安全基礎
該標籤下有 19 篇文章
如何清除瀏覽記錄、Cookie 和已儲存的密碼（電腦與手機上的 Chrome、Safari、Edge、Firefox）：外洩後該刪除什麼，以及刪除前先保留什麼
本文依照各廠商官方說明中的標籤，介紹如何在 Chrome（Windows、Mac、Android、iPhone）、Safari（Mac、iPhone、iPad）、Edge 與 Firefox 中刪除瀏覽記錄、Cookie（網站資料）、快取、已儲存的密碼和自動填入資料。刪除瀏覽記錄並不能收回已被複製的內容，也無法防禦威脅。能減少後續損害的是處理登入狀態（Cookie）和已儲存的密碼：從安全的裝置變更密碼，並登出所有工作階段。如果打算報警，請在刪除前記錄威脅郵件和可疑的擴充功能。如果開啟了同步，刪除操作也會從同一帳戶的其他裝置上移除這些資料。在 2026 年 10 月的 Onamae.com Desktop Cloud 事件中，GMO Internet 的第六次通知要求客戶在完成裝置檢查之前保持瀏覽器同步處於關閉狀態。
什麼是 GDPR：歐盟的資料保護規則，以及外洩時的通知義務
GDPR（General Data Protection Regulation）是歐盟保護境內人們個人資料的全面性規則——而且它可能觸及位於歐盟以外、卻服務歐盟使用者的業者。它要求合法依據（如同意）、明確目的、資料最小化、當事人權利（存取／刪除），以及向主管機關的外洩通知（原則上 72 小時內），重大違規則有高額罰款。技術上的重點是：只蒐集並持有你需要的個人資料、加以保護、並能夠快速偵測與通報外洩。
什麼是 OWASP Top 10：Web 應用十大風險的標準清單
OWASP Top 10 是非營利組織 OWASP 每隔數年發布的「Web 應用最關鍵風險」清單，是開發者與維運者的共通語言。現行的 2025 年版（2025 年 11 月公布）仍以「存取控制失效」居首；「安全設定錯誤」升到第二，並新增了「軟體供應鏈失效」與「例外狀況處理不當」兩個類別。SSRF 則併入了存取控制失效。這些是風險「類別」，而非個別的攻擊手法——請把它當成檢視自己應用的觀點來用。
什麼是公開金鑰密碼學：用公鑰與私鑰這對金鑰進行加密與簽章
公開金鑰密碼學使用「公鑰（可安全交出）」與「私鑰（只有持有者保管）」。以公鑰加密的內容，只有對應的私鑰能解密；以私鑰做出的簽章，能以公鑰驗證。這個非對稱性支撐了 TLS（HTTPS）的金鑰交換、數位簽章與 passkey。防禦之道：別自製密碼（改用標準協定與經過驗證的函式庫）、保護私鑰並能夠將其撤銷、讓金鑰長度與演算法保持在最新建議。
身分驗證與授權的差別：只有登入，保護不了其他使用者的資料
身分驗證＝確認一個人是誰；授權＝決定這個人可以做什麼。兩者是不同的東西，只加了登入並不等於做了授權。資料若沒有依擁有者（user_id）做範圍限制，就會變成「登入＝看到全部資料」——這正是 OWASP 排名第一的 Broken Access Control。若再加上註冊頁一直開著的腳手架，陌生人就能自行註冊並進入。防禦：把每個查詢都限縮到擁有者、關閉不需要的註冊、多層防禦、在事故發生前備好稽核／存取記錄、偵測新的註冊。
大家都怎麼保管密碼？數據怎麼說——以及安全的做法
具代表性的調查顯示，約 54% 靠記憶、約 33% 把密碼寫在紙上，只有約 36% 使用專用的密碼管理器——而約 25% 會重複使用密碼。同時，Verizon 的 DBIR 發現約 38% 的資料外洩涉及憑證遭竊，且外洩資料中約 74% 的密碼都是重複使用的。簡單說：最普遍的保管習慣，最容易被攻擊者利用。安全的基本做法是密碼管理器（每個網站一組唯一密碼）＋為重要帳號加上 passkey／MFA。
AI 時代的安全防護｜個人開發者現在就該夯實的基本功（按優先級排序的清單）
AI 強化的不是『新弱點』，而是『自動、大規模地利用既有弱點』那一側。所以比起特別的新對策，按正確的順序夯實基本功才是最好的準備。CVE 立即打修補程式＋相依套件監控、停止重複使用密碼＋MFA、清除暴露的機密、最小權限、收縮公開面、記錄/IOC 的準備、備份——全都用一份按優先級排序的清單講清楚。
AI 時代有效與無效的安全對策：小站為何也會成為目標
糾正 AI 時代的 4 個誤解。①太小不會被盯上→自動化攻擊不需要由人挑選目標②需要特別的新對策→基本功仍然最有效③裝個產品就安心→比起偵測，先做到『不讓它發生』的設計④AI 生成程式碼又快又安全→可能夾帶漏洞，上線前必須複查。真正有效的，是按正確順序把不起眼的基本功做紮實。
備份基礎：3-2-1 原則與抵禦 ransomware 的還原計畫
備份只是「有做」還不夠，只有「已確認可以還原」的備份才有用。基礎是 3-2-1 原則（3 份副本、2 種媒介、1 份異地）。要防 ransomware，還需要至少 1 份「離線或不可變（immutable）」的副本，因為一直連著的備份會連同原始資料一起被加密。雲端同步不是備份（誤刪和加密也會被同步）。再加上多版本管理和定期還原測試，才算完整。
多因素認證(MFA)如何正確選擇：比 SMS 更強的「抗釣魚」是什麼
MFA 結合不同類別的因素。手動輸入的驗證碼可能被釣魚中繼，SMS 也依賴對手機號碼的控制。重要帳戶應優先考慮通行金鑰或 FIDO2 安全金鑰等抗釣魚方式，並檢查使用者驗證要求與復原流程。
還在用 Windows 10 的人請注意：支援終止後的安全風險
通常版 Windows 10 Home/Pro 系列 22H2 已於 2025 年 10 月 14 日結束支援。2026 年 10 月 16 日核對的官方說明將個人 ESU 期限列為 2027 年 10 月 12 日，已登記者自動延續。請檢查裝置登記與更新狀態、所在地區的條件，並優先遷移到持續更新的作業系統。LTSC/IoT 與企業 ESU 屬於不同制度。
攜帶筆記型電腦外出時的安全防護 — 應對失竊、遺失與偷窺螢幕
攜帶筆電外出的前提是『總有一天會丟、會被偷』。主要的防護是把它設定成「即使丟了內容也不洩漏」：磁碟加密(BitLocker/FileVault)、強登入+短自動鎖定、遠端鎖定/位置追蹤。隨著HTTPS普及，公共Wi-Fi被竊聽的優先度下降，真正的威脅是偽AP、偷窺螢幕、離座。不要過度依賴VPN，先把裝置本身設定好。
密碼管理器安全嗎？運作原理與雲端、本機的區別，以及如何選擇
密碼管理器協助你為每項服務使用強且不重複的密碼。零知識加密旨在提供方外洩加密資料時保護內容，但安全性還取決於主密碼強度、加密設定和裝置安全。透過 MFA 防止未經授權的登入，並按用途選擇雲端型或本機型。
公共Wi-Fi的危險：比起竊聽，更該注意假存取點與憑證警告
公共Wi-Fi的『竊聽』在HTTPS普及後大多已被加密，優先順序下降。真正的風險是：①自己主動連上假AP（evil twin）②無視憑證警告③把裝置暴露在同一網路裡。最有效的對策很簡單＝用手機熱點、相信HTTPS和憑證警告、不自動連線陌生SSID。VPN是其次的追加手段。
個人開發 / 小規模維運的安全底線：按優先順序列出業界標準的對策
最低限度的對策並非『全都一樣重』。本站的優先順序 ＝ ①管理帳號、網域與郵件（多因素驗證）②金鑰與程式碼 ③應用程式本體 ④修補 / 偵測 / 還原。資源有限的個人，按這個順序從上往下填才是正解。多數事故並非新型攻擊，而是這些基本對策的缺口造成的。
組織的資安底線：從 2026 年日本真實事故倒推的 6 個優先事項
組織的「底線」應該由真實事故被突破的位置來決定，而不是產品清單。把 2026 年日本的事故排在一起，入口各不相同——VPN 設備、第三方軟體、查詢功能、未公開——但讓損害擴大的原因歸結為 6 個：①依期限封堵面向網際網路的設備②收窄維護、委外、離職人員的帳號③監視數量與時間④日誌保留到能回溯的期限⑤不保留不再需要的資料⑥用 KEV 重新排定優先順序。本站結論＝底線就是決定「誰、看哪個數字、何時發現」。
安全資產盤點：個人維運多台伺服器時最易忽略的 7 項檢查
個人維運多台伺服器的事故，往往源於「沒掌握的狀態」而非「缺少防護」。要守的邊界是放置金鑰的電腦。2FA 依哪個帳號能復原其他帳號來排定優先順序（郵件最先），列出哪把 SSH 金鑰能打開哪台伺服器，並刪除重複、未使用的金鑰與殘留的註冊，明文密碼從雲端清除，整改要可逆且逐項進行，台帳裡不寫機密。比起花俏的新工具，盤點更優先。
安全使用手機的基礎：保護集中了密碼、支付與身分證的那一台裝置
手機把二要素、郵件、銀行、身分證集中到一台裝置上，所以遺失會同時影響許多服務（單點故障）。最有效的防護不是安全 app，而是①強鎖定畫面＋短自動鎖定（密碼就是加密的鑰匙）②OS／app 自動更新 ③官方商店＋權限複查 ④事先設好遺失時的遠端鎖定／清除 ⑤二要素的「備份」（紙本備份碼）。OS 預設已做加密與沙箱隔離。
把密碼存到 Google Drive 安全嗎？正確的保管方法
把密碼以明文存在 Google 文件／試算表裡很危險：一個 Google 帳號會成為所有密碼的單點故障，帳號被盜、惡意的關聯應用程式或釣魚，都能讓所有密碼一次外洩。最安全的選擇是專用密碼管理器（即使同步，內容也保持加密）。如果非用 Drive 不可，只存放加密的 vault 檔案，並為帳號開啟抗釣魚 MFA。