内容转载

= ̄ω ̄= 内容转载

雅虎信息泄露元凶揭晓,美司法部起诉四名俄罗斯黑客

据外媒(CNET)报道,美国司法部于周三指控四名黑客涉嫌发动对雅虎的网络攻击并窃取信息。其中两名黑客被指认为俄罗斯联邦安全局下属间谍,另外两位被认为是雇佣罪犯。间谍雇佣黑客发动技术攻击,以求获得有关政治人物的丑闻信息。四人被控以电信诈骗、盗取商业机密和经济间谍罪名。加拿大黑客 Karim Baratov 于本周二被捕。其他三名俄罗斯黑客或将受保护免受引渡。 “(俄罗斯)联邦安全局的参与加剧了事情的严重性。”代理助理检察长麦克考德(Mary McCord )在星期三的新闻发布会上说。“外国支持发动的犯罪行为不能逍遥法外。” 这些起诉可视为美国方面对雅虎信息泄露事件作出的阶段性回应。雅虎公司在去年 9 月份公布了一起发生在 2014 年的黑客攻击。三个月后雅虎再次公布另一起发生在 2013 年的攻击造成 10 亿账户资料泄露。联邦调查局在历时两年的调查中发现,俄罗斯间谍 Dmitry Dokuchaev 和 Igor Sushchinof 涉嫌攻击雅虎服务器,窃取美国政府官员、俄罗斯异见人士和记者的信息。两位间谍将窃取的信息交予 Baratov 和 Aleksey Belan。 雅虎受到的攻击是美国有史以来处理过的最大规模黑客事件。四名黑客使用多种技术来收集被入侵账户的资料,手段包括“鱼叉式钓鱼攻击”,注册成千上万假电子邮件欺骗用户,并从雅虎网络上下载恶意软件。 雅虎称 2014 年的黑客攻击是国外政府支持的行动,不过并未指明是哪个国家。虽然用户的财务信息和明文密码是安全的,但用户名、邮件地址、电话号码、出生日期、加密密码以及某些情况下的安全问题与答案都被黑客窃取。 目前,美国证券交易委员会正就雅虎是否有意拖延报告两起黑客事件对雅虎公司进行调查。 稿源:cnBeta,有删减,封面源自网络

2017 Pwn2Own 黑客大会:macOS 和 Safari 被攻破

第十七届年度 CanSecWest 安全会议正在加拿大不列颠哥伦比亚省温哥华市中心举行,研究人员正在竞争夺取 10 周年 Pwn2Own 计算机黑客大赛的冠军,并获得获得超过 100 万美元的奖金。第一天的结果已经在“零日计划网站”上公布。 独立黑客 SamuelGroß 和 Niklas Baumstark 取得了成功,并获得了 2.8 万 美元将近。 黑客们成功的通过 Safari 浏览器的漏洞在 macOS 上获得了 Root 权限,并在 Touch Bar 版 MacBook Pro 上滚动显示信息。同时,Chaitin 安全实验室也攻破了 Safari,并在 macOS 系统获得了 Root 权限。他们在破解过程中找到了 6 个 Bug,并获得了3.5万美元奖金。 参加 Pwn2Own 黑客大会的团队们第一天一共拿到了23.3万美元奖金,其中腾讯安全团队拿到了10.5万美元奖金。 腾讯安全战队代表中国,与美国、法国、韩国、澳大利亚等 11 支国际安全战队过招。截至目前,第一天的各项比赛结果已经尘埃落定,腾讯安全战队 10 秒首破微软 Edge 浏览器,并 3 秒完美攻破了AdobeReader ,获得共计 10.5 万美元奖金,以总分 16 分领跑首日积分榜。 其他成功被攻破的软件包括 Adobe Reader、Ubuntu 桌面版和 Windows 系统的微软 Edge 浏览器。苹果公司代表也参加了这次黑客大会,被发现的安全漏洞将很快被苹果修复。 稿源:据 cnBeta、21cn 整理;封面源自网络

美国空军被曝使用未加密硬盘致机密数据暴露

(原标题:美一中校被曝使用未加密硬盘致机密数据暴露在外) 据外媒报道,近日,MacKeeper Security Researchers 披露,美国空军一备份硬盘由于未得到任何的加密安全措施导致储存里面的上 GB 的文件完全暴露在外面。也就是说,任何网络用户都能访问这些文件。 在这些文件中储存着 4000 多名高阶军官的敏感个人资料,包括名字、家庭住址、军阶甚至社保号码。该硬盘下的另一个文件还列出了上百名军官的安全通关证级别,当中不乏一些拥有“顶级机密”级别的安全通关证。这将极可能是这些官员成为黑客的攻击对象。其他一些电子表格则存有大量该部门职工及其配偶的个人信息和其他敏感数据等。 MacKeeper 报告指出,这个不安全的硬盘属于一位中校。不过该机构安全调查员 Bob Dianchenko 已经通知当事人并做了安全处理。MacKeeper 安全研究员表示,最让他们感到震惊的是里边的一张公开调查电子表格,里边含有涉案人员的名字、军阶、住址以及详细的指控说明。其中一些指控源自歧视,还有一些部源自性骚扰或更严重行为。此外,还有一份文件包含了国防部信息系统对加密密匙恢复的指导信息。 目前还不清楚除了 MacKeeper Research Team 之外是否还有其他机构或个人访问过这一未加密的硬盘。 稿源:cnBeta,封面源自网络

关注网络隐私,但九成网民不知如何捍卫自己的隐私

伴随着棱镜监控丑闻的曝光以及日益猖獗的数据窃取事件,消费者对于隐私和安全的关注度不断提高,然而根据 Mozilla 的最新调查结果显示,大部分用户并不知道如何去捍卫自己的隐私。在对 3 万网民的调查中,发现超过三分之一的用户并没有掌控他们的在线信息,只有三分之一的用户对“加密”一知半解。 Mozilla 在文章中写道:“我们在多个平台上使用重复的密码,我们使用已经过期停止支付的软件,我们愿意为了免费的团购券去交换我们的私人信息。如果这种粗心搬到物理世界,那么我们的钱包可能会被随意窃取。甚至于邻居都更了解你自己。调查结果显示 90%  的用户并不知道如何去捍卫自己的网络隐私,Mozilla 表示最佳的第一步就是确保所有的软件保持最新状态。此外,Mozilla 推荐消费者在使用 Firefox 或者其他浏览器上网的时候,使用隐私模式。 稿源:cnBeta;封面源自网络

科学家用人工智能技术优化量子计算机性能

人工智能和量子计算机都是当前科技界的热门领域,科学家也在尝试将两者结合应用。一个国际研究团队 13 日在英国《自然·物理学》期刊上报告说,他们利用人工智能技术对量子计算机和量子体系进行了有效学习和验证,这有助于解决中大规模量子计算机发展中的一些难题。 量子计算机是一类遵循量子力学规律进行高速数学和逻辑运算、存储及处理量子信息的物理装置。当前,谷歌、IBM、微软等科技公司都在这一领域投入大量资源进行研发。 然而,如何有效校准大规模量子计算机,以及如何验证量子计算机的计算结果,是一个困扰科研人员的难题。为此,英国布里斯托尔大学的研究人员与美国、荷兰的同行合作设计了一套方法来解决这一问题。 报告第一作者、布里斯托尔大学学者王剑威告诉新华社记者,通过借助人工智能技术,可以使量子计算机自动学习和仿真其他复杂的物理、化学量子体系,也可以实现对量子计算机的自校准评估。“人工智能使普通计算机和量子计算设备更好地交互,形成一个混合计算机运算体系,从而实现对量子计算机的操控和优化”。 报告介绍,这一新方法利用人工智能中的经典贝叶斯算法,有效实现对量子计算机的校准和验证,以及对未知量子体系的哈密顿量演化过程的学习和验证。这一技术突破将有效推动中大规模量子计算机的研发、制造和验证。 报告作者之一、微软“量子体系结构和计算研究小组”成员内森·维贝说,人工智能将在校准和验证大规模量子计算机中发挥关键作用,并对利用量子计算机来深入理解和控制复杂量子系统至关重要。 稿源:cnBeta、新华社,封面源自网络

证据显示:美国政府使用的恶意软件多年保持攻击力

兰德公司公布了最新报告,这份报告有助于揭示美国政府的恶意软件库,包括其所谓的“零日”漏洞库存数量和攻击力。“零日”漏洞即攻击电脑,智能手机和其他数字设备所使用的尚未公开的安全漏洞。该报告还提供了这些“零日”漏洞持久保持攻击力的证据。研究结果特别令人感兴趣,因为外界对美国政府使用“零日”漏洞细节所知甚少,官员长期以来拒绝公布“零日”漏洞数量和使用情况。 兰德的报告是基于所谓访问一个“零日”漏洞贩卖公司的数据库做出,这家公司在“灰色市场”上向政府和其他客户出售这些在“零日”漏洞,当天兰德研究人员看到的“零日”漏洞集合包包含大约 200 个“零日”漏洞,- 大约是一些专家认为美国政府拥有“零日”漏洞的数量。 兰德发现,这些漏洞的平均寿命为 6.9年,然后政府相关机构才会将每个目标的漏洞披露给软件制造商,或者在供应商升级代码之前,不经意地消除了安全漏洞。一些漏洞幸存下来的时间甚至比这更长。约 25% “零日”漏洞寿命为十年或更长。但是另外 25% 的“零日”漏洞在不到 18 个月就通过软件升级进行修补。 稿源:cnBeta,封面源自网络

已知漏洞隐患:数十万网站仍在使用老旧的 JavaScript 库

美国东北大学研究人员在对超过 13.3 万个网站进行分析后发现,竟然有超过 37% 的站点仍在使用至少包含一个已知公开漏洞的 JavaScript 库。研究人员早在 2014 年就意识到了这点 —— 加载过时的 JavaScript 库,存在被黑客利用的潜在安全隐患(比如 jQuery 和浏览器 AngularJS 框架)。他们在一篇新报告中指出,在适当的条件下,这些漏洞会变得极其危险,比如指向一个老旧的 jQuery 跨站脚本 bug(攻击者可借此向受害站点注入恶意脚本)。 研究人员们随机查看了 Alexa 排名前 7.5 万的站点(以及 7.5 万个随机 .com 域名),统计到了有 72 个不同的 JS 库版本 —— 87% 的 Alexa 站点(以及 46.5% 的 .com 站点)使用了其中一个。 研究发现,36.7% 的 jQuery、40.1% 的 Angular、86.6% 的 Handlebars、以及 87.3% 的 YUI 存有漏洞隐患;此外还有 9.7% 的站点包含 2 个(及 2 个以上的)漏洞库版本。 万幸的是,热门站点在这方面做得相对更好(用漏洞库的比例低很多),Top 100 Alexa 站点中只有 21% 躺枪。但遗憾的是,只有少量站点(2.8% 的 Alexa、1.6% 的 .com)可以通过免费补丁进行更新修复,因为大版本的跃迁(比如从 1.2.3 到 1.2.4)可能会无法向后兼容。 稿源:cnBeta;封面源自网络

互联网之父谈假新闻问题:令人愈发担忧

据外媒报道,近日,“互联网之父”蒂姆·伯纳斯·李 (Tim Berners-Lee) 在最新发表的一封公开信中谈了谈自己对眼下非常普遍的假新闻的看法。伯纳斯·李表示,这种情况令他愈发担忧。这并不是伯纳斯·李首次公开谈论由其在28年发明的互联网所存在的问题,先前他讨论过政府监控、网络言论自由以及关闭互联网等问题。 现在,最困扰他的 3 大互联网问题有: ① 人们开始失去了对个人数据的控制权; ② 在社交媒体平台和搜索引擎传播的错误信息和“假新闻”; ③ 网络政治广告,伯纳斯·李认为这一领域需要更高的透明度和理解。 伯纳斯·李在公开信中指出,假新闻就像是野草一样非常容易在网络的世界里生长。 “我们必须要通过鼓励像 Google、Facebook 等这些把关平台继续努力应对这一问题来抵制错误信息,与此同时还要避免决定何为‘真实’何为‘虚假’的机构产生。” 此外,这位互联网先锋者还呼吁这些平台能将它们的算法更加透明化,这样民众才能更好地明白网络新闻对作出重要决定时所带来的巨大影响。同时,伯纳斯·李还号召网友对这些网络公司、政府施压进而获得更加健康的网络新闻环境。 公开信全文查看,请戳这里。 稿源:cnBeta;封面源自网络  

谷歌、微软还未从维基解密那里得到 CIA 网络攻击工具信息

外媒报道,自朱利安·阿桑奇承诺将对外公布 CIA 网络攻击工具已经过去几天。而据知情人士透露,截止到周六早上(美国时间),谷歌和微软都还没有从维基解密那里收到任何文件。 据了解,虽然谷歌官方没有对此事作出回应,但据两位消息人士披露,公司的安全部门未得到来自维基解密的联系。其中一位消息人士称,现在他们都开始怀疑这只是维基解密的一次公关活动,而不会采取进一步的实质性动作。 微软方面对此则做出了回应。该家公司的发言人指出,他们看到了阿桑奇发表的声明,但到目前为止维基解密还没有联系他们。另外,该名发言人还补充称,任何知道安全漏洞–无论是 CIA 掌握还是维基解密掌握的漏洞–的人最好将已知信息发送到 secure@microsoft.com 邮箱。 对此,维基解密还未作出回应。 稿源:cnBeta,封面源自网络

美国监管机构发布社交媒体监控工作新报告

美国国土安全部的监察长对外公开了关于监控社交媒体工作的最新报告,对最近开展的三项针对入境美国访客的社交媒体监控项目情况进行汇报,监察长在报告中评估了这些项目的准确度是否能够持续下去,该部门已经针对监控的准确度制订了若干准则,报告指出需要在未来提供更明确的监控目的。 其中一个项目包括,海关和移民服务机构使用由 DARPA 开发的一套“社交媒体监控平台”系统来手动监控入境访客,报告中的另一个项目指出,海关和移民执法机构配备了一套自动化监控工具,用来扫描非移民 Visa 签证入境者的社交媒体账号。此外今年夏天,美国海关开始要求入境访客填写一张可选表格提供社交账号,2 月份该要求扩展适用至中国访客。 对于社交媒体的监控和检查项目随着特朗普政府日渐激进的移民政策,受到越来越多的争议性批评。更加严格的手段可能会在未来部署,国土安全部秘书长 John Kelly 提出建议要求访客强制提供账户密码,近日自由民权组织发表了公开信,指责该政策为“对基本宪法权利的直接侵犯”。 稿源:cnBeta,封面源自网络