Source: https://www.cyberdaily.au/culture/8710-ethical-hackers-protected-by-belgium-cyber-watchdog
資安的資料也念了一段時間，看了不少能抵禦駭客攻擊的軟體和服務，但畢竟都是紙上談兵，沒有實際上手的機會，因此總有個理論很圓滿，現實很難懂的感悟。
最近在看有沒有甚麼IT類的課程可以上的時候，發現所謂的Ethical Hacking系列，中文通常翻成白帽駭客，顧名思義，就是擁有駭客的技術，但主要在防治駭客攻擊，並不以癱瘓網站或是勒索企業為生。
想想，這正好可以讓我實際了解駭客如何攻擊網站或是癱瘓伺服器，並且從中和資安相關的防禦手段相結合，就更能理解資安服務的使用方法。這個駭客系列的課程多達20堂課，因此會陸續記錄上課心得。
第一個先了解的，就是我們天天用的無線網路，以及它有可能帶來的安全漏洞。這邊用條列的方式記錄所學。
1.Wifi的密碼是能透過暴力破解，慢慢試出來的。小時候聽過暴力破解法，但一直到上這個課的時候，才實際看到操作方式，也算是一個小成就。駭客領域中用來竊取Wifi密碼的程式很多，但建議不要隨便從網路下載回來用，不然Wifi沒破解成，自己的電腦反而被這個下載來的不明軟體劫持，那就欲哭無淚了。
2.我們在影視作品上看到駭客的電腦螢幕時，通常都會顯示一堆稱程式碼，讓觀眾有種駭客好厲害，要瞬間打出一堆程式碼來入侵系統的錯覺。實際上打程式碼都只是下指令給軟體去執行入侵破壞或是攔截等等動作，並不是從無生有，弄出一套入侵的系統。有的軟體也發展出視窗類型的操作 (GUI)，可以讓你像用一般軟體一樣下指令攻擊目標，調整好參數，就可點擊「攻擊!」來執行。
每次想到駭客攻擊，都會聯想到三立之前的電視劇，有一幕是駭客要入侵系統，弄得觀眾很緊張，但仔細看的話，這不是Dos系統嗎…小時候玩遊戲就是透過Dos系統找遊戲位置，然後執行遊戲的。編劇可以想到用Dos來呼攏觀眾說在入侵系統，也是腦洞很大。
3. 假Wifi
這個應該有兩種方式，一種是在旅館咖啡廳邊，駭客創造出一個假的Wifi連接點，還很貼心的在四周貼上這個「假」Wifi的帳號密碼，讓目標傻傻的連上這個假Wifi，進而竊取資料。另外一種比較猛，叫做Devil Twin，是直接「複製」真實Wifi的名稱，包含SSID和參數，甚至連密碼都能複製，而且會把信號強度拉高，讓用戶以為這個假Wifi是「真的Wifi」，目標也是竊取資料。
不過連上假Wifi的可能問題，就是駭客可能有辦法擷取你傳送的訊息，像是登入的帳號密碼，信用卡號碼，或是任何未經加密的訊息等等。所以才會宣導說， 使用共用的Wifi時，不要登入重要的系統或是傳送信用卡資料等等，原因在於駭客只能攔截你傳的資料，並沒有辦法透過Wifi入侵你的手機。
4. MFA 雙重認證
這個MFA 雙認證也行之有年了，很多公司都將之視為必備。也就是在登入系統的時候，需要進行第二次認證，有可能是送簡訊到手機，或者透過手機認證，也可以是郵件認證，反正就是要求你用第二種方式證明你是真實用戶。雖然乍看之下很麻煩，但其用意在於，如果今天你的帳號密碼被偷了，如果沒有設定雙認證，駭客一下子就可以登入你的系統來胡作非為，如果你有第二層認證，那被駭的機率就會大大降低。
5.藍芽劫持
我個人很少用到藍芽，在外出的時候也都會關掉，所以大多沒有甚麼問題。從資料上來看，駭客也可以偷取藍芽傳出的資料，但實務上的用法較少，這邊就不贅述。
以上，記錄完畢。
太初 