分类: 安全快讯

OpenSSH 增加对存储在 RAM 中的私钥的保护

OpenSSH 是 SSH (Secure Shell) 协议的免费开源实现,它是许多 Linux 发行版中用于加密到远程系统的连接的默认解决方案。 此前,Google 的 OpenBSD 开发人员和安全研究员 Damien Miller 对 OpenSSH 进行修改,增加了对存储在 RAM 中的私钥的保护,让攻击者更难利用硬件漏洞的侧通道攻击来提取私钥。 Damien Miller 解释说,用于保护内存中私钥的对称密钥来自由随机数据(目前是 16 KB)组成的一个相对较大的 prekey。而工作方式是,密钥在加载到内存中时被加密,并在需要签名或必须保存时解密。 虽然这种预防措施并不是应对硬件攻击的完整解决方案,但它确实会使攻击者更难获得成功。Damien Miller 分析说,“攻击者必须以高精度恢复整个 prekey,然后才能尝试解密被屏蔽的私钥,但是目前的攻击具有比特错误率,要想累加到整个prekey,这显然是不可能的。” 这并不是长久之计,Damien 表示,当计算机架构变得安全的时候,才可以彻底消除这个问题。   (稿源:开源中国,封面源自网络。)

为期两年的研究揭示了 Android 的大问题 – 应用易被假冒

在两年的时间里进行的一项研究表明,危险的应用仍然是Android系统一个重要问题,尽管谷歌在这方面的改进本应提高用户安全水平。来自悉尼大学和英联邦科学与工业研究组织(CSIRO)的Data61小组的研究人员建立了一个先进的应用分析系统,该系统依靠所谓的卷积神经网络来扫描应用并确定相似之处,包括应用程序图标等等。 该研究发现危险的应用程序,通常使用模仿热门游戏的图标,试图欺骗用户下载它们。该研究还依赖于使用VirusTotal执行反恶意软件扫描,并检测应用程序所包含的权限和第三方广告库,以试图确定它们对安装设备造成的损害。结果几乎可以说明问题。在被检查的100万个应用程序中,有近5万个应用程序与Play Store中另一个更受欢迎的应用程序有某种相似之处。 研究人员表示他们能够在一组49608个应用程序中找到2040个包含恶意软件的潜在假冒伪劣应用程序,这些应用程序与Google Play商店中排名前1万名的热门应用程序之一具有高度相似性。该研究显示, 他们还发现1565个潜在的假冒伪劣应用程序至少比原始应用程序多出5个危险的权限许可要求,1407个潜在的伪造应用程序至少有含有5个额外的第三方广告库。 另一方面的好消息是,谷歌Play商店让35%被标记为危险的应用程序下架,可能是因为Google在发现潜在威胁后将其删除。但与此同时,65%被标记为危险的应用程序仍然存在于谷歌Play商店。虽然这些结果肯定令人担忧,但用户自己也应该在下载之前更加关注应用。强烈建议在下载之前检查任何应用的图标,说明和用户评论,因为这些可以帮助确定某个应用程序是否对Android设备构成风险。   (稿源:cnBeta,封面源自网络。)

报告:黑客曾利用连着 JPL 网络的树莓派设备攻入 NASA 网络

据外媒报道,NASA总监察长办公室(OIG)于本周发布的一份报告显示,2018年4月,有黑客攻击了他们的网络并盗走了约500M与火星任务相关的数据。攻入的切点则是一台连着NASA喷气推进实验室(JPL) IT网络的树莓派电脑。 黑客偷走火星任务数据 根据一份49页的OIG报告,黑客通过入侵一个共享网络网关然后利用该入口深入JPL网络,之后进入了存有NASA JPL管理的火星任务信息的网络。 OIG的报告称,黑客使用了一个受攻击的外部用户系统进入了JPL任务网络。 NASA OIG表示:“攻击者从23个文件中窃取了大约500MB的数据,其中2个文件包含有跟火星科学实验室任务有关的国际武器管制信息。” 火星科学实验室是JPL一个负责管理火星“好奇号”探测器的一个项目。 黑客还攻击了NASA的卫星天线网络 NASA JPL的主要任务是建造和操控行星机器人宇宙飞船如好奇号或环绕太阳系行星运行的各种卫星。 另外,JPL还管理着NASA的深空网络(DSN),这是一个覆盖全球范围的卫星天线网络,用于发送和接收来自NASA正在执行任务的航天器的信息。 调查人员表示,除了进入JPL的任务网络,2018年4月的入侵者还访问了JPL的DSN IT网络。由于担心攻击者可能也会转向他们的系统,NASA的其他几家机构在遭受入侵的同时切断了与JPL和DSN网络的连接。 攻击被定性为高级持续性威胁 NASA OIG表示:“这次攻击被列为一种高级持续性威胁,它在将近一年的时间里都没有被发现。而对这起事件的调查工作正在进行中。 报告中,JPL未能将其内部网络分割成更小的部分–这是一种基本的安全做法–而受到指责。 NASA OIG还就JPL未能及时更新信息技术安全数据库(ITSDB)而受到指责。ITSDB是JPL IT人员的数据库,该系统管理员应该在其中记录下连接到JPL网络的每台设备。然而OIG发现数据库的记录并不完整也不准确。 此外,调查人员还发现,JPL的IT人员在解决任何与安全相关的问题方面都比较滞后。   (稿源:cnBeta,封面源自网络。)

研究人员称手机上弹出的“紧急总统警报”短信容易被伪造

据外媒CNET报道,科罗拉多大学博尔得分校的研究人员表示,美国政府发出的紧急总统警报短信易受到黑客的攻击。该大学已经提醒美国政府官员注意这个安全问题。 无线紧急警报(WEA)短信通常被用于提醒美国的移动用户关于失踪儿童(通过Amber警报)、恶劣天气和国家紧急情况的总统公告。在总统警报信息系统的测试中,美国联邦紧急事务管理署(FEMA)于2018年10月在全美范围发送了一条来自美国总统唐纳德·特朗普的消息。去年1月夏威夷成为虚假弹道导弹警报的受害者。 现在,科罗拉多大学博尔得分校的研究人员表示,总统警报短信可能会虚假的。研究人员称,他们找到了一个后门,让他们模仿警报并向局限于小区域的人发送虚假短信,例如街区或体育场。 “从政府向手机信号塔发送紧急警报是相当安全的,”计算机科学系助理教授兼该研究报告的共同作者Sangtae Ha说。“但是手机信号塔和用户之间存在着巨大的漏洞。” 研究人员开发了模仿总统警报格式的软件,然后使用商用无线发射器将信息发送到半径范围内的手机上。该团队在该区域内测试所有手机的成功率达到了90%。 “我们只需将该消息传播到正确的频道,智能手机就会接收到它并显示出来,”Sangtae Ha表示,并补充称这些消息还可以被发送到成千上万的手机。 研究人员在测试中使用了苹果iPhone X和三星Galaxy S8。 FEMA没有立即回复评论请求。   (稿源:cnBeta,封面源自网络。)

盘点过去 15 年影响最恶劣的 15 起用户隐私泄露事件

近年来用户隐私泄露事件频发,可以用触目惊心来形容。网站托管比较网站HostingTribunal整理了一个信息图,盘点过去15年中影响最恶劣的15安全事件。自2013年以来,由于数据泄露超过14,717,618,286条记录丢失或被盗,仅2018年上半年就有3,353,178,708条记录遭到窃取。在2017年全球86%的泄露事件发生在北美,2018年美国45.9%的数据泄露事件发生在商业领域。 其中泄露事件之一就是2015年1月,一家自称为“Peace”的俄罗斯黑客组织窃取了1.17亿个LinkedIn电子邮件和密码凭证。2014年至2018年期间,网络犯罪分子收集了万豪国际连锁酒店超过5亿客人的个人数据,并于2018年9月成功攻击Facebook,窃取了5000万用户账户。 关于过去15年影响最恶劣的15起安全事件细节,可以查看以下的信息图:   (稿源:cnBeta,封面源自网络。)

以色列公司 Cellebrite 宣称可解锁所有 iOS 12 设备

破解工具UFED的宣传画面 6月17日上午消息,以色列的法证公司Cellebrite本周透露,它现在有能力解锁任何运行iOS 12.3的iOS设备。该公司在推特上宣布了这一消息,并大力宣传其用于法律提取证据的作用。 在他们产品UFED Premium(通用取证提取装置)的介绍网页上,Cellebrite称这是执法机构“解锁并从所有iOS和旗舰安卓设备中提取关键手机证据”的唯一解决方案。 在iOS系统上,UFED Premium支持运行iOS 7到iOS 12.3的所有设备。他们可以绕过屏幕锁,在任何iOS设备上完整提取文件系统,从而获得比其他传统方法更多的数据。 他们介绍说:通过此工具,能获取第三方应用程序数据、聊天对话、已经下载到手机的电子邮件和附件、甚至已经删除的内容等等,增加你找到犯罪证据并解决案件的机会。 虽然UFED只作为内部工具出售给警方。但这产品毕竟是第三方民间公司研发的产品,而且是商业售卖流程,这种方法让Cellebrite很难保护自己的技术。今年,Cellebrite的产品在eBay上就随处可见,价格仅为100美元。 苹果公司一直在努力阻止Cellebrite和Grayshift等公司的破解工具。去年10月,有消息称,由于苹果系统的改进,Grayshift的GrayKey取证盒无法解锁iOS 12设备。但目前,这场攻防战中破解那方似乎又扳回一局。 对一般用户来说,恐怕不会有人费尽心思去破解你的手机,但这种产品的存在会让人又一种隐忧,毕竟它是存在的,而且获取成本并不算高。   (稿源:新浪科技,封面源自网络。)

微软修复了五个 SandboxEscaper 零日漏洞中的四个

过去几个月,微软一直深受“沙箱逃逸”(SandboxEscaper)零日漏洞的困扰。因为黑客那边不按常理出牌,不仅没有给出 90 天的预备披露时间,还接二连三地抛出了针对 Windows 操作系统的特权提升漏洞。万幸的是,尽管准备工作有点仓促,该公司还是设法修复了已流出概念验证代码的五个漏洞中的四个,且目前尚无被人在野外利用的报道。 视频来源:https://twitter.com/i/status/1130968702239891456 据悉,已修补的这四个 SandboxEscaper 漏洞分别为: ● CVE-2019-1069 | 任务计划程序的特权提升漏洞 ● CVE-2019-1053 | Windows Shell 的特权提升漏洞 ● CVE-2019-1064 | Windows 特权提升漏洞 ● CVE-2019-0973 | Windows Installer 特权提升漏洞 鉴于漏洞的普遍严重程度,还请诸位及时安装每月发布的安全更新。   (稿源:cnBeta,封面源自网络。)

RAMBleed 扩展位翻转攻击领域,成功获取 OpenSSH 2048 位密钥

几名安全研究人员发表了一篇论文,介绍了一种基于位翻转漏洞 Rowhammer,并且将其威胁从内存完整性缺失扩展到内存信息泄露领域的技术 RAMBleed,表明位翻转的利用能力远超出当前人们的想象。 RAMBleed 是一种侧信道攻击,攻击者可以读取其它进程中的物理内存。研究者介绍,这一技术利用了几年前就出现的位翻转漏洞 Rowhammer,这是一种故障攻击,攻击者使用特定的存储器访问序列,使得内存出现位翻转,也就是 bit 值(0/1)改变。由于攻击者不直接访问更改的内存位置,因此 CPU 或操作系统一般不会察觉到问题。虽然这种位翻转技术不太好控制,但是其能力已被应用于沙箱逃逸、对操作系统和虚拟机管理程序的提权攻击、DoS 与加密协议故障注入等攻击。 过去人们认为 Rowhammer 攻击都是只能够破坏内存的完整性,也就是说,攻击者使用 Rowhammer 将有限的写入原语获取到其它无法访问的内存中,然后修改该内存的内容,而只要通过内存完整性检查就可以缓解这种攻击,比如使用以保护内存完整性为目标的内存或者带有纠错码(ECC)的内存。特别是纠错码技术,一直被认为是防止 Rowhammer 的有效手段,它可以在检测到位翻转时将其纠正。虽然近期有证据表明攻击者可以绕过 ECC 机制,使得在纠错后仍可观察到的位翻转,但成功纠正翻转仍然被认为是良性的,没有任何安全隐患。 但是研究者认为这样的想法不可靠,于是论文提出两个问题: Rowhammer 构成的威胁是否仅限于内存完整性缺失? 纠正位翻转的安全隐患是什么?即使 ECC 内存纠正了所有翻转位,攻击者是否可以使用 Rowhammer 来破坏机密性? 结果表明位翻转的利用能力远超出当前人们的想象,位翻转漏洞 Rowhammer 的威胁不仅仅是内存完整性缺失,它还可以用于获取内存信息。 研究人员研究出了一种 RAMBleed 攻击方法,这是一种侧信道攻击,通过观察 Rowhammer 引发的位翻转,可以推断出附近 DRAM 行中的值,因此可以读出属于其它进程的物理内存,论文中他们还演示了使用 RAMBleed 对 OpenSSH 的攻击,并成功获取了泄漏的 2048 位 RSA 密钥。 此外,与 Rowhammer 不同,RAMBleed 不需要持久的位翻转,因此服务器机器常用的 ECC 内存对于缓解该攻击是无效的。 研究人员将在 2020 年 5 月举行的第 41 届 IEEE 安全和隐私研讨会上发表题为“RAMBleed:在没有访问它们的情况下读取内存位”(RAMBleed: Reading Bits in Memory Without Accessing Them)的论文,进一步介绍该攻击手法。 论文地址:https://rambleed.com   (稿源:开源中国,封面源自网络。)

美国海关机构遭数据入侵:经陆路入境旅客信息恐被盗

北京时间6月11日早间消息,据美国科技媒体TechCrunch报道,美国海关与边境保护局(CBP)证实该机构遭到数据入侵,导致出入美国的旅客照片和车辆的照片出现泄漏。CBP的一位发言人在一份邮件中表示,这些照片先是被转移到了一个分包公司的网络上,之后通过一次“恶意网络攻击”被盗走。 CBP自己的网络在这次攻击中没有收到影响。 CBP在一份声明中表示:“CBP了解到,一个分包公司违反了CBP的政策,在没有获得CBP的授权,也没有告知CBP的情况下,将CBP收集的机动车车牌图像和旅客的图像转移到了分包公司自己的网络上。初步调查信息显示,这个分包公司违反了合同中规定的强制安全规定和隐私条款。” CBP最初是在5月31日发现的本次数据入侵事件。CBP的发言人没有透露具体有多少人的照片遭到了泄露,也没有明确指出这家分包公司的具体名称。 当前不清楚的还包括本次被盗取的都是哪种类型的图片,例如这些图像是CPB官员直接拍摄的,还是旅客在进入美国国境时被该机构的人脸识别技术自动拍摄的。 之后有消息称,从机场进入美国的旅客没有收到本次事件的影响,只有经由陆路进入美国国境的旅客信息遭到泄露。《纽约时报》援引一位政府官员的说法报道称:“有不超过10万张照片遭到了泄露。” CBP发言人没有就此报道发表评论。 CBP每天都会处理超过100万进入美国境内的旅客信息,该机构掌握着大量旅客图像信息,并且将它们储存在数据库中,这些图像包括护照与签证等重要信息。(永妍)   (稿源:新浪科技,封面源自网络。)

研究:只有 5.5% 的被发现漏洞曾遭到利用

据外媒报道,本周发表的一项新研究揭示了在过去 10 年里发现的安全漏洞中实际遭到利用的数量。据悉,这项被认为是迄今为止在同类研究中最广泛的研究发现,在 2009 年至 2018 年发现的 7.6 万个安全漏洞中只有 4183 个安全漏洞遭到利用。 更有趣的是,研究人员发现,在公共网站上发布概念验证(PoC)攻击代码与网络攻击尝试之间没有相关性。 研究小组表示,2009 年至 2018 年间,在 4183 个安全漏洞中只有一半的漏洞代码曾出现在公共网站上。 这意味着,没有公共 PoC 并不一定会阻止攻击者利用某些漏洞–一些黑客在需要的时候会利用自己的漏洞。 严重缺陷被利用的最多 研究指出,在外被利用的大多数漏洞都是安全漏洞,它们都具有很高的 CVSSv2 严重性评分(可以从 1 到 10,其中 10 分被分配给最危险和最容易遭到利用的漏洞)。 研究小组表示:“在所有被利用的漏洞中,将近一半的漏洞 CVSS 的得分是 9 分或更高。” 据悉,这项研究的核心数据由多种来源汇编而成的。例如,从 NIST 的国家漏洞数据库(NVD)中提取了所有安全漏洞、分数和漏洞特征的列表。而与在外发现的攻击有关数据则从防御工事实验室收集而来,有关攻击的证据从 SANS Internet Storm Center、Secureworks CTU、Alienvault 的 OSSIM 元数据和 reverse Labs 元数据中收集而来。关于编写的利用代码信息来自 Exploit DB、利用框架(Metasploit、D2 Security 的 Elliot Kit 和 Canvas Exploitation Framework)、Contagio、Reversing Labs 和 Secureworks CTU,研究团队发现在 2009 年到 2018 年间 PoCs 发布的数量有 9726 个。 此外,通过 Kenna Security,安全研究人员还获得了从扫描数百个公司网络的漏洞扫描器信息中提取的每个漏洞的流行程度。 未来 研究人员希望,他们这一安全漏洞研究将能帮助企业优先考虑其首先想到的漏洞修补以及那些最有可能遭到攻击的漏洞。 这份研究表明,一个漏洞的 CVSSv2 得分越高,它遭到严重利用的可能性就越大–无论利用代码公开与否。 另外,受到攻击的漏洞数量是 1/20,而不是以前的研究表明的 1/10。 此外,研究团队还希望他们的工作将能增强整个 CVSS 框架并提供关于特定漏洞可能会被利用的新信息,进而帮助那些依赖 CVSS 评分来评估和优先打补丁的组织提供更好的指导。   (稿源:cnBeta,封面源自网络。)