分类: 推荐阅读

美国网民仍坚持设置弱密码,但至少不再是“123456”

一项最新研究表明,互联网用户不再坚持使用“123456”这类型的数字密码,而是选择一些令人惊讶的容易猜到的单词。 CBT Nuggets 在分析了 50000 个泄漏的电子邮件和密码的数据后,它发现密码最常用的词是“爱”(love)、“星”(star)、“女孩”(girl)和“天使”(angel),其次是岩石(rock)、地狱(hell)、麦克(mike)和约翰(john)。 这项研究也揭示,最容易被黑客破解的美国常见姓名密码是迈克/迈克尔(Mike/Michael)、克里斯/克里斯托弗(Chris/Christopher)、约翰/乔纳森(John/Jonathan)和戴维/大卫(Dave/David)。 根据最新研究,男性更容易被黑客入侵。有趣的是,25到34岁的人比其他人群更容易被黑客入侵。他们也恰巧是最有可能是使用 Mike,Chris,John 或 Dave 姓名的人。这项研究表明,有 42% 的帐户被黑客入侵时实际上是使用的是用户名。最常用的是姓名的遍体,如 Amy,Lisa 和 Scott。 CBT Nuggets 研究显示,雅虎帐户最有可能被黑,其次是Hotmail(现在称为Outlook)和Gmail。然而,雅虎账户被黑的机率高达 47.5%。因此,保护您帐户最佳方式是使用一个很难猜到密码加上双因素身份验证。 稿源:cnbeta.com 有删改,封面来源:百度搜索

美国国会通过法案禁止抢票软件:购票要公平竞争

据外媒报道,12 月 7 日美国国会通过一个新法案,现在正等待总统审核,不就的将来,使用软件抢票机器人购买音乐会门票会是一件违法行为。 上周参议院一致同过了法案,12 月 7 日众议院投票通过,现在等待美国总统奥巴马签名。 新法案《 The Better Online Ticket Sales (BOTS) 》内容规定:任何绕过计算机安全系统购票限制的抢票行为都是违法的,任何超过 200 人的音乐会、百老汇音乐剧等公共活动都将纳入保护范围,违规行为将被视作“不公平或欺骗性的行为”并可以向美国联邦贸易委员会或政府起诉。 支持这项法案的参议员杰里·莫兰(R-Kansas)称此举在于让人们可以“公平竞争”的购票参加活动。 今年早些时候,纽约总检察长办公室调查报道显示,49% 的活动门票内抢票软件机器人抢走,这些票会以更高的价格转卖到其他地方。 稿源:本站翻译整理,封面来源:百度搜索

英国情报机构曾将目标对准一家法国网络托管公司的 CEO

据法国媒体 Le Monde 报道,英国数字间谍机构 GCHQ 在 2009 年曾积极瞄准全球第三大网络空间托管服务提供商——法国 OVH 公司的首席执行官 Octave Klaba。 2009 年 Octave Klaba 成为了 GCHQ 的监控目标, Klaba 的名字出现在 GCHQ 的“有趣名字”名单上,这份名单也是该机构元数据测试的一部分。 Klaba 目前尚未公开指责 GCHQ 的行为, 因此也尚不清楚他被列入该名单的原因。 不过,这并不是监督机构将通过攻击技术服务商来获取信息。2010 年 GCHQ 和美国国家安全局( NSA )组成的联合行动组曾发起攻击,以盗取金雅拓( Gemalto )等SIM 卡供应商的加密密钥。 作为一个虚拟主机提供商,OVH 公司经常因为其提供的网站托管服务而受到来自批评人士的刁难。在 2010 年亚马逊公司终止了“维基解密”的服务器域名解析服务后, OVH 公司宣布为“维基解密”网站提供服务器。 稿源:cnBeta,封面来源:百度搜索

英美情报机构曾对民航客机的手机通讯进行追踪和拦截

根据斯诺登泄露的资料,英美情报机构对民航客机上的手机通话也进行过追踪和拦截。NSA 讯号情报局(SID)在 2010 年的一份“最高机密”报告中提到,尚未对一个领域展开探索,即拦截民航客机上的电话呼叫。而在一年前的内部文档中,NSA 提到:2008 年 12 月,有 5 万人在飞机上用过手机。2009 年 2 月的时候,这个数字增长到了 10 万。 NSA 将这种增势归结于“越来越多的航班配备了机上 GSM 功能,大家不怎么担心因为接打电话导致的航班事故,且认为通讯费用不算太昂贵”。 在 2012 年的一次演讲期间,英国政府通讯总部(GCHQ)披露了一个名叫“ Southwinds ”的项目(英国最高的机密等级),其主要目的是收集商业航班上的手机活动、语音/数据通讯,但仅适用于该国运营商 Inmarsat 的海事卫星所覆盖的区域(欧洲、中东和非洲)。 数据可以“近乎实时”地收集,且每趟航班可以被每隔2分钟追踪一次。监听一部手机,需要飞机位于超过 10000 英尺( 3000 m+)的高空,地面站可以秘密截获与卫星之间的信号。需要指出的是,只要手机处于开机状态,就足够获取使用者的诸多信息,比如航班号、航空公司代码、甚至智能机登记用户的姓名。 稿源:cnbeta.com, 封面:百度搜索  

广告图片像素隐藏恶意代码,“Stegano” 波及欧洲五国新闻网站用户

据外媒报道,在过去的几个月里,数以百万计的用户可能已经在访问主流新闻网站时遭到恶意广告攻击。攻击者在网页广告图片的单个像素中嵌入恶意代码。 安全公司 ESET 的研究员将这起恶意广告事件称为“ Stegano ”。这起事件从 10 月开始,攻击者利用这种技术针对流行的新闻网站。将恶意代码隐藏在定义像素透明度的参数( Alpha Channel)内 ,由于修改幅度较小,用户肉眼几乎无法发现图像的外观改变。 恶意代码首先会检查确定自己不是运行在虚拟机、沙箱或安全软件中,随后将受害者的浏览器重定向至另一页面并利用三个(已修复的) Adobe Flash 漏洞 入侵电脑。此外,对于使用 IE 浏览器访问新闻网站的用户,脚本会利用 IE 漏洞 CVE-2016-0162 进行入侵。 恶意广告攻击波及加拿大,英国,澳大利亚,西班牙和意大利。为避免成为“ Stegano ”活动的受害者,用户必须及时更新系统、软件漏洞,启用安全软件。 稿源:本站翻译整理,封面来源:百度搜索

80 款索尼摄像头存后门账户,可被劫持执行恶意操作

据外媒报道,索尼已经关闭了 80 款“ IPELA ENGINE ”品牌网络监控摄像头的调试后门,索尼摄像头采用硬编码登录,可被恶意软件劫持成为像“ Mirai ”一样的僵尸网络。 后门是由美国证券交易委员会的 Stefan Viehböck 在 10 月发现,专家向索尼报告了问题,之后,索尼公司迅速发布固件更新,至于为什么要留后门以及到底用来干什么,索尼拒绝回复。 专家在固件中发现了两个硬编码,是一种内置的基于 Web 的管理控制台永久启用帐户: 用户名: debug,密码:popeyeConnection 用户名: primana,密码:primana 这允许黑客使用这些账户通过 Telnet / SSH 服务远程登录联网设备并获得管理员权限。 例如:通过发送以下网址到目标设备可获得 Telnet 访问权限。 http://primana:primana@HOST/command/prima-factory.cgi?foo=bar&Telnet=zKw2hEr9 http://primana:primana@HOST/command/prima-factory.cgi?foo=bar&Telnet=cPoq2fi4cFk 一旦 telnet 或 SSH 服务已启用,攻击者就可以 root 权限登录,并获得操作系统命令行级别的访问。下面是操作系统级后门用户的密码哈希值 $1$$mhF8LHkOmSgbD88/WrM790 (gen-5 models) iMaxAEXStYyd6 (gen-6 models) 稿源:本站翻译整理,封面来源:百度搜索

惠普停用远程访问网络打印机以防黑客入侵

收购了三星的打印业务,惠普在这一领域的话语权愈发高涨。现在,惠普宣布了一项新的决定,停用商用打印产品的远程访问支持,包括FTP、Telnet等。惠普在听了美国国家标准委员会的安全建议后认为,FTP 和 Telnet 极易让黑客入侵。 据悉,惠普这项决定暂时针对准备上市的新品,他们也担心引发上次停用三方墨盒时外界的一片愤怒,表示默认关闭,用户真心需要的话,依然可以激活(预计隐藏很深或者需要专门驱动)。 同时,对于现有产品,惠普也宣布了固件升级,加强了通讯协议的口令密码和安全认证。惠普最后强调,他们正在将无线打印机的易用性扩展,以便替换掉传统的 FTP和 Telnet。 稿源:cnbeta.com 节选,封面:百度搜索  

任天堂推出 3DS 漏洞赏金计划,最多可获 20000 美金

近日,任天堂在漏洞众测平台 HackerOne 上挂上了 3DS的漏洞悬赏任务,提交漏洞的用户可获得任天堂评估给出的 100 到20000 美金不等的报酬。   HackerOne 是一家传奇的漏洞众测平台,很多世界知名的公司都使用它来排除漏洞,例如:Yahoo、Twitter、Adobe、Facebook 等,甚至美国国防部也与其合作参与 “Hack the Pentagon” 的漏洞奖励计划。在HackerOne 有来自 150 多个国家 3000 多名黑客,同时 HackerOne 也是最早接受并利用黑客开展商业模式的公司之一。 此次任天堂在 HackerOne 上公布的任务仅针对 3DS 平台。简而言之,任天堂将对第一位上报合格的漏洞的用户奖励 100 至 20000 不等美元的报酬,具体的奖励金额由任天堂自行评估给出,并且保密。任天堂或者公众已知的漏洞不符合奖励的条件,同时奖励不会发放给处于制裁名单上的人与处于制裁国家名单上的人。 稿源:游民星空,封面:游民星空

英国政客投票将自己排除在政府监视范围内

英国通过了史上最受争议的监控法律,而政客们却 将自己排除在监视法律之内。英国的 Investigatory Powers Act 要求记录浏览历史、要求科技公司帮助解密加密通讯记录——意味着需要实现某种后门。对于大多数人而言,只要有国务大臣签发的搜查令就能对其进行监视;而对于议会成员和其他政客,搜查令需要获得首相的批准。受到保护的政客除了国会议员,还有地方议会和欧盟议会的成员。 稿源:solidot奇客 有删改,封面:百度搜索

谷歌 Chrome 新版更新发布,修复 36 个安全漏洞、默认启动 HTML5

上周四,谷歌发布 Chrome 55.0.2883.75 版本更新,本次更新修复了 36 项安全问题并提升稳定性,其中包括 12 个高严重漏洞。此外,同时将 HTML5 作为网页的默认支持选项。 本次更新修复的 36 个漏洞,有 26 个来自漏洞赏金项目,总计支付研究人员 70,000 美元的奖励,另外 10 个安全补丁是谷歌自己发现并解决的。漏洞中存在 12 个高严重漏洞,涉及跨站点脚本 bug、默认 PDF 查看器“ PDFium ”漏洞、V8 JavaScript 引擎漏洞等。 谷歌过去曾宣布,逐步对 Flash 页面进行“限制”并替换成 HTML5 页面。这次 Chrome 浏览器将将网页的默认支持选项转变为 HTML5 ,但也没有完全禁止 Flash 的运行,用户可通过手动加载 Flash 或设置白名单加载 Flash 。 稿源:本站翻译整理,封面来源:百度搜索