CNET科技資訊評論員通過電話對PayPal網上支付信用服務公司的首席安全主管邁克·巴雷特(Michael Barrett)進行了採訪，並要求他對網絡安全發表了意見。

---

問：高科技持久性的威脅（Advanced Persistent Threads or APTs）主要是針對特定組織或公司，通常的事件竊取​​數據，最近這些方面新聞很多。 PayPal是否受到這樣的攻擊？

巴雷特：我不認為我們受過成功的襲擊。 但我肯定，我們的網絡上曾出現過惡意的軟件。

問：這次事件是通過對RSA（這是目前最有影響力的公鑰加密算法）侵入進行的，由此破解SecurityID鑰匙，這對PayPal會有什麼影響？

巴雷特：我們的客戶不使用這種方法，但我們在內部使用。在內部網絡，因為我們有一個多層防禦，我們沒有重新換碼，至少不會倉促行事。 我們可以有選擇性對某些的員工進行有目標性的重新確認。 RSA的本身就是針對抵抗攻擊設計的，但由於執法機構調查的介入，所有密碼的驗證還不能完全確定。

問：你對Comodo公司（美國一軟件公司，專門提供網絡安全證書）發出的偽造證書上有什麼評論？

巴雷特：在許多方面，我們認為這是提供證書業務公司經營者的軟肋。 這不是Comodo公司被侵入，這是證書認證機構轉售Comodo的證書。 但也有為數不良行為公司在經營證書(CA)生意，你看到的是他們其中之一。 有相當多的證據表明，CA的業務偏向於收入，從而以犧牲安全為代價。 CA商業有需要進行一些清理工作，這類事件的發生就是一個典型的例子。

問：Epsilon數據的侵入已經成為本周的頭條新聞。 這說明委託外部公司提供郵件服務是一個問題嗎？ 

巴雷特：在最近幾個月裡，該行業有一些違規侵入行為。 我不把它看作該整個行業有問題。 相反，在我看來，所有的企業都必須意識到，他們具有價值的數據都可能是潛在的攻擊對象。 人們常說“這不可能發生在我身上”， 但是犯罪分子幾乎對所有的人都進行侵犯。 所有公司在的數據處理過程中都需要認真嚴肅對待數據的控制水平。 我們看到企業的意識正在轉變之中。

我們使用外部供應商，但我不能提供名字。 我們沒有使用Epsilon公司。我要強調的是，我們做事的準則之一我們盡職盡責確認這些供應商都是安全。 在給任何電子郵件服務商提供姓氏和電子郵件地址，你必須確保他們是按照行業的規範做法。 有的公司確實比其他公司做得更好。

• 誰是Epsilon，為什麼它有我的數據？ 
• RSA的攻擊所使用的是Excel中即日迅速侵入
• 黑客利用在Web甲板中的縫隙進行侵入

問：移動通訊平台現在十分火熱，你看到什麼趨勢呢？ 

巴雷特：從安全角度來看，移動平台是令人羨慕的，因為目前的攻擊很少。另一方面，對攻擊者來說，各種侵入的可能性現在還沒有成為一種現實， 所以這是一個非常有趣的空間。 例如，非越獄iPhone手機上的攻擊並沒有出現很多，因此他們看來是相當安全的。Android可能是一個安全性略差的平台，侵入攻擊曾有發生過。它只是更加開放，谷歌對應用程序沒有任何控制，而蘋果採取的是控制的方式。 雙刃劍兩邊鋒利，也會傷到自己。谷歌採取的是更加開放的態度，我認為這是一個哲學問題。我這裡不是批評谷歌或讚美蘋果。一種方式可能導致更開放的生態系統，但可能也帶來更多的風險。你不能光是從安全特性來看，你要看生態系統的整體健康，比如有什麼樣的應用程序和其他的東西。就我個人而言，我喜歡黑莓，因為我可以用我拇指輸入。

如果人們在智能手機上做電子商務，他們真正需要的是用一個密碼來腳鎖定它，你將會吃驚地發現有多少人沒有這樣做。你需要鎖定它，將它備份起來。 每當更新出現，我們一直強烈推薦消費者下載並安裝新版本的應用程序。

問：PayPal如何處理法庭的傳票和政府查看數據的要求？ 

巴雷特：我們與執法部門的立場已經非常簡單。 我們是一家公司，尊重法律，我們的工作與執法部門相當積極配合。 當他們拿出適當的請求，我們合作。 如果我們相信他們只是想游釣和查詢客戶的數據，我們就不會（合作）。

問：網絡釣魚（偽造網絡行騙）仍然是PayPal和你們客戶的困擾問題嗎？

巴雷特：剛好5年前我加入了PayPal，公平地說，公司當時並沒有在這一點上意識到網絡釣魚的害處。但自我加入公司以來，我們已經建立了多種防禦來對付這個問題。這個問題可能永遠不會完全消失，但它可以大大地減少。在最多釣魚網站排列中我們正處於第八，這比第一要好得多。我不滿意被放在第八，我真的很想完全消滅這種犯罪，但我意識到，這將需要五年的時間。 幾年前，我們的對外郵件開始全部採用數字簽名，我們與雅虎和谷歌合作，如果他們看到了聲稱是來自我們但沒有電子簽字的電子郵件，這些郵件將會被阻止。自從這之後，取得了相當驚人的成功。現在我們正試圖讓整個行業接受這種做法，但這將會需要花數年的時間讓其它行業這樣做。

問：你有任何其它議題可以說說嗎？

巴雷特：有的，法規。我們相信，我們現在正進入的網絡時代將不可避免地需要更多的互聯網管理法規，問題是應該建立什麼樣子的安全框架，使得互聯網成比現在更為安全？ 這可能是美國政府今年會做一些事情。你會發現網絡上的執法經費嚴重不足，我希望這方面資金的投入應該加大大增加。