内容转载

= ̄ω ̄= 内容转载

新加坡政府设立网络安全实验室

日前,新加坡国立大学和新加坡国家研究基金会发布联合声明称,新加坡政府投资 840 万新元(约合 593 万美元)的网络安全实验室在新加坡国立大学成立,将为学术及产业相关人士的网络安全研究和测试提供支持。 该实验室目前正在支撑 20 个来自科研机构和业界人士的项目,聚焦于软件安全性、云数据存储和城市交通系统问题。该实验室能够模拟 1000 余台计算机同时执行多项制造网络安全事件的任务,例如大规模的恶意网络攻击。它还拥有大型的恶意软件数据库,可以用于研究和教育等用途。这些能力到年底预计将进一步扩大三倍。 这一新的实验室将为网络安全测试和数据提供即用型工具,便于研究人员利用这些工具来支持其研究。同时,该实验室还将为学生和行业专业人士提供系统漏洞的实践培训。 新加坡网络安全研发计划,是由新加坡政府于 2013 年 10 月提出的。根据该计划,新加坡政府将推动政府机构、学术界、研究机构和私人企业的合作,共同对抗网络攻击。该实验室是新加坡网络安全研发计划的一项倡议,得到新加坡国家研究基金会、网络安全局、内政部和国防部等政府部门和机构,以及学术界、研究机构和企业的支持。这一国家性计划的重点在于推动网络安全研究工作及能力建设,同时,加强数字基础设施建设,特别是在安全性、可靠性和弹性三个方面。 转载自:中国信息产业网 ;作者:付钰 王辉

维基解密报告揭露 CIA 如何攻击 iPhone、Android 等手机和智能电视

维基解密近日公布了一份报告,详细说明了美国政府如何攻击我们许多人每天使用的设备,努力获得自己需要的情报。根据这份报告,CIA 可以攻击 iPhone、iPad、Android 设备、PC、路由器甚至智能电视,如果即使这份报告只有一小部分被证明是准确的,也会有一些严重的隐私和安全隐患。 这份报告证实了大多数人对美国政府绕过电脑软件和移动设备内置安全功能进行攻击的假设。例如,CIA 对运行 Windows、Mac OS、Linux 的电脑有许多“零日”漏洞可以利用。 CIA 已经开发了自动化的多平台恶意软件攻击和控制系统,包括针对 Windows、Mac OS X、Solaris、Linux 等操作系统,如 EDB的 HIVE 和相关的 “Cutthroat” 和 “Swindle” 工具。 该报告还详细介绍了 CIA 的技术,允许该机构使用安全社区都不知道的零日安全漏洞,渗透,侵扰和控制 Twitter 账户,无论是 Android 版本还是 iPhone 版本甚至三星智能电视都可以被 CIA 用来窃听谈话,无需特工在房间里。针对三星智能电视的攻击是与英国的 MI5 / BTSS 合作开发,这种攻击代号“哭泣的天使“,攻击之后将让目标电视置于“假关闭”模式,让所有者误认为电视在关机状态。在“假关闭”模式下,电视可以记录在房间里的人声对话,并通过互联网发送到一个隐蔽的 CIA 服务器。 维基解密的这份报告甚至暗示 CIA 正在开发可远程控制某些车辆软件的工具,并允许该机构导致车辆发生“事故”,这实际上是几乎检测不到的暗杀。 稿源:cnBeta;封面源自网络

消费者报告计划将网络安全和隐私保护纳入产品打分体系中

消费者报告(Consumer Reports)是一家在美国拥有极高公信力的非营利机构,主要对汽车、厨房电器等产品进行全方位的审查。本周一,该机构已经同数家外部机构进行合作,开发相应的标准来衡量产品是否容易被黑客入侵,以及衡量产品如何保护用户数据,将网络安全和隐私保护纳入到现有的产品打分体系中。 消费者报告将会逐步实施新的方法,从少量产品评估中开始测试。该机构的电子测试负责人 Maria Rerecich 在电话采访中表示:“这是一个非常复杂的领域,要达到这个目标需要对类目进行很多的细分。” Craigslist 的创始人 Craig Newmark 表示:“用户的网络安全和隐私对于每个人来说都是至关重要的,因此我们迫切需要这样具备公信力的衡量标准。” 稿源:cnBeta;封面源自网络

美国曾试图利用网络攻击阻止朝鲜核计划

2014 年美国时任总统贝拉克·奥巴马下令,用网络战和电子战手段破坏朝鲜试射弹道导弹。这一报道的信源是一些时任和现任美国政府官员,以及大量“不引人注意”的公开消息。报道说,奥巴马认定美国采用“硬杀伤”方式的导弹防御系统无法确保美国不受导弹攻击。在近乎理想状态下,美国导弹防御系统拦截测试的失败率仍达到 56%,因而专业人士认为,在实战中,这套防御系统的表现将更差。 因而,奥巴马在 2014 年初决定,进一步采用网络和电子战手段,破坏朝鲜试射导弹。朝鲜 2013 年 2 月实施核试验后,美军就宣布一项计划,在敌方导弹升空前,用网络、定向能武器和电子攻击方式,破坏导弹的电子设备及发射指挥控制系统。 2010 年,伊朗纳坦兹核设施电脑网络遭名为“震网”的病毒攻击,1000 台铀浓缩离心机瘫痪。许多媒体已经披露,这种网络病毒由美国和以色列开发,用以打击伊朗核计划。 按照《纽约时报》的说法,奥巴马下令后,“很短时间内”“大量”朝鲜导弹试射失败。支持对朝鲜导弹项目发动“软”打击的人认为,这类行动发挥了效果,而一些专家质疑,这些试射失败的原因并非美方的网络和电子攻击,而是导弹制造方面的问题。 稿源:cnBeta、新华网;封面源自 cnBeta

俄罗斯背景黑客以公布电子邮件要挟自由团体

根据 Bloomberg 的一份新报告表示,FBI 和私人安全人士指出,最近几个月,至少有 12 个美国自由团体被黑客勒索。黑客向这些团体展示已经被盗的电子邮件或云数据,并且威胁要支付赎金,要么让这些数据公之于众。根据彭博社的数据,赎金数额在 3 万到 15 万美元之间。 彭博名单中只有两个具名团体遭受威胁:美国进步中心和阿拉贝拉合作伙伴。虽然美国进步中心拒绝接受任何此类威胁,尚不清楚可能涉及的其他群体对勒索的反应。 由于涉及金钱,勒索企图通常与网络罪犯相关,而不是情报机构的行。然而,彭博社的消息来源称,这些攻击中使用的许多技术与以前 Cozy Bear 小组采用的技术类似,而后者和俄罗斯情报机构有关。私人网络安全小组以前报告了在选举之后对智囊团和非政府组织的一系列鱼叉式攻击,其中许多攻击也使用了 Cozy Bear 的技术和工具包。 稿源:cnBeta;封面源自网络

为避免公开 Tor 漏洞利用源代码,FBI 竟再次放弃指控儿童色情嫌疑人

两个月里的第二次,为避免公开利用 Tor 漏洞的恶意程序源代码,FBI 放弃起诉另一名儿童色情嫌疑人。 2015 年,FBI 在扣押了运行在暗网的儿童色情网站 Playpen 服务器后,部署 NIT 恶意程序去发现 Tor 用户的真实身份,这些用户可能遍布全世界。美国司法部随后对一百多名美国公民提起了多项诉讼,指控他们持有儿童色情。但在一名儿童色情嫌疑人的辩护律师向法庭提出要求,寻求查看恶意程序的源代码,以了解 FBI 在识别用户身份时是否超出了其权限后,联邦检方放弃了起诉。 在最新这起案件中,联邦检方称披露源代码不是目前的选项。目前代表 FBI 的司法部仍然在起诉 135 名被指访问儿童色情网站的嫌疑人。 稿源:solidot 奇客;封面源自网络

朝鲜使用先进工具监视公民的数字生活

路透社援引美国的一份报告《Compromising Connectivity》报道,朝鲜正使用先进工具监视公民的数字生活。朝鲜允许公民使用手机平板和访问本国网络,但自动审查没有被政府批准的内容,远程监视用户在设备上的行为。 朝鲜严密控制对外部信息的访问,韩国的电视剧和好莱坞电影通过线下的网络在人们之间交换和分享。为了对抗这种行为,朝鲜向其网络中的设备推送了强制性的更新,积极的寻找和删除非法的外国媒体文件。在朝鲜开发的红星(Red Star)操作系统中,软件扫描文档寻找不受欢迎的特定单词或短语,然后删除。生活在中朝边界的朝鲜居民秘密的使用中国的移动通信网络绕过国家控制,联络外界或访问外部信息。 稿源:solidot 奇客;封面源自网络  

中国制 GSM 语音网关存在 Root 权限后门

近日,网络安全公司 Trustwave 发布了一份报告,称在一家名为 DBL Technology(得伯乐科技)的中国公司生产的 GoIP GSM 语音网关中发现了一个隐藏后门(…due to a vendor backdoor…)。该后门存在于设备的 Telnet 服务中,黑客可利用其身份验证机制上的漏洞获取具有 root 权限的 shell。事实上,这也不是国产设备第一次被发现留有后门,如之前我们报道过的锐嘉科与上海广升。 DBL Technology(得伯乐科技有限公司)是一家位于深圳的通讯设备生产商,主要产品包括 GSM 语音网关,IP 电话网关,企业级软交换等,多用于电话公司及 VoIP 服务商。 具体来讲,该系列网关在产品文档里向用户提供了两个可用于 Telnet 登录的帐号:“ctlcmd” 与 “limitsh”。这两个帐号提供有限的权限,且可由用户自行更改密码。然而这次的问题出在第三个帐号:“dblamd” 身上。据 Trustwave 分析,该帐号未被列入产品文档,可能仅用于测试阶段。“dbladm”具有 root 级别的权限,并应用了“挑战-响应”(challenge-response)身份验证技术。该验证方式会在用户申请登录后发送一个字符串(即 challenge 信息),然后用户根据自己的密钥或算法加密 challenge 信息再返还给服务器进行验证(即 response)。 但 Trustwave 的安全研究团队表示,该机制较容易被破解利用。负责向用户发送challenge 的代码就位于设备 ROM 中的 “sbin/login” 下,通过对这些代码的逆向分析,安全人员发现只要有 challenge 的值,黑客就可以计算出对应的 MD5 哈希值,做出 response,完成登录。而 challenge 完全可以通过一些自动脚本获取。一旦完成以上步骤,黑客就会拥有对设备的完全控制,可以监听流量,或利用其发起 DDoS 一类的攻击。 代码拆解后得到的结果 Trustwave 在去年 10 月 13 日向厂商报告了此问题,随后厂商在 12 月 22 日发布了固件更新版本。但是经过查证,更新后的设备依然存在同样的问题,只不过机制稍微复杂了一些。Trustwave 在报告中如此评论: “似乎 DBL Tek 的工程师并没有认识到问题的关键在于该认证机制上存在的缺陷,而不是它是否容易被逆向的问题。” 据称,目前受到影响的网关版本为:GoIP 1,4,8,16和32(Trustwave 开始只测试了 8 通道的 GoIP GSM 网关,但由于该系列其他型号具有同样的认证算法,据推测可能也受到影响。) 系列回顾 2016 年 2 月,Pen Test Partners 的研究人员发现中国厂商 MVPower生产的 DVR 中存在类似的隐藏后门; 同一周,Risk Based Security 发现中国厂商 RaySharp 生产的 DVR 中存在同样问题; 2013 年 11 月,浙江大华 DVR 设备被曝后门与认证绕过问题; 安卓设备方面,去年秋天上海 Adups Technology(广升信息技术有限公司)和 Ragentek Group(锐嘉科)安卓组件中的后门; 转载稿源:FreeBuf ,参考来源:bleepingcomputer,译者:FB 小编 cxt

安全专家发现 Uber 漏洞允许乘客坐车免单

据科技博客 TechCrunch 报道,美国一名安全专家早前发现了打车应用 Uber 上存在一处安全漏洞,不仅是这名安全专家本人,即使是发现了这一漏洞的任何用户,都可以在全球各地乘坐 Uber 后直接免单走人。不过,现 Uber 已经成功修复了这一漏洞。去年 8 月,电脑安全专家阿南德·普拉卡什(Anand Prakash)首先发现了这一漏洞,并通过 Uber 公司的“漏洞赏金”项目告知对方。 Uber 在获悉该情况后,立即组织安全专家普拉卡什等人在美国和印度两地对该漏洞展开测试。测试结果正如预期:利用该漏洞,普拉卡什成功在两地免费使用了 Uber 共乘服务。 此次公布的安全漏洞在去年 8 月份发现并及时得到修复,但普拉卡什直至本周才将其公之于众。“利用该漏洞,攻击者可以使用自己的 Uber 账户进行无限制的免费乘坐,”普拉卡什在一篇博客中描述该漏洞时表示。普拉卡什甚至发布了一小段视频,演示如何利用 Uber 漏洞进行免费坐乘。 Uber 公司一位发言人对此表示:“Uber 设置的‘漏洞赏金’项目,旨在与全球安全研究人员共同修复安全漏洞,即使这些漏洞没有直接影响到我们的客户。我们感谢阿南德的持续贡献,对他提交的卓越报告,我们乐于对其进行奖励。”在 Uber 的“漏洞赏金”项目排名中,普拉卡什排第 14 位。据悉,除 Uber 外,普拉卡什还经常向 Twitter、雅虎等其他公司提交漏洞报告。 点击了解更多 anandpraka.sh 稿源:cnBeta、凤凰网科技 节选;封面源自网络