内容转载

= ̄ω ̄= 内容转载

美国国家安全局表示现在还不是成立美俄网络安全联盟的最佳时机

美国总统川普和俄罗斯总统普京曾在之前的会晤时共商成立美俄网络安全联盟的事宜,但是美国国家安全局执行官迈克·罗杰斯对此举表示反对。考虑到美俄之间微妙的外交关系、俄国操控美国大选的传言以及川普对自己和俄罗斯关系的不断否认,迈克对于联盟的反对有些出人意料。他表示现在并不是成立该联盟的最佳时机。 在上周出席的一场安全论坛上,他对于美俄两国网络安全联盟的问题回应道,尽管我不负责决策,但是我认为现在并不是成立联盟的最好时机。 不过考虑到美俄两国之间的利益,是否有合作的时机还尚不明朗,我们也无法确认两国元首对于此项提议讨论的严肃和细节程度。甚至连川普本人都表示我和普京讨论过这个联盟并不意味着它一定会成立。 稿源:cnBeta.com,封面源自网络

科学家正在使用 Wi-Fi 和人工智能来确定人类情绪状态

据外媒报道, 麻省理工学院的科学家正在使用 Wi-Fi 和人工智能(AI)来确定人类的情绪状态。他们已经创建了一种算法,可以通过反弹射频(RF)信号来检测和测量人类心率。与算法相结合的射频信号发射器的工作方式与心电监测仪类似。 这是使用我们目前在家用路由器中采用的相同技术完成的。其中最显着的部分是机器学习可以进入科学家们所说的 EQ Radio。人工智能接收的信息必须与标准心电监测仪不同的处理方式进行处理。EQ Radio 设备在接收这些反弹的射频信号后,就会使用特殊的算法,在分析讯号之后就能推测人们的心率状态。 正如科学家指出的那样,这种技术可以做的不仅仅是利用人们的心率来确定情绪状态:“我们设想,这一结果为在情感认知情景下和非侵入性健康监测和诊断的情景下了解心跳形态的研究铺平了道路。” 稿源:cnBeta.com,封面源自网络

iPhone 5s 的 iOS 10 Bootchain 密钥已经被破解并发布

iPhone 5s iOS 10 bootchain 已经被破解, xerub 已经共享了 iPhone 5s iOS 10 bootchain 密钥,以后他还会共享更多东西,那么这意味这什么呢?bootchain 是苹果用于确保 iOS 设备上执行的代码都是合法的。也就是说如果你将某些不属于 iPhone 的验证版 iOS 的东西添加到 iPhone 上,设备可能会崩溃,或者停止工作,这是设备上的那条“链”被打破了。 这个过程就是越狱这有意打破“链条”, bootchain 密钥就是由此而来。 不过仅仅有 bootchain 密钥还不能降级或越狱设备。它最大的作用就是给越狱者提供了多一种办法,让他们能找到新的可用的漏洞。至少对于越狱者来说,这是条好消息。当能够通过它找到新的漏洞,进而实现越狱就好了。 最近几年苹果 iOS 系统的安全性越来越高,可用的越狱已经越来越少。比如今年很多用户从 iOS 10.3 开始等待越狱社区发布新的越狱,可如今系统已经更新到 iOS 10.3.3 版本了,可用越狱还是不见踪影。 在这里我们想提醒用户的是,也许越狱会给你带来一定便利,但越狱也会让你承受相应的风险,还请你好好权衡,看是否需要升级到最新版 iOS,还是死守较低版本 iOS 等待越狱。 了解更多: http://www.redmondpie.com/firmware-decryption-keys-for-all-a5-rev-a-s5l8942-devices-released-heres-what-that-means/ 稿源:cnbeta.com,封面源自网络

Google 更新 Android 版 Samba 客户端:禁用 SMBv1、支持 SMBv3

当 Google 于两周前突然发布 Android 版 Samba 客户端的时候,并没有引发太多人的关注。借助它,用户可以方便地挂载 Windows 共享和移动文件。然而由于仅支持 SMBv1 协议,使得它难以成为一个理想的解决方案 —— 早在今年早些时候,Shadow Brokers 就爆料 NSA 已经发现了该协议中的漏洞,后续它又被 WannaCry、Petya、NotePetya 等勒索/恶意软件所滥用。 好消息是,Google 终于在今天放出了新版 Samba 客户端,禁用掉了 SMBv1 协议、并且启用了对 SMBv2 和 SMBv3 的支持。新版协议提供了额外的安全性,且不包含 SMBv1 中相同的漏洞。 考虑到这是一款在 GitHub 上开源的客户端,其实大家早在一周前就已经采取了行动,只是 Google 刚刚将它搬到 Play Store (传送门)。 [编译自:Neowin , via:GitHub] 稿源:cnBeta, 封面源自网络

微软以全新方式对付俄罗斯黑客 Fancy Bear

微软已经采取措施削弱俄罗斯联邦格鲁吉亚黑客团伙 Fancy Bear 能力。Fancy Bear 有时与俄罗斯秘密军事情报机构联系在一起,被认为是去年黑掉美国民主党电子邮件账户的主要力量。自 2007 年以来,Fancy Bear 一直在进行网络间谍活动,入侵过北约、奥巴马白宫、法国电视台、世界反兴奋剂机构和无数非政府组织以及欧洲、中亚和高加索地区的军事和民间机构。 美国情报调查结果显示,Fancy Bear 在去年针对民主党全国委员会和希拉里克林顿电子邮件账户的行动,是莫斯科帮助唐纳德 · 特朗普赢得白宫努力的一部分。然而,微软并未利用反黑客人员通过命令提示符代码与黑客进行斗争。其微软一直在慢慢地通过起诉案件,将 Fancy Bear 带入法庭,没收属于 Fancy Bear 的几十个域名。 目前,微软已经设法获得了 70 个原本属于 Fancy Bear 的域名,这些域名曾经用来制造恶意行为,例如在电脑上注入恶意软件,并将虚假信息扩散到社交媒体网站。此外,被微软控制的域名,允许微软在其上设置拦截点,因为 Fancy Bear 的服务器网络将信息中继到现在微软控制的域名和网站,现在微软成为中间人,使其能够在观察外国攻击或黑客攻击的各种计划和行为。 稿源:cnBeta;封面源自网络

苹果 iOS 曝 8 处底层漏洞:安全神话进一步破碎

据 ZDNet 报道,以色列移动安全公司 Zimperium 研究员 Adam Donenfeld 近日公布了苹果 iOS 存在 8 处安全漏洞,允许攻击者完全控制 iOS 设备,从而获得该设备的 GPS 数据、照片和联系方式等用户信息或进行 DoS 攻击。 调查显示,其中一处漏洞编号 CVE-2017-6979 是在 IOSurface 内核扩展中找到的。这一 “ 竞争条件 ” 漏洞可允许攻击者绕过 IOSurface 对象创建安全性检查。如果遭到利用,这一安全漏洞将允许本地特权提升或拒绝服务。 剩下的 7 个漏洞则是在 AppleAVEDriver.kext 驱动中找到的。其中漏洞编号 CVE-2017-6989 和 CVE-2017-6995 可用于删除内核中任意 IOSurface 对象的引用计数或发送被内核当做指向有效 IOSurface 对象的任意内核指针。两个漏洞中,任意一个都可以被攻击者利用来进行特权升级。 另外 5 个漏洞编号 CVE-2017-6994、CVE-2017-6996、CVE-2017-6997、CVE-2017-6998 以及 CVE-2017-6999 也均在 AppleAVEDriver.kext 驱动中找到。所有这些安全漏洞都会导致特权提升、拒绝服务或信息泄露。 稿源:新浪科技、快科技;封面源自网络

复苏有望:黑莓可向美联邦政府出售加密消息工具

据路透社报道,黑莓于本周四( 7 月 20 日)表示,该公司已赢得向美国联邦政府出售加密语音通话与消息工具的权利,而这些工具也获得了美国国家安全局(NSA)的认可。 黑莓表示,该公司已经获得了美国国家安全局下属国家信息安全保障合作组织(以下简称 “ NIAP ” )的认可,该组织对商用科技产品进行审核,以确定它们是否能满足供政府使用的增强版安全标准。 NIAP 还曾向黑莓竞争对手开发的工具颁发过相关认证,比如苹果和三星电子,这些竞争对手在消费类智能手机的较量中曾经击败过黑莓。近年来,有关对不法分子正在窃听政府通信的担忧急剧上升,比如在 2014 年初,一位美国国务院高级官员和美国驻乌克兰大使之间的未加密手机通话就遭到窃听,谈话内容被发布到网上。 可供美国联邦政府使用的黑莓工具是基于 Secusmart 技术打造,Secusmart 是德国的一家创业公司,在 2014 年被黑莓收购。在一位美国情报机构前承包商宣称德国总理安吉拉·默克尔(Angela Merkel)的手机遭到美国国家安全局的窃听后,Secusmart 赢得一项政府合同,专门向默克尔提供手机产品。 德国检察官在 2015 年放弃了对有关默克尔手机遭窃听说法的调查,称他们并未发现足够的证据以继续推进这项调查。黑莓表示,欧洲、拉美、东南亚和非洲等地区的 20 个国家的政府机构都在使用该公司的加密语音与消息产品。德国也是黑莓公司最大的政府客户。 稿源:cnBeta、网易科技;封面源自网络

以太坊钱包客户端 Parity 遭黑客盗取三千万美元

未知黑客利用以太坊钱包客户端 Parity 漏洞从多签名钱包中窃取超过 15.3 万以太坊,价格三千万美元。目前,该漏洞影响 Parity 1.5 及之后的版本。 Parity 1.5 于今年 1 月 19 日发布,其多签名钱包是指多个用户使用自己的私钥控制以太坊账号,需要在多数人使用私钥签名后才能转移资金。攻击发生后立即被 Parity 发现并发出警告。 据悉,被窃取的以太坊储存在地址 0xB3764761E297D6f121e79C32A65829Cd1dDb4D32。目前,攻击者已成功转出 5 万以太坊,并将其分散到更多账号。此外,The White Hat Group 组织在攻击发生后利用相同漏洞提取出未被黑客盗出的以太坊,储存在地址 “0x1DBA1131000664b884A1Ba238464159892252D3a ,该地址目前有 37.7 万以太坊,价值超过八千万美元。知情人士透露,该组织由安全研究人员和以太坊项目成员组成,他们表示此举是为保护资金的安全,会在攻击后退还给原拥有者。 稿源:solidot奇客;封面源自网络

Segway 平衡车 App 远程被黑:夸张到让骑行者随意栽倒

平衡车也能被黑?这事儿真发生了。据外媒报道,研究机构 IOActive 的实验人员通过使用修改版本的 UART,黑入平衡车的蓝牙通讯系统,达到控制系统、调整设置目的。 此次被黑产品是赛格威 miniPRO 平衡车,入侵者可以远程通过手机对平衡车进行定位,甚至急刹或者让骑行者栽倒等。 不过,ZDNet 称,Segway 和其母公司 Ninebot 已经收到 IOActive 的漏洞报告,并在新版 APP 中修复了 BUG。 稿源:cnBeta、快科技;封面源自网络

工信部成立安卓统一推送联盟,结束混乱状态

继整治安卓手机预装应用之后,工信部旗下的中国信息通信研究院泰尔终端实验室又宣布,将成立 “ 安卓统一推送联盟 ”,打击安卓系统和应用消息推送的混乱状态。泰尔实验室表示,将在国内联合多家厂商,制定安卓统一推送服务( Unified Push Service/UPS)技术标准,旨在为国内的安卓消息推送服务建立统一的标准,为终端用户提供更好的使用体验,同时为应用开发者更好解决消息推送需求。 据悉,在新标准下,安卓手机接收到消息后,无需频繁唤醒应用,从而能够大大减轻对用户的骚扰,并节省手机内存、电量,体验更接近苹果 iOS。目前,该标准已经进入厂商招募阶段。 泰尔实验室近期放出英雄帖,邀请安卓生态业内公司,参与安卓统一推送联盟,从事与安卓产业相关的服务或开发的产业人士、运营商、设备制造商均可参与。据了解,华为、OPPO、vivo、小米、三星、魅族、金立、nubia、Google 等手机厂商,百度、阿里巴巴、腾讯等互联网厂商,个推、极光等推送技术服务商,都已经加入了 UPS 标准的制定工作,自然最有希望成为安卓统一推送联盟的第一批会员。 稿源:cnBeta、快科技;封面源自网络