内容转载

= ̄ω ̄= 内容转载

卡巴斯基修复四年老漏洞 注入 HTML 源码的唯一标识符会泄露用户隐私

多年来,卡巴斯基反病毒软件一直在各项安全测试中名列前茅。然而近日曝出的数据泄露事件,竟使得第三方能够长期监视用户的网络活动。德国网站 Heise.de 编辑 Ronald Eikenberg 指出,在其办公室电脑上的一个奇怪发现,让他知晓卡巴斯基反病毒软件造成了惊人的数据泄露。 (题图 via Heise.de) 作为 c’t issue 3 / 2019 测试第一部分,小编会定期对反病毒软件进行测试,以观察其是否履行了企业所声称的安全承诺。 在刚开始的几周和几个月,事情似乎波澜不惊 —— 卡巴斯基软件的表现,与 Windows Defender 基本相同或差强人意。 然而忽然有一天,Ronald Eikenberg 在查看了任意网站的 HTML 源码后发现,卡巴斯基竟然为其注入了如下代码: <script type=”text/javascript” src=”https://gc.kis.v2.scr.kaspersky-labs.com/9344FDA7-AFDF-4BA0-A915-4D7EEB9A6615/main.js” charset=”UTF-8″></script> 显然,浏览器正在加载来自 Kaspersky 域、名为 main.js 的外部 JavaScript脚本。尽管 JS 代码并不罕见,但当深入查看浏览器中显示的其它网站的 HTML 源码时,几乎都有同样奇怪的发现。 毫无意外的是,Ronald Eikenberg 竟然在个人网银网站上,也查看到了来自卡巴斯基的脚本。因此其断定 —— 这件事可能与卡巴斯基软件有些关联。 为了验证,Ronald Eikenberg 尝试了 Mozilla Firefox、Microsoft Edge、以及 Opera 浏览器,结果发现相同的代码随处可见。 鉴于没有安装可疑的浏览器扩展程序,他只能简单理解为是卡巴斯基反病毒软件在操纵当前的网络流量 —— 在未获得用户许可的情况下,卡巴斯基僭越了! 在此事曝光前,许多人可能只会在网银木马类恶意软件上观察到这种行为,以图窃取或篡改关键信息(比如悄悄地变更了网银转账的收款方)。现在的问题是 —— 卡巴斯基你到底在干嘛呢?! 经过对 main.js 脚本展开的一番分析,可知卡巴斯基会在判别某个‘干净’网站链接后,在地址栏显示带有谷歌搜索结果的绿色图标。 然而还有一个小细节 —— 加载卡巴斯基脚本的地址,也包含了一段可疑的字符串: https://gc.kis.v2.scr.kaspersky-labs.com/9344FDA7-AFDF-4BA0-A915-4D7EEB9A6615/main.js 链接加粗部分,显然属于某种“通用唯一标识符”(UUID)。但是作为一款计算机安全软件,卡巴斯基要拿这串字符去识别或追踪谁呢? 扩展扩展验证,Ronald Eikenberg 在其它计算机上也安装了卡巴斯基软件,发现它确实会向其它系统同样注入 JavaScript 代码、并且留意到了一个至关重要的区别。 源地址中的 UUID,在每台系统上都是不一样的。这些 ID 属于持久性的标识,即便过了几天也不会发生改变。显然,每台计算机都会拥有自己的永久分配 ID 。 而将这串 UUID 直接注入每个网站的 HTML 源码,绝对是一个糟糕头顶的主意。因为在网站域上下文环境中运行的其它脚本,都可以随时访问整个 HTML 源,甚至读取卡巴斯基这串 UUID 。 这意味着任何网站都可以读取并追踪卡巴斯基软件用户的网络 ID,只要另一个网站检测到了同一字符串,就能认定其访问源来自同一台计算机。 基于这种假设,卡巴斯基显然是打造了一套危险的追踪机制,甚至比传统的 cookie 更加极端 —— 就算你切换了浏览器,也会被追踪并识别到在使用同一台设备、让浏览器的隐身模式形同虚设。 为避免更多用户陷入风险,c’t 决定立即向卡巴斯基通报这一发现、并且迅速得到了对方的答复,称其已着手调查此事。 大约两周后,卡巴斯基莫斯科总部对这一案例进行了分析,并证实了 c’t 的这一发现。 该问题影响所有使用 Windows 版卡巴斯基安全软件的消费者版本,从入门机的免费版、互联网安全套装(KIS)、直至全面防护版(Total Security)。 此外,卡巴斯基小企业安全版(Small Office Security)也受到了该问题的影响,导致数百万用户暴露于风险之中。 Heise.de 调查显示,卡巴斯基从 2015 年秋发布的“2016”系列版本中引入了该漏洞。但既然普通网友都能在无意间发现这个漏洞,包括营销机构在内的第三方,也极有可能早就展开了野外利用。 即便如此,卡巴斯基仍表示这种攻击过于复杂,因此发生的概率极低,对网络犯罪分子来说有些无利可图。 然而 Heise.de 并不赞同该公司的说法,毕竟许多企业都在努力监视每一位网站来访者,这个持续四年的漏洞,很有可能是其展开间谍活动的一个福音。 万幸的是,在认识到事情的严重性之后,卡巴斯基终于听从了爆料者的要求,在上月发布了 CVE-2019-8286 安全公告,且相关补丁也已经打上。 当然,为了安全起见,您也可禁用卡巴斯基软件中提供的相关功能: 点击主窗口左下角的齿轮(设置)图标 -> 点击‘其它 / 网络’-> 然后取消‘流量处理’下的‘将脚本注入 Web 流量以与网页交互’选项。 (稿源:cnBeta,封面源自网络。)

文件:去年数据泄露前 FB 未能提醒用户已知账户风险

北京时间8月16日上午消息,据路透社报道,周四提交的一份法庭文件显示,Facebook用户针对2018年发生的一起数据泄露事件,正对这家全球最大的社交媒体网络发起诉讼。这些用户称,公司未能向他们提醒单一登录工具的风险,但却有能力保护公司的员工。 单一登录可以让用户使用Facebook凭据登录第三方社交应用和服务。 该诉讼涉及多项法律行动,源于去年9月发生的公司历史上最严重的一起安全漏洞事故。当时,黑客窃取了登录代码——或“访问令牌”——从而使得近2900万个Facebook账户被非法访问。 “Facebook清楚这些访问令牌的漏洞,但多年来尽管公司有能力却始终未修复该漏洞,”原告在提交给位于加州旧金山的美国北部地区法院的诉状中写道,“更令人震惊的是,Facebook已经采取措施保护自己的员工免受安全风险的影响,却无视大多数用户面临的安全隐患。” 法官威廉阿尔苏普(William Alsup)在1月的时候,告诉Facebook,其愿意允许在本案中采取“bone-crushing discovery”方式,来调查用户数据被窃取的程度。 自最初披露数据泄露事故以来,Facebook几乎没有公开任何细节,仅仅表示“广泛”用户受到影响,但未根据国家分类给出具体数据。 对于另外的1500万名用户而言,受影响程度仅限于姓名和联系方式。此外,黑客可以看到大约40万名用户的帖子和朋友与群组列表。Facebook称,黑客未窃取用户的个人信息或财务数据,也没有访问用户的其他网站账户。 Facebook尚未立即回复评论请求。   (稿源:cnBeta,封面源自网络。)

Facebook 聘请评估员收听语音信息,用户毫不知情

北京时间8月16日早间消息,Facebook本周证实,该公司开展了一项计划,允许承包商收听和转录一些用户的音频剪辑。这家社交网络表示,只有同意将其音频信息转录的人才会受此影响。 这似乎表明用户同意让第三方阅读聊天记录。但从Messenger权限的弹出对话框来看,这种说法并不属实。 在Messenger移动应用中,只要有人发送语音消息,就会立即看到一个提问对话框:“在此聊天中启用语音识别成文本功能?”用户可以选择“否”和“是”两个。Facebook的描述信息是:“显示您发送和接收的语音剪辑的文本。您可以控制每次聊天时文本是否可见。“ 其中并未提到人类参与。即使在专用于理解语音识别成文本的应用的单独信息页面中,Facebook也解释说用户可以在每次聊天中关闭它,并提示人们更多地使用这项功能。“语音识别成文本使用机器学习技术。”该公司说,“你使用这个功能的次数越多,对语音识别成文本就越有帮助。”其中并未阐述机器学习不仅限于软件代码。 包括苹果、亚马逊和谷歌在内的公司一直依赖人类来检查和改进他们的人工智能系统,但却并未告知用户。当科技企业面临的监管形势日益加剧的当下,这一错误可谓十分严重。负责执行欧盟隐私法的爱尔兰数据保护委员会表示,他们正在了解Facebook的转录做法。 斯坦福大学法学院互联网与社会中心的消费者隐私主任詹妮弗·金(Jennifer King)说:“人工智能只是处于可以解释人类对话的水平,”这意味着公司需要依靠监控来为系统训练提供帮助。“但从我的角度来看,最重要的问题是不披露。用户显然不知道这种事情。“ 有关Facebook人类转录计划的报道引起了美国立法者的愤怒,其中一些人已经呼吁加强隐私保护。弗吉尼亚州民主党参议员马克·华纳(Mark Warner)表示,关于Facebook音频收集行为的最新消息,“进一步证明了消费者对他们的数据收集和使用方式的期望与Facebook公司实际所做的完全不同。” 一些隐私律师表示,信息披露不足与公司跟FTC的50亿美元和解协议相冲突。 Fox Rothschild律师事务所首席隐私官马克·麦克雷利(Mark McCreary)表示,“如果没有其他人向用户披露关于人类收听行为的信息,我相信这可能就存在违规。”   (稿源:cnBeta ,文章标题《Facebook 聘请评估员收听语音信息用户知道吗?不知道》,封面源自网络。)

外媒:“有史以来最大规模”的数据泄露事件并不是那么糟糕

据外媒报道,今年年初曾发生一起称为Collection #1的大规模数据泄露事件,包含了7.73亿电子邮件地址和2100多万个唯一密码。外媒曾称其为“有史以来遭泄露的最大数据集”。而过去类似的大规模数据泄露事件也经常发生。例如,在2016年,有大约4.27亿个MySpace密码和1.17亿个 LinkedIn密码在暗网上出售。 外媒认为,如果仔细阅读所泄露的数据,与过去的其他大规模数据泄露事件相比,Collection #1事件实际上并没有那么糟糕。根据首次报告和分析它的安全研究员 Troy Hunt 的说法,这个数据集包括7.73亿个唯一的电子邮件地址和2100万个唯一密码。 但这里有一些关键的因素。首先,这是几个旧数据泄露的集合。事实上,在这个系列中的7.73亿个唯一的电子邮件地址中,只有1.41亿(约18%)未包含在 Hunt的“ Have I Been Pwned”服务中。在2100多万个密码中,有一半不在数据库中。 这意味着很可能,用户旧的简单密码之前已经被窃取,并且用户应该已经收到过“ Have I Been Pwned”等服务的通知了。正如Hunt所说的那样,“我的希望是,对于许多人来说,这将是他们需要对他们的在线安全态势做出重大改变的提示。” 外媒认为,用户需要做的重要改变是确保使用唯一的密码,并在任何地方启用双因素身份验证。当Collection #1之类的数据泄露事件发生时,网络犯罪分子会使用所谓的撞库(Credential-Stuffing)入侵用户的帐户,这几乎是用户在线安全面临的唯一真正风险。这些是自动攻击,黑客通过收集互联网已泄露的用户和密码信息,尝试批量登陆其他网站后,得到一系列可以登录的账户。 而如果用户使用唯一的密码和双因素身份认证,这些攻击将无法正常工作。   (稿源:cnBeta,封面源自网络。)

安全漏洞导致 Suprema Biostar 2 百万人指纹数据曝光

近年来发生的多起大规模信息泄露事件,使得网络用户不得不修改那些不再安全的账户密码。但若安全性更高的指纹数据被曝光,那后果就更加严重了。遗憾的是,这正是 Suprema Biostar 2 指纹锁身上所发生的事情。据悉,研究人员在 Suprema 的系统中发现了一个安全漏洞,使之能够访问超过 100 万人的身份验证数据。 (图自:vpnMentor,via BGR) 英国《卫报》指出,这些数据包括了指纹 / 面部识别数据、未加密的用户名和密码、甚至员工的个人信息。 鉴于 Suprema 生物识别认证系统有许多企业和公共机构大客户 —— 其中包括英国大都会警察局、国防承包商和银行 —— 甚至伤害美国、巴基斯坦、芬兰、印尼等地的跨国企业。 以色列研究人员 Noam Rotem、Ran Locar 与 vpnmentor 一起寻找到了 Suprema 的安全漏洞,并且获得了 Biostar 2 数据库的访问权限。 最令人震惊的是,在获得访问权限后,安全研究人员发现该数据库缺乏应有的保护,且大多数据处于未加密的存储状态,很容易访问到总量超过 2780 万条(23GB+)的记录。 除了敏感信息,安全研究人员还能够轻松监控存储的生物识别数据的实际使用情况。比如实时查看哪个用户通过特定的安全门进入任何设施,甚至查看到管理员账户的密码。 此外,研究人员能够编辑某人的帐户,在其中加入自己的指纹。因此从理论上来讲,攻击者可以突破所有需要授权进入的地方。 更令人不安的是,研究人员发现密码数据根本没有受到任何保护,使得黑客能够轻易复制指纹数据、并将之用于恶意目的。其在一篇论文中写到: Suprema 未采用无法进行逆向工程的散列式指纹数据存储,而是偷工减料得让攻击者能够轻易复制实际的指纹数据、并将之用于恶意的目的。 即便如此,Suprema 营销主管 Andy Ahn 还是在接受《卫报》采访时称:此事并没有什么可担心的。 我司已对 vpnmentor 的报告进行了‘深入评估’,若威胁确实存在,Suprema 会立即采取行动并发布适当的公告,以保护我司客户宝贵的业务和资产。 然而目前尚不清楚是否有其他人在安全研究人员之前发现了同样的问题,并对这批数据展开了滥用。   (稿源:cnBeta,封面源自网络。)

微软:暂不会停止对 Skype 和 Cortana 对话的人工审查

据外媒报道,上周,Vice Motherboard网站上的一份报告显示,微软正在通过人工承包商来监听Skype翻译和Cortana的语音对话。虽然微软并不是唯一一家使用人工承包商来改进语音识别技术的公司,但问题是这家公司没有在其隐私文件中明确指明这点。 而被公布之后这家软件巨头公司在其隐私政策以及Skype和的支持页面上承认了这点。 其中在Skype翻译隐私FAQ中,微软解释了什么样的音频内容会被收集以及如何被使用。“这可能包括微软职工和供应商的转录录音,但会受制于为保护用户隐私设计的程序,包括采取措施去标识化数据、需要跟供应商和职工达成保密协议并要求供应商遵守高隐私标准的欧洲法律和其他规定。“ 看起来即便苹果和谷歌最近因隐私问题暂停了Siri和Google Assistant对语音记录的人工审查,微软眼下也不会这么做。不过微软发言人告诉媒体,公司显然正在考虑做出进一步的改变。“我们已经更新了我们的隐私声明和产品常见问题,以此来增加更大的清晰度并将继续研究我们可能采取的进一步措施。”   (稿源:cnBeta,封面源自网络。)

Raidforums 攻破 Cracked.to 黑客论坛网站 曝光其 32.1 万名成员数据

外媒报道称,近日 Raidforums 攻破了竞争对手 Cracked.to 的黑客论坛网站,并泄露了后者超过 32.1 万名成员的数据。之所以发起这场行动,或是因为一些受害者正在讨论如何破解《堡垒之夜》账户、销售软件漏洞、自己从事其他可能非法的活动。漏洞披露网站 Have I Been Pwned 报道称:Raidforums 在上周五转储暴露了 74 万 9161 个唯一的电子邮件地址。 除了电子邮件地址,Raidforums 还泄露了 Cracked.to 论坛用户的 IP 地址、私信、bcrypt 转储的哈希密码等数据,由网站论坛应用程序 myBB 所生成。 外媒指出,Cracked.to 自诩为一个提供破解教程、工具、组合、市场和更多恭喜的综合性论坛,而 Raidforums 旗下也存在许多类似主题的论坛。 外媒 ArsTechnica 概览了一遍 Raidforums 公布的 2.11 GB 文件,发现其中包含了近 39.7 万条私信,且大量涉及诸多黑客极力避免的细节内容。 详细内容包括用户名、电子邮件地址、求购记录、销售或支持的软件服务、以及针对人们视频游戏《堡垒之夜》账户的破解等。 除了一些笼统的信息,还有部分论坛用户提到了如何利用 CVE-2019-20250 这个在今年早些时候被发现的严重漏洞。其与 WinRAR 文件压缩程序有关,可在易受攻击的计算机上安装大量讨人厌的恶意软件。 外界猜测,Cracked.to 的大量访客,可能是通过暗网或其它隐匿 IP 地址的方式来访问该网站的。所以公布出来的用户名和邮件地址,也极有可能是匿名或伪造的。 即便如此,执法部门或竞争对手仍可借此来实施一定程度的打压。对于网站管理员来说,这起事件也算是向他们发出了一个警示,毕竟 Raidforums 声称是通过某漏洞利用来实现的“脱裤”。 几个月前,Cracked.to 管理员称其已将默认脆弱的 myBB 哈希密码转储,切换到了更加强大的解决方案。但在此事发生后,该网站已强烈要求用户变更密码。 此外,我们不排除 Raidforums 已经获得 Cracked.to 管理员密码、或向其它网站发起了类似攻击的可能性。   (稿源:cnBeta,封面源自网络。)

微软发布补丁:修复了远程桌面组件中存在的两个高危漏洞

在2019年8月的补丁星期二活动日中,面向Windows 10发布累积更新的同时微软还修复了存在于Remote Desktop Services组件中的两个漏洞,微软认为这些漏洞是“wormable”。和两年前的WannaCry攻击类似,无需用户进行任何输入的情况下在网络的电脑之间传播恶意软件,因此这些补丁是非常重要的。 CVE-2019-1181和CVE-2019-1182利用了和今年5月发布的Bluekeep相同漏洞,推荐用户尽快修复。Windows 7 SP1,Windows Server 2008 R2 SP1,Windows Server 2012,Windows 8.1,Windows Server 2012 R2和所有版本的Windows 10(包括服务器变体)都受到漏洞的影响。只有较旧版本的Windows(如Windows XP,Windows Server 2003和Windows Server 2008)才不受该漏洞影响。 虽然它们使远程桌面服务(RDS)易受攻击,但它们不会影响远程桌面协议(RDP)本身。为了缓解这两个漏洞,微软建议那些启用了网络级别身份验证(NLA)的人可以对漏洞进行部分防御: 在启用了网络级别身份验证(NLA)的受影响系统上进行了部分缓解。在安装该补丁之后可以缓解该漏洞引发的“wormable”恶意程序或者高级恶意程序威胁,因为NLA在触发漏洞之前需要进行身份验证。如果攻击者拥有可用于成功进行身份验证的有效凭据,受影响的系统仍然容易受到远程执行代码执行(RCE)的攻击。 微软建议公司立即安装修复补丁,可以从此处的Microsoft安全更新指南下载。微软指出,这些漏洞是公司内部工程师发现的,是企图加强RDS安全性的一部分。微软还指出,它还没有任何证据表明这些漏洞已经被任何恶意行为者利用。   (稿源:cnBeta,封面源自网络。)

HTTPS 证书有效期被提议缩短至 13 个月

由 Web 浏览器制造商、软件开发人员和安全证书颁发机构组成的行业团体 CA/Browser Forum,正在考虑将 HTTPS 证书的有效期从 27 个月缩短到 13 个月。 关于这样的提案,已经不是第一次提出。在 2017 年时,CA/Browser Forum 就否决了一项将证书有效期从 39 个月缩短至 13 个月的提案。 而早在一年前,证书的最长有效期已经从 39 个月降至 27 个月。 我们都知道,HTTPS 证书用于加密浏览器和站点之间的连接,帮助软件确定没有人篡改或窃听这些连接。 如果减少 TLS/SSL 证书有效的时间,网站必须更频繁地更新其证书。理论上,这样的证书有效期也有助于减少欺诈活动,如果是偷来的证书则很快会失效,被遗弃的网站也会更快地过期。这将迫使他们使用最新和最推荐的加密和散列证书,而不是使用不安全算法的老化证书。 不过,本周一时,DigiCert 的 Timothy Hollebeek 却反对将证书有效期缩短至 13 个月,他认为,缩短证书寿命确实带来的好处,但意味着要有更好的方法来确保证书是最新的和安全的,同时也存在一些麻烦,企业不得不每年续签一次付费证书,并且增加其成本。 换句话说,减少有效期可能会促使企业免费使用 Let’s Encrypt TLS/SSL,就不会向 Digicert 这样的机构支付费用。Let’s Encrypt 可以免费发放 90 天的 HTTPS 证书,使用提供的软件客户端来自动更新和部署证书,而由于几乎所有浏览器和操作系统都支持 Let’s Encrypt TLS/SSL 证书,导致该服务正给向 HTTPS 证书收费的证书颁发机构带来巨大压力。 Hollebeek 称: 将证书寿命迅速缩短到一年,甚至更少,对于许多依赖数字证书保护系统的公司来说,这将带来巨大的成本。这些费用不会换来更加安全的改进,并且这项提案对从事非法活动或冒充合法公司的非法分子不会有任何影响。最主要的一点是,减少证书寿命的任何好处都是属于理论性的,在短期内要付诸实际的话,产生的风险和成本也将难以预测。 该提案于今年早些时候在谷歌员工 Ryan Sleevi 的一次会议上提出,目前仍处于草案阶段,还没有关于何时进行表决的消息。   (稿源:开源中国,封面源自网络。)

FBI 准备监视 Facebook 和 Twitter 等社交平台对美国的潜在威胁

《华尔街日报》称,美国联邦调查局目前正计划从Twitter、Instagram和Facebook等社交平台开始积极收集数据,这些平台似乎也与各自的隐私政策相冲突。尤其是Facebook,作为与联邦贸易委员会达成协议的一部分,它必须遵守一些限制,这些限制与它收集和处理用户数据的方式有关。 联邦调查局正在向第三方供应商寻求社交媒体早期警报工具,以缓解多方面威胁。该技术解决方案将用于主动识别和反应性地监控对美国及其利益的威胁。该请求是在最近在德克萨斯州和俄亥俄州发生的枪击事件发生前几周提出的,供应商要在本月底之前提交提案。Twitter的一位发言人告诉《华尔街日报》,其隐私政策明确禁止任何实体出于监视目的使用用户数据,或以任何与用户对隐私合理期望不符的方式使用用户数据。 从请求的措辞来看,该机构只寻求收集公开的数据,并打算在尊重公民自由和隐私保护的同时收集这些数据。美国联邦调查局表示,它将从公众档案中收集姓名、图片和身份证,并将它们与其他来源的信息以及在社交互动中标记特定关键字的算法结合起来。 大型技术平台拥有大量用户数据,人工智能工具可以比人类更快地进行筛选,但算法威胁检测可能会导致大量误报。联邦调查局表示,警报将由专门的人员团队处理,他们也可以调整算法频率。   (稿源:cnBeta,封面源自网络。)