「一枚封條的好壞，取決於帶著它的公事包屬於誰。」——史巴克瓊斯（Karen Spärck Jones）
「如果你不知道怎麼破解它，你就沒辦法讓它安全。」——托比亞斯（Marc Weber Tobias）
為什麼電腦系統需要「funny inks」#
許多電腦系統都在某種程度上倚賴安全印刷、包裝與封條，來保證其保護的重要面向。
- 多數安全產品在對手能於你安裝前碰到它們時就會被擊敗。 封條與防拆包裝一般而言有助於可信配送（trusted distribution）——向使用者保證產品自出廠後未被動過手腳。
- 監控系統（如公用事業電表與行車紀錄器）常用封條讓使用者更難竄改輸入。 不論密碼學多精巧，封條被擊敗就可能等於系統被擊敗。
- 多數建築門禁使用的非接觸卡可以被複製（拜對 Mifare 及其若干後繼者的攻擊之賜）。若你在讓工程師進入託管中心前檢查其識別證，除了電子讀取，用眼睛看一下也是好主意。即使是電子身分證，安全印刷仍可能重要。
- 一般而言，「讓憑證能顯示篡改痕跡」比「讓憑證防篡改」是更實際的目標：若有人拆開智慧卡取出金鑰，他不該有辦法把它重組成一個經得起仔細檢視的東西。安全印刷在這裡能幫上忙。
自 1990 年代末，鈔票印製商一直在推廣數位保護技術，包括阻止合規掃描器與印表機被用於偽造的浮水印，以及能讓自動販賣機偵測到偽鈔的隱形著作權標記。 同時，彩色影印機與印表機的廠商在列印輸出中嵌入含機器序號、日期與時間的鑑識追蹤碼。
所以數位世界與「怪墨水」的世界正在靠近。
歷史#
封條有悠久而有趣的歷史。
銀行系統一章談過，帳務系統源於美索不達米亞新石器時代倉庫管理員用作物品收據的黏土板（bulla）。五千多年前，bulla 系統被改造用來解決爭議：倉庫管理員把 bulla 烘烤在一個蓋有自己印記的黏土信封裡。
封條在古地中海與中國被用來驗證文件。 在紙張出現前的中世紀歐洲，它們被用作社會控制的手段：車伕在一個收費站取得鉛封、在下一站繳回；朝聖者從聖地取得鉛製代幣以證明自己去過朝聖（事實上年輕的古騰堡的第一個生意突破，就是發明了在鉛封中嵌入鏡片碎屑以防偽、保護教會收入的方法）。
在中國、日本與韓國，印章至今仍是重要文件偏好的認證機制。 在其他地方，其昔日重要性的痕跡留存於公司印鑑、公證人印章、某些國家元首蓋在立法存檔本上的國璽，以及某些歐洲國家對符合歐盟 eIDAS 標準之電子簽章的需求中。
從散裝商品轉向包裝商品、以及品牌重要性的成長，不只創造了更好品質管制的潛力，也創造了「壞人可能對產品下手」的脆弱性。美國曾遭遇一波下毒竄改事件（尤其是軟性飲料與醫療產品），1993 年通報案例達到 235 件的高峰。這推促許多製造商轉向讓產品能顯示篡改痕跡。
軟體易於複製，加上 1980 年代中期以降消費者對技術性防拷機制的抗拒，讓軟體公司越來越倚賴包裝來嚇阻仿冒者。 那只是「防止高價值品牌商品（從香水、香菸到航空零件與藥品）被偽造」這個大得多的市場的一部分。
安全印刷#
拿破崙在 1800 年代初把紙幣引入歐洲，加上不記名證券、護照等其他有價文件的出現，掀起了安全印刷商與偽造者之間的戰爭，它展現了許多掠食者與獵物共演化的特徵：攝影術（1839）幫了攻擊方，接著彩色印刷與鋼版蝕刻（1850 年代）幫了防守方。 近年，彩色影印機與便宜掃描器則被全像圖與其他光學可變裝置所反制。
1990 年代英鎊偽鈔就是一例。 這些鈔票有一條開窗式安全線：一條穿過紙張、約 1 mm 寬、每 8 mm 浮到紙面一次的金屬條。所以反射光下看，它像一條虛線；而舉起來透光看，金屬條是暗而連續的。複製這點被認為很難。
然而一個犯罪集團想出了漂亮的招數：他們用便宜的燙印製程在紙面上鋪一條金屬條，然後用白色油墨在上面印出一排實心條紋，只留下預期可見的金屬圖樣。 審判時發現他們在數年間偽造了價值數千萬英鎊的鈔票。
英鎊如今正遷移到塑膠鈔（由澳洲首創）。
威脅模型與三級檢驗#
一如既往，我們必須在威脅模型的脈絡中評估保護技術。威脅可能來自大型組織（如一國試圖偽造另一國的鈔票）、中型組織（每月偽造數百萬美元的犯罪集團，或在老酒上偽造標籤的經銷商），乃至使用家裡或辦公室設備的業餘者。
高品質彩色掃描器與印表機的普及，把誘惑放在許多「在需要濕油墨的年代根本不會夢想涉入偽造」的人面前。業餘者過去被視為小麻煩，但自 1990 年代末以來，他們占了美國偵測到的多數偽鈔。
業餘偽造者難以打擊：他們人數眾多；多半規模小到其產品要很久才會引起當局注意；而且他們較不可能有前科。他們產出的鈔票往往不足以通過銀行櫃員，但會在昏暗嘈雜的夜店這種地方流通出去。
業界區分三種層級的檢驗：
- 一級檢驗（primary）：由未受訓練、無經驗者執行，例如一般民眾或商店的新收銀員。一級檢驗者往往沒有動機，甚至有負面動機：如果他拿到一張感覺有點怪的鈔票，他可能會試著把它傳出去，而不去看得太仔細——那樣他就得在「變成共犯」與「麻煩地通報」之間做選擇。
- 二級檢驗（secondary）：由稱職且有動機的人在現場執行，例如有經驗的銀行櫃員或受訓的製造商稽查員。這個人可能有紫外燈、化學試劑筆、甚至掃描器與 PC 等特殊設備；但設備在成本與體積上都有限，而且會被認真的仿冒者完全摸透。
- 三級檢驗（tertiary）：在製造商或發鈔銀行的實驗室進行。設計該安全印刷（甚至底層工業製程）的專家會在場，還有大量設備與支援。
所以二級檢驗才是戰場——除了鈔票印製這種現在也開始關注一級層次的少數應用；在那裡，限制在於技能，尤其是動機。
安全印刷的技術清單：從凹版到隱形著作權標記
傳統安全文件運用多種印刷製程：
- 凹版印刷（intaglio）：用雕刻圖樣以極大壓力把油墨壓進紙裡，留下高解析度的凸起墨痕。常用於紙鈔與護照的花紋。
- 凸版印刷（letterpress）：油墨滾在凸起活字上再壓到頁面，留下凹陷。紙鈔上的號碼通常這樣印，且常用不同大小的數字與不同油墨，以防止現成的編號設備被使用。
- Simultan 印刷機：同時把正反面所有油墨轉移到紙上。因此正反面印刷可以精確對齊；圖樣可以一部分印在正面、一部分印在背面，好讓鈔票對光時完美接合（透視對位）。 這種機器也有特殊導墨裝置，讓油墨顏色沿線變化（虹彩）。
- 橡皮章：用來背書文件，或把照片封在文件上。
- 壓紋與貼膜：也用來封住照片，並在銀行卡上提高偽造成本。壓紋可以是物理的，也可用雷射雕刻技術把照片燒進身分證。
- 浮水印：把保護特徵放進紙裡的例子——在製紙時藉由改變厚度插入較透光的區域。其他特殊材料（如螢光纖維）也用於類似目的。
較現代的技術包括：
- 現代塑膠鈔（澳洲首創）允許在透明視窗中嵌入多種特徵；
- 光學可變油墨，隨視角從綠變金；
- 具磁性、光致變色或熱致變色性質的油墨；
- 只有特殊設備才看得見的印刷特徵，例如美鈔上需放大鏡才看得到的微印刷，以及紫外、紅外或磁性油墨的印刷（最後這項用於美鈔的黑色印刷）；
- 金屬線與箔片，從單純的虹彩特徵、防彩色影印的箔片，到具全像圖與**動態全像（kinegram）**等光學可變效果的箔片。全像圖通常以光學方式製作，看起來像薄膜後方的立體物件；動態全像則由電腦產生，可能在略微不同的角度呈現數種截然不同的畫面。
- 掃描陷阱：細到無法正確掃描的細節，以及混疊帶結構——其細節尺寸恰好會與常見掃描器與影印機的網點間距形成干涉效應。
- 數位著作權標記：從直接微印其傅立葉轉換而藏起的影像，到會被彩色影印機、掃描器或印表機辨識並使其停止動作的專有展頻訊號。最有名的是嵌在許多鈔票設計中、南十字座形狀的黃色星點圖樣，它會讓合規的掃描器與印表機拒絕處理。
- 獨特基材：例如 Sandia 提議的「製造時隨機摻入光纖的紙」，讓每一張紙都有一個特徵圖樣，可以被數位簽章並以條碼印在文件上。
凹版與凸版印刷的觸感會磨損，所以把偽鈔揉皺弄髒是標準做法；而熟練的偽鈔製造者用淡灰色印刷模仿浮水印（不過浮水印對業餘者仍出奇有效）。全像圖與動態全像可能被用電化學技術做機械複製的人攻破；若不行，惡棍也可能從頭自製母版。
兩個「無法偽造」的故事#
一個連「拿到真母版的大型安全印刷公司」都偽造不出來的裝置，肯定能提供完全的保護吧？
但七年後作者造訪新加坡時，在跳蚤市場買到了一枚類似（而且更大）的莎士比亞全像圖。 這顯然是製作者的誇耀：他要是想的話就能偽造英國銀行卡。當時一位警方專家估計，中國有超過 100 名偽造者具備做出過得去偽品的技術。
一位受害者通報：「我靠近看，發現大笨鐘不見了，而且序號的一部分與女王的臉正在脫落。跟我原本就有的真鈔一比，我還發現銀色條紋是綠的。」當年稍晚，有生意頭腦的惡棍開始流通塑膠 20 英鎊鈔票——儘管官方的 20 英鎊鈔票要到 2020 年才發行。
安全可用性：banknote 社群的教訓#
但設計一份安全文件比這困難得多。 保護、美觀與耐用性之間有複雜的取捨，而業務重心也可能改變。
大量時間花在為「難以訓練人們正確檢視文件」而搓手嘆息，卻沒有足夠注意力去研究「鈔票這類產品的典型使用者，實際上是如何在潛意識裡判斷它可不可接受的」。換句話說，技術焦點篡奪了業務焦點。
- 安全特徵應傳達與產品相關的訊息。所以用虹彩油墨印鈔票面額，優於用某個沒人會看的隱晦特徵。
- 安全特徵應該明顯地「屬於它所在的位置」，好讓它們嵌入使用者對該物件的認知模型中。
- 其效果應該明顯、清晰、可理解。
- 它們不該有既存的競爭品能提供模仿的基礎。
- 它們應該被標準化。
二級檢驗的可用性、支票篡改，以及文件變造
可用性在二級檢驗中也重要，但議題更微妙，聚焦於檢查者用來區分真偽所必須遵循的流程。
以鈔票而言，理論是：你設計一張有大概二十項不對公眾公布之特徵的鈔票。若干特徵讓銀行職員這類二級檢驗者知道；久而久之這些會被偽造者知道。隨著時間推移，越來越多特徵被揭露。最終當它們全部曝光時，這款鈔票就退出流通、被替換。
偷走一台自動販賣機、拆解它、讀出軟體的竊賊，就取得了目前所用檢查的完整而準確的描述。 花了數週或數月做過一次之後，他第二次會容易得多。
所以當中央銀行把二級數位浮水印的秘密多項式告訴製造商、而那被部署到現場後，他可以再偷一台機器，在幾天內取得新資料。因此失效可能比人工系統更突然、更徹底，而特徵生死更迭的循環也可能轉得比過去更快。
以產品包裝而言，典型商業模式是：找到偽品樣本送實驗室，科學家找出某處不同（也許全像圖不太對）。然後製作套件給現場稽查員去追查源頭。 如果這些套件笨重昂貴，能佈署的數量就少；如果有許多來自不同公司的不同偽造偵測裝置，就很難說服海關人員使用其中任何一種。
以金融票據（尤其是支票）而言，變造是比複製或從頭偽造大得多的問題。
在許多騙局中，惡棍用「先付訂金或以現金訂位、再取消」這類手法從企業取得真支票。受害者寄出支票，而支票被改成大得多的金額，往往用的是隨手可得的家用溶劑。
標準對策是使用遇溶劑會變色暈開之油墨的底紋印刷。但保護並不完整，因為有移除雷射印表機碳粉的技巧（甚至簡單如打字機修正帶）。有個很有生意頭腦的惡棍甚至送給受害者特別挑選過、墨水容易被移除的筆。
文件變造當然不只是銀行的問題。 多數假旅行文件是被變造而非從頭偽造的：改名字、換照片、加頁或抽頁。因此已開發國家大致已改用晶片護照。
包裝與封條#
供應鏈安全涉及包裝與封條的問題。 依洛斯阿拉莫斯弱點評估團隊的定義，封條是「一種指示篡改的裝置，設計來為未授權進入或竄改留下不可抹除、明確無疑的證據。」
多數封條的做法是把某種安全印刷施加到基材上得到標籤，再把標籤固定到待保護材料上。應用範圍從藥品、貨櫃到票箱。 底端是容易拉緊但不切斷就難以鬆開的塑膠束帶，頂端則是繞著被保護物、由附掛的雷射標籤主動監測拉伸的光纖。
基材性質#
有些系統為基材加入隨機變異性。
前面提過在紙裡摻光纖的把戲；還有浮水印磁性（watermark magnetics）——在卡片磁條中嵌入隨機的高矯頑力訊號，之後可用標準低矯頑力設備讀寫，而不擾動那個獨特的隨機圖樣。
類似的想法在冷戰期間被用於軍備管制。 許多武器與材料的表面是獨一無二的；其他材料表面也能被弄成獨特的——例如可用小型爆炸裝藥在戰車砲管上蝕出一塊斑紋。 該圖樣用雷射散斑技術量測，並記錄在日誌中或以機器可讀的數位簽章附在裝置上。
這讓辨識重砲這類主戰裝備變得容易——辨識每根砲管就足以防止任一方作弊。 你甚至能用雷射散斑把一張紙的表面粗糙度編成一組代碼來認證它，且該代碼能耐受折皺、乾燥、塗寫甚至燒焦。問題在於要找到一個能正當化在流程兩端都使用昂貴掃描器的應用。
膠水的問題#
雖然標籤的獨特性可以是製造過程的副產品，多數封條仍靠把安全印刷的標籤固定到目標物上。這帶出一個問題：那件漂亮的虹彩印刷藝品，要怎麼以極難移除的方式黏到一個粗糙的實體物件上？
拿把利刀，拿接下來幾封自黏信封做實驗。 這些信封本該撕開而非剝開；封口可能為此切了幾道垂直細縫。但這個期待中的篡改痕跡通常假設人們會把封口從信封本體往後拉。
只要把封口略微抬起、來回運刀，往往就能切開膠水而不損傷封口，從而在不留下可疑痕跡的情況下打開信封。（有些膠水應先用吹風機軟化，或冷凍使其變脆。）或者從膠水並未設計成能顯示篡改痕跡的另一端打開。
不論哪種方式，你大概都會得到一個仔細檢查會發現有點皺的信封。若明顯，就把皺褶燙平。這個攻擊通常能通過一級檢驗，大概過不了三級檢驗，而很可能能通過二級檢驗——反正信件在郵寄途中本來就會皺。
一個著名例子是瑞士與奧地利使用的高速公路通行貼紙（vignette）。 你付路稅換得一張貼在擋風玻璃上、證明你已繳一年（或租車的較短期間）費用的貼紙。若你把貼紙從擋風玻璃撕下來用到另一台車上，部分油墨會跟著走、部分會留在玻璃上。
於是人們在貼上之前先讓膠面沾灰——把貼紙在儀表板上來回刷。這如今已被訂為違法行為，被抓到會罰款。
PIN 信函：一個不管用卻存續的系統#
許多銀行現在把客戶的 PIN 印在特殊的印刷紙材上。 過去 PIN 信函用多聯複寫紙與撞針印表機；你撕開信封抽出一張壓印了 PIN 的紙條。從撞針轉向雷射技術後，若干公司發明了「拉開一個拉片才能讀到 PIN」的信紙。
典型機制是紙上有一塊印有遮蔽圖樣的區域，其上覆一層黏著膜，PIN 印在膜上。膜後面有一個模切的拉片，可以連同遮蔽底紋一起被拉走，使 PIN 顯現。
作者的學生們在歷代這類產品上找漏洞找得很開心：
- 早期產品只要對光、讓光以約 10 度掠過表面就能讀出：不透明的碳粉會在有光澤的黏著膜上清楚顯現。
- 下一個攻擊是把印刷掃進 Photoshop，把碳粉的濃黑從底層印刷的灰色中濾出來。
- 另一個是熱轉印：在信函上放一張白紙，用熨斗燙過。
- 還有一個是用吸墨紙與有機溶劑做化學轉印。
這項工作 2004 年通報銀行業、2005 年發表。銀行如今已為信函發布測試標準。然而時至今日，我們仍不斷收到 PIN 很容易讀出來的信函。
如果騙子知道我要收到一張新銀行卡、而且能偷我的信，他會把卡和 PIN 一起拿走。 很難想到這種「防拆」PIN 信函真正防住了什麼攻擊。
它偶爾可能防止家人意外得知 PIN；同樣地，也可能偶爾有客戶在不撕拉片的情況下讀到 PIN、領走一大筆錢，然後宣稱不是他做的——那樣銀行大概只會說「那你告我啊」，並否認自己的信函。
但相對於花在這些花俏信紙上的金額，威脅只是殘餘性的。這種行為的驅動力大概是合規：要重新思考那些在撞針印表機年代演化出來的卡片組織規則、稽核程序與保險檢查，實在太麻煩了。
系統性弱點#
我們現在從針對特定印刷技巧與膠水的具體威脅，轉向系統層級的威脅——那有很多。
游泳池手環：一個「完全適任」卻處處是漏洞的封條
作者當地的游泳池在尖峰時段發給泳客手環來管理擁擠。每二十分鐘左右發一種不同顏色，並不時請所有戴某種顏色的人離場。
手環用蠟紙製成。一端一面有印刷圖樣與序號、另一面有膠；紙材經過交叉切割，所以若你不小心地把它撕下來，它會完全毀損。
若你不想花錢，可以每條用一次，然後交替從不同方向輕拉把它慢慢鬆開。印刷會皺，但完好；損傷不至於被池畔管理員看見，而且事實上也可能是隨意貼上造成的。
重點是：小心地把封條貼兩次所造成的損傷，與一個生手貼一次所造成的效果，不容易區分。 更強的攻擊是根本不撕背膠，改用安全別針或自備膠水固定。
但它說明了許多可能出錯的事：客戶就是敵人；是客戶自己貼上封條；封條再利用的效果與隨機失效的效果無法區分；未使用的封條能在市面上買到；偽造封條也能以極低成本製造；而有效的檢驗不可行。
（而這個泳池封條，居然還比許多賣給高價值工業應用的封條產品更難擊敗。）
威脅模型的特殊性：敵人自己貼封條#
典型的商業應用是：一家公司把部分產品的製造外包，並擔心承包商會生產超過約定數量的商品。超產是全球仿冒品按價值計算的主要來源——行為人能取得授權的製造流程與原料，而灰色市場提供了天然的配銷通路。光是偵測這類詐欺（更別說向法院證明）就可能很難。
其中某些材料可能以各種方式嵌入序號（例如在瓶身玻璃上雷射雕刻，或用只在紫外光下可見的油墨印在玻璃紙上）。可能有線上服務讓製造商的現場人員驗證從商店隨機購得樣本的序號，或包裝上有一個把各個序號連結起來以供離線檢查的數位簽章。
所以南非葡萄酒的瓶子都帶有政府管制、附唯一序號的封條；在這裡，封條並不證明詐欺，而是讓不誠實的釀酒商更難規避檢查與稽核等其他控制。封裝機制通常必須連同互補的控制流程一起設計。
在灰色市場買到仿冒品卻以為是真貨的經銷商，可能在毫無犯罪意圖下著手欺騙檢查員。在灰市是個問題的地方，從「Fred」那買來的產品會被迅速推給客戶，確保檢查員在他倉庫裡只看到授權產品。
經銷商也可能完全被蒙在鼓裡——兜售仿冒品的可能是他的員工。 一個著名的騙局是航空公司員工在造訪市場不受管制的國家時買仿冒香水、手錶等，然後在機上賣給乘客。航空公司倉庫（與落地後免稅推車）中的存貨會全部是真貨。所以通常必須派人出去做抽樣採購，而封裝機制必須支援這件事。
反「假交差」措施#
封條是否確實黏牢在被封物體上，也可能取決於基層人員的誠實與勤勉。
前面提過卡車速限器系統中，變速箱感測器用一段鋼絲固定，由校準車廠用特製鉗子把鉛封壓在定位。破解方式是賄賂技師把鋼絲纏錯方向，好讓感測器從變速箱旋下時鋼絲會鬆脫，而非拉緊斷裂。這比去上業餘雕塑課、學會翻模並用青銅鑄一把封鉗要簡單得多。
封條研究中許多有趣的部分聚焦於可用性。一個大問題是：如何檢查那些「應該檢驗封條」的人是否真的檢驗了。
一種做法是在每個貨櫃封條中放一個小處理器，內含每分鐘左右產生一個新數字的密碼式金鑰流產生器。 檢查員的任務就變成走訪所有入境貨櫃並記下它們顯示的數字。若偵測到篡改事件，裝置就抹除其金鑰，不再能產生數字。若檢查員沒帶回某個貨櫃的有效封條碼，你就知道有問題——不管是貨櫃有問題還是他有問題。
這類封條也叫「反證據（anti-evidence）」封條：想法是儲存「裝置未被篡改」這項資訊，並在篡改發生時銷毀它，讓對手沒有東西可以偽造。
隨機失效的效應#
例如速限器封條常在卡車引擎蒸汽清洗時斷裂，所以若交警找到的證據只有一枚斷裂的封條，司機不會因篡改被起訴（卡車司機知道這件事）。
打開一個封得太好的信封後，間諜可以貼上「海關開拆」或「運送中破損——郵局重封」的貼紙再把它封回去。 他甚至可以只是用膠帶封上，然後在正面潦草寫上「誤送他址，請重寄」。
如果保護目標是防止大規模偽造產品，偶爾的斷裂可能無關緊要；但如果目標是支撐起訴，封條自發失效就可能是嚴重問題。
在極端情況下，對封條穩健性給予過多信任，可能導致冤獄，並侵蝕該封裝產品的證據價值（因而也侵蝕其商業價值）。
例子就是前一章詳述的宵禁腳鐐：腳鐐廠商對其產品的防篡改能力做出誇大的行銷宣稱，卻在法庭上被挑戰時拒絕提供樣本供辯方測試。恐怖主義嫌疑人在其管制令再也無法被正當化時獲釋，而腳鐐公司最終因刑事不當行為失去合約。
材料管控#
另一個常見弱點是封裝材料的供應不受管控。
雖然訂一個「微軟公司」的印鑑或許有點風險，替幾乎任何較不知名的目標訂一個應該都很容易：你只要寫一封看起來像出自律師事務所的信就行。
封緘的真正目的不是防偽，而是讓律師事務所能對「必須附上印鑑」的文件多收費。
又或者考慮某些快遞公司使用、設計成打開時會拉伸撕裂的塑膠封套。只要你能從街上走進站點拿到全新的封套，它們就不太可能嚇阻任何肯花時間與心思規劃攻擊的人——他可以在包裹進入快遞網路之前或之後替換包裝。
這不完全可信——即使沒有警方實驗室發明了膠帶膠水的魔法溶劑，十九世紀的沙皇警察就已經用分叉的木棍把密封信封裡的信捲起來抽出、讀完再放回去了；當時（以及全歐洲）的寫信者則使用信件折鎖術（letterlocking）——複雜的折疊、切口與封緘系統，希望能讓篡改留下痕跡。
即使膠帶保證會在信封上留下可見痕跡，你也得假設警方的蒸信封部門沒有同款信封的存貨、而且收件人夠敏銳能看出偽造的信封。考慮到有公司標誌的信封能被掃描並用便宜彩色印表機複製得多容易，這些假設相當有企圖心。
保護錯了東西#
1980 年代末信用卡開始易於偽造，因為銀行導入了讀取磁條的授權終端機，而多數商家使用的壓印機是用凸字印出讓客戶簽名的簽單，並且多數商家把簽好的簽單當支票一樣存進銀行。改了磁條卻沒改凸字的騙子就擊敗了這套系統。
也有涉及部分變造的攻擊。 例如信用卡過去有全像圖，但因為它只蓋住最後四碼，攻擊者總是能改掉其他十二碼。
如果威脅模型是一個拿著裝滿毒藥針筒的精神病患，那麼單純的泡殼或收縮膜包裝就不太夠。真正需要的是篡改感測膜——即使是極小的穿刺也會可見且不可逆地反應。（這種膜存在，但對消費品而言仍太貴。）
檢驗的成本與本質#
這不是在批評全像圖，而是應用心理學與公眾教育的深層議題。 這對銀行家而言是新鈔發行時的隱憂——大家熟悉新鈔的那幾週，可能是偽造者的豐收季。
即使銀行職員有外幣鈔票圖片手冊、移民官同樣有外國護照圖片，關於安全特徵的資訊往往也只是粗略的。而缺乏真實實體樣本意味著觸感面向無法被適當檢視。
她只用低技術攻擊，對三十種食品與藥品中的九種動了手腳，並邀請 71 位篡改偵測專家把它們區分出來。 每位受試者被要求從十件產品中恰好挑出三件他們認為被動過手腳的。
這些專家的表現並不優於隨機猜測，儘管其中多數人花的時間顯著超過所指示的每件四秒。
如果連專家在被告知「篡改確實發生過」的情況下都偵測不出來，一般消費者又有什麼機會？
防拆包裝的主要目的是安撫顧客；次要目的包括減少退貨、盡職調查、以及降低陪審團判賠金額。嚇阻無能的篡改者大概也勉強算在裡面。
人們對頻繁經手的東西（例如本國貨幣）會有「手感」，但對難得一見的包裝（例如某款高級化妝品或一瓶昂貴的酒）就遠不容易察覺不對勁。
因此，保護含電子元件產品的工作，很多已轉向線上註冊機制。 一個可能性是把公眾動員為檢查者——不是檢查包裝，而是檢查唯一序號：與其把這些號碼藏在 RFID 晶片裡，廠商可以把它們印在產品標籤上，關心自己是否買到真品的人可以打電話查驗。
評估方法論#
上述討論給出了一套系統化評估封條產品的方法。 與其只問「除了顯而易見的方式外，你能移除這枚封條嗎？」我們需要從設計與現場測試，一路跟到製造、施加、使用、檢查、銷毀，最後到退役。
- 若封條被偽造，誰該察覺？ 如果是公眾，他們多常看到真封條？廠商是否做過適當實驗以確立可能的誤受與誤拒率？如果是你的現場檢查員，他們的設備與訓練要花多少錢？而這些檢查員（公眾或專業）有多少動機去找出並通報缺陷？
- 有沒有真正懂行的人努力嘗試過擊敗這套系統？而「擊敗」到底是什麼——篡改、偽造、變造、證據價值的侵蝕，還是對你商業信譽的「公關」攻擊？
- 設計團隊的名聲如何——他們是否有成功擊敗對手產品的歷史？
- 它在現場多久了，而技術進步讓擊敗它顯著變容易的可能性有多高？
- 還有誰能買到、偽造或偷到封裝材料？
- 貼封條的人會不會粗心或腐敗？若會，你要如何應付？
- 封條會保護產品正確的（或足夠的）部位嗎？
- 品質議題是什麼？ 灰塵、油污、噪音、振動、清洗與製造瑕疵的影響呢？產品是否得撐過戶外天候、汽油潑濺、貼身攜帶或掉進一杯啤酒裡？還是說它本來就該在這些事發生時可見地反應？隨機封條失效會多常發生，又會有什麼效果？
- 若你最後要上法庭，除了你自己（或廠商）的專家外，對方有沒有其他專家可以倚賴？ 若答案是沒有，那這是好事還是壞事？陪審團憑什麼相信你這個系統發明人，而不是被告席上那位親切的小老太太？ 法官會不會基於公平審判原則放她走——因為要她駁倒你的技術主張是不可能承擔的舉證責任？而如果你把公司賣給某人、那人又把它賣給一個罪犯呢？
- 產品用完後，封條要如何處置——有人從垃圾裡撿回幾枚舊封條，你在意嗎？
所以要認真思考「施加與檢查封條的人是否會忠實有效地執行任務」；分析動機、機會、技能、稽核與問責。
在封條由敵人施加（如委外製造）、或由容易被收買者施加（如亟欲爭取卡車公司生意的車廠）的情況下，要特別謹慎。
最後，要從客戶公司與其對手、以及無辜的系統使用者與法律證據的角度，把封條失效與檢驗錯誤率的可能後果通盤想過。
小結#
封裝必須就封條從製造、材料管控、施加、驗證到最終銷毀的整個生命週期來評估；在關鍵應用中，高度建議進行敵意測試。 封條往往倚賴安全印刷，而對安全印刷大致可做同樣的評論。
研究問題#
多數仿冒品與被下毒的產品是在零售層級被引入的，而零售過去高度分散。但科技正在改變這點，也許解方不在包裝，而在對大型零售商的管制行動。
據報導，Amazon 的市集與物流服務正成為許多仿冒品最令人憂心的配銷通路，其中也包括被政府機關宣告不安全、標示不實或被管制機關禁售的產品，例如含危險鉛量的兒童玩具。
這看來會成為政府與大型科技公司之間的重大管制戰役之一。也許這是規模不可避免的效應：如果每個人都在 Facebook 上，那就包括全世界的變態、霸凌者與極端分子；而如果全世界的商家都用 Amazon 出貨，也可以預期類似的事。
作者猜測 Amazon 最終會被迫雇用數萬名產品安全與合規檢查員，就像 Facebook 被迫雇用數萬名內容審查員一樣。但法律通常落後技術十五年左右，而在此期間，安全印刷與封裝會繼續下去——儘管會持續朝線上產品註冊移動。