内容转载

= ̄ω ̄= 内容转载

Instagram 下载数据副本工具出漏洞:用户密码或泄露

新浪科技讯 北京时间11月19日早间消息,据美国科技媒体The Information报道,Facebook旗下的Instagram可能出现用户密码泄露事件,原因与帮助用户下载数据副本的工具有关。 Facebook称,Instagram用户如果有意利用相关工具下载数据副本,帐号密码可能会以明码形式在URL中出现。出于某种原因,密码同时会存储到Facebook服务器。但Facebook告知用户,相关数据已经删除,工具也已经更新,不会再出现类似问题。 Facebook关于下载数据副本的帮助页面 Facebook新闻发言人称,只有少数用户受到影响,如果用户在共享电脑上使用服务,或者网络存在缺陷,帐号信息可能会泄露。如果用户没有收到通知,那就说明用户没有受到影响。 不过美国科技媒体Engadget指出,这一安全漏洞仍然让人担忧,毕竟密码相当重要。且在不久之前,Facebook因为“View As”工具出现泄密事故。   稿源:新浪科技,封面源自网络;

Facebook 前安全主管:政府和媒体对 FB 丑闻也应担责

新浪科技讯 北京时间11月19日早间消息,Facebook前安全主管亚历克斯·斯塔莫斯(Alex Stamos)周日在《华盛顿邮报》发表文章,他认为,虽然Facebook在俄罗斯干扰大选一事上的处理很失败,但是美国国会、媒体和情报机构在这一问题上也没有做好。 此前《纽约时报》报道称,在美国大选期间,俄罗斯利用Facebook散布虚假言论,但Facebook CEO扎克伯格和COO桑德伯格有意掩盖此事,还将重要决策权分派给下属。 斯塔莫斯表示,Facebook此前在与公众沟通时确实在“坚持最小化+否认的公共交流原则”,这是不对的,Facebook“当时应该在面对威胁时及早响应,并且以更透明的方式公开信息”。不过斯塔莫斯强调:“在公司内,没有任何人告诉我应该无视俄罗斯活动,对于发现的问题,也没有人告诉我应该撒谎。” 他还表示,不只Facebook在这个事情上犯了错,其他人也一样,比如情报机构。“在大选之前,围绕俄罗斯信息战目标及能力问题,美国庞大的情报界并没有提供可操作情报,事后也没有提供足够的援助。” 而对于国会,斯塔莫斯认为议员在调查听证会上哗众取宠,忽视事实,未能对行政机构进行有效监督,也未能建立共同防御战线。 同时,斯塔莫斯还指责媒体推波助澜,发表大量关于民主党高层政要内部邮件的文章,从而“激励”俄罗斯黑客的行动。 斯塔莫斯认为,在面对未来的信息战时,各方应该团结一致,保护社会。他还警告说,2020年总统竞选黑客肯定会关注,各方应更加小心。   稿源:新浪科技,封面源自网络;

调查:85% 的 ATM 机可以在 15 分钟内通过网络被攻破

据外媒报道,由NCR、Diebold Nixdorf、GRGBanking生产和被银行使用的大部分ATM机被证实很容易被远程或本地潜在攻击者攻击,并且大部分的攻击所需时间不超过15分钟。来自Positive Technologies的分析显示,ATM机在从外围设备和网络安全不充足到系统/设备不当配置以及应用程序控制安全漏洞/配置错误等4种安全问题下极易受到影响。 据悉,在NCR、Diebold Nixdorf、GRGBanking制造的ATM机中约有85%都极易在潜在攻击者进入ATM网络15分钟后被攻破。 Positive Technologies公司表示,如果攻击者是银行或互联网供应商的雇员,他们可以通过远程发起攻击,而如果不是则需要攻击者亲自到场打开ATM机,拔掉以太网电缆并将恶意设备连接到调制解调器(或用这样的设备替换调制解调器)。 在进入ATM后,攻击者就可以使用针对ATM或运行在ATM上的服务的直接攻击或中间人攻击,之后他们就可以拦截和修改数据包以欺骗处理中心响应并控制被包围的设备。 大多数接受测试的ATM机在与处理中心交换的信息中不具备充分的数据保护,虽然它们都带有防火墙保护,但不幸的是它们的防火墙保护配置都很差。 Positive Technologies指出,在许多情况下,外围设备安全性不足的原因是外围设备和ATM操作系统之间缺乏认证。因此,犯罪分子能够利用遭恶意软件感染的ATM机访问这些设备或直接将他们自己的设备连接到分发器或读卡器上,之后,犯罪分子就可以窃取现金或拦截银行卡数据。   稿源:cnBeta,封面源自网络;    

下一代 HTTP 底层协议将弃用 TCP 协议 改用 QUIC 技术

新浪科技讯,据中国台湾地区iThome.com.tw报道,国际互联网工程任务组(Internet Engineering Task Force, IETF)将于近日商讨下一代HTTP底层协议,可能不再使用已经沿用多年的TCP协议,而有望改用以UDP协议发展出的QUIC技术,同时新一代HTTP将命名为HTTP/3。 目前,人们使用的HTTP (1.0、1.1及2)都是以TCP (Transmission Control Protocol)协议为基础实作出来。TCP作为一种传输控制协议,优点是安全、流量稳定、讲求封包的传输顺序,但缺点是效率低、连接耗时。为了提升数据在IP网络上的传输,Google提出了实验性网络层协议,称为QUIC。 QUIC并不使用TCP,而改用UDP (User Datagram Protocol)为底层,UDP虽然较不安全、可能有掉封包或封包后发先至的问题,但较简单、传输效率更高,能大幅减低延迟性。Google为QUIC提升安全性、并加入缓冲机制避免阻断服务攻击(DoS)。 虽然Google有意将QUIC提交到IETF,以便成为下一代网际网络规范,但IETF也提出了一个和Google QUIC分庭抗礼的QUIC。社区中称Google提出的QUIC为gQUIC,而IETF的为iQUIC。 另一方面,当IETF的QUIC工作小组将QUIC标准化时,它衍生出共两个协议,一个是网络传输协议,一个是HTTP层协议。网络传输层协议也可用于传输其他数据,不只为HTTP设定,但两者名称都使用了QUIC;而在iQUIC上传输的HTTP协议,长期以来就被称为HTTP-over-QUIC,或HTTP/QUIC。 为了解决种种混淆,让彼此之间更容易分别,IETF决定加以正名。HTTP工作小组暨QUIC工作小组主席Mark Nottingham倡议将HTTP-over-QUIC(HTTP/QUIC)重新命名为HTTP/3,并在上周举行的IETF HTTPBIS会议中提议,并且也广为接受。 Mozilla开发人员Daniel Stenberg日志列出了Nottigham在会中的简报,简报重申HTTP/3和之前协议之间的差异。HTTP/QUIC(HTTP/3)并非HTTP/1.1或HTTP/2的后代,也不是QUIC上的HTTP/2协议,因为它是在QUIC协议上新开发出的HTTP。下一代HTTP将是以QUIC为核心及网络传输协议的新协议。 Litespeed的工程师也宣布该公司和脸书已经完成HTTP/3实作的相容性测试。   稿源:新浪科技,封面源自网络;

两位白帽因成功找到 iOS 12.1 漏洞 获得 6 万美元奖励

援引Zero Day Initiative网站更新的博文内容,近日在东京举办的Mobile Pwn2Own大赛中Richard Zhu和Amat Cama两位白帽黑客成功找到了iPhone上的漏洞,最终获得了6万美元(约合41.53万人民币)的奖金。在现场演示中,运行iOS 12.1系统的iPhone X在连接恶意WiFi后,利用just-in-time (JIT) 编译漏洞通过Safari成功访问已经删除的照片。 Tokyo Hot OP 视频:https://v.qq.com/x/page/z079328eui5.html Pwn2Own Tokyo 2018 视频:https://v.qq.com/x/page/d07931axnfl.html 两位白帽还发现利用该漏洞,不仅能够访问已经删除的照片还能访问其他文件内容。而删除的照片恰好只是演示过程中遇到的首个文件夹而已。在随后的演示过程中,两位白帽使用网页浏览器中的JIT漏洞的组合BUG进行沙盒逃逸和提权。本次演示让他们获得了6万美元的奖励,并获得了10个Pwn积分。在首日大赛活动中,他们斩获了14万美元的奖金,并以31分的成绩位居Master of Pwn榜首。   稿源:cnBeta,封面源自网络;  

第三方网站可窃取无防备用户的个人数据?Facebook 刚刚堵上漏洞

今年 5 月的时候,安全公司 Imperva 曝光了 Facebook 的一个 bug,其导致第三方网站可以读取毫无戒心的 Facebook 用户(及其好友)的私人信息。万幸的是,该漏洞现已被成功修复。此前,安全研究员 Ron Masas 发现了 Facebook 的跨站请求伪造(CSRF)漏洞,意味着另一个网站可以通过代码查询的方式,接触到 Facebook 的用户数据。 视频截图 为了利用该漏洞,站点可以嵌入 iFrame(站点内的站点)来“吸取”用户的数据: 当已登录的 Facebook 用户访问带有恶意代码的,并在任意位置点击时触发脚本。 其通过向该社交网络发送查询来收集用户数据,例如‘用户是否喜欢跑步?’、或‘是否有朋友在加拿大?’ 据悉,Masas 是在研究 Chrome 漏洞时发现的 Facebook bug,攻击者可借此窃取 Facebook 用户的私人信息。 可怕的是,即便设置了仅对自己可见,其好友的数据仍可能被这只黑爪给触及。比如通过更加复杂的查询,就可以找到有关某人的宗教信仰、或生活在特定区域的朋友圈等信息。 Facebook Proof of Concept(via) 对于此事,Facebook 发言人在致外媒 TechCrunch 的回复中写到: 感谢这位安全研究人员对我司 bug 赏金计划的支持,报告中的行为并非特定于 Facebook,但我们的用户数据没有丢失。 我们已经向浏览器制造商和相关 Web 标准组提出了建议,鼓励它们采取措施防止此类问题在其它 Web 应用上发生。 据悉,Facebook 向 Masas 发放了两份单独的赏金,总额为 8000 美元。   稿源:cnBeta,封面源自网络;

英国隐私保护组织投诉甲骨文等企业违反欧盟 GDPR 政策

新浪科技讯 11月14日下午消息,据中国台湾地区iThome.com.tw报道,英国非营利隐私保护组织Privacy International(PI)上周投诉包括甲骨文(Oracle)在内的7家企业违反《欧盟通用数据保护条例》(EU General Data Protection Regulation,GDPR),并督促法国、英国及爱尔兰的数据保护组织展开调查。 据报道,受到投诉的7家企业全都握有大量消费者资料,包括从事数据分析的甲骨文与Acxiom,提供广告服务的Criteo、Quantcast、Tapad,以及信用报告企业Equifax与Experian。 该隐私保护组织认为,这些企业虽然都握有数百万名消费者资料,但并非是家喻户晓的品牌,因此极少受到挑战。然而,根据企业所公开的宣传文件或隐私政策,它们在利用这些个人数据时并未取得用户同意,也没有处理这些个人机密数据的依据,还缺乏GDPR所明列的透明、合法、目的限制、数据最小化及准确性等要求。 换句话说,该隐私保护组织挑战的是相关企业处理个人数据的深度,而且是GDPR对业者的基本要求。 该隐私保护组织指出,GDPR上线迄今已超过5个月了,该法令强化了个人保护自己数据的能力,对个人资料的处理有更严格的规定,理论上也提供更强大的执法权力,但GDPR真正的考验就在于执行,例如这些握有大量用户数据的企业即未曾被质疑。 GDPR祭出了高额罚金,让不少企业情愿选择撤出欧盟市场也不愿冒着触犯法律的风险,其最高罚款为2000万欧元或企业全球营收的4% ,且两者取其高者。 不过,尽管GDPR听起来非常吓人,但迄今尚未有业者受到处罚,这可能是因为每一家企业都受到了有效的指导,而在规定之内安全地运作,不过也有人认为只是还没有企业被逮到而已。   稿源:新浪科技,封面源自网络;

Play 商店存恶意应用达11个月 直到近日才被谷歌移除

新浪科技讯 11月14日下午消息,据中国台湾地区iThome.com.tw报道,安全企业ESET的研究人员Lukas Stefanko本周揭露了一个在Google Play上安然存在11个月,直到近日才被Google移除。该恶意应用伪装成电话录音程序Simple Call Recorder,而在暗地里下载其它的恶意应用,直到近日才被Google移除。 在去年11月底登上Google Play的Simple Call Recorder约有5000次的安装次数,具备完整的电话录音功能,但主要目的却是要求使用者下载及安装一个伪装成Flash Player的更新应用,只是该更新应用实质上为恶意应用。 Stefanko进一步分析后发现,Simple Call Recorder的电话录音功能与Auto Phone Call Recorder及Auto save call两款程序的代码完全相同,只是夹带了恶意功能,这两款应用都在2016年就上架Google Play。他猜测,黑客是从其它来源取得了这些应用的源代码,窃取了电话录音的功能,重新嵌入恶意程序后再上传至Google Play。 Google Play的政策明文规定禁止移动应用从Play 商店以外的地方下载可执行的程序,但内含flashplayer_update.apk的Simple Call Recorder却照样通过Google审查,而且还安然无恙地待了11个月,直到近日才被Google移除。   稿源:新浪科技,封面源自网络;

第一份 Android 生态安全报告出炉:系统越新越安全

Google 公布了史上第一份 Android 生态系统安全报告(Android Ecosystem Security Transparency Report),这是一份季报,内容来自于 Google Play Protect 所检测到的“可能存在危险的应用程序”((Potentially Harmful Applications,PHA),内容显示 Google Play 下载的应用程序比其他渠道安全9倍。 之前,Google 会提供 Android 年度安全报告,其中包含Android 系统安全趋势、Google 提供的 Android 漏洞奖金,以及在 Android 上提供的保护机制等。而此次季度报告主要针对 PHA。 Android 内置的 Google Play Protect 平均每天扫面500亿的应用,当发现可能存在危险的应用时,就会对使用者提出警告,并允许使用者关闭或下载该程序。每季的季度报告都提供三项指标,分别是 PHA 的来源(Google Play 及非 Google Play),各种 Android 版本所包含的 PHA 比率,以及不同国家的 Android 系统的 PHA 比率。 Google 表示,从 Google 下载程序的 Android 设备,只有 0.09% 会识别到 PHA,今年前三季下降到了 0.08%;相比之下,从包含 Google Play 和第三方应用市场下载程序的设备,检测到 PHA 的比率高达 0.82%,不过,今年前三年也出现了下滑,数值到 0.68%。 Google 还表示,越新的 Android 系统检测到 PHA 的比率越低,如,棒棒糖(Lollipop,Android 5.0)检测到 PHA 的比率 > 棉花糖(Marshmallow,Android 6.0)> 牛轧糖(Nougat,Android 7.0)>奥利奥(Oreo, Android 8.0)> 最新的“派”(Pie,Android 9.0)。 Google 解释说,这是因为公司持续加强 Android 平台和 API,加上常规平台和程序更新,也限制了程序对机密信息的访问。此外,包括Nougat,Oreo 和 Pie都更能够承受权限扩展攻击,让过去尝试扩展权限以避免被删除的 PHA 无处遁形。 而在 Android 的前十大市场,至少安装一个 PHA 的装置百分比中,以印度,印尼及美国的比率最高。 完整的安全生态报告看这里。   稿源:开源中国,封面源自网络;

谷歌 G Suite 账号被黑 发推文称向社区成员赠送1万个比特币

本周二,拥有80多万粉丝的谷歌生产力工具G Suite官方推特账号被黑。在诈骗推文中谷歌将会向社区成员赠送10000个比特币,不过要求消费者先支付0.1至2个比特币,然后谷歌将会返还至少1个比特币,而且返还比例高达200%。在该条欺诈推文发布一小时后被删除。 谷歌并非唯一的受害者。今天早些时候,零售业巨头Target也遭到了类似的攻击。而在过去几周,印度的一家政府机构、一家总部位于澳大利亚的咨询公司以及部分政客的账户也成为此类攻击的受害者。   稿源:cnBeta,封面源自网络;