比別人高，就可以透過健康諮詢，改變飲食習慣、生活型態等，降低發病機率。又如癌症基因檢測，可分為遺傳性的癌症檢測及癌症組織檢測：前者可偵測是否有單一基因的變異，導致罹癌風險增加；後者則針對是否有藥物易感性的基因變異，做為臨床用藥的參考，也是目前精準醫療的重要應用項目之一。再者，基因檢測後續的生物資訊分析，包含基因序列的註解、變異位點的篩選及人工智慧評估變異點與疾病之間的關聯性等，對臨床醫療工作都有極大的助益。

建立屬於臺灣華人的基因庫

每個人的基因背景都不同，而不同族群之間更存在著基因差異，使得歐美國家基因庫的資料，幾乎不能直接應用於亞洲人身上，這也是我國自 2012 年發起「臺灣人體生物資料庫」（Taiwan biobank），希望建立臺灣人乃至亞洲人的基因資料庫的主因。而 2018 年起，中央研究院與全臺各大醫院共同發起的「臺灣精準醫療計畫」（TPMI），希望建立臺灣華人專屬的基因數據庫，促進臺灣民眾常見疾病的研究，並開發專屬華人的基因型鑑定晶片，促進我國精準醫療及生醫產業的發展。

目前招募了 20 萬名臺灣人，這些民眾在入組時沒有被診斷為癌症患者，超過 99％ 是來自中國不同省分的漢族移民人口，其中少數是臺灣原住民。這是東亞血統個體最大且可公開獲得的遺傳數據庫，其中，漢族的全部遺傳變異中，有 21.2％ 的人攜帶遺傳疾病的隱性基因；3.1％ 的人有癌症易感基因，比一般人罹癌風險更高；87.3％ 的人有藥物過敏的基因標誌。這些訊息對臨床診斷與治療都相當具實用性，例如：若患者具有某些藥物不良反應的特殊基因型，醫生在開藥時就能使用替代藥物，避免病人服藥後產生嚴重的不良反應。

基因時代大挑戰：個資保護與遺傳諮詢

雖然高科技與大數據分析的應用在生醫領域相當熱門，但有醫師對於研究結果能否運用在臨床上，存在著道德倫理的考量，例如：研究用途的資料是否能放在病歷中？個人資料是否受到法規保護？而且技術上各醫院之間的資料如何串流？這些都需要資通訊科技（ICT）產業的協助，而醫師本身相關知識的訓練也需與時俱進。對醫院端而言，建議患者做基因檢測是因為出現症狀，希望找到原因，但是如何解釋以及病歷上如何註解，則是另一項重要議題。

從人性觀點來看，在技術更迭演進的同時，對於受測者及其家人的心理支持及社會資源是否相應產生？回到了解病因的初衷，在知道自己體內可能有遺傳疾病的基因變異時，家庭成員之間的情感衝擊如何解決、是否有對應的治療方式等，都是值得深思的議題，也是目前遺傳諮詢門診中會詳細解說的部分。科技的初衷是為了讓人類的生活變得更好，因此，基因檢測如何搭配專業的遺傳諮詢系統，以及法規如何在科學發展與個資保護之間取得平衡，將是下一個基因時代的挑戰。

更多內容，請見「科技魅癮」：https://charmingscitech.pse.is/3q66cw

• 日常隨手的物品，看起來像是海底世界！？
• 德國紅點大獎 — 兩顆球對準，讓磁鐵相互吸引，觸發開關點亮燈！
• 帶你看見看不見的世界，科學實驗室EP.4 — 史上最小顯微鏡！
• 25 的 16%是多少？ 帶你一起更靈活思考！
• FinTech 持續發燒，玩出 Baas 金融生態圈！
• 夢想覺醒！探索自我潛能、打造夢想藍圖！