内容转载

= ̄ω ̄= 内容转载

调查报告显示美国执法机构的 DHS 无人机数据易受黑客攻击和内部威胁

在国土安全部监察长办公室的一份报告中公布,海关与边境保护局(CBP)未能采取适当的保障措施来保护使用无人机系统(UAS)收集的监控信息。在审计之后,监察长办公室发现,根据国土安全部和联邦政策,作为支持CPB执法任务的无人机监视计划的一部分收集和传输的图像和视频没有得到充分保障。 安全监督的发生是因为CBP官员不知道无人机驱动的数据收集计划需要进行隐私评估,以确保CBP的隐私办公室实施法律,DHS政策和联邦法规所要求的适当保护措施。此外,用于收集监视数据的情报,监视和侦察(ISR)系统在审计开始之前受到外部和内部参与者侵害的风险增加。 CBP使用无人机收集各种监视材料,从原始图像数据到毒品走私者截获的和试图越过美国边境的无证移民。虽然UAS收集的材料不允许准确识别个人,但在与CBP代理人或执法人员会面时,它仍可用作积极调查的一部分。此外,如果没有向DHS隐私办公室提交隐私阈值分析,则存在潜在的隐私风险,这使得航空和海事处(AMO)无法确定所获取的数据是否需要隐私保护。 CBP未能实施适当的安全控制来保护通过其UAS程序收集的信息,可能导致存储在其电脑系统上的隐私敏感信息因内部或外部不良行为者而受到损害,被盗或丢失。     稿源:cnBeta,封面源自网络;

Snyk 筹资 2200 万美元用于解决开源代码中的安全漏洞

据外媒报道,来自英国的软件服务创企 Snyk 宣布已筹资 2200 万美元,将用于堵塞开源系统中不断增长的安全漏洞。 Snyk 成立于 2015 年,目标是帮助开发者在投入生产之前找到并修复开源代码中的漏洞。他们使用机器学习来检测和分析 GitHub 和 BitBucket 的代码储存库中潜在的漏洞,以了解每个人在使用哪些开源组件,并标记易受攻击的组件,然后通过他们的安全团队构建的补丁去自动修复这些漏洞。 Snyk CEO 兼联合创始人 Guy Podjarny 在一份声明中表示:“我们的任务是修复开源安全,这只能在开源社区内完成。开源组件并没有比闭源源组件漏洞更多,只是因为它们被大量重用,导致这些漏洞更具影响力。” Podjarny 补充道,他们将计划利用这些资金开发更多功能,扩大保护范围。从修复开源组件中的已知漏洞,到在运行时监控和保护它们。   稿源:开源中国,编译自:venturebeat,封面源自网络;

新的安全漏洞正影响 CentOS 和 Red Hat Linux 发行版

Qualys 研究实验室的安全团队公开了一个新的有关 Linux 内核漏洞的详细信息和概念验证(PoC)代码,该漏洞名为“Mutagen Astronomy”,追踪编号 CVE-2018-14634,目前仅影响 CentOS 和 Red Hat Enterprise Linux(RHEL)发行版。 根据 Qualys 研究人员的说法,实际的 bug 存在于 Linux kernel 的 create_elf_tables()函数中,可能会导致缓冲区溢出,从而以 root 权限执行恶意代码。 该漏洞出现在2007年7月19日(kernel commit: b6a2fea39318)和2017年7月7日(kernel commit:da029c11e6b1)之间的 Linux kernel 中。 研究人员表示:“这个问题可以通过一个已经发布一年多的补丁来缓解,但是,红帽企业 Linux 和 CentOS 没有向后推送这个补丁,因此容易受到攻击。” 在今天发布的一份声明中,红帽团队确认了这个问题:此漏洞会影响R ed Hat Enterprise Linux 6、7 和 Red Hat Enterprise MRG 2 附带的内核包,将尽快更新解决此问题。在此之前,可通过安全建议缓解问题。”   稿源:开源中国,编译自:ZDNet,封面源自网络;

谷歌高管在美国会低头:谷歌在隐私问题上犯过错误

新浪科技讯 北京时间9月26日上午消息,根据彭博社获取的一份文件,Alphabet的一位高管周三将在美国参议院委员会举办的听证会上发表证词,表示谷歌曾在隐私问题上犯过“错误”。 “我们承认在过去我们犯过错,我们从中吸取了教训并改进了隐私项目。”谷歌的首席隐私官基思·恩利特(Keith Enright)在书面证词中将这样说道。大众对于数据隐私问题的担忧日益增加,谷歌将会与AT&T、亚马逊、苹果以及其他公司一同出席作证。 谷歌的书面证词并没有明确指出先前发生的具体错误是什么,但是公司一直以来都因隐私问题而饱受抨击。 2012年,谷歌同意支付高达2250万美元的民事罚款,以解决美国联邦贸易委员会(FTC)对其的指控。指控称谷歌曾向苹果Safari互联网浏览器用户歪曲事实,称自己不会设置追踪“Cookie”文件或为其投放定向广告。 一年之前,当谷歌推出其社交网络Google Buzz时,政府指控其使用了欺骗性策略并且违反了消费者隐私承诺。之后,谷歌同意与FTC就隐私问题达成和解并接受长达20年的定期隐私审查。 八月,Alphabet被指控非法追踪数百万台iPhone以及Android手机用户的活动,即便用户已经设置了隐私权限阻止其获取信息。 美国商务部表示,在欧盟和加州陆续推出更严格的新规定之后,他们正就在全国范围内推出数据隐私规定征求意见。 此外,司法部表示自己也与州检察长举办了“意见听取会”,就政府可以如何在网络上保护消费者一事进行探讨。 美国参议院商务委员会主席约翰·图恩(John Thune)表示国会必须将消费者数据隐私保护落实到立法。 国会对于互联网公司是如何出售广告并利用邮件账户以及其他服务中的数据提出了质疑。图恩写道,有“越来越多的争议”让大家开始质疑科技公司是否能“自我管制并在收集和使用用户数字数据的问题上采取真正意义上的隐私保护措施”。 大规模侵犯数据隐私的事情已经危及到数百万美国互联网及社交媒体用户的个人信息,大型零售商和信用报告机构Equifax都曾遇过此类事件。 恩利特的证词表示:“就广告还有我们的产品来说,用户信任我们能够对其个人信息保密并将信息交由用户自己控制。我们不会出售个人信息。说完了。” 亚马逊的副总裁安德鲁·德沃尔(Andrew DeVore)将会告知委员会,新的欧盟隐私规定“要求我们将大量资源用于行政和记录保存任务上,而不是为用户发明新的功能”。 Twitter的数据保护官达米安·基兰(Damien Kieran)将敦促开发“一个强大的隐私框架,以期保护用户个人权利……与此同时也能留有创新的自由”。 美国商务部下属的国家电信和信息管理局(NTIA)今年夏天与科技公司、互联网供应商、隐私倡导者等进行了50多次会面,希望能够制定出一个在全国范围内推广的标准。 代表着40多家互联网和科技公司的互联网协会在本月表示,它支持数据隐私规定现代化并推出一个在全国范围内适用的方式,能够比在2020年生效的加州数据隐私法规抢先推出。 加州州长杰里·布朗(Jerry Brown)签署了这一法案,旨在让消费者可以更好地控制企业收集和管理其个人信息的方式。欧洲新出台的法律甚至更为严格。 欧盟的《通用数据保护条例》于5月份生效。违反隐私法的公司最高将面临其全球营收4%的罚款或是2000万欧元(折合2320万美元)罚款,按两者间的较高数额为准。   稿源:cnBeta,封面源自网络;

刚发布就出问题 新 macOS 零日漏洞或导致用户数据泄露

凤凰网科技讯 据科技博客AppleInsider北京时间9月25日报道,苹果公司今天向全球用户推送了最新macOS Mojave系统。但是,一位安全研究人员称,新系统包含一个安全保护执行漏洞,可能会导致个人用户数据泄露。 安全公司Digita Security首席研究员帕克里克·瓦德里(Patrick Wardle)对这个明显漏洞进行了介绍。他指出,该漏洞会允许一款无特殊权限的应用绕过系统内建的系统级权限,获取特定应用的用户信息。瓦德里已披露了大量与苹果相关的安全问题,最近的一个是热门Mac应用Adware Doctor秘密记录用户信息。 在今年6月举行的全球开发者大会上,苹果推出了一组增强版macOS安全功能,要求用户向其他人使用选定的应用和硬件提供明确许可。具体来说,用户需要就Mac摄像头、麦克风、邮件历史、消息、Safari等信息的访问提供授权。 瓦德里向Twitter上传了一段短视频,演示了如何绕过其中的至少一个保护机制。他先是利用终端尝试访问和复制联系人,结果失败,这是在苹果安全机制防护下的一个预料之中的结果。接着,瓦德里又运行了一个无特殊权限的应用,名称为“入侵Mojave”(breakMojave),寻找和访问Mac的通讯录。 在成功访问后,瓦德里能够运行一个目录命令,查看私人文件夹里的所有文件,包括元数据和图片。瓦德里在接受采访时称,这次演示并不是绕过增强后权限的“通用方法”,但是可以用于在用户登录macOS后获取受保护的数据。就其本身而言,它不大可能对多数用户造成重大问题,但是可能会在特定情况下引发麻烦。 他并未公布这个漏洞的细节以保护公众,但表示他演示这一漏洞为了吸引苹果的注意,因为该公司并没有为Mac设立漏洞奖励机制。 苹果在2016年推出了iOS漏洞奖励计划,对安全启动固件部分相关的漏洞最高奖励20万美元。不过,苹果并未为Mac设立一个类似的奖励机制。随着这一漏洞的公开,苹果肯定会询问漏洞细节,并在下一个更新中打上补丁。   稿源:凤凰网科技,作者:箫雨,封面源自网络;

新型僵尸勒索软件 Virobot 肆虐微软 Outlook

根据趋势实验室披露的安全报告,一种全新的僵尸网络勒索软件Virobot正通过微软Outlook进行大肆传播。报告中指出该恶意软件同时兼具僵尸网络和勒索软件的特征,在微软Outlook上以垃圾邮件的方式进行传播。 报告中写道:“Virobot首次发现于2018年9月17日,是对臭名昭著的Locky勒索软件变种分析7天之后发现的。一旦感染Virobot,它就会检查注册表键值(计算机GUID和产品秘钥)来确认系统是否应该加密。然后通过加密随机数生成器(Random Number Generator)来生成加密和解密你要。此外伴随着生成的秘钥,Virobot还会将收集的受害者数据通过POST发送到C&C服务器上。” 趋势科技还表示Virobot还可以记录用户敲击键盘的次数,并共享诸如信用卡信息和密码在内的诸多敏感数据。键盘记录器也会将这些信息发送至C&C服务器上。所以为了预防受到感染,请确保你不要打开非可靠源的附件。   稿源:cnBeta,封面源自网络;

比特币软件被曝 DoS 漏洞:开发者紧急修补

新浪科技讯 北京时间9月20日午间消息,比特币软件被曝存在一个严重漏洞,导致开发者周二紧急商讨,并发布修复方案。 这个漏洞是一个DoS漏洞,修复方案已经通过Bitcoin Core 0.16.3发出。如果这个漏洞被黑客利用,就有可能去掉节点,最糟糕的情况甚至会导致相当一部分网络暂时崩溃。 但并非所有人都有能力利用这个漏洞。只有矿机可以通过加倍投入交易并将其注入到区块中才能实现。 然而,即便真要尝试这种攻击方式,矿机也会丢失区块奖励,按照目前的价格计算,大约相当于7.5万美元。 这个漏洞出现在Bitcoin Core 0.14.0中,该软件2071年3月首次推出,但直到两天前才被发现。正因如此,开发者才紧急采取行动,并在24小时内推出解决方案。 幸运的是,多数比特币持有人目前都不必采取任何措施。开发者强调称,“存储的”比特币没有风险。但却会影响到那些使用Lightning网络的比特币,这是一种正在开发的交易层,目的是加快交易速度、降低交易成本。 不过,由于该漏洞可能危及整个网络,所以开发者还是强烈建议运行所谓“全节点”来存储比特币完整交易历史的用户对软件进行升级。   稿源:新浪科技,封面源自网络;

谷歌警告:美国参议员 Gmail 账号已成为国外黑客攻击目标

本周四谷歌证实,部分美国参议员和助手的Gmail账号已成为国外政府黑客重点针对的目标。但谷歌的发言人拒绝透露更多的细节,包括有多少人受到影响,这些有国家支持的攻击都来自哪里,以及何时发布警告等等。 本周三来自来自俄勒冈州的民主党参议员罗恩·怀登(Ron Wyden)致信参议院领导机构,称存在电子邮件攻击情况,但只是提及谷歌是“主要科技公司”。谷歌在本周四对外承认。 在2016年美国大选中浮出水面的假新闻案件,让谷歌、脸书和推特在内的诸多科技公司焦头烂额。为此在今年的中期选举中这些科技巨头都采取了相应的措施来杜绝此类事件再次发生。   稿源:cnBeta,封面源自网络;

美国特朗普总统签署《国家网络战略》 应对来自网络的威胁

美国总统特朗普的国家安全事务助理约翰·博尔顿20日表示,特朗普当天签署了国家网络战略[PDF],以加强应对网络威胁。博尔顿在对媒体的吹风会上表示,国家网络战略将指示美国政府采取行动确保长期改善所有美国人的网络安全。 白宫新闻办公室发表声明称,国家网络战略的核心是增强美国网络安全,该战略将有助于保护网络空间成长为经济增长和创新的引擎,同时遏制在网络空间造成不稳定的行为,此外还将保持互联网的长期开放性,支持并加强美国利益。 美国媒体分析称,当天发布的国家网络战略最值得注意的是,美国将采取“进攻性”的行动来制止和应对网络攻击。博尔顿在吹风会上说,对于任何正在对美国采取网络行动的国家来说,他们应该意识到,我们将同时从进攻和防守两个方面进行回应。   稿源:cnBeta,封面源自网络;

GovPayNet 凭证系统存在漏洞 1400 万交易记录被曝光

GovPayNet是总部位于美国印第安納波利斯市(Indianapolis)的私营企业,为美国35个州的2300多个美国政府机构提供在线支付服务。根据最新信息,自2012年以来大概有1400万条包含收据信息的记录被泄露。据安全研究员Brian Krebs报道,公司网站GovPayNow.com允许任意人访问收据数据,其中包括法院下达的罚款、保释金以及交通罚款等等。 美国用户在完成付款处理之后,GovPayNow.com就会发出确认收款的数字收据,而用户可以通过修改不同的ID来轻松访问其他用户的收据信息。Krebs实际演示中,通过简单地修改收据URL中的ID数字,就能轻松访问GovPayNet支付系统中的任意凭证,包括收据所有者的全名、居住地址、手机号码以及交易所使用行用卡的后四位数字。 在发现安全问题后,研究人员向GovPayNet发出了关于该问题的警报,并在两天后收到答复,确认他发现的“潜在问题”已得到解决。“目前没有迹象表明有黑客利用任何不正当访问的信息来伤害任何客户,收据中不包含可用于启动金融交易的信息。”   稿源:cnBeta,封面源自网络;