ATL 是 Active Template Library 的縮寫；是軟體開發人員用來為 Windows 平台建立控制項或元件的常用開發工具。ATL 是一個以C++ 類別的樣本，由　Microsoft 為了簡化Component Object Model (COM) 的程式設計所散佈。COM 允許開發者創造各種各樣的元件，包含ActiveX 控制器、雙重介面、連接點及標準COM 計數介面等。

作者：Leo Yeh

每個人都很討厭收到垃圾郵件 (Spam)，所以選擇一個有良好過濾垃圾郵件 (Spam) 機制的電子郵件信箱，是非常重要的。而 Hotmail 除了提供良好過濾機制減少垃圾郵件出現在收件匣的數量，更重要的是越來越為客戶著想，如警政署與台灣微軟首次合作「緊急封鎖被盜用帳號」機制，讓台灣使用者用 Hotmail 時更安心。但您可能不知道有時候朋友寄的也會是垃圾郵件 (Spam)，其中的原因可能就是朋友的帳號被利用或電腦中毒了，此時該怎麼辦呢？以及您應該更想知道 Hotmail 有提供哪些安全的操作和防毒的機制，讓您更放心的使用吧！這期資安小常識將會告訴您確保電子郵件安全的六大心法，讓您使用電子郵件更安心。 

一、通知我朋友的電腦已被入侵

事實上微軟最近更新 Hotmail 新增「友人遭駭」通報機制，當您發現朋友發送奇怪的信件時，可能帳號早已被盜或被感染，可能被當成跳板大量的轉發垃圾信件 (Spam) 。而身為好朋友的您，此時就可以勾選該信件，並且選擇「標記為」中的「我朋友的電腦已被入侵」幫助他，通知他帳號早已被盜或被已經遭受病毒的感染，當然您的舉手之勞，能夠防止您的朋友不再繼續發送垃圾郵件  (Spam) 危害其它朋友。

雖然 Hotmail 有提供「我朋友的電腦已被入侵」和「網路詐騙」的功能，但您可能更想知道的是目前 Hotmail 對於垃圾郵件 (Spam)  的過濾的成效，根據這篇文章 90% less spam in Hotmail, 15% less spam on the Internet (英文) ，所提供的數據圖，讓您可以更清楚的了解，當微軟早在2006年就能有效的阻擋垃圾郵件 (Spam) 之外，也幫助全世界降低垃圾郵件  (Spam)  的數量，而目前 Hotmail 搭配的是 SmartScreen 安全機制的垃圾信件篩選功能。

圖片取自於 90% less spam in Hotmail, 15% less spam on the Internet

二、垃圾郵件過濾更安心

您可能認為垃圾郵件 (Spam) 的威脅很小，只不過很討厭或麻煩而已，但您可能不知道病毒也常常會透過垃圾郵件 (Spam) ，誘導使用者開啟郵件，此時電腦就會被中毒感染了，進一步您可能就會成為疆屍網路 (BotNet) 的一份子，建議您可以參考 How Bot-Herders Spam the World  (英文) 這部短短一分鐘的動畫影片，可以幫助您更快速的了解有效過濾垃圾郵件 (Spam) ，將能夠降低成為疆屍網路 (BotNet)的風險。

圖片取自於 How Bot-Herders Spam the World

三、線上聊天之防駭心法

當然透過 Hotmail 收信的同時，不僅能處理 E-mail ，還可以進行 MSN Messenger 和 Facebook Chat 的線上聊天，談到 MSN Messenger 您一定要知道三不一問，防駭心法，透過四小折和米滷蛋的漫畫，微軟讓資訊安全更有趣，讓您體會資訊安全的防駭不可怕，但人人都是主角，至於要如何有效的預防被駭，建議可以再參考之前的資安小常識「了解即時通訊上可能會遭遇到的攻擊行為」。

此外使用 Hotmail 進行 Facebook Chat 的社群聊天，微軟更提出幾點安全提示 (英文) 將能有效的幫助您更放心的使用：

1. 在聊天時請不要傳送密碼、金錢相關的資訊或其他敏感且機密資訊。
2. 在聊天時請小心不要點擊超連結，特別是如果你與陌生人聊天時。
3. 如果你允許你的孩子進行線上聊天或者使用社交網站，以確保它們符合最低年齡規定，一般來說是 13 歲以下不能使用。

遵守以上的安全提示，您將能更安心的進行社群聊天。

四、安全傳輸更放心

雖然 Hotmail 的功能變多了，但要如何確保傳輸是安全的呢？基本上是夠安全的，可是您不放心的話，可以透過 HTTPS 安全協定開啟 Hotmail 進行使用，至於什麼是 HTTPS 安全協定，若以密碼學的角度來看，可以將安全威脅類別一般可分為四類中斷 (Interruption) 、截取 (Interception) 、更改 (modification) 和仿造 (fabrication) ，透過 HTTP 搭配 SSL / TLS 傳輸安全，即可避免截取監聽和更改中間人攻擊等手段，操作如下：

在網址列輸入 https://www.hotmail.com
接著按下「一律使用 HTTPS 設定 (建議)」的按扭。

輸入密碼後，按下「登入」按鈕進行 Hotmail 以安全的方式進行登入。

 

當使用 HTTPS 連線時，您還可以點選網址列旁的圖示鎖
您就可以更清楚的知道這網站服務是否是被識別且被受信任
選擇「自動使用 HTTPS (請參閱上述注意事項)」，接著按下儲存
這樣一來，之後您不用特別輸入 HTTPS 就能夠以安全的方式使用 Hotmail。

但當您使用時，再按下網址列旁的圖示鎖，您可能會有疑惑，為何是藍色問號的圖示，而不是綠色勾勾的圖示，但不用擔心，只要簡單的步驟檢視憑證，即可使您得知是否要信任網站識別的憑證，操作步驟如下：

點選網址列旁的圖示鎖，再按下「檢視憑證」。


 


透過憑證的訊息對話框，您可以了解：
1. 憑證是發給 mail.live.com
2. 簽發者是 Microsoft Secure Server Authority
3. 有效日期是 2011 / 4 / 27 到 2013 / 4 / 26
4. 更詳細資訊，請切換至「詳細資料」和「憑證路徑」的項目檢視

五、安全登入多選擇

可是透過 HTTPS 加密傳輸密碼就真的很安全嗎？事實上公開金鑰的加密 (RSA) 已經夠安全了，但若您還是不放心的話， Hotmail 還有提供一次性的密碼保護，在不用輸入 Hotmail 密碼的情況下，進行登入，進行一次性代碼方式登入的步驟如下：
 

按下「取得一次性代碼進行登入」， 再按下「在此處取得」
一開始沒有人會知道一次性代碼，因為代碼是隨機產生的
所以您要取得一次性代碼，才能進行登入。

輸入您的 Windows Live ID ，以及 Windows Live ID 所設定的電話號碼
之後再按「傳送簡訊」的按鈕，若正確無誤，手機沒多久就會收到簡訊
簡訊中就會提到一次性的代碼。

 

沒多久您的手機就會收到 Windows Live 一次性代碼的簡訊。

 
輸入您的 Windows Live ID ，以及手機簡訊中的一次代碼
如果輸入正確即可進行 Hotmail 的登入。

可是您的手機可能會一直收不到簡訊，此時可能的原因有二個，第一個是您手機輸入錯誤，請重新輸入，記得手機號碼第一個 0 不用輸入以及選擇「台灣」，並且進行確認。第二個是您可能沒有設定 Windows Live ID 的行動電話，因此您只須要新增一筆行動電話號碼即可，操作步驟如下：

先以傳統帳號密碼的方式登入 Hotmail ，
再點選網頁右上角的姓名，接著按下「帳號」。
 

在密碼重設資訊下方的行動電話，按下「新增」。

 

輸入您的行動電話號碼之後，按下「新增」即可完成。

 

此時只需關閉此網頁，重新進行一次代碼的登入即可。

至於為何使用一次性代碼登入就會安全呢？簡單來說一次性代碼的除了是隨機產生，當要寄送簡訊時還必須符合 Windows Live ID 所設定的行動電話碼才會進行寄送，且最重要的是代碼只能用一次，下一次就不能使用，所以就算代碼被駭客中途欄截取得，駭客也無法再度使用該代碼進行登入了。

六、安全密碼更貼心

雖然您已經知道了 Hotmail 多元化的安全功能，安全的傳輸資訊和進行安全的登入機制，但是最後您的帳號還有一種可能會被盜，簡單來說，就是密碼被猜到了，而要如何有效的預防輕易被猜到呢？很簡單設定一個密碼安度強度達中或強的等級即可，而微軟 Hotmail 則提供更貼心的功能，在您輸入或更改密碼時就能得知密碼安度強度的等級，讓您更安心的使用密碼。

總結

微軟對於資訊安全的推廣不遺餘力，非常的積極，任何的軟體、服務和平台方面，皆整合微軟的使用和防毒機制達到多元化的防護，以 Hotmail 提供了上述所談到的至少包括六大心法保護使用郵件的安全：

1. 通知我朋友的電腦已被入侵
2. 垃圾郵件過濾更安心
3. 線上聊天之防駭心法
4. 安全傳輸更放心
5. 安全登入多選擇
6. 安全密碼更貼心

當然還有更多使用 Hotmail 的好處，但更重要的是微軟讓資訊安全融入人們的生活，不再只是資訊人才懂的常識，推廣至一般民眾了解資訊安全保護責任的重要性，更與政府合作讓台灣人民享受更優質的資訊安全網路生活。

參考文章

• 警政署與台灣微軟首次合作「緊急封鎖被盜用帳號」機制
• 了解即時通訊上可能會遭遇到的攻擊行為
• 三不一問，防駭心法
• 微軟最近更新 Hotmail 新增「友人遭駭」通報機制
• 90% less spam in Hotmail, 15% less spam on the Internet (英文)
• Safety tips for chatting with Facebook friends in Hotmail (英文)
• Hotmail: Three new security improvements (英文)

作者：Leo Yeh

Windows Phone 芒果機即將上市，新功能將與微軟的免費雲端網路硬碟 SkyDrive 更進一步整合 (英文)，除了透過拍照的功能可立即將相片上傳到微軟雲端網路硬碟 SkyDrive 進行相片分享 (英文影片) 之外，更能與 Office 2010 的檔案完美的結合，讓使用者能更方便的進行檔案分享 (英文影片)。不過越來越多的使用者也開始重視隱私的問題。

SkyDrive 不只是免費的雲端網路硬碟，也是 Windows Live 的服務之一，並整合至 Messenger 社交資訊，因此當您上傳相片或檔案分享至 SkyDrive 時，您的朋友會立即得知相關的相片或檔案，但是某些情況您可能會要進行一些隱私分享的設定：

1. 有趣的旅行回憶相片，可能只會想分享給好朋友們
2. 有些機密檔案只能分享給特定類別的使用者，防止機密資料外洩

作者：Leo Yeh 

最近在 Security Tips & Talk (英文) 部落格中，有篇非常實用的文章 Remove personal files from your PC (英文) ，主要是學習如何有效的清理電腦中個人檔案和隱私資料，接下來將會以圖文的方式，按照「清」、「搜」、「刪」這三大步驟，一步步的將電腦中個人檔案和隱私資料清乾淨，避免相關資料外洩。

步驟一：清理您的資源回收筒

一般來說，文件刪除會丟至資源回收筒，可是人們常常會忘記要清理資源回收筒，導致個人檔案和隱私資料會被有心人再次取得且加以應用。

操作如下：

在桌面上資源回收筒圖示，按右鍵選擇「清理資源回收筒」。

步驟二：搜尋包含敏感資訊或個人資訊的文件檔案

您是否有保留密碼的檔案呢？或有關財務紀錄呢？又或者有關個人身份證件的資料呢？請您確認刪除後，再一次清理資源回收筒。可是要如何找出有包含相關資訊的文件檔案再進行刪除呢？

操作如下：

按下開始鈕在搜尋框中輸入敏感資訊或個人資訊的關鍵字（例如：密碼、身份證、薪資、機密…等），就能立即搜尋到相關資訊的文件，接著再將文件檔案進行刪除即可。

步驟三：刪除瀏覽器中的暫存 Cookie 和歷史記錄

基本上，每次您在登入網站時，皆會問是否要記住您的密碼，且通常我們都會打勾，但也因此密碼就會暫存至 Cookie 中，以及日常生在瀏覽網頁時皆會留下歷史的記錄，這些資訊通常會和敏感資訊以及個人資訊有關，因此要記得要透過瀏覽器刪除暫存 Cookie 和歷史記錄，最後再清空資源回收筒的所有資料！

操作如下：

開啟 Internet Explorer 9 瀏覽器，選擇右上角最右邊的工具的圖示，再選擇「網際網路選項」，接著按下瀏覽歷程記錄中的「刪除」鈕。

最後將所有項目勾選後，按下「刪除」鈕，即可進行刪除瀏覽器中的暫存 Cookie 和瀏覽網站的歷史記錄。

透過以上簡單的清理、搜尋和刪除三大步驟，基本上就能確保個人檔案和隱私資料不外洩，讓您更安心的使用電腦。

延伸閱讀：

• 如何在 Internet Explorer 9 中刪除瀏覽歷程記錄
• 保護和清除您的個人檔案 (英文)

作者：Leo Yeh

微軟高可信度電腦運算在最近發佈了Microsoft 資訊安全情報報告 第11版 （英文），以及根據微軟隱私和安全的部落格文章Microsoft SIR 11認為社交工程是惡意軟體攻擊的主要原因 (英文)中談到 2011 年上半年檢測到的惡意程式攻擊手法，社交工程 (Social Engineering)  攻擊手法佔總比例的一半，除此之外還有什麼攻擊手法以及要如何因應呢？

分析這些攻擊手法的威脅種類主要是根據 2011 年上半年度透過惡意軟體移除工具 (Malicious Software Removal Tool , MSRT) 進行檢測之後，再進行的分類，可是威脅種類的攻擊手段究竟有哪些和所佔比例呢？請參考圖一。

圖一、 2011 年上半年檢測到的惡意程式攻擊手法的比例。

1. 使用者操作需求 (User Interaction Require) 
    
   使用者必須執行非一般且很特別的操作，才會使得電腦受到威脅，簡單來說就是社交工程的手法之一。
    
   如何因應：
   請參考「網路倫理最佳實務」 (英文) 的文章。
    
2. 自動執行USB (AutoRun USB)
    
   此攻擊手法主要是利用 Windows 中的“自動執行”功能来感染 USB 儲存設備和其它可攜式裝置。
    
   如何因應：
   請參考「如何在 Windows 中更正「停用自動執行登錄機碼」增強功能」的文章。
    
3. 自動執行網路 (AutoRun Network) 
    
   此攻擊手法主要是利用“自動執行”功能來感染對應的網路裝置。
    
   如何因應：
   請參考「如何在 Windows 中更正「停用自動執行登錄機碼」增強功能」的文章。
    
4. 文件感染 (File Infector)
    
   此攻擊手法主要是透過修改文件（這些文件的副檔名通常為 .exe 或 .scr）、重新編寫或覆蓋某些程式碼來進行散佈。
    
   如何因應：
   請參考「如何判斷您的電腦是否感染間諜軟體」的文章。
    
5. 很早之前就有可用更新的漏洞攻擊 (Exploit: Update Long Available)
    
   在攻擊時，供應商已經發佈用於修復漏洞安全更新的時間已經超過一年。
    
   如何因應：
   請經常使用 [開始] 功能表查看是否有更新的操作。
    
6. 有可用更新的漏洞攻擊 (Exploit: Update Available)
    
   在攻擊時，供應商已經發佈用於修復漏洞安全更新的時間未超過一年。
    
   如何因應：
   請經常使用 [開始] 功能表查看是否有更新的操作。
    
7. 零時差的漏洞攻擊 (Exploit: Zero-day)
    
   在攻擊時，供應商尚未發佈用於修復漏洞的安全更新。
    
   如何因應：
   請安裝簡單、實用的防毒程式 Microsoft Security Essentials。
    
8. 密碼暴力攻擊 (Password Brute Force)
    
   此攻擊手法會嘗試密碼暴力破解的攻擊，就像使用 net use (註：連線網路磁碟機的指令)進行破解的方式。
    
   如何因應：
   請參考「建立強式密碼與複雜密碼的提示」的文章。
    
9. Office 巨集 (Office Macro)
    
   此攻擊手法主要是透過使用惡意的 Visual Basic® for Applications (VBA) 巨集來感染 Microsoft Office 文件來進行散佈。
    
   如何因應：
   請參考「啟用或停用 Office 檔案中的巨集」的文章。

因此對於這九大攻擊的因應手法，一般使用者只要按照正常操作，隨時查看更新，安裝防毒軟體以及進階的系統和軟體等設定，基本上就可以降低被攻擊的威脅，讓您電腦使用得更安心。