尽管 WCIT 展览可视为只是英文多、规模大些的智慧城市展，新东西并不多；主题演讲部分受限于昂贵的门票，不是有兴趣的人都有办法参与，但 WCIT 活动期间其实有些精彩的活动，在大会周边进行。像是因 WCIT 大会来台，且参与 WCIT 网络安全、隐私与信赖论坛讨论的 Citizen Lab 研究经理 Masashi Crete-Nishihata，就应西藏台湾人权连线以及台湾人权促进会邀请，谈论世界上最容易被网络攻击的西藏社群，怎么培力自身的资讯安全素养。
骇客全面性企图入侵藏人电脑
西藏流亡人士由于被中国政府视为眼中钉，因此被网军盯上也不是什么稀奇的事。早期针对藏人流亡社群的攻击，大部分是用 email 社交攻击手法，像是假冒相关领域研究者，企图欺骗收件者打开邮件含有恶意程式 Gh0st Rat 的附件。如果打开恶意程式电脑就会被感染，导致该台电脑被远方骇客控制，可以浏览被骇者的电脑档案，以及往来 email，帮助骇客取得更多人际网络资讯，有助于下次社交攻击时有更可靠的资讯。攻击者不只锁定高度政经价格的目标，如流亡藏人领袖达赖喇嘛，几乎所有流亡藏人都可能是骇客攻击的对象。
▲ 被 Gh0st Rat 侵入的电脑，可说门户洞开，攻击者可浏览往来邮件、电脑档案。
尽管藏人社群最初面对一看就知道是假冒者寄来的电子邮件，后来攻击方持续进步，像是用看起来可信的身份，如援助组织或学者。当攻击者意识到藏人社群已出现呼吁不要随意打开邮件附件的资安宣传时，他们与时俱进，进而用钓鱼网页，像是放恶意程式连结在 Google Drive，或伪装成 Google 登入页面，企图骗取藏人个资。
▲ 藏人社群开始制作资安传单，上面写着“放下执念，不要打开附件”口号。攻击者察觉后，调整攻击手法，改成假冒常见的网络服务。
Citizen Lab 研究者举了一个比较特别的例子，说明攻击方如何处心积虑花时间改变攻击手法。攻击者假冒 Cheng Li 身份，向藏人社群寄送含恶意程式的附件。Citizen Lab 的人故意玩弄骇客，回信说他打连结，下载的档案在 Mac 下面无法开启。过了一周骇客回信，信中含有恶意程式连结──骇客花了一周打造可感染 Mac 的恶意程式。
▲ 几年以来攻击者改变作法，使用钓鱼网页替代含有恶意程式的附件，侵入藏人电脑。
除了西藏之外，其他国家也被攻击，总计 1,295 台电脑被入侵。这些攻击被发现远自中国大使馆或经贸办事处，而怀疑是来自中国的网军，但无法证实与中国官方的关系。但是与中国官方敌对国家的组织，如台湾外交部，以及半官方属性的资策会，都曾是骇客入侵的对象，来源最终都可追到中国。
Citizen Lab 指出，由于整个藏人社群都被针对，因此资安防护不是只有几位大人物的事情，而是每位成员，甚至海外藏人都必须严格遵循。藏人社群制作宣传品，甚至拍摄影片，要唤起每位藏人的资安意识。
Skype 本地化营运，需配合中国政府监控机制
随着中国即时通讯软件越来越普及，流亡藏人为了与仍在西藏的亲友联系，不得不使用如微信等软件跟中国境内亲友联系。同样的情况也出现在出国念书或是移民的中国人身上。但是这些通讯软件，不论中国厂商产品，还是国外产品，要在中国境内活动，必须配合中国政策，其中包括言论审查。
其中常拿来做语音通话的 Skype，在中国由中国公司 TOM 在线营运，名叫 Tom Skype。Citizen Lab 试验，用中国版 Skype 和一般正常 Skype 比较流量差界，比对出有那些资讯被屏障。F**K 如预期被挡，而有加密讯息从被实验的电脑以加密讯息方式，连到位于中国的服务器。
▲ Citizen Lab 统计 Skype 的禁语清单，发现台湾独立排名第五。
Citizen Lab 追踪 Skype 传送的禁语资料，在本地端电脑追到一个资料夹，整个资料夹被加密了，但很幸运在资料夹旁边看到金钥，因此直接解密资料。Citizen Lab 取得达 120 万笔交谈纪录，统计对话中被中国政屏障的辞汇，不意外以政治性辞汇为主，有共产主义、共产党、法轮功，以及统计当下的国家主席胡锦涛，还有台湾独立在名单上排名第五。
与藏人相关的辞汇方面，只要发生自焚事件，不出一周，相关字就会跑到禁语清单上面。
Skype 易手微软后，中国的合作厂商从 Tom 变成 GMW，对话的监控与审查方式大不相同，Citizen Lab 无法用相同方法研究可能的监控与审查方法。
微信用户即便换非中国号码，仍然受到中国政府监控
微信由于是中国厂商产品，必须完全配合中国政策才能营运。而微信很早就必须用电话号码等能对应真实身份的资讯注册微信账号，甚至 2012 年时连外国电话号码注册的账号也被审查，但微信否认。
相对以前的中国网络审查还会出现讯息，告知讯息无法传送，现在微信挡讯息，已经不会出现阻挡讯息的提醒，因此对方不会发现被阻挡讯息的状况。要验证网络言论审查，必须询问对方是否收到讯息。恐怖的是，即便已换成中国以外的电话号码，像是移民，只要账号最初是用中国号码，该账号仍会一直被审查。
中国人骄傲的国格，是微信扩充到海外的绊脚石。微信曾在美国马丁·路德·金纪念日期间办活动，只要打 Civil Rights，就会出现美国国旗。这样却造成中国微信使用者不满，最后微信只得道歉。
微信的群聊功能，也会针对关键字，让中国用户无法收到。跟藏人有关的关键字如雪山狮子旗就被挡。不论字体、语言，如繁体中文、简体中文、英文都会被微信的关键字过滤系统屏障。
业者进入中国需透明化处事，争取使用者信任
脸书相当热中进入中国，令人担心如果有一天脸书在中国营运，会不会影响到使用脸书的中国异议人士，除了言论审查，甚至还有人身安全问题。 Nishihata 觉得业者必须将妥协的事对用户透明化，这样才能争取使用者的信任。
藏人是相当特殊的群体，面临的网络攻击值得大家借镜。台湾不少人因与中国人打交道，必须使用中国网络服务。如果需要使用，必须知道可能面临的问题及风险。
（首图来源：科技新报）
