VOA專訪台灣數發部長唐鳳:佈建“零信任架構”、不斷網系統 擊退中共駭客及假消息攻擊

台灣數發部長唐鳳(右)接受美國之音專訪

台海局勢自美眾議院議長佩洛西8月訪台後速升級,中共除了對台發動軍演,還對其政府及民間網站進行大量網攻。為了抵抗境外大規模網軍,台灣成立數位發展部加強資安防禦,而數發部首任部長唐鳳在上任將屆滿3個月之際接受美國之音專訪,強調未來將佈建“零信任”網路及中、低軌衛星設備,堅持數位韌性理念阻駭客入侵,並確保台灣遇重大災害時,通訊仍暢通無阻。

Your browser doesn’t support HTML5

VOA專訪台灣數發部長唐鳳:布建“零信任架構”、不斷網系統 擊退中共駭客及假消息攻擊

台灣數位發展部部長唐鳳

美國軟體巨擘微軟公司(Microsoft)於本月公佈年度數位防禦報告(Microsoft Digital Defence Report 2022),直指中國加強了情搜行動和竊取資訊的網路攻擊,主要鎖定美國、台灣等5個國家。

不過,在微軟發布報告約3個月前,台灣上至政府機關、下至民間企業,早已感受到來自中共相關團體在雲端上的猛烈炮火;在美國眾議院議長佩洛西(Nancy Pelosi)今年8月初旋風訪台前後,台灣不僅便利超商、鐵路車站等電子看板遭境外網軍入侵,就連外交部、國防部,甚至總統府等數個中央及地方政府官網也遭“阻斷服務攻擊”(DDos),也就是惡意放大流量數據請求,使目標伺服器或網路資源耗盡,以干擾系統運作的方式,導致網站一度無法正常顯示。台灣電力公司當時表示,在8月3日佩洛西訪問當天,受到的駭客攻擊次數高達490萬次,“超越過去兩個月的總和”。

在中國網軍加大對台灣威脅同時,肩負建構全民數位韌性以應對資安挑戰的台灣數位發展部(以下簡稱:數發部),就在這樣的背景下,於今年8月27日掛牌成立。數發部第一任部長、也是台灣首位跨性別閣員唐鳳,於8月初數發部網站剛成立之際對媒體表示,該網站採用新的Web3架構,並未受到境外網軍干擾,“一秒鐘都沒卡住過”。

如今,數發部網站已正式上線超過一百天,然而唐鳳在接受美國之音專訪時仍自豪表示,網站運作依舊一切正常,“不但是沒有卡住過、也沒有被竄改等等”;而上任將屆滿3個月的唐鳳,也透過這場訪問,暢談數發部對提升台灣資安的實質計劃及未來願景。

無懼中國網軍威脅 唐鳳:免費“紅隊”測試

唐鳳在訪談開始不到5分鐘,就先針對數發網的架構設計詳加說明,她說:“Web 3的架構有個特色,就是任何人都可以來幫我們。任何人只要在電腦上面裝了IPFS(星際檔案系統)的軟體、或IPFS的瀏覽器,他就可以幫助我們備份我們的網站,他只要稍微按個'pin'(指釘選),就等於看了之後不但加入書籤,而且存一個離線的備份在自己的電腦裡。”

唐鳳口中所說的星際檔案系統,是Web3的重要基礎設施,具有去中心化及安全等優點。而談到佩洛西訪台時大批中共相關團體網軍的攻擊,唐鳳則笑稱這彷彿是自己送上門的'紅隊'測試,也就是免付費的模擬入侵網攻訓練。唐鳳正面迎戰網軍也帶來收穫,讓台灣其他部門爭相探究數發部的資安維護能力。

唐鳳說:“我們的設計本來就是韌性,要因應這樣子資安的挑戰,我們本來也是要安排像'紅隊'測試等等,讓我們在地的這一些團隊,能夠試著打我們的這個架構看看,結果我們也不用付錢,有 '免費' 的'紅隊'測試,開始這樣DDos(阻斷服務攻擊)...。而且,我們增進這樣子能力的過程,不管是(台灣)外交部、國防部,甚至總統府等等的同仁,就覺得很好奇,為什麼我們這邊(網軍)打不到,他們很想要學習。”

台政府廣推“零信任架構”

唐鳳進一步表示,由於目前看來數發網能有效抵抗網軍入侵,因此雖然網站由他跟其他同仁一起發想、建構,但會以拋棄其“著作權”,讓台灣各大政府官網未來也能採用同樣架構。

唐鳳說:“可能關鍵基礎設施、重要的政府部會,兩年之內就要用我們的所謂的'零信任架',Zero Trust Architecture,這個就是設備、連線,身份的三重驗證,這樣子的話,即使駭客破解系統管理員的密碼,他也沒有辦法同時破解設備、或者是連線,或者身份層的其他層,這樣子就可以達到,即使駭客攻破其中一個部分,其他部分還是可以起到聯防的效果。”

據以色列資安大廠CyberArk資料,'零信任架構'是產業分析師金德瓦格(John Kindervag)2010年所創造的名詞,強調“絕不信任,必須驗證”的概念,目標是降低大多數組織在現代環境下遭受網攻的風險,目前包含Google等大型企業已建構自己的“零信任”模型。

不斷網系統確保戰時、天災通訊

然而,台灣數發部除了預計在兩年內,讓全台重要政府系統採用'零信任架構'之外,唐鳳也在先前接受華盛頓郵報專訪時表示,台灣正建立不斷網系統,以避免民眾在災難發生時遭受假訊息的擾亂。

根據瑞典哥德堡大學主持的跨國學術調查V-Dem計劃,台灣自2013年起,連續9年蟬聯全球遭受境外假訊息侵擾最嚴重的國家。哥德堡大學林柏格(Staffan I.Lindberg)更曾說,合理懷疑中國是以假訊息攻擊台灣的“主嫌”。也因此,防堵虛假消息散播,對台灣來說至關重要。

針對未來的不斷網系統計劃,唐鳳強調,這是參考烏克蘭在對抗俄羅斯入侵時,藉由總統弗拉基米爾·澤連斯基(Volodymyr Zelenskyy)每日演說、以及當地英語媒體即時傳播當地最新情況,因此希望確保台灣遇到戰事或重大天然災害時,也能像烏克蘭一樣,向國內及國際無延遲發送當下情勢與災情。

唐鳳說:“(烏克蘭)這樣子(對外傳播),就讓基輔(烏克蘭首都)的情況就沒有亂掉,所以我們跟烏克蘭的經驗學習,就是要達到全民的數位韌性,碰到這些不利情況的時候,不但我們要確保新聞工作者有充足的頻寬,也包含其他的應變,包含醫療、避難等等的這些工作者(能及時傳遞訊息),所以我們會在接下來兩年我們在國內挑700個點、國外有3個點,去建立這種中軌道和低軌道非同步衛星的接收站。”

烏克蘭在俄烏戰中,就是藉由特斯拉(Tesla)創辦人埃隆·馬斯克(Elon Musk)的SpaceX低軌衛星網路”星鏈”(Starlink),迅速恢復了與關鍵地區的通訊連結。

“本地雲” 、避獨家合作強化資安

針對開放商用衛星通訊頻率,台灣數位發展部已於今年11月8日受理申請,並表示歡迎與符合法規的業者進行合作。然而,台灣各界引頸期盼能盡快引入的SpaceX,其創始人馬斯克先前的一番政治言論,卻讓當地大部分人士相當感冒。

馬斯克稍早在接受《金融時報》( Financial Times )訪問時表示, 中國和台灣之間的緊張關係,可以通過將台灣的部分控制權移交給北京來解決。馬斯克此話一出,隨即引起評論人士批評,他對台灣問題和中國當局缺乏認識。台灣外長吳釗燮則說,馬斯克的言論與北京想法完全一樣,“這是中國的提議…台灣人對這沒興趣”。

不過,唐鳳並不認為符合申請衛星執照要件、政治傾向卻較親中的國際衛星業者有能力危害台灣資安。唐鳳指出,在商用衛星執照申請上,有董事長應具有中華民國國籍、外資直接持股不得超過49%,中資不得涉入等法規限制,相關規範已讓資訊獲得相對應的保障。另外,台灣也將避免只與一家衛星廠商獨家合作,不把雞蛋放同在同一籃子裡,且大型公有雲公司也已相繼在台佈建資料中心,這些做法應能避免資安風險升高。

唐鳳說:“對一個資安的攻擊者來講,你要同時熟悉這麼多個'Tech Stack'(技術堆疊,指掌握這些技術以及配合使用的經驗),而且要一次把它全部拿下來,這個難度是非常高的,但是如果他們(指網軍)知道說,我們就只會跟某家獨家合作,那他們花個幾年去研究這一家,那說不定有機會。

(另外Google、亞馬遜和微軟)三大公有雲,他們都表達不但是資料是在台灣運算,而且他們也承諾,跟我們的在地的服務的公司合作,那就是只用具有我國國籍的人士,所以就不但是管理者、以及他落地的(公司),這兩個都要能夠扣合我們這種'本地雲'(指確保數據由可信任的業者在本地資料中心儲存、運作)的架構內,(這樣)這個跨國的管理層言論之類,就跟資安要求(的)關係就比較不大。”

數發部一年內目標: “台灣製造,信任可靠”

雖然唐鳳在專訪中細談數發部許多計劃,但她也說,至今仍不忘創立數發部的初心,也很開心初衷受到外界肯定。唐鳳說:“數位部的初心,就是數位韌性,Digital Resilience,對於面對各種自然或者人為的災害,要能夠隨時回應,而且在回應當中、打擊當中成長,這樣的期待,那我覺得很幸運,就是我們剛開張,就收到可能四五千份履歷。也就是說,不管是公務機關還是民間的朋友,都很認同我們這個創業的初心、這個初衷,這個願景。”

在專訪進入尾聲同時,唐鳳也透露數發部未來一年的目標,除了將全面推動零信任架構、強化各個產業的資安之外,還將持續促進台灣在半導體的全球領先地位,藉由推動晶片安全檢測能量,接軌國際標準,希望將台灣製造(Made In Taiwan)與誠信製造(Made In Trustworthiness),作最完美結合。

唐鳳說:“我們率先去建立'晶片安全聯合檢測實驗室',所以是整個chip(晶片)相關的流程,包含它的軟體、硬體服務等等,都有這個合規的方法,所以我們也是把這樣子的規格,跟國外的朋友分享,希望能夠達到交互認證。所以一句話,我們希望在接下來一年裡面,大家看到'MIT','Made In Taiwan'的這些產品、服務,晶片等等,這個'T'不是只是台灣。也是'Trustworthiness',就是值得信任,'台灣製造,信任可靠'”。