【18】資安的原罪 ch.3-2.e 供應鏈攻擊

本章見證來自於信任對象造成的攻擊。

什麼是供應鏈攻擊

供應鏈攻擊（supply-chain attack）是指攻擊者針對許多組織依賴的軟體、硬體或服務提供商，而非直接攻擊最終目標。透過入侵受信任的供應商（例如程式碼、函式庫、持續整合管線、更新伺服器、韌體、託管服務），攻擊者能將惡意程式碼或操控分散給眾多下游受害者，而這些受害者會默認信任這些元件。 ^6 ^7 ^9 ^8 ^10 ^12 ^15 ^11 ^14 ^1 ^4 ^2 ^3 ^5

為什麼供應鏈攻擊這麼強大

• 它們濫用信任：組織往往會默認信任供應商、函式庫或更新。
• 它們具有擴散性：一次攻擊就可能波及成千上萬的受害者（影響範圍廣）。
• 它們能繞過邊界防禦：惡意程式碼可能是已簽署的，或來自受信任的主機。
• 它們難以偵測：惡意軟體看起來就像合法的更新或來自供應商的元件。

常見攻擊向類

軟體與建置（Software & Build）

範圍：原始碼倉庫、CI/CD 流水線、建置伺服器、發行/簽章流程與自動更新機制。
典型攻擊：盜用流水線帳號或竄改建置腳本，在編譯/打包階段注入後門或替換發布檔，或入侵更新伺服器推送惡意更新。
影響：被視為「可信來源」的發行物將散布惡意程式，影響範圍廣、追蹤困難。

套件／第三方函式庫與內容（Third‑Party Packages & Content）

範圍：開源套件註冊庫、第三方 JavaScript、廣告、分析、widgets、依賴鏈。
典型攻擊：typosquatting、惡意上傳、熱門套件被植入後門、外部腳本被劫持。
影響：大量使用相同套件或第三方內容的應用同時受害，直接影響終端使用者。

服務與雲端（Service & Cloud / MSP）

範圍：IaaS/PaaS/SaaS、託管服務、容器/映像註冊庫、供應商帳號。
典型攻擊：雲端帳號被入侵、MSP 權限濫用、API 被操控。
影響：可橫向移動到多個客戶環境，造成資料外洩或服務破壞，責任邊界複雜。

硬體與韌體（Hardware & Firmware）

範圍：零組件、晶片、製造/組裝流程與韌體。
典型攻擊：替換晶片、出廠韌體被修改或植入惡意元件。
影響：設備出廠即後門化、難以由軟體層完全偵測與修復的惡意程式。

傳輸與中介設備（Network & Delivery）

範圍：ISP、路由商、快取代理、中介設備。
典型攻擊：在傳輸過程中注入或修改內容（內容注入、攔截、修改）。
影響：即使來源可信，傳輸途徑也能破壞完整性與隱私。

橫切風險：供應商內部人員（Insider Risk）

說明：供應商內部人員的惡意或被脅迫行為會影響上述任何一類（例如開發者在 CI 加入後門、製造廠員工替換晶片、MSP 管理員濫用權限）。每一類都應專門列出內部威脅情境與控制措施。

什麼是「信任關係」？

信任關係（Trusted Relationship）指的是兩個或多個實體（如組織、系統或個人）之間建立的安全且彼此信任的連結或關聯。這種信任通常允許：

• 系統或資料的存取權限
• 資訊共享
• 協作時無需重複驗證

舉例來說，商業夥伴、供應商、承包商或子公司等，都可能擁有授權進入你的網路、資料或基礎設施的權限。

為什麼信任關係在資安中很重要？

因為信任，組織通常會賦予信任夥伴更高的權限或更簡便的存取方式以促進運作。這代表：

• 在信任方之間的安全檢查較不嚴格。
• 共享憑證、API 或網路連接。
• 可能存取敏感系統或資料。

什麼是內容注入

內容注入（Content Injection）是指在使用者接收的數據流中，未經授權地更改或添加內容。簡單來說，當你請求某些內容（例如網頁、影片或檔案）時，回傳給你的數據可能會被第三方篡改，加入額外、修改過或惡意的信息。

內容注入是如何運作的

• 當你訪問一個網站時，裝置會向伺服器發送請求，伺服器再將請求的內容通過網路回傳給你。
• 在數據傳輸的過程中（經過路由器、ISP、代理伺服器等），這些資料可能被攔截。
• 惡意人士或被入侵的節點可以在資料抵達你的裝置之前，注入額外內容或修改原有內容。

來自被入侵的 ISP 的內容注入

ISP 是提供你網路連線的公司。由於你的所有網路流量都會經過他們的伺服器與基礎設施，如果 ISP 被入侵（遭駭客攻擊或被強迫合作），攻擊者就能在你收到的網頁或檔案中插入惡意腳本、廣告、追蹤器，甚至是惡意軟體。

小結

原罪

1. 獨立包辦的極限

除非一人包辦所有軟體設計、晶片設計、硬體製造、服務業者與承包商等多個角色與節點，否則永遠無法完全信任。然而這在實務上不可能，也與分工合作的精神相互牴觸。

2. 群體承擔的責任

即使個人在自己範圍內做到最好，像是只瀏覽正規網站；或只使用正規軟體，只要整個供應鏈上有任何一地方遭到突破，那個人的努力也將付諸流水。

3. 專精不同的窘境

整個涉及資安環節相關的的人員，很多並不會具有相關資安的知識。要求他們在處理本職工作內容之餘，還要肩負起維護資安的責任，過於強人所難。

4. 零信任的代價

大型企業或機構每會有頻繁的合作夥伴、客戶、子公司甚至政府監管機構的系統連接，每次都進行完整訓練、檢查、驗證等，將是大量金錢與時間的付出。