跳到主要內容

參與 APRICOT 2018 心得 (1)


去年是我第一次參與 APNIC(註1) 會議,由於在台中,占了地利之便,很輕鬆的可以參與,同時與許多亞太地區的人有所交流。其他國家的參與者們除了讚嘆台中是個很棒的地方、台上的致詞者出現蛇肉湯讓與會者摸不著頭緒外,也有一位中國的參與廠商告訴我:「其實我是因為參與 APRICOT(2017) 所以才來台灣參與 APNIC44…有機會的話,妳要參與 APRICOT (Asia Pacific Regional Internet on Operational Technologies )。APRICOT 比 APNIC 更盛大,妳會遇到更多人,對妳的研究會更有協助。」同時,在 APNIC 認識的好朋友 Adli Wahid 也鼓勵我再參與 APRICOT ,可以認識更多不同的業者及觀察到更多與 APNIC 不同的面貌。
基於去年在 APNIC44 的經驗當我知道 APRICOT 2018 辦在尼泊爾時,我想,我一定要去。幾經波折,我終於成功到達加德滿都,也擁有了令我難忘的經驗。

在寫自己的心得前,先翻譯一下關於 APRICOT 2018 報告中的相關數字:
  1. 報名人數:1,020人
  2. 經濟體系代表:64個
  3. APNIC 成員組織代表:247個
  4. 現場參與:752人(已扣除APNIC 職員)
  5. 透過 Adobe Connect遠端參與者:71人(依據Adobe Connect 提供的數據,計算不重覆的 IP 並已排除現場參與者、 APNIC 職員)
  6. 透過 YouTube 遠端參與者:1,589 個觀看數;共被瀏覽了 12,998 分鐘
  7. #APRICOT2018 的tweets數:931筆(談論數)

參與 FIRST TC Plenary

在24日的早上,我參與了「FIRST TC Plenary」,最吸引我的是上午的「CSIRT PLAYBOOK — Scaling your Security Monitoring to Protect large enterprises.」
Elements inside the CSIRT Playbook

台灣有 TWCERTTWNCERT 也有 TWCSIRT ,規模不同。這個場次則是與大家分享關於 CSIRT (註2) 如何協助大型企業規劃、制定和監督資訊安全緊急事件回應的Playbook (直譯為遊戲書可能無法引起共鳴,但也不是操作規範,所以保留原字)。

我認為不同規模的公司應該都要有自己的「資訊安全因應事件」程序手冊,並且透過演練、教育訓練等方式讓公司的人員建立並強化資訊安全保護及如何處理資安事件的意識。

台灣與其他國家不同的地方在於台灣的 CSIRT 或是 CERT (註3) 似乎變成了單向訊息發送的單位,也許是因為平時都參與商業意味較濃厚的資安年會,所以大多會注意到防毒軟體公司或是網路服務的相關業者所提供的年報或攻擊事件報導,台灣的 CSIRT 和 CERT 在國際上並不是沒有貢獻,他們也會分享資料並與其他國際單位交流,只是相對於亞洲其他國家的 CSIRT / CERT ,我所聽到的音量反而較為微弱。

從政策擬定之初就參與討論的業者們

我參與的場次大多都是政策討論為主,這次討論的提案有 4 個,延續去年在台中 APNIC44 的提案
  1. 提案-123:修改 103/8 IPv4 轉移政策
  2. 提案-120:最後/8 位址池耗竭計劃
  3. 提案-119:臨時轉讓
  4. 提案-118:APNIC 區域自由(轉讓)政策
這些提案也不是在當下就在討論的,而是透過SIGs (Special Interests Groups) 群組討論,然後在 APRICOT / APNIC 的政策會議上提案。在討論這些政策時,就不是政策制定者關起門來討論了。由於 APNIC 的網路政策只要一達到共識就會實施,所以相關的利害關係人一定會參與討論,不論是透過現場或是線上參與,大家都會遵循議事規則來討論,而且因為本身就是在產業,這些政策的實施都會影響到收益,所以對於討論政策的脈絡都相當清晰,提出數據與估算影響層面,不會讓政策含糊過關,或是講出「因為它很重要,所以它是關鍵基礎設施」這樣的話語。

台灣政府對於通訊、網路、纜線等基礎建設的態度在管制、保護、特許的成份居多,還有各地方也有不同的法規限制,所以廠商在這方面能施力的部份較不容易。但若要談論「數位經濟」,這些都算是數位經濟的基礎,如果這部份弱化,我們所談的數位經濟都只能算在應用層上空談,沒有穩定、強而有力的基礎,是不可能有繁榮的數位經濟前景。當國內相關廠商無法參與這些基礎的網路政策時,我們談電子商務、跨境服務,還會受限於國與國之間的貿易協定、貿易法規、外交政策。而台灣的情況更特殊的一點時,當我看到國際網路服務供應商、交換中心的業者在這裡交流、參與亞太區的網路政策討論時,幾乎鮮有台灣其他的業者參與討論,當然也有可能是國外的服務商以亞太地區代表為主參與討論。

台灣在討論所謂的「網路政策」多是討論在應用層面,且過度窄化在零售的電子商務平台,而這些業者、立法人員、政策制定人員缺乏對網路政策、市場發展、國際情勢與議題前因後果的了解,又受限於政黨意識、派系區隔造成相關的立法或規範只成了他們個人職場生涯的 KPI ,更可能造成壓抑市場自由發展而非有利於市場生態多樣性的局面。

註解:
  1. APNIC:Asia-Pacific Network Information Centre,亞太網路資訊中心
  2. CSIRT:Computer Security Incident Response Team,網路(電腦)安全事變應變中心
  3. CERT: Computer Emergency Response Team,網路(電腦)危機處理中心
參與 APRICOT 2018 心得連結:(1)、(2)(3)(4)

留言

這個網誌中的熱門文章

為什麼我支持《數位中介服務法》草案

在經歷許多次反抗台灣政府所立的網路相關法案後,我其實沒想過除了《數位通傳法》草案外,我還會再支持另一部法律草案,雖然 《數位通傳法》草案還壓在某處,但如果有人讀過《數位通傳法》的草案,再讀這部《數位中介服務法》草案,就會知道這部草案的重要性,而且也可以顯示台灣網路使用者的成熟度,更重要的,這是我第一次看到引入國際網路治理多方利害關係人機制的法律草案,而且是用在正確的地方。 有興趣想知道我在讀法條時的筆記和當下的感想,可以看我這則  Tweet 。這篇不使用逐條讀法條的方式來寫,因為那會讓人昏昏欲睡,我也不去比對歐盟《數位服務法》,因為我在讀《數位服務法》草案時,該草案特別強調是加強歐盟 E-Commerce Directive  ,而不是取代它,而且更多著重在預防盜版、仿冒,保護消費者的法案。所以當有輿論提到參考自《數位服務法》的《數位中介服務法》草案限縮言論自由時,我其實是一頭問號的,但一直到今天我才有時間讀《數位中介服務法》草案,這篇文章出自於我的個人經驗和閱讀法案的心得,與擔任的職務無關。 如果最近注意一下網路的資訊,有幾件事該注意一下: 有許多人在社群平台,如Facebook或是其他網路看到一些廣告,而這些廣告可能是要你支持台灣農產品、台灣製的產品,結果你收到時,上面還寫著簡體字,通常這是所謂的一頁式廣告詐騙,而行政院的消費者保護會在 2019 年時就有新聞稿在警告「 一頁式廣告詐騙多 小心查證保障多 」,之後像公視或是其他單位都有相關的活動在提醒大家小心這類廣告。但目前這些廣告其實多數不易處理,因為不容易取證、保留證據,等到追查到時已經找不到對方了。 有不少親密照片與影片在情侶分手後,被報復性的上傳到情色網站或透過即時通訊傳到親友的帳號裡,或是被洩露個資,遭到公開的霸凌。 之前有一個專題:「 青春煉獄:網路獵騙性私密影像事件簿 」,光是讀完這個專題報導我就覺得受傷。 有人使用 Deep Fake 把台灣名人的臉部照片合成至色情影片再上傳至色情影片平台,今年 7 月才被判刑。 還有許多創作者藉由網路分享作品時,被人盜用,甚至有國外的使用者修改台灣人的作品去參與比賽還獲獎。 有一次打電話問某個部會,如果消費者在國外電子商務平台買東西,但資料被外洩怎麼辦?雖然政府願意協助,但衡量至國外打官司的時間和成本,就會讓人卻步。 有些行為在現實世界裡有法可管,例如《兒童與

自今天起就不再是 TWIGF MSG 成員

 Photo credit: Image by  Ekkapop Sittiwantana  from  Pixabay TWIGF 在成立之初,就在頁面上寫著: 當MSG成員以TWIGF名義對外接受訪問或撰文時,僅為個人意見,不代表TWIGF立場。 在我發現 TWIGF 秘書處沒先知會我,就因為寫了對《數位中介法》的心得及引發討論,把我的名字寫在Facebook社群裡,同時為今年活動宣傳。看到他的文章,當下只有不被尊重的感覺,於是去信要求秘書處把我的名字移除,收到秘書處的回信,其中一段就如下圖: 秘書處順便告訴 TWIGF 理事長,不需要這個成員了。雖然很早就想慢慢的、默默離開這個社團,所以在年初時也刪掉自己Facebook帳號,只是昨天看到秘書處都幫我想好理由趕人了,就順勢離開。 我也必須說,這應該不是秘書處第一次趕人離開,每次執行者都不一樣,而理事長在 Facebook 裡貼了聯合國IGF的MAG成員的任期和義務,但他可能忘記聯合國 IGF 的主席也是有任期,而且還是指派的。 多數成員都很尊重理事長,因為他在國際間參與網路治理組織、參與網路治理論壇會議,也有很多貢獻,但TWIGF 後來成了只有幾個人可以發表意見的社群,而 IGF 很需要秘書處,所以還是自己離開比較好,不需要浪費太多時間。 參與國際網路治理論壇會議不是特權,只要你有意願,你都可以參與,只是在台灣,因為長期被某個單位壟斷,所以得付出更多成本去參與。 壟斷不好嗎? 這個問題一直在我腦海裡伴隨著 TWIGF 理事長的聲音出現,他很常挑戰別人這個問題。 看到台灣的網路治理的討論發展成這樣,我會說, 不好,這就是某個單位長期壟斷、缺乏競爭的結果 。因為國內其他人在某些條件上無法和這個單位競爭,所以網路治理論壇的會議、教育訓練及討論,很大一部份就是這個單位在執行,如果不是被這個單位的人認可,不僅在會議中喪失話語權,還花更多時間、金錢,自己想辦法參與這樣的會議,學習這些知識,也因為資訊長期被壟斷,所以資源愈來愈少,有許多國際資源與資訊是無法在國內流傳,會議與教學品質也只是為了辦而辦。這就是長期壟斷的後果。 討論只在 Facebook 社團討論、秘書處執行人員用私人的 Email 來回覆信件,不斷的強調自己剛上任,而且只是兼職。 MSG 成員在成立之初貢獻熱情、積極參與。當成立社團法人前,我們有討論過,畢竟秘書

【短記】關於域名爭議的處理和區塊鏈技術應用

主要是這幾天看到 TWNIC 的部落格有一篇關於 ICANN 對於通用頂級域名保護的簡介,然後我想到了在區塊鏈技術應用的世界裡,有不少人都會去註冊 Handshake 的 HNS 或是 ENS 位址,也有不少人認為,自此以後可以避開網路網路想要買域名,或想經營 gTLD 的人,不得不定時繳費給域名註冊商或是註冊了 New gTLD 卻不知該如何好好運用時,已經花費巨額資金出去。 我會在這篇文章快速的寫,就像筆記一樣,畢竟不是很多人有興趣在探討如何應用區塊鏈技術在域名的領域。 ICANN  的域名爭議處理機制目前還是以歷史悠久的「統一域名爭議處理政策」(Uniform Dispute Resolution Policy,簡稱 UDRP) 來處理。處理的時間比較長,但比較周全,它會考量商標、專利、智財這些註冊的法律,也因此許多企業會直接走法院訴訟,直接取回自己的商標域名。TWNIC: 通用頂級域名(gTLD)權利保護機制簡介 。 ENS 在我的認知比較像是「轉址」服務。它的註冊域名是 .eth ,持有者可以把錢包位址、網站位址都轉向這個 .eth 的網址,但因為 .eth 並不是註冊的TLD,所以你的域名如果是.eth 必須變成 .eth.link 才可以用一般瀏覽器瀏覽。當然如果你的瀏覽器上有掛著擴充套件,例如 MetaMask 就可以付款或交易。ENS 也是要付費的,而且是用 eth 付費,而 eth 的交易 gas fee 是嚇死人的高,所以並沒有說使用 ENS 購買域名就比較划算,你的域名可能只有0.003 eth 但要付上 0.018 eth 的 gas fee,真的很可怕。相關的頁面: EthDNS and EthLink 。ENS 有一個蠻完整的 ecosystem,也有和 ICANN、IETF合作,但我倒沒特別注意到如果有域名爭議時,有什麼機制可以處理,也許也是參考 ICANN 吧? HNS 在之前就已經掀起一股「 用一美元買自己域名 」的旋風了,但需要使用特定的瀏覽器和設定,才能用 HNS 格式的網址來瀏覽,在缺乏相關的保護機制下,你等於是讓瀏覽者曝露在風險裡。為什麼 ICANN 會努力推廣 DNSSEC 就是為了保護瀏覽者在輸入域名時就是到達域名所指向的位址,也有一些文章認為像這樣的域名格式,其實就像 Tor 網路、暗網一樣,破壞了網路的「互相