我的資訊兩三事

一般客戶要求做掃描大多只會要求黑箱與白箱掃描兩種，所謂黑箱指的是不看Source Code，由外部試圖找到弱點，白箱則是直接掃描Source Code(原始碼)，那甚麼是弱點掃描和滲透測試？那是最常被使用來偵測系統安全的黑箱掃描方法，以下也會一一介紹。 白箱掃描(原始碼掃描) 白箱會找到Source Code的安全問題，如果你賣的是軟體產品，一般都不會提供產品部份的Source Code，但如果是產品上有做客製化，一般的慣例還是要提供客製化部分的Source Code，這就是一般白箱會有的範圍，掃描的工具上，大家常會聽到的Micro Focus Fortify以及IBM Security AppScan這兩個是最常被使用的商業軟體，雖然功能強大，但價格也非常驚人，一套幾乎都是七位數台幣起跳，因此也有免費且功能不輸給這些軟體的免費方案，最常被使用的大概就是SonarQube，雖然說是免費方案，SonarQube一點也不輸商業軟體，而且免費方案(Community Version)其實僅支援部分程式語言，某些語言還是要買授權才能使用，但免費的PHP/Java/C#幾乎就可以用來處理大部分的白箱掃描了。 弱點掃描 黑箱掃描的話就如前面說的有分成弱點掃描和滲透測試，弱點掃描主要是透過自動工具偵測作業系統與軟體系統的明顯弱點，這些弱點比較容易被發掘，指要注意一些安全相關的電子報或網站就可以很快得知一些有名軟體的弱點，而這些弱點都會在最短時間內被修正，弱點掃描軟體也不少，包括上面提到的Fortify和AppScan其實都有弱點掃描工具，純弱點掃描比較常被用的商業軟體是Nexpose，Nexpose算是比較親民的價格，但也是要六位數台幣，因此免費軟體當然也要介紹一下，我所知道的有ZAP, OpenVAS, Nessus等等，這些都是免費但很好用的免費軟體，其實功能並不會差商業軟體太多。 OWASP Top 10 這時候我們就要提到OWASP Top 10了，這是OWASP組織每幾年就會公布的全球前十大弱點清單，裡面包含黑箱與白箱弱點，但以黑箱為主，這些清單都是弱點掃描的主要標的，OWASP Top 10目前最新的是2017年版。 滲透測試 那滲透測試呢？他與弱點掃描一樣是由外部這個黑盒子去找出問題，但他用的不是工具，而是找到專業的駭客(Hacker)來嘗試攻破你的系統，透過其經驗可以找到許多自動軟體找不到弱點，甚至透過駭客手法破壞你的軟體系統，因此滲透測試可以找到的弱點比弱點掃描找到得更多，當然滲透測試也有所謂自動商業軟體(Fortify,AppScan,Rapid7都還是有商業版本的滲透測試，成效也是看實際狀況)，但真正的問題大都還是由人來找出。 以上給大家參考比較。

台灣比較常見的金流大概就是所謂的紅、藍、綠三大廠商，也就是藍新、紅陽與綠界，這三家各有擅長，但近年各家金流如雨後春筍出現，包括歐付寶、萬事達等等，甚至Apple Pay, Line Pay, Google Pay, Samsung Pay都成為獨立的金流平台，這麼多平台中，我比較常碰到的就是藍新和綠界，以下我將藍新與綠界做個比較，給大家參考，有時間再來比較其他廠商 不過另外有找到一篇比較也蠻詳細的，可以給大家參考，點我

因應疫情的視訊會議需求，各種視訊系統如雨後春筍般出現，Zoom當然是目前的企業首選，但同樣深耕視訊多年的Cisco也推出了自己的方案，名為Webex，Cisco過去都是做實體的H.323視訊設備，現在他把視訊功能軟體化，推出了Webex，而且網路有一說是，Zoom的老闆其實是中國人，Webex是比較跟中國無關的，而且Zoom的創辦人過去也是Cisco的高階技術主管，可說是技術同出一源。 那Webex怎麼用，其實跟Zoom幾乎一模一樣，免費版上限只能40分鐘會議，可以分享畫面等等，幾乎就是兩個一樣的方案，那註冊呢，當你打開 www.webex.com，你會看到一堆英文，是的，首頁沒有自動判斷語系，但點選"Start For Free"後倒是有自動判斷語系 請在輸入電子郵件的地方輸入您的Mail，然後按註冊 這邊要輸入您的姓與名，按下繼續後就會出現註冊完成並收到一封信件 上圖的"建立密碼"按鈕會導引你到WebEx改密碼，不過密碼規則還蠻嚴格的，自己設定好密碼 設定好之後就會看到你的專屬會議ID 按下開始會議就會引導你開啟一個會議，並問你是否要安裝Windows版本的Webex，安裝好Webex後會看到Webex的主畫面 如果是由網頁直接發動會議，這畫面也會自動變成會議模式，跟Zoom不一樣的地方是，他會先讓你預覽 確定沒問題後，按下開始會議才會正式開始會議 其他人透過剛剛你拿到的會議ID加入後就可以一同會議 與Zoom一樣，可以由主持人結束會議或者自行離開會議 Webex跟Zoom幾乎是同一個功能介面，會用Zoom的話，應該也對Webex不陌生。 幾個比較流行的視訊方案比較請參考下圖

近期防疫期間很多公司或組織都開始使用視訊進行溝通，但要怎麼做視訊溝通呢？目前最流行的方式應該就是Line了，在Line群組中可以開啟群組視訊，但PC版和手機的位置不太一樣，PC版是在右下方 手機版是在右上方，按下通話就會出現語音通話與視訊通話的選擇，甚至可以開直播(Live) 但Line有個很大的缺點，就是只能做視訊，無法分享畫面，開會時經常會需要分享畫面，這時候，第一個想到的方案就是skype，但skype有個缺點就是，他有點古老了，很多人都有帳號，但早就不記得密碼，要另外註冊很麻煩，所以我就不太推薦了，這邊也不贅述。 那除了skype以外還有甚麼方案？近期最流行的就非Zoom莫屬了，Zoom可以開始視訊通話，也可以分享畫面進行簡報、展示等等功能，但Zoom視訊在免費版只能40分鐘，40分鐘後就要重新開啟，如果要做商業用途，就可以考慮購買無時間限制的版本，價格可以參考官網連結 https://zoomnow.net/zntw_zoom_pay_desc.php，這邊就會看到一個月的價格如果同時視訊人數不到25人，那不用500元就可以達成了，如果要更多人同時視訊就需要更高的價格，這個就自己考量了 免費版只能10方通話，如果你只是要加入會議，可以不用註冊，如果要開一個有40分鐘限制的會議就要註冊帳號，Zoom工具可以在官網下載，開啟後畫面如下 按下"新會議"就會啟動一個視訊會議，畫面中的控制方式說明如下 如果要共享螢幕，就可以按下"共享螢幕"，然後選擇要共享整個桌面或者部分桌面，如果是付費版使用者開啟的會議還可以選擇共用某一支程式的畫面 邀請可以透過Mail發出類似以下訊息，使用者可以透過連結方便參加會議 加入 Zoom 會議 https://us04web.zoom.us/j/152243022?pwd=c0JxYXhUYmE2OG9UUE1sc0doVEQxdz09 會議 ID：152 243 022 密碼：131677 行動電話一鍵撥號 ,,152243022# 美利堅合眾國 付費電話 依所在位置撥打 美利堅合眾國 付費電話 會議 ID：152 243 022 尋找您的當地電話號碼：https://us04web.zoom.us/u/fcWIAXukMc 會議ID每次都會變，除非你付費才能有固定的會議ID。 如果只是要參加會議，可以在主選單選擇"加入會議"，這時候可以手動輸入Zoom ID加入中間的格子是用來指定自己的名字的地方，如果你沒有安裝Zoom的程式，也可以透過邀請人給你的連結，直接在網頁上使用Zoom 所以，Zoom是最佳選擇？ 最近還有看到一個解決方案叫RingCentral，他的視訊會議完全免費，而且介面跟Zoom幾乎一樣，到網路查了一下，據說RingCentral就是找Zoom OEM一個版本給自己，他是否會一直免費我頁不確定，但目前他真的是免費的，RingCentral跟Zoom一樣，支援手機App/Windows/網頁等等主流平台，他的網址為 https://www.ringcentral.com/online-meetings/overview.html ，大家可以自行前往參考。 RingCentral的Windows程式畫面跟Zoom有點類似 按加入會議就可以透過會議ID加入會議 但RingCentral的Windows程式登入一直無法成功，很奇怪，後來發現有個方法可以讓你成功開啟視訊會議，就是透過官網右上方的Login，登入時請選擇RingCentral App 登入後就可以用畫面中的攝影機圖是啟用視訊 這時候系統就會引導你開啟RingCentral的Windows程式啟動一個新會議 那該選哪一個，下表做個比較，如何選擇由您自己決定 比較表 補充：Line視訊通話時有個小缺點，如果你是用電腦開啟視訊，這時候你的手機將無法接電話、無法用Line打其他電話 補充；開啟視訊的人儘量網路好一點，因為他通常需要扮演MCU的角色，將所有封包都送到這台電腦或手機合成，是不是我介紹的每一個都有這問題，後續再專文研究  

優化SEO時，最重要的就是找到關鍵字，這些關鍵字可能有很多人在操作，也可能很冷門，那一般使用者到底在想甚麼？會尋找那些關鍵字，這時候就需要一些工具來找到有根有據的關鍵字，網路上有很多的關鍵字分析工具，但最重要的就是Google和Bing的官方工具，這邊先針對這些關鍵字工具做一些簡介。 Google Ads的關鍵字規劃工具 Google Ads是Google的SEM工具，讓客戶可以刊登自己的關鍵字並優先放在前幾頁，也就是付費刊廣告的意思，其中有一個服務可以使用，叫做關鍵字規劃工具，可以讓你輸入一個或多個關鍵字並分析關鍵字的搜尋量，藉以決定這個關鍵字是否熱門，但這個工具只有在有付錢做Google廣告時才能使用，所以不一定每個人都可以用。 Google Trend Google Trend是Google提供的另一個關鍵字熱門度分析工具，這個工具是免費的，提供的資訊不如關鍵字規劃工具，但還是有很多可用資訊，至少可以比較多個關鍵字的熱門程度，哪一個比較熱門，哪一個比較少人需要，例如，下圖就可以看到，設計這個字很熱門 Bing關鍵字工具 除了Google，另一個流行的SEO引擎就是Bing，Bing Webmaster Tool有提供一個關鍵字研究工具，可以用來查詢關鍵字在Bing引擎中的搜尋次數，也是一個很好的參考值 其他工具？ 除了這些工具，網路上還有很多關鍵字工具，但大都是要費用的，不然就是一天只能搜尋幾個關鍵字，這部分有機會再發文分享。