jimmy 的部落格

網絡行動科技提供線上的軟體即服務（SaaS）將近十年，從系統伺服器建構，網站架設，到防火牆資訊安全管理等等，都是我們建立安全服務的核心。

因應日漸嚴重的資安議題，也發現坊間許多 NPO 的網站不甚安全，今年（2023）開始，網絡行動科技的 5 位技術同仁決定提供一個志願服務NPO的計畫：NPO網站資訊安全健康檢查。

一般來說，資安工作是專業且領域很廣闊的，坊間有各種專業的公司提供各式服務，這些工作非常重要，也值得想要採取進一步資安建設的單位採購、採用這些服務。

然而，以多年提供資訊服務的經驗，NPO 要挑選合適的資安產品通常面臨一些門檻如：組織對於自身資訊安全需求了解不足、組織對採購哪方面的資安服務才有效果沒有足夠基礎知識、組織對於做好資安的想像大多覺得遙不可及。

作為專門服務NPO的公司，除了以我們自己的專業來協力非營利組織改變世界，我們也持續關注與實踐綠色供應鏈，盤點我們的採購與服務流程，而最近調查了公司使用的服務，很榮幸要跟大家分享的是，我們現有的網站與系統服務已經達到了94%的再生能源使用率，而新的網站與系統服務已全面採用再生能源服務，因此這個數字還在增加中。這讓我了解到，其實公司是有機會達成全面使用再生能源目標。

我們的公司雖小，但也需要像其他企業一樣，將一個目標訂出，我們預計在 2024 年底，讓所有的線上服務機房100%使用再生能源。立定這樣目標表示未來我們每使用一個雲端服務，都要妥善調查服務提供者的再生能源計劃，並確保他們具有足夠再生能源規劃、淨零排碳計畫以符合公司的目標，而現在我們正以穩定的步伐往這方向邁進。

我們使用的雲端服務現況

網站安全性，其中一個是擁有安全的備份檔案，尤其是資料庫的費份，包含了帳號、密碼雜湊、使用者個資等，更應該注重安全性。該備份不應明碼儲存，更不應放在同一臺主機上的 web 權限可以取得之處，以免網站被攻破時，連帶將你的備份帶走保存；甚至刪除你的原始備份，這樣就完全沒有備份的效果了。

因此，實現備份時，種種顧慮下，第一步一定是將備份的檔案正確的加密，我們建議使用非對稱金鑰來實現這樣的工作，因為非對稱金鑰可以讓系統自動備份時，使用可以公開的公鑰進行檔案加密，就算被竊取走，也不用擔心備份的檔案被解密。需要解密時，使用僅存於少數人中的私鑰解密，讓加密備份安全無虞。

1. 產生非對稱金鑰

使用 Linux 環境，可以使用 OpenSSL 來達成此工作。先使用以下指令產生非對稱金鑰：

openssl req -x509 -nodes -newkey rsa:2048 -keyout private.key -out public.key

該金鑰如前述，public.key 要儲存於伺服器中， private.key 則是存在真正有權限的使用者安全處。

寫在前面：追蹤廣告成效，真的一定要像Facebook所述都是 Apple 的問題、這麼麻煩嗎？

事實上，netiCRM.tw原本就有內建追蹤功能，想要追蹤廣告成效，根本不用取得消費者個資，不用通過網域驗證，不需要捲入兩大企業的爭執。

Facebook將之塑造成沒有個資，不使用企業管理平台就無法有效投放廣告，就沒辦法追蹤成效，其實這完全是兩回事。至於為何Facebook要這樣做，這只能問問他們了。

netiCRM的內建追蹤展示

＊ ＊ ＊

去年、今年鬧的沸沸揚揚的Facebook槓上Apple，近來也影響到我們了。

我們常常看到加密連線的網站中（https://** ...  ），嵌入未加密的圖片，瀏覽器就會把原本綠色的「安全」取消，變成不顯示，甚至變成「不安全」的紅色警示。我想不安全的紅色警示很明顯，當然就表示不安全。但今天想聊聊，如果沒有標示不安全、卻也沒標示安全的時候的網站，究竟網站哪裡有問題呢？嚴重嗎？