网络安全与私隐
基础网络威胁包括病毒、木马、勒索软件等恶意软件与网络钓鱼；防护靠防毒软件、防火墙、加密、强密码与双重验证；香港《个人资料（私隐）条例》订明保障资料原则，规管个人资料的收集与使用。
- 恶意软件家族按传播与伪装方式分辨：病毒依附档案、蠕虫自播、木马伪装、间谍软件偷资料、勒索软件锁档勒索。
- 网络钓鱼攻击人心：细看域名、警惕恐慌措辞、谨记机构不会索取密码与验证码。
- 防毒管内部侦测，防火墙管出入口；更新修补漏洞，离线备份是最后保险。
文体小知识：科技知识说明文——分析恶意软件与网络钓鱼等常见威胁，讲解加密、强密码与双重验证等防护措施，并说明香港个人资料私隐的保障原则。
§课文原文 Passage
1上网的每一步都伴随风险。恶意软件是专为破坏或窃取而设的程式：电脑病毒附于档案，开启受感染档案便传播；蠕虫无须依附档案，自行在网络上复制蔓延；木马程式伪装成有用软件，骗取安装后开后门；间谍软件偷偷收集用户行为与资料；勒索软件把档案加密锁起，勒索金钱换取解锁。
2网络钓鱼是社交工程攻击的典型：攻击者伪冒银行、学校或政府机构发出电邮或短讯，诱骗收件人点击连结，进入以假乱真的网站输入密码与信用卡资料。识别钓鱼讯息要看三处：连结网址与官方域名是否相符、讯息是否制造紧急恐慌、有否要求提供密码或一次性验证码。
3防护措施分多层。防毒软件侦测并清除恶意软件，须定期更新病毒定义；防火墙监察进出网络的流量，按规则阻挡可疑连线；作业系统与应用程式须及时更新，修补保安漏洞；重要档案定期备份至离线位置，即使遭勒索软件破坏也能复原。
4加密把明文变成只有持密码匙者能读的密文，是保护资料机密性的核心技术：网页传输采用 HTTPS，磁碟与备份也可加密。验证则确认用户身分：密码是最常用的验证方法，强密码应该够长、混合大小写字母、数字与符号、不含个人资料，且不同帐户不用同一密码；双重验证在密码之外加一层一次性验证码，大幅降低密码外泄的风险。
5个人资料私隐受香港法例保障。《个人资料（私隐）条例》订明六项保障资料原则，大致要求：收集须有合法目的且以合法公平方式进行，不多收不必要的资料；资料须准确，达到目的后不应无限期保存；使用不得超出原来目的；须采取切实可行的保安措施；政策须公开透明；当事人有权查阅及要求改正自己的资料。
1重点摘要 Summary
网络威胁包括病毒、木马、勒索软件等恶意软件与网络钓鱼；防护靠防毒软件、防火墙、加密、强密码与双重验证；香港《个人资料（私隐）条例》订明保障资料原则，规管个人资料的收集与使用。
2生字卡 Vocabulary
专为破坏系统、盗取资料或谋利而设计的软件总称，包括病毒、蠕虫、木马等。
依附于档案、待受感染档案被开启时传播并破坏的恶意程式。
以伪冒讯息诱骗用户进入假网站，骗取密码、信用卡号码等敏感资料的攻击。
监察进出网络的流量并按规则阻挡可疑连线的保安设备或软件。
侦测、阻挡并清除恶意软件的工具，须定期更新病毒定义才能对付新威胁。
把明文转成只有持正确密码匙者能解读的密文，保障资料的机密性。
长度充足、混合大小写字母、数字与符号、不含个人资料且不跨帐户重用的密码。
登入时除密码外再要求另一种凭证（如一次性验证码），密码外泄也不易被盗用。
可直接或间接识别在世人士身分的资料，例如姓名、电话、地址与身分证号码。
香港《个人资料（私隐）条例》订明的六项原则，规管个人资料的收集、保存、使用、保安、透明度与查阅改正。
3逐步讲解 Steps
- 第一步：认识恶意软件家族恶意软件是各类破坏性程式的总称，答题要能逐类分辨。电脑病毒依附在其他档案之上，用户开启受感染档案才发作并继续传播；蠕虫不须依附档案，能自行透过网络复制蔓延，消耗资源；木马程式把自己伪装成有用软件，诱骗安装后在系统开后门；间谍软件悄悄记录用户行为并送出；勒索软件把受害者的档案加密，勒索金钱换取解锁。举个例子：同一封信可以是病毒（要开附件才中招）、蠕虫（自己爬进网络）或木马（装成礼物），分辨关键在于传播与伪装方式。
- 第二步：网络钓鱼与社交工程网络钓鱼不攻击机器，而是攻击人心：攻击者伪冒银行、学校或公共机构，发出声称帐户将被冻结、中奖待领等电邮或短讯，诱使用户点击连结，进入外观与真站无异的假网站输入密码与信用卡资料。识别要点有三：细看连结网址是否与官方域名相符，假冒网站常在域名上动手脚；警惕制造紧急与恐慌的措辞；正规机构不会经讯息索取密码或一次性验证码。举个例子：收到银行短讯附连结要求核对资料，应自行输入官方网址登入核实，而非点击讯息内的连结。
- 第三步：防毒软件与防火墙的分工两者都是基本防护，但职责不同。防毒软件驻守装置之内，扫描档案与程式，侦测已知的恶意软件并清除，病毒定义必须定期更新，否则新型恶意软件无法辨认；防火墙驻守网络出入口，按规则审查进出流量，阻挡可疑连线与埠，把未经授权的存取拒诸门外。举个例子：防火墙如大厦闸机，按名单放行阻挡；防毒软件如屋内保安，巡视已进入者是否可疑——两层并用，内外兼顾，缺一都会留下空隙。
- 第四步：更新与备份的底线作用作业系统与应用程式的更新常包含保安修补：软件漏洞被公开后，攻击者会抢先利用，及时更新等于把大门的锁换新；拖延更新，装置便长期暴露在已知漏洞之下。备份则是最低限度的保险：把重要档案定期复制到外置硬碟或离线位置，即使遭勒索软件加密、硬碟损坏或误删，也能从备份复原，不必交付赎金。举个例子：机构的伺服器即使被勒索软件锁死，只要昨夜备份仍在离线硬碟，今天便可重建系统，损失仅一天资料。
- 第五步：加密与强密码加密把明文变成密文，没有正确密码匙便读不出内容，是机密性的最后防线：网上传输采用 HTTPS 加密，手机与电脑的磁碟也可整体加密，遗失装置亦不至于泄露资料。密码是最常用的验证手段，强密码三原则：够长，一般建议至少十二个字符；混合大写、小写、数字与符号；不使用姓名、生日、电话等个人资料，并且不同帐户使用不同密码，避免一处外泄、全线失守。举个例子：把一句只有自己知道的口诀混合数字符号改写成密码，既长又杂，也较易记住。
- 第六步：双重验证与帐户保安双重验证在密码之外增加第二种凭证，常见形式包括：短讯或应用程式发出的一次性验证码、验证器应用定时产生的动态码、指纹或面貌等生物特征。登入时两者齐备才可通过，攻击者即使盗得密码，没有第二重凭证仍无法进入。使用时也要注意：验证码等同密码，任何索取验证码的讯息都是危险讯号；开启双重验证后应妥善保存后备验证方法。举个例子：社交帐户开启双重验证后，即使密码在别处外泄，盗用者登入时仍需手机上的动态码，帐户得以保住。
- 第七步：个人资料私隐与保障资料原则个人资料指可识别在世人士身分的资料，香港以《个人资料（私隐）条例》规管其收集与使用，核心是六项保障资料原则：收集须有合法直接关连的目的，并以合法公平方式进行，不多收不必要资料；资料须准确，目的达成后不应超期保存；使用不得超出原来目的，除非得到同意；须采取切实可行的保安措施；私隐政策须公开透明；当事人有权查阅及要求改正。举个例子：参加抽奖被要求填出身分证号码与全部联络方式，便应追问收集目的，这正是原则中「不超乎适度」的要求；日常亦宜定期检视应用程式的权限，不随意授出通讯录与位置。
5例题示范 Example
情境题：某中五学生的社交媒体帐户被人入侵，其密码是自己的出生日期，而且在社交媒体、电邮与网上游戏三个帐户重用同一密码。试分析帐户被入侵的可能原因，并为该学生设计一套包括强密码与双重验证的保安方案。
- 找出弱点：出生日期可从社交媒体贴文与个人资料推算，属易猜密码；三个帐户重用同一密码，一处外泄便全线失守。
- 订立强密码准则：长度至少十二个字符，混合大小写字母、数字与符号，不含姓名、生日等个人资料；三个帐户分别使用不同密码。
- 启用双重验证：在三个帐户开启双重验证，登入时除密码外须输入验证器应用产生的一次性动态码，密码即使外泄亦难以登入。
- 配合日常习惯：不点击可疑讯息内的连结，不向任何人透露验证码；定期更新装置系统，并为重要资料定期离线备份。
- 答案：被入侵的原因是密码易被推算且跨帐户重用。保安方案：为每个帐户设定长度至少十二、混合大小写字母、数字与符号且不含个人资料的不同密码；在所有帐户开启以验证器动态码为第二重凭证的双重验证；日常不点击可疑连结、不透露验证码、保持系统更新并定期离线备份。多层防护互相补足，即可大幅降低再被入侵的风险。
6常见错误 Mistakes
75 题快测 Quick check
Q1以下行为哪一项最可能是网络钓鱼：要求点击连结核对银行资料的短讯，还是银行官方应用程式内的月结通知？
Q2勒索软件的典型行为是甚么？
Q3双重验证如何降低密码外泄造成的损害？
Q4保障资料原则中，「使用不得超出原来目的」指甚么？
Q5下列哪一个属于强密码：小明2020 还是 kR7!vP2qXm94？
8重点回顾 Recap
- 恶意软件家族按传播与伪装方式分辨：病毒依附档案、蠕虫自播、木马伪装、间谍软件偷资料、勒索软件锁档勒索。
- 网络钓鱼攻击人心：细看域名、警惕恐慌措辞、谨记机构不会索取密码与验证码。
- 防毒管内部侦测，防火墙管出入口；更新修补漏洞，离线备份是最后保险。
- 加密保机密，强密码够长、够混合、不重用；双重验证令密码外泄也难被尽用。
- 《个人资料（私隐）条例》六项保障资料原则：合法公平收集、准确适度保存、限定目的使用、切实保安、公开透明、查阅改正。