SecTor 2025 | 5 Years of Attack Surface Analysis in Canada
三句話摘要
加拿大政府資安研究員持續5年掃描聯邦與各省公開資產，發現大規模基礎漏洞，發出警告：政府攻擊面正在失控擴張。 加拿大各級政府攻擊面龐大且基礎漏洞遍布，而漏洞賞金與負責任揭露機制的嚴重缺失，意味著對手早已在裡面，只是政府自己還不知道。 攻擊面膨脹是雲端遷移的副作用：政府加速上雲後，微服務與小型門戶激增，導致子域名從2019年的4000個爆炸到現在的6萬個，卻缺乏統一的安全管理，每個機構各自維護Exchange伺服器等重複服務。
重點整理
重點- 1
攻擊面膨脹是雲端遷移的副作用：政府加速上雲後，微服務與小型門戶激增，導致子域名從2019年的4000個爆炸到現在的6萬個，卻缺乏統一的安全管理，每個機構各自維護Exchange伺服器等重複服務。
- 2
漏洞都是基礎問題，不需要高深技術：SQL注入、未加密HTTP、過期TLS、預設設定暴露，這些問題只需Google幾分鐘即可利用，研究團隊掃描時間以天計而非月計，卻挖出大量嚴重漏洞。
- 3
政府資安成熟度最關鍵的三指標全數落後：負責任揭露機制形同虛設（後台無人處理）、漏洞賞金計畫限制過多（只有參與的部門才可掃描）、security.txt覆蓋率僅0.2%，研究者對全加拿大政府一律評為「不及格」。
- 4
威脅不是假設而是現實：美國已確認中國APT惡意程式潛伏關鍵基礎設施長達5年，加拿大電信網路也有APT入侵約一年的紀錄，而研究團隊5年掃描從未被偵測或攔截，意味著政府對自身暴露面幾乎毫無感知。
實用技巧與重點
乾貨- 掃描規模：60,000個子域名、3,000個IP地址；聯邦層級子域名22,900個
- 工具：GitHub現成工具 + 氛圍編碼腳本（Vibe coding）+ Excel統計分析
- TLS問題：仍存在TLS 1.0、TLS 1.1、SSL 3.0；TLS 1.3部署中，魁北克約300台伺服器響應
- 3小時盲XSS接管：對7個魁北克城市市民入口網站發動盲XSS，3小時後取得其中3個城市管理後台完整控制權
- 聯邦漏洞清單：Portainer容器管理介面裸露、Home Assistant實例裸露（HTTP）、Salesforce SSO可繞過取消鍵直接登入、Active Directory用戶枚舉（錯誤訊息不一致）、FTP伺服器含警告橫幅卻仍公開
- 魁北克2019年：170個域名、3000個IP、4000個子域名；SQL注入（財政部Tresor、選舉網站）、5個遠端控制模型節點可劫持舊網站
- 各省具體問題：
- 亞伯達省：輸入特殊字元返回所有政府雇員完整列表（SQL注入/資訊洩露）、WordPress錯誤設定洩露管理員帳號、SSRF
- 安大略省：Outlook 2018版本暴露、VMware裸露（尼加拉地區）
- 薩斯喀徹溫省：IDOR可下載所有文件、HTTP明文傳輸
- 新不伦瑞克省：源碼中包含所有政府雇員電子郵件、舉報欄位自動完成列出數千名員工
- security.txt覆蓋率：聯邦層級僅0.2%
- 加拿大電信APT入侵：APT潛伏約一年（具體組織名稱未公開）
- 後量子加密部署率：預估接近0%，僅少數躲在Cloudflare後方的網站例外
結論
結論“加拿大各級政府攻擊面龐大且基礎漏洞遍布，而漏洞賞金與負責任揭露機制的嚴重缺失，意味著對手早已在裡面，只是政府自己還不知道。”
完整解析
詳細這場演講由運營魁北克市Access公司的Patrick與曾任魁北克省政府首席資訊安全官的Steve Waterhouse共同呈現，背後有一支全年持續掃描的志願者團隊。整個計畫始於2019年，起初只是針對魁北克省政府公開資產的初探掃描，範圍僅170個域名、3000個IP與4000個子域名，卻已挖出SQL注入（包含財政部Tresor與省選舉網站）、暴露的內部網路、FTP伺服器、測試網站與2001年仍在運作的ASP遺留系統。這次掃描直接成為魁北克政府的警鐘，促使他們開始系統性修補。
隨著政府加速雲端化，攻擊面急速膨脹。到今年，研究團隊已追蹤到全加拿大60,000個子域名，聯邦層級單獨就有22,900個。團隊將TLS配置作為衡量組織安全成熟度的代理指標，結果相當觸目驚心：SSL 3.0、TLS 1.0與TLS 1.1在各省均有殘留，新不倫瑞克省弱加密套件接近100個；聯邦政府裸露的服務包括Portainer容器管理介面、Home Assistant智慧家庭實例（以HTTP運行）、可透過取消SSO流程繞過的Salesforce管理面板，以及會洩漏用戶是否存在的Azure AD端點。研究者更發現加拿大國防相關域名使用預設IIS頁面，議會系統回應預設Apache頁面，某聯邦機構源碼中直接嵌入使用者名稱清單（開發者以為是「自動完成功能」）。
城市層級的實測更直接量化了威脅速度。研究者受魁北克省市政聯合會UMQ授權，對7個城市的市民服務入口網站發動盲XSS攻擊，3小時後便取得其中3個城市管理後台的完整控制權。這些城市通常使用無安全保障的第三方服務供應商。類似地，亞伯達省的一個政府網站只需輸入單一特殊字元，即可返回所有政府雇員的完整資料，無需任何認證。研究者將此類發現與多個省份（包含薩斯喀徹溫省IDOR、新不倫瑞克省源碼員工電郵洩露、安大略省暴露的2018版Outlook）逐一陳列，構成一幅各省皆有嚴重基礎漏洞的全景圖。
在資安管理成熟度評估方面，研究者從「負責任揭露機制」、「漏洞賞金計畫」、「security.txt」三個維度評分，全加拿大無一省份達標，一律判定不及格。最受肯定的魁北克省雖有漏洞賞金計畫，但可測試的網站只有20個，相對其22,000多個子域名猶如杯水車薪。演講最後以現實威脅收尾：美國已確認中國APT惡意軟體潛伏關鍵基礎設施長達5年，加拿大電信網路也曾遭APT入侵約一年。研究團隊5年掃描從未被任何省份偵測或攔截，意味著「不知道自己已被入侵」才是加拿大政府面臨的最大風險。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
