内容转载

= ̄ω ̄= 内容转载

皮尤:大部分美国人认为不收集个人数据是不可能的事情

据外媒报道,皮尤研究中心的一项新研究显示,对于许多美国人来说,数据收集现在可能已经被视为是其日常生活的一部分。据统计,超60%的美国成年人表示他们认为政府或公司不收集他们的数据是不可能的。 资料图 报告显示,81%的成年认为广泛收集数据的风险大于益处。不过大多数美国人表示,他们担心自己的数据可能会被公司和政府使用。而超80%的受访者表示,他们觉得对自己的数据缺乏控制。超一半的人则表示,他们对数据收集和使用知之甚少。 25%接受调查的成年人认为,他们几乎每天都在同意一项隐私政策。而在表示同意隐私政策之前他们当中阅读了相关内容的人的数量则更少。 对于许多公司来说,收集数据是为了帮助建立客户档案进而可以根据他们的习惯展示更好的销售行为。然而现在越来越多的入侵让大多数成年人感到自己已越来越控制自己的个人数据。   (稿源:cnbeta,封面源自网络。)

Kryptowire 在预装 Android 应用中发现了 146 个安全风险

在美国国土安全部资助的一项研究中,Kryptowire 在廉价的 Android 智能机上,发现了由预装应用造成的严重安全风险。这些 App 存在潜在的恶意活动,可能秘密录制音频、未经用户许可就变更设置、甚至授予自身新的权限 —— 这显然与 Android 设备制造商和运营商的固件脱不了干系。 类型占比(图自:Kyrptowire,via Cnet) 在新工具的帮助下,Kryptowire 得以在不需要接触手机本体的情况下,扫描固件中存在的漏洞。最终在 29 家制造商的 Android 设备上,查找到了 146 个安全隐患。 在被问及为何特别针对廉价 Android 设备展开软件安全调查时,Kryptowire 首席执行官 Angelos Stavrou 在一封邮件中解释称:这与谷歌对产品的管理态度,有着直接的关系。 Google 可能要求对进入其 Android 生态系统的软件产品进行更彻底的代码分析,并担负起供应商应有的责任。 当前政策制定者应要求该公司将最终用户的信息安全负起责任,而不是放任其置于危险之中。 对此,谷歌亦在一封邮件中称:其感谢合作并以负责任的态度来解决和披露此类问题的研究工作。 (厂商列表) 正如 Kryptowire 研究中发现的那样,预装应用通常为小型、无牌的第三方软件,其被嵌入到了较大的品牌制造商的预装功能中。 然而这类应用很容易构成重要的安全威胁,因为与其它类型的 App 相比,预装应用的权限要大得多、且很难被应用删除。 在 2017 年于拉斯维加斯举办的黑帽网络安全大会上,Kryptowire 披露了上海 Adups Technology 生产的廉价手机中的类似安全威胁。 该手机的预装软件被发现会将用户的设备数据发送到该公司在上海的服务器,而不会提醒这些用户,后续其声称该问题已得到解决。 2018 年的时候,Kryptowire 发布了面向 25 款 Android 入门机型预装固件缺陷的研究,同年谷歌推出了 Test Suite,以部分解决这方面的问题。 (部分漏洞详情) 尽管 Kryptowire 曝光的事情每年都难以避免,不过 Stavrou 认为,谷歌的整体安全策略,还是有所改善的。 他表示:“保护软件供应链是一个非常复杂的问题,谷歌和安全研究界一直在努力解决该问题”。 在今年黑帽安全会议(Black Hat 2019)的演示期间,谷歌安全研究员 Maddie Stone 表示: “Android 设备的常见预装 App 有 100~400 款,从恶意行为者的角度来看,他只需说服一家企业来打包恶意 App,而无需说服成千上万的用户”。     (稿源:cnbeta,封面源自网络。)

洛杉矶 DA 无故发布公共 USB 充电座可能感染恶意软件的警告

据外媒报道,南加州的官员发布了一份公告,宣布公共智能手机充电座并不安全。该机构认为便捷的USB充电接口可以使用户感染恶意软件。但是,目前没有实例可以指出发生这种情况的地方。周五洛杉矶地区检察官办公室警告旅行者不要使用公共USB充电座,因为这些设备可能会感染恶意软件,从而窃取数据或锁定手机。 “在USB充电器欺诈(通常称为“juice-jacking”)中,犯罪分子将恶意软件加载到充电座上,从而可能感染毫无戒心的用户的手机和其他电子设备。恶意软件可能会锁定设备或将数据和密码直接导出给欺诈者。” 洛杉矶地区检察官办公室承认其暂时没有遇到通过洛杉矶充电座感染某人设备的任何实例。它告诉TechCrunch,在美国东海岸有一些案件,但无法提供任何可以证实的细节,例如地点或日期。 此外,安全研究员Kevin Beaumont在一条推文中表示,他从未见过证据表明公共智能手机充电座使用了恶意软件。 但这并不是说不存在这种可能性。几位研究人员开发并展示了经过修改或克隆的充电器和充电电缆,它们可以远程“嗅探”数据或在设备上执行命令,但是这些仅仅是概念验证项目。 美国当局也不是第一次基于类似理由发布咨询。早在2016年,在安全研究员Samy Kamkar演示了他的KeySweeper概念验证后,FBI发出了警告。它是一个Arduino板,尺寸小到可以放入USB充电器的外壳,该充电器可以秘密地记录附近微软无线键盘的敲击数据。   (稿源:cnBeta,封面源自网络。)

报告称全球约 72% 的零售商是网络攻击的受害者

据外媒Betanews报道,Keeper Security 和 Ponemon Institute 的一项新调查结果指出,全球约有72%的零售商遭受了网络攻击,去年有61%遭受过一次网络攻击,但是50%的企业没有针对数据泄露的应对计划。 调查结果也说明每一起网络攻击涉及的客户/员工数据丢失导致平均7772个客户的个人记录丢失或被盗,每一起网络攻击造成的正常运营中断平均导致近190万美元损失。 在接受调查的零售商中,有87%同意网络攻击变得更有针对性,有67%认为网络攻击越来越严重,另有61%认为网络攻击越来越复杂。最常见的攻击方法是网络钓鱼(69%),基于网络的攻击(54%)和恶意软件攻击(40%)。 从这些攻击背后的因素来看,预算是零售商最担忧的问题。只有三分之一的零售商认为他们有足够的预算来实现强大的IT安全性。但是,有93%的零售商在安全方面的支出不到总IT预算的20%,平均支出为11.5%。人员不足(91%),预算不足(51%)以及对如何保护自己免受网络攻击的理解(40%)是阻碍充分有效的安全态势的最常被提及的挑战。 Keeper Security首席执行官兼联合创始人Darren Guccione表示:“暗网上有数十亿个被盗凭证,网络罪犯可以等待数月之久的主要机会,例如高峰购物季节,以利用零售商的安全漏洞并进行非法购买。现实是,零售业面临的网络安全问题不是金钱或人员问题,而是思维定势。零售商需要知道存在易于实施,具有成本效益的安全解决方案,这些解决方案可以大大增强其安全状况并在很大程度上防止此类网络犯罪发生。”   (稿源:cnBeta,封面源自网络。)

美两党议员力推《面部识别技术授权法案》限制联邦机构滥用

本周四,两名参议员提出了一项法案,以限制美国联邦政府对面部识别技术的使用。作为两党关注的一个重要议题,其已引发了民众对于面部识别相关的监视和隐私自由等问题的舆论。由特拉华州民主党参议员 Chris Coons 与犹他州共和党参议员 Mike Lee 提出的《面部识别技术授权法案》,旨在限制联邦调查局、移民与海关执法局等机构通过面部识别技术展开的持续监视。比如在未申得逮捕令的前提下,针对个人的追踪不得超过 72 小时。 Chris Coons 在一份声明中称:“当前联邦政府在面部识别技术的使用方式、时间和地点等方面缺乏统一规范,这项两党法案旨在确保执法部门拥有必要的工具来确保公众的安全,同时也保障《第四修正案》赋予的公民隐私权利,在两方面达成适当的平衡”。 拟议中的这项法案,还规定了面部识别技术的各种用途,以最大限度地减少针对个人的数据收集。此前,联邦政府对人脸识别技术的使用几乎不受管制,这使得相关机构能够收集人像数据库。 美联邦调查局(FBI)拥有最大的面部识别数据库之一,其从驾驶执照和护照中收集了超过 6.41 亿张美国公民画像。该数据通常可供执法人员访问,而无需给出任何原因或申请授权。 美移民与海关执法局(ICE)也一直在扫描数以百万计的美国人的证件照片,以进行面部识别搜索。Mike Lee 在声明中称:“面部识别技术可称为执法人员的有力工具,但这项权力也容易被滥用。这也是美国公民应受到保护,免受技术滥用所造成的影响的原因”。 不过也有批评者认为,提案中并未充分限制面部识别技术的使用,而是仅针对监视技术施加了狭窄的规定。 为未来而战(Fighting for the Future)副手 Evan Greer 表示:“此前面部识别技术存在着巨大的漏洞,可在缺乏适当司法监督的情况下被滥用。很高兴国会有意解决这个问题,但这项法案本身做得远远不够”。     (稿源:cnBeta,封面源自网络。)

Canonical 为 Ubuntu 发布 Linux 内核安全更新,缓解一系列 CPU 漏洞

Canonical 为其所有受支持的 Ubuntu Linux 版本发布了一批新的 Linux 内核安全更新,以解决最新的 Intel CPU 漏洞以及其他重要缺陷。 正如前几天所宣布的那样,Canonical 迅速响应了影响英特尔 CPU 微体系结构的最新安全漏洞,因此他们现在发布了 Linux 内核更新来缓解这些漏洞。包括有 CVE-2019-11135,CVE-2018-12207,CVE-2019-0154 和 CVE-2019-0155,这些漏洞可能允许本地攻击者公开敏感信息或可能提升特权或导致拒绝服务。 而除了解决影响英特尔 CPU 的这些安全问题之外,新的 Linux内核安全更新还解决了在 shiftfs 中发现的,可能允许本地攻击者执行任意代码,导致服务被拒绝(系统崩溃)或绕过DAC权限的三个漏洞(CVE-2019-15791,CVE-2019-15792和CVE-2019-15793)。 同时,此次更新还修复了在Linux内核的802.11 Wi-Fi配置接口中发现的缓冲区溢出(CVE-2019-16746),以及在Realtek Wi-Fi驱动程序中发现的另一个缓冲区溢出(CVE-2019-17666)。 另外,该安全更新还修复了在Linux内核的Appletalk,AX25,NFC,ISDN和IEEE 802.15.4低速率无线网络协议实现中发现的,仅影响Ubuntu 19.04,Ubuntu 18.04 LTS,Ubuntu 16.04 LTS系统的几个漏洞,即CVE-2019-17052,CVE-2019-17053,CVE-2019-17054,CVE-2019-17055和CVE-2019 -17056,所有这些漏洞都可能允许本地攻击者创建原始套接字。 以及修复了在 Linux内核的Atheros AR6004 USB Wi-Fi设备驱动程序中发现的漏洞(CVE-2019-15098),和在Binder IPC 驱动程序实现中发现的 CVE-2019-2215。 Canonical 敦促用户再次将其系统更新为上述新的 Linux 内核版本,以解决问题。 参考消息:https://news.softpedia.com   (稿源:开源中国,封面源自网络。)

字节码联盟成立,WebAssembly 生态将完善网络安全性

近日 Mozilla、Fastly、Intel 与 Red Hat 宣布成立联合组织 Bytecode Alliance(字节码联盟),该联盟旨在通过协作实施标准和提出新标准,以完善 WebAssembly 在浏览器之外的生态。 WebAssembly 也叫 Wasm,它是为基于栈的虚拟机设计的二进制指令格式,Wasm 作为可移植目标,用于编译高级语言(如 C/C++/Rust),从而可以在 Web 上部署客户端和服务器应用。 WebAssembly 描述了一种内存安全的沙箱执行环境,该环境甚至可以在现有 JavaScript 虚拟机内部实现。当嵌入到 Web 中时,WebAssembly 将强制执行浏览器的同源和权限安全策略。 目前 1.0 版本的 Wasm 已经支持 Chrome、Firefox、Safari 与 Edge 浏览器。 此次四家公司为什么结成 Bytecode Alliance 呢?Mozilla 官网博客上 Lin Clark 作了介绍。 Lin 表示,当前网络用户身处越来越大的风险中,目前大家在构建大规模的模块化应用,其中 80% 的代码库来自软件包注册中心,例如 npm、PyPI 与 crates.io。这样的方式当然使得生态繁荣,但是安全问题也在极速增加。 破坏这些安全的人利用的正是用户的信任,当用户使用应用时,他们并不清楚背后这些软件依赖关系,它们之中有没有恶意代码用户根本不知道,也无法明确是否可信任。 所以联盟想通过 WebAssembly 技术来推动这一个领域的安全性。Bytecode Alliance 将建立起可靠安全的基础,无论在云中、本地桌面,还是小型 IoT 设备上,都可以安全地使用不受信任的代码。开发人员可以以相同的方式使用开源代码,而不会给用户带来风险,而这些通用的可重用基础集可以单独使用,也可以嵌入其它库和应用中。   具体来说,所有这些因为依赖项而产生的安全问题都是因为不同软件/模块/文件有权限访问到其它内容,而基于 WebAssembly 可以提供某种隔离,这样就可以安全地运行不受信任的代码。 可以设计一个类似于 Unix 的小型进程或容器和微服务的架构,但是这种隔离十分轻量,它们之间的通信也不会比常规函数调用慢很多。 使用这样的模式,可以封装单个 WebAssembly 模块实例,或者封装一小部分想要在它们之间共享内存之类的模块实例。同时也不必放弃强大的编程语言特性,例如函数签名和静态类型检查。 Lin 介绍了目前 WebAssembly 的一些技术方案,包括几个要点: 每个 WebAssembly 模块默认都被沙箱化,默认情况下,模块无权访问 API 和系统调用。 内存模型,与直接编译为 x86 之类的普通二进制文件不同,WebAssembly 模块在其进程中无法访问所有内存,而是只能访问已分配给它的内存块。 接口类型,模块可以使用更复杂的值进行通信,比如 strings、sequences、records、variants,以及它们的嵌套组合。这使得两个模块可以轻松地交换数据,并且这种方式安全且快速。 具有权限概念的 API 和系统调用,以便它们可以为不同的模块赋予对不同资源的不同权限,也就是 WASI,WebAssembly 系统接口。它提供了一种方法,可以将不同的模块彼此隔离,并赋予它们对文件系统特定部分和其它资源的细粒度权限,以及对不同系统调用的细粒度权限。 这些是目前已经存在于 WebAssembly 技术中的技术,但目前还没有办法将这些安全控制向下传递给依赖树,这需要一种让父模块有赋予其依赖关系同样的安全控制的方法。 这也就是 Bytecode Alliance 目前在进行的工作,计划采用各个模块虚拟化的细粒度形式,研究人员已经在研究环境中验证了这一想法,目前正在努力将其引入 WebAssembly。 详细技术细节查看原博客: https://hacks.mozilla.org/2019/11/announcing-the-bytecode-alliance     (稿源:开源中国,封面源自网络。)

BuleHero 4.0 挖矿蠕虫真疯狂,超十种方法攻击企业,已有3万电脑中招

感谢腾讯御见威胁情报中心来稿! 原文:https://mp.weixin.qq.com/s/kHF-xcGiQTUKTlleOxfHdg 一、背景 腾讯安全御见威胁情报中心检测到挖矿蠕虫病毒BuleHero于11月11日升级到4.0版。在此次更新中,BuleHero引入了多种新漏洞的使用,包括2019年9月20日杭州警方公布的“PHPStudy“后门事件中涉及的模块漏洞利用。 该团伙善于学习和使用各类Web服务器组件漏洞。包括以前用到的Tomcat任意文件上传漏洞、Apache Struts2远程代码执行漏洞、Weblogic反序列化任意代码执行漏洞,又引入了Drupal远程代码执行漏洞、Apache Solr 远程命令执行漏洞、PHPStudy后门利用,使得其攻击方法增加到十个之多。   BuleHero在进入目标系统后,首先通过命令下载downlaod.exe,然后downlaod.exe下载主模块swpuhostd.exe,swpuhostd.exe释放密码抓取工具,端口扫描工具,永恒之蓝攻击工具进行扫描和攻击,同时依次进行行多种web服务组件的探测和漏洞利用攻击,并在中招电脑下载挖矿木马和远程控制木马。   根据腾讯安全御见威胁情报中心数据,BuleHero挖矿蠕虫病毒目前感染超过3万台电脑,影响最严重地区为广东,北京,江苏,山东等地,影响较严重的行业分别为互联网,科技服务,贸易服务业。 二、详细分析 攻击和传播 攻击模块swpuhostd.exe将自身注册为服务“mekbctynn”,然后释放密码抓取工具mimikatz,扫描工具,永恒之蓝攻击工具到C:\Windows\tqibchipg\目录下。 vfshost.exe为mimikatz为密码抓取工具,可以从内存中获取电脑登录时使用的账号密码明文信息,BuleHero使用抓取到的密码进行横向传播。 tcnuzgeci.exe和trctukche.exe都是端口扫描工具,扫描ip.txt中指定的IP范围,探测139/445/3389/8983等端口,将结果保存至Result.txt中,并在后续的漏洞攻击过程中使用。 而UnattendGC目录下依然存放的是永恒之蓝攻击包文件,目前使用的漏洞攻击工具包括永恒之蓝,双脉冲星,永恒浪漫和永恒冠军。 攻击模块swpuhostd.exe执行以下漏洞攻击过程 Tomcat PUT方式任意文件上传漏洞(CVE-2017-12615),首先通过漏洞上传名为FxCodeShell.jsp的webshell,利用该webshell执行传入的命令下载木马。 Apache Struts2远程代码执行漏洞(CVE-2017-5638),Struts使用的Jakarta解析文件上传请求包不当,当远程攻击者构造恶意的Content-Type,可能导致远程命令执行,漏洞影响范围:Struts 2.3.5 – Struts 2.3.31,Struts 2.5 –Struts 2.5.10。 Weblogic远程代码执行的反序列化漏洞CVE-2018-2628,漏洞利用了T3协议的缺陷实现了Java虚拟机的RMI:远程方法调用(RemoteMethod Invocation),能够在本地虚拟机上调用远端代码,攻击者利用此漏洞远程执行任意代码。 Thinkphp V5漏洞(CNVD-2018-24942),该漏洞是由于框架对控制器名没有进行足够的检测,导致在没有开启强制路由的情况下可远程执行代码。攻击者利用该漏洞,可在未经授权的情况下,对目标网站进行远程命令执行攻击。 Weblogic反序列化远程代码执行漏洞(CVE-2019-2725),由于weblogic中wls9-async组件的WAR包在反序列化处理输入信息时存在缺陷,攻击者通过发送精心构造的恶意 HTTP 请求,即可获得目标服务器的权限,在未授权的情况下远程执行命令。 Drupal远程代码执行漏洞CVE-2018-7600,Drupal对Form API(FAPI)AJAX请求的输入环境不够,导致攻击者可以将恶意负载注入内部表单结构,从而执行任意代码。 Apache Solr 远程命令执行漏洞CVE-2019-0193,此漏洞存在于可选模块DataImportHandler中,DataImportHandler是用于从数据库或其他源提取数据的常用模块,该模块中所有DIH配置都可以通过外部请求的dataConfig参数来设置,由于DIH配置可以包含脚本,导致攻击者可利用dataConfig参数构造恶意请求,实现远程代码执行。 PHP的php_xmlrpc.dll模块中的隐藏后门利用,影响版本:phpstudy 2016(php5.4/5.2) phpstudy 2018(php5.4/5.2)。该后门利用事件今年9月由杭州公安在《杭州警方通报打击涉网违法犯罪暨‘净网2019’专项行动战果》中披露,文章曝光了国内知名PHP调试环境程序集成包“PhpStudy软件”遭黑客篡改并植入“后门”,后门位于程序包自带的PHP的php_xmlrpc.dll模块中,攻击者构造并提交附带恶意代码的请求包,可执行任意命令。攻击模块swpuhostd.exe执行爆破过程 IPC$远程爆破连接,爆破登录成功后在目标机器利用Psexec工具或者利用WMIC执行远程命令。 在攻击模块的代码中还包含3389(RDP服务)端口扫描行为,虽然目前未根据扫描结果进行下一步动作,但由于该团伙十分活跃,推测其可能在后续的更新中添加RDP漏洞(BlueKeep)CVE-2019-0708的攻击代码。腾讯安全威胁情报中心监测数据表明,仍有相当比例的Windows电脑未修复CVE-2019-0708漏洞,该漏洞存在蠕虫病毒利用风险。 挖矿 BuleHero病毒攻击成功,会将挖矿木马释放到Windows目录下C:\Windows\Temp\geazqmbhl\hvkeey.exe,木马采用XMRig编译,挖矿使用矿池为mx.oops.best:80,mi.oops.best:443。 远程控制 释放远控木马到C:\Windows\SysWOW64\rmnlik.exe目录下,上线连接地址 ox.mygoodluck.best:12000。 三、安全建议 因该病毒利用大量已知高危漏洞攻击入侵,并最终通过远程控制木马完全控制中毒电脑组建僵尸网络,危害极大。腾讯安全专家建议企业重点防范,积极采取以下措施,修复安全漏洞,强化网络安全。   1.服务器暂时关闭不必要的端口(如135、139、445),方法可参考:https://guanjia.qq.com/web_clinic/s8/585.html   2.下载并更新Windows系统补丁,及时修复永恒之蓝系列漏洞。   XP、WindowsServer2003、win8等系统访问:http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598   Win7、win8.1、Windows Server 2008、Windows 10,WindowsServer2016等系统访问:https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx   3.定期对服务器进行加固,尽早修复服务器文档提及的相关组件安全漏洞,安装服务器端的安全软件;   4.服务器使用高强度密码,切勿使用弱口令,防止被黑客暴力破解;   5.使用腾讯御点终端安全管理系统拦截可能的病毒攻击(下载地址:https://s.tencent.com/product/yd/index.html); 6.推荐企业用户部署腾讯御界高级威胁检测系统防御可能的黑客攻击。御界高级威胁检测系统,是基于腾讯安全反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。(https://s.tencent.com/product/gjwxjc/index.html) IOCs IP 185.147.34.136 185.147.34.106 172.104.91.191 139.162.2.123   Md5 ecb3266326d77741815ecebb18ee951a 398fb3fed9be2941f3548a5d0d4b862c 6ef68c9b73b1beee2efabaf6dfe11051 f62a9a4720da8f4afb457569465c775c f89544ecbf66e93c2821625861ae8821 b1956fe89e3d032be3a06820c63f95a6   Domain fk.0xbdairolkoie.space zik.fxxxxxxk.me xs.0x0x0x0x0.club rs.s1s1s1s1s.fun qb.1c1c1c1c.best jz.1c1c1c1c.xyz ik.s1s1s1s1s.host ff.s1s1s1s1s.site eq.s1s1s1s1s.asia cu.s1s1s1s1s.pw ce.1c1c1c1c.club wiu.fxxxxxxk.me wc.fuckingmy.life upa2.hognoob.se upa1.hognoob.se uio.hognoob.se uio.heroherohero.info rp.oiwcvbnc2e.stream rp.666.stream qie.fxxxxxxk.me q1a.hognoob.se pxx.hognoob.se pxi.hognoob.se ox.mygoodluck.best oo.mygoodluck.best noilwut0vv.club mx.oops.best mi.oops.best li.bulehero2019.club heroherohero.info haq.hognoob.se fxxk.noilwut0vv.club fid.hognoob.se dw.fuckingmy.life cb.fuckingmy.life bk.oiwcvbnc2e.stream bk.kingminer.club bk.heroherohero.in aic.fxxxxxxk.me a88.heroherohero.info a88.bulehero.in a47.bulehero.in a46.bulehero.in a45.bulehero.in   URL http[:]//fk.0xbdairolkoie.space/download.exe http[:]//fk.0xbdairolkoie.space/ swpuhostd.exe http[:]//xs.0x0x0x0x0.club:63145/cfg.ini http[:]//qb.1c1c1c1c.best:63145/cfg.ini http[:]//ce.1c1c1c1c.club:63145/cfg.ini http[:]//jz.1c1c1c1c.xyz:63145/cfg.ini http[:]//eq.s1s1s1s1s.asia:63145/cfg.ini http[:]//rs.s1s1s1s1s.fun:63145/cfg.ini http[:]//ik.s1s1s1s1s.host:63145/cfg.ini http[:]//cu.s1s1s1s1s.pw:63145/cfg.ini http[:]//ff.s1s1s1s1s.site:63145/cfg.ini   参考链接: https://www.freebuf.com/column/180544.html https://www.freebuf.com/column/181604.html https://www.freebuf.com/column/197762.html https://www.freebuf.com/column/204343.html

5G 新漏洞可被用于位置追踪和散布虚假警报

尽管 5G 比 4G 更快、更安全,但新研究表明它仍存在一些漏洞,导致手机用户面临一定的风险。普渡大学和爱荷华大学的安全研究人员们发现了将近十二个漏洞,称其可被用于实时追踪受害者的位置、散步欺骗性的应急警报、引发恐慌或悄无声息地断开手机与 5G 网路之间的连接。实际上,5G 的安全性只是相对于已知的攻击而言,比如抵御脆弱的 2G / 3G 蜂窝网络协议攻击。 研究截图(原文 PDF 链接) 然而最新的研究发现,5G 网络依然存在着一定的风险,或对用户的隐私安全造成威胁。更糟糕的是,其中一些新手段,还可照搬到 4G 网络上去利用。 据悉,研究人员扩展了他们先前的发现,打造了一款名叫 5GReasoner 的新工具,并发现了 11 个新漏洞。通过设立恶意的无线电基站,攻击者能够对目标展开监视、破坏、甚至多次攻击。 在某次攻击实验中,研究人员顺利获得了受害者手机的新旧临时网络标识符,然后借此对其位置展开追踪。甚至劫持寻呼信道,向受害者广播虚假的应急警报。 若该漏洞被别有用心的人所利用,或导致人为制造的混乱局面。此前,科罗拉多博尔德分校的研究人员们,已经在 4G 协议中发现了类似的漏洞。 第二种漏洞攻击,是对来自蜂窝网络的目标电话创建“长时间”的拒绝服务条件。 在某些情况下,这一缺陷会被用来让蜂窝连接降级到不太安全的旧标准。执法人员和有能力的黑客,均可在专业设备的帮助下,向目标设备发起监视攻击。 新论文合著者之一的 Syed Rafiul Hussain 表示,所有具有 4G 和 5G 网络实践知识、并具有低成本软件无线电技能的人,都可对上述新型攻击加以利用。 鉴于漏洞的性质太过敏感,研究人员没有公开发布其概念验证的漏洞利用代码,而是选择直接向 GSMA 协会通报了此事。 尴尬的是,尽管新研究得到了 GSMA 移动安全名人堂的认可,但发言人 Claire Cranton 仍坚称这些漏洞在实践中被利用的可能性小到几乎为零。至于何时展开修复,GSMA 尚未公布确切的时间表。   (稿源:cnBeta,封面源自网络。)

Safari 现支持 NFC、USB 和 Lightning FIDO2 兼容的安全密钥

在面向开发者和公测用户的iOS 13.3版本更新中,允许Safari浏览器支持NFC、USB和Lightning FIDO2兼容的安全密钥。该功能事实上在iOS 13.3的首个开发者Beta版本中已经启用,不过在今天发布的Beta 2提供了更详细的信息。在苹果官方支持文档中写道:“现在在具备必要硬件功能的设备上,Safari、SFSafariViewController、以及使用WebAuthn标准的ASWebAuthenticationSession中支持NFC、USB和Lightning FIDO2兼容的安全密钥。” 在iOS 13.3更新中,Safari将支持物理安全密钥,例如配备了Lightning的YubiKey,可用于更安全的两因素身份验证。Yubico早在8月份就宣布了YubiKey 5Ci,但在发布之时,它的功能有限,因为它虽然不能与Safari,Chrome或其他主要浏览器一起使用,但兼容1Password等应用。 在得到Safari的支持之后,YubiKey 5Ci就成为了一个合法有用的工具。由于不需要输入安全密码,因此它比基于软件的双因素身份认证更方便,你只需要将它插入到iPhone或者Mac设备上就能完成身份认证。在macOS的Safari 13此前已经添加了对使用WebAuthn的FIDO2兼容USB安全密钥的支持。 在iOS 13.3更新之后,其他基于NFC,USB和基于Lightning的安全密钥也将与Safari一起使用。目前尚不清楚iOS 13.3何时正式发布,不过在经过数周的Beta测试之后我们有望在12月看到正式版。   (稿源:cnBeta,封面源自网络。)