内容转载

= ̄ω ̄= 内容转载

谷歌曝赛门铁克伪造证书:多个步骤减少信任

Google Chrome 工程师在开发者邮件列表上宣布将逐步减少对赛门铁克( Symantec )证书的信任。Google 发现赛门铁克旗下的 Root CA 在过去几年内未经同意签发了众多域名的数千个证书,其中包括 2015 年在 Google 不知情下为 Google 域名颁发了有效期一天的预签证书。 赛门铁克( Symantec )是世界顶级的安全机构之一,也是世界知名的 ROOT CA 机构,非常多的知名站点均使用赛门铁克颁发的证书。 据外媒报道,12 月 15 日 Google 在其官方博客上宣布将不再信任由赛门铁克旗下 Thawte CA 颁发的 Class 3 Public Primary CA 根证书。Google 称,包括旗下 Google Chrome 浏览器、Android 系统以及其他的 Google 产品都将不再信任 Class 3 Public Primary CA 根证书。Google 还透露赛门铁克似乎并不愿意更换该证书,而 该证书已不能保证用户的安全。 Google Chrome 团队称,他们从 1 月 19 日开始调查赛门铁克的证书有效性,在调查期间发现有问题的证书数量从最初报告的 127 个暴涨到至少 3 万个。开发者称,他们对赛门铁克公司的证书签发政策和实践不再抱有信心,为了用户安全起见,他们决定采取多个步骤减少对赛门铁克所签发证书的信任:对赛门铁克新签发证书接受的有效期减少到 9 个月或更少;通过多个版本的 Chrome 逐步减少对目前信任的赛门铁克证书的信任,鼓励替换现有的证书;移除对赛门铁克所签发证书的 Extended Validatio 状态的认可。Google 工程师称,他们发现赛门铁克公司允许至少四个第三方访问它的基础设施,甚至允许它们签发证书。 稿源:solido、gfan,封面源自网络

微软解释:收集用户键击信息是为了改善输入和语音识别

相比较备受诟病的 Windows 8/8.1 系统,Windows 10 在很多方面得到了用户的肯定和支持,但依然有不少用户吐槽隐私设置。在即将来的 Windows 10 Creators Update 中,尽管微软向用户开放了更多的隐私控制权限,但默认激活的方式依然惹恼了不少用户。日前,知名社区 Reddit 上“ Keylogger ”(键盘记录器)成为 Windows 10 用户讨论的焦点话题。 在评论中很多 Reddit 用户抱怨 Windows 10 隐私设置的默认选项,尤其是“ 输入和手写信息用于改善打字和写入服务”的追踪服务,且默认处于激活状态。对此微软在 FAQ 中解释道在 Windows 10 系统中收集用户键盘敲击,是为了改善输入和语音识别,并不是为了监视当前用户做了哪些操作。 如果你不希望你在键盘上敲入的字符都被记录,那么可以根据 Reddit 用户提供的方式进行设置,访问设置》隐私》通用,然后取消选中“ Send Microsoft info about how I write to help us improve typing and writing in the future ”的复选框。 不过根据 Myce 报道,部分用户发现无法关闭这项功能,而且在 Windows Update 更新之后又会重新激活这个选项。 稿源:cnBeta ,封面源自网络

谷歌更改警告方式,进一步提醒“可能受到国家资助的黑客组织攻击”

自 2012 年起谷歌的警告系统就向一小部分用户发出警告,提醒用户注意有政府资助黑客入侵。“ 谷歌检测到有国家资助背景的黑客正在尝试窃取你的密码。” 提示用户使用更高等级的密码和双重身份验证( 2FA )。 而在一年前,谷歌将这种警告方式改为更加不容易被注意的窗口广告条式显示方案,但是大部分可能很容易忽视这样的提升错过警告。 现在,谷歌开始向可能受影响的谷歌账号推送更明显的弹窗式警告,提示用户使用更高等级的密码和双重身份验证( 2FA )。 稿源:cnBeta ,封面源自网络

58 同城回应简历数据泄漏:已开展追查并加固信息安全

3 月 24 日消息,有媒体报道称 58 同城的全国简历数据泄漏,对此, 58 同城发布声明称,公司信息安全部门依据报道内容迅速开展追查,同时采取措施,加固信息安全系统,提升防爬虫技术手段,严格区隔个人信息物理存档。 据 21 世纪经济报道消息,有淘宝电商出售“ 58 同城简历数据”,“一次购买 2 万份以上,3 毛一条;10 万以上,2 毛一条。要多少有多少,全国同步实时更新。” 还有商家出售采集数据的软件,700 块一套。支付 700 元购买软件之后,记者用卖家提供的账号登录软件,在检索选项中选择北京市、所有职业、2017 年 1 月后更新过简历的活跃求职者,该软件开始不断采集信息,并且将所采集信息按照“姓名、手机号、求职方向、年龄、期望月薪、工作经验、居住地、学历、用户 ID、更新简历时间”等格式自动录入到 excel 表格中。 在检索选项中,包括全国 430 多个城市,以及 464 个职业选项。该登录账号有效期为 1 个月,如果需要不断获取 58 简历最新数据,每个月都需要续费 700 元。58 同城对此回应称,已经开展调查,同时采取措施,加固信息安全系统,提升防爬虫技术手段。并已向警方报案。 稿源:cnBeta 节选,封面源自网络  

新型恶意 Word 文档现身网络,可攻击 Windows 和 macOS 系统

安全公司 FortiGuard Labs 发出警告,近日网络上出现了利用宏功能漏洞携带有恶意程序的 Word 文档,当 Windows 或者 macOS 设备打开这些文档之后就有可能下载各种恶意程序。微软 Office 生产力办公套件宏功能经常被网络黑客用于注入和感染系统,而新一波攻击采用了相似的手段,基于 VBA( Visual basic for Applications )代码来部署恶意程序。 而更为重要的是,本次 Word 文档中包含的恶意程序能够同时对 Windows 和 macOS 系统发起攻击,而且脚本还会尝试不同的路径来最终确保成功入侵系统。 FortiGuard 表示一旦宏命令执行 python 脚本,那么就会在受害者不知情的情况下下载文件,并在本地机器上执行。该脚本会尝试连接目标主机的 443 端口,不过在 FortiGuard 的测试中服务器并未做出响应。 稿源:cnBeta, 封面源自网络

美国一创业公司将用户数据误传中国服务器引恐慌

美国洛杉矶一家做智能门铃的创业公司最近摊上了点事儿。据美国《福布斯》 3 月 22 日报道,这家公司生产的门铃不小心把用户的一些数据误传到了中国的服务器上,这可把他们的用户给吓坏了。 报道说,这家“叮牌”创业公司本来是应该把用户的视频和音频数据上传到亚马逊的服务器上,但他们自己也不知道的是,有极小一部分音频数据被上传到了中国互联网巨头百度运营的服务器上。 发现这事儿的“细心哥”是美国“红迪网(社交新闻网站)”的一名网友,他说,发现这些门铃的数据传输有些异常。而后来引爆舆论的则是另一篇一周后发布的名为“叮牌门铃发现巨大隐患”帖子。 帖子说,Mirai 僵尸网络攻击殷鉴不远,现在“叮牌”门铃又把数据传往中国,要解决 IoT 安全问题任重道远。关于帖子的内容,有通信和信息安全方面的专家对环球网记者说,这次门铃误传数据的问题实际和 Mirai 攻击事件关系不大。 另外关于门铃音频数据包被误传到中国服务器的问题,他们说,该公司在自己不知情的情况下把用户门铃音频数据包误传至其他服务器,这他们的问题,但会不会对用户造成安全隐患,那就要看泄露了多少数据了。 《福布斯》说,该公司很快就对此事作出了回应,公司技术部门负责人洛斯在红迪网网友指出问题 5 天后就解释说,这次被误传到中国服务器的数据只有 20 毫秒的音频数据,并不会造成安全问题。他还承诺将更新所有该公司产品的程序,堵住这一漏洞,停止向中国服务器误传数据。 上周,“叮牌”门铃还专门请测评公司 Tevora 为自己做了报告,报告说,“无证据显示,这会给用户造成任何风险”。《福布斯》还援引一些美国信息安全问题研究人员的话说,这个问题并不会对其用户造成较大风险。 那么,刺激“叮牌”门铃用户神经的到底是什么?报道说,这一事件一方面凸显了人们对于物联网设备的被迫害妄想症,去年 10 月的 Mirai 攻击就是一个例子。另一方面,美国企业可能会发现,他们的用户承受不起一点关于“来自外部的恶意攻击”的暗示。一旦他们听说数据被传输至了中国或哪里就会被吓坏,即使并没有受到真正的威胁。 美国信息安全公司“闪点”的专家威克霍尔姆说,“问题因消费者的心态而定…这次的情况是,消费者缺乏安全感,‘叮牌’正好撞上了”。 报道还说,面对外界指责,“叮牌”否认了其设备的系统是从中国旧系统抄袭而来。关于数据到底为何会误传到中国服务器的问题,威克霍尔姆说,这有可能是因为该门铃采用了中国生产的芯片,而其中残留有测试代码。“有一种论调就是任何事物流向中国都是糟糕的”,他说,“但实际上其中很多都是由中国制造并保有的”。 稿源:cnBeta, 封面源自网络

美国准备指控朝鲜策划了孟加拉国央行网络窃案

2016 年 2 月 5 日(美国时间),入侵孟加拉国央行银行系统的黑客通过环球银行间金融通信系统 ( Swift ) 向孟加拉国设在美联储的账号发送了 35 份转账请求,总额高达 10 亿美元。在四次转账成功转移了 8100 万美元到菲律宾的赌场后,由于单词拼写错误后续转账被阻止。 调查这起事件的安全研究人员认为黑客入侵与朝鲜相关。黑客使用的代码曾在对索尼影业和韩国银行的攻击中使用。现在,《华尔街日报》援引知情人士的消息报道,美国准备指控朝鲜策划了对美联储的盗窃案。知情人士透露,这项指控如果提起,将针对几名据称中国籍的中间人,检察官相信他们帮助朝鲜策划了这起盗窃案。 知情人士称,目前准备提起的诉讼可能不包括对朝鲜官员的指控,但可能牵涉到朝鲜,美国将指控一个外国政府策划当代最大规模的银行盗窃案之一。 稿源:solidot, 封面源自网络

新型病毒 DoubleAgent 曝光:攻击电脑前预先入侵防病毒软件

安全专家近日发现了新型恶意程序,利用防病毒软件来攻击计算机。来自 Cybellum 的安全专家发现了这种新型病毒,并将这种攻击手段命名为 DoubleAgent。 DoubleAgent 通过注入代码从而修改防病毒软件,进而获得完整权限来接管受害者电脑。 DoubleAgent 利用了存在于 Microsoft Application Verifier 的一个 15 年漏洞,从 XP 到 Windows 10 所有 Windows 版本都受到了影响。Microsoft Application Verifier 通常用于寻找 Windows 应用中的 BUG。 安全专家已经找到了他们的攻击方式,因此他们能够劫持软件并做任何他们想要做的事情。在 DoubleAgent 成功攻击防病毒软件之后,攻击者还能进行远程关闭防病毒软件,从而在受害者不知情的情况下安装恶意程序。 根据研究人员表示,McAfee , Kaspersky , Norton 和 Avast 软件都存在安全漏洞。病毒公司 Malwarebytes 已经提供了安全防部,而趋势科技计划在近期内发布更新。 稿源:cnBeta, 封面源自网络

斯诺登透露:无真凭实据证明俄罗斯干预美总统选举

美国“棱镜”监听项目曝光者、美国前防务承包商雇员爱德华·斯诺登 21 日说,没有真凭实据证明俄罗斯干预了美国 2016 年总统选举。斯诺登在德国汉诺威消费电子、信息及通信博览会(简称汉诺威 IT 展)期间的一场视频连线采访中说,干预一说看似可信,但“很遗憾我们没能看到联邦调查局拿出真凭实据”。 美国联邦调查局局长詹姆斯·科米 20 日在美国会听证会上首次公开证实,联邦调查局正在调查关于俄罗斯政府干预美国 2016 年总统选举的指控。斯诺登说,即使指控成立也并不新奇,因为美国也曾在过去多次干预他国选举。“如果干预选举在历史上多次发生,那这次又有何特别?” 就自己会否成为美俄间进行交换的“人质”,斯诺登说他自己不是有强大影响力、能对此进行左右的角色,但强调他在俄申请避难的合法性没有争议,将他引渡回美国缺乏法律基础。 2013 年 6 月以来,斯诺登通过媒体揭露美国政府广泛监听国内外电话并监视互联网通信内容,在国际社会引发轩然大波,也引起许多人对上网安全性的担忧。美国政府随后以间谍罪、盗窃罪和未经授权泄露国防和情报信息等3 项罪名对斯诺登发出通缉。当年 8 月,斯诺登在俄获得“临时避难”许可。2014 年 8 月,斯诺登获得为期 3 年的在俄居留许可。 稿源:cnBeta, 封面源自网络

土耳其组织黑入 3 亿 iCloud 账户,索要赎金换回私照文件

最近,好莱坞再次爆发女星“艳照门”,包括新片《美女与野兽》主角艾玛-沃特森在内的诸多美女私照流出。当时,有分析称,该起事件与 2014 年 iCloud 泄露有关,那一波中,大表姐劳伦斯成为躺枪最狠的明星。据外媒报道,一个来自土耳其的组织宣称,自己成功黑进了 3 亿 iCloud 账户(还有说法是 2 亿和 5.59 亿),要求苹果拿出价值 75000 英镑的的比特币或者 10 万美元等值的 iTunes 礼品卡。 黑客向网站 Motherbooard 还提供了他们和苹果安全人员的往来邮件,对方要求黑客晒出一部分数据样本。据一段匿名视频,该土耳其黑客分享了对一名老妇人 iCloud 的攻击,删除了其在云端的备份文件。 按照该组织推特,他们计划在 4 月 7 日发动今年的首次攻击。 稿源:cnBeta ,封面源自网络