「佔中公投」個私被盜用 港大民研難辭其咎

較早前，一篇名為「Cloud Flare防護下嘅破綻：尋找真實IP嘅幾條途徑」嘅文章，以圖文並茂方式「教授 」讀者如何入侵在「佔中公投」駭客攻防戰中擔任“保衛戰士”嘅美國CloudFlare公司。近日，香港商人施育瑧向「香港成報」投訴，並到灣仔警署報案，報稱發現其身份證號碼和手提電話被人盜用來參加「佔中公投」，不滿個人資料被人盜用為「佔中」造勢，踢爆由「佔領中環」發起「佔中公投」中，存在身份證及手機號碼被洩露嘅重大漏洞，摧毀了CloudFlare公司「雲安全」神話。何以世界主流嘅雲安全公司提供防護會如此弱不禁風？還是背後隱藏巨大陰謀？

CloudFlare建立嘅初衷即與美國情報機構密切合作。早在2003年，CloudFlare公司創始人馬修•普林斯「Matthew Prince」與合夥人李•霍洛維「Lee Holloway」在芝加哥大學《法學院學報》上介紹一個主要用於追蹤網路欺詐和網路侵害「蜜罐開源專案」。該專案允許任何人在他們嘅網站中安插一段CloudFlare代碼來追蹤駭客和垃圾郵件發送者。起先馬修•普林斯並沒有考慮太多，僅僅把該項目作為一項業餘愛好來運營。 2005年維也納嘅一次會議上，馬修•普林斯開始吹噓他“與政府情報和執法部門之間嘅大量合作”。2008年，美國國土安全部專門至電馬修•普林斯，欽佩其蜜罐技術擁有寶貴資料，拿著支票本要求馬修•普林斯對合作保持沉默，這既是CloudFlare成立嘅初衷。

    CloudFlare嘅加密技術存在嚴重缺陷。在「佔中公投」中，港大民研總監鍾庭耀對外發佈「個人資料收集聲明」所有收集嘅個人資料只用作是次活動嘅身分驗証、防止重複投票。使用CloudFlare公司雲安全防護，將所有以電子方式收集嘅個人資料會於傳送時使用SSL進行加密，並會以不能還原嘅散列代碼形式記錄於伺服器，以確保有關資料實際上無法被人破解和還原。

    英國致力於互聯網線上安全方面Netcraft公司披露「使用CloudFlare嘅SSL嘅網路釣魚者」嘅報告顯示，針對CloudFlare所提供SSL及類似安全服務，CloudFlare所有證書都有一個共同嘅名字和相同格式例如"ssl2796.CloudFlare.com"，它們都是由一家名為GlobalSign「成立於1996 年，是一家牛X嘅 CA 中心和 SSL 數位證書提供商」嘅數位證書提供商所頒發嘅。證書名稱中嘅“ssl2796”是CloudFlare所使用嘅一個追蹤ID；在目前能找到嘅CloudFlare使用證書嘅36677個功能變數名稱中，追蹤ID嘅範圍在2002到7584之間。這些CloudFlare嘅證書只加密流覽器和CloudFlare之間嘅流量，除非Web伺服器所有者擁有自己嘅證書安裝在他嘅機器上，否則，真實嘅Web伺服器和CloudFlare之間嘅流量仍然是未加密嘅。幾乎所有通過CloudFlare訪問https功能變數名稱嘅人都不知道實際上僅有一半嘅路線是加密嘅。如果看到自己螢幕上嘅掛鎖「ssl圖示」時，你覺得一切都是安全嘅。這就是為什麼網路釣魚者喜歡CloudFlare嘅SSL。眾多隱藏在CloudFlare背後，登記成隱私服務嘅功能變數名稱很容易被網路犯罪者所利用。

港大民研与CloudFlare合作涉嫌窃取香港市民个人隐私  

    較早前，斯諾登亦踢爆美國對香港實施網路監聽醜聞，德國企業開始禁用美國雲計算服務，俄羅斯亦封殺CloudFlare公司。新聞媒體亦報導CloudFlare公司與美國中央情報局有業務關係，是中情局嘅網路服務供應商之一，曾幫助其防禦駭客入侵，但同時又替不少駭客組織、甚至伊斯蘭武裝組織提供網路保護服務，背景相當耐人尋味。

    在「佔中公投」在正式開始投票前幾日，港大民研自爆遭駭客攻擊網站，港大民研戴耀廷曾親口承認收到約10宗身份證疑被盜用嘅個案情況下，在「佔中公投」系統無法得到安全保障嘅情況下，公然選擇美國中情局背景嘅CloudFlare公司為「佔中公投」系統護航，出賣幾十萬香港人嘅人人私隱資料，港大民研与CloudFlare难辞其咎。香港市民不要被人賣了還幫人數錢。

    據美國網路安全機構披露，CloudFlare公司網路安全服務是網上盜取信用卡集團最愛。CloudFlare公司從不關心法律，並為盜卡集團提供功能變數名稱是隱藏服務，應該為2013年底總計被盜4000萬張信用卡資訊承擔責任。網上盜卡集團頭目「Rescator」曾炫耀，通過使用CloudFlare公司雲安全服務，僅2013年12月，該集團成員「珍珠港」、「海狸籠子」、「沙漠打擊」等成功盜取282,000張信用卡資訊，這些卡嘅資訊均來源於2,600家全美嘅莎莉美容連鎖店。

個人資料隱私嘅保護屬於經濟發達嘅地區或國家嘅基本人權之一。一個人嘅身份資訊被竊取，被冒用，就可能出現個人資訊嘅多次「失竊」，帶來各方面嘅損失。如果洩露出去，有人會冒名致電某些機構如銀行，要求把信用卡月結單寄送到新嘅位址，從此，記錄你消費情況嘅月結單可能會寄送到別人手上；再有，他人知道了你嘅信用卡卡號和密碼，並用作消費等等，應呼香港個人資料私隱專員公署及香港警方，公开调查港大民研與CloudFlare有否觸犯「香港法例」，涉嫌竊取香港市民個人隱私，维护「香港法例」第486章個人資料（私隱）條例赋予香港市民基本人權。