Mobile Device Management 據說是一種很棒的 「眾手機與行動裝置管理技術」。 比方說企業買許多手機分配給員工。 要如何確保員工正確使用手機、 即時更新防毒軟體、 隨時收到企業內部的重要訊息更新、 把手機設定成符合工作需求的狀態呢？ MDM 技術讓企業可以透過中控伺服器派送軟體給所轄手機， 按照企業管理者的意志遠端遙控員工的手機， 提升手機的安全性。 如果手機被偷了， 企業還可從中控伺服器送出指令 （稱為 kill switch 或 remote wipe） 銷毀資料保護企業機密與員工隱私， 甚至進一步關閉手機所有功能。

聽起來很棒， 對吧？ 但從人權的角度來看， 這項技術最大的問題是： 它跟 DRM 遙控數位枷鎖 一樣， 是一種中央集權控管的技術。 它把手機/平板電腦/筆電） 的控制權， 從使用者的手中移到遠端企業中控伺服器的手中。 它服務的對象， 並不是手機持有者， 而是意圖監控管制手機持有者的老大哥。

[10/21 補充]： 蘋果電腦如何幫 NSA 及各機關行號網管人員在 iMessage 架構中留下監聽後門? MDM 正是協助網管人員順利佈線的達陣幫手。 [12/4 補充]: 鑑識資安專家提醒： 「把你個人的裝置登錄到公司的 MDM 政策裡面去， 基本上也就允許了你的僱主可以跳過裝置的安全檢查， 讓他可以直接查看你的個人資料。」 這篇文章指出： 「可以說 MDM 就是你的 IT 部門植入你的手機裡的 rootkit。」

九月初， Snowden 繼續爆料： NSA 可以入侵任何人的 iphone/android/黑莓機信息 [ 中文 / 英文有談到 kill switch]。 但他們靠的是什麼技術？ 沒有人知道。 從 「資訊人， 權貴」 （而不是 「資訊人權， 貴」） 的角度思考 -- "要如何幫助統治者入侵公民的手機？" -- 我猜測 MDM 是其中一個很方便的管道。 美國政府以 「打擊手機竊盜犯罪」 為由， 意圖 立法要求所有手機廠商加上 "kill switch" （ 蘋果電腦率先響應）， 這個牽強的政策， 會不會就是為了大規模佈建 MDM 在舖路呢？ 人權團體也 質疑 kill switch 只是政府監控民眾手機的藉口之一而已。

Practical Attacks against Mobile Device 一文指出 MDM 最容易遭到 spyphones 的入侵。 一般的木馬式惡意監聽軟體直接誘騙受害者主動安裝， 一口氣跟監大量手機， 屬於雙方面的行為； 但 spyphones 類型的監聽軟體則有別於此。 它通常宣稱可以透過監控手機保護客戶的子女、 確認配偶沒有外遇、 ... 總之目的在於協助購買者針對性地鎖定特定第三方監聽。 （貴註： 就是像 「特偵監聽聽到飽方案」 這樣的商業運作模式。 圖片取自 「關魚」 噗浪） 統計數據顯示： 一般大眾當中， 大約有 0.03% 到 0.1% 的手機遭植入 spyphones 監聽程式， 其中 iPhone 佔五到八成， android 佔三成左右。 Spyphones 可以跨越 MDM 的 "security container" 防護措施， 入侵 MDM 所管理的手機， 再把監聽取得的資料傳上雲端 -- 該廠商所提供的 SaaS 服務。 （提示： 這時誰握有竊聽資料的最終控制權？） 其中最重要的關鍵是： 只要取得 MDM 中控伺服器的認證資料 （certificate）， spyphones 入侵就變得很容易。

該文指出： MDM 的安全性， 基於手機使用者對中控伺服器的信任。 什麼信任？ 信任它不會被潰客入侵控制。 該文沒有說出口的另一個可能性是： 信任中控伺服器本身不會惡意入侵你的手機？ 原本是企業為了保護自身資產的這個 MDM 技術， 會不會被政府透過施壓企業而拿來監聽企業員工？ 企業主會不會購買 spyphone 監聽員工， 以便將來任何員工因為任何糾紛與企業法庭上見時， 企業可握有把柄可以還擊？ 面對近日不斷爆料的 NSA 監聽惡行， 如果我是美國人， 絕對會跟 Bruce Schneier 一樣， 不敢再相信政府。 那麼身為臺灣人， 感覺有比較安心一點嗎？ 呵呵... 你呢？

老實說， 寫 「政府監聽、 植後門」 寫到有點膩了。 本想寫別的議題； 可是美國跟臺灣的監聽新聞排山倒海而來 （再次感謝讀者留言分享網址及標題/摘要） 逼著我不得不寫。 而且本週還不只寫一篇。 這篇是我本週預訂撰寫議題的案外案外案。 上網搜尋研究時意外發現這個可怕的東東， 目前並沒有找到具體的案例說明這技術確實已被政府與企業濫用於監控員工與公民， 但我覺得這個技術 （以及 行政院 「行動裝置資通安全注意事項」 對它的力挺） 很可疑， 只能簡要分享我的直覺與猜測跟不完整的參考資料， 警告讀者要小心。

* * * * *

手邊沒電腦; 口頭推薦本文嗎? 可以請您的朋友搜尋 「mdm 集權」 或 「mdm 入侵」 或 「mdm 控管」。