分类: 安全快讯

Mozilla:云端 DOH 比传统 DNS 更安全 性能差别不大

Mozilla 今年 3 月时,在 Firefox Nightly 版本进行了 DOH(DNS Over HTTPS)与传统 DNS 的比较实验,探讨后者是否能被前者取代,结果显示虽然 DOH 服务平均比传统 DNS 慢6毫秒,但是相比之下,DOH 不止服务更安全,而且在极端情况下,甚至能比传统 DNS 的回应还快几百毫秒。 现在的浏览器用户依赖不够安全的传统 DNS 协议来访问目标网站,可能面临被追踪(Tracking)或是欺骗(Spoofing)等风险。Mozilla 引用了 2018 年 Usenix 安全研讨会的论文,研究显示 DNS 服务现在正受到严重的干扰,而且面临各种资料收集的隐私威胁。Firefox 开发了 DOH 技术,让浏览器从一个或多个可信任的服务中获取 DNS 信息,以提供高安全与高隐私的 DNS 服务。 由于以可信任的 DOH 云端服务取代传统 DNS 是一个剧烈的改变,在选择 DOH 服务器时需要考虑很多因素,因此 Mozilla 对此展开了测试,主要想了解两个问题,第一个,使用 DOH 是否能取代传统 DNS?第二个,使用 DOH 是否会出现额外的连接错误?在 7 月的时候有约 25000 名 Firefox Nightly 63 使用者参与了 Cloudflare 与 Mozilla 共同举行的测试,测试总共收集到了超过十亿条的 DOH 数据,目前测试已结束。 结果显示,与传统 DNS 相比,和云端服务供应商合作使用 HTTPS 发出 DNS 请求,在无缓存的 DNS 查询上,性能影响很小,大多数的查询只慢了约 6 毫秒,但从权衡安全性和保护隐私数据的角度出发,这是可以被接受的成本。而且在某些情况下,甚至能比传统 DNS 还快几百毫秒。 另外,这个测试除了解性能方面的影响,还考虑了连接错误率,在软故障(Soft-fail)模式下使用 DOH 云端服务的用户,和传统 DNS 用户相比,错误连接率并没有明显差异。软故障模式主要使用 DOH,当域名无法正确解析或是 DOH 提供的地址连接失败时,便退回使用传统 DNS。 Mozilla 提到,他们正努力于创造一个可信任的 DOH 供应商生态,以满足较高标准的数据处理需求,后续会在一组供应商中或是依照地理位置划分 DNS 传输,这项试验可能会在不久之后进行。     稿源:开源中国,封面源自网络;

Android API breaking 漏洞曝光:可泄露设备相关数据

近日 Nightwatch Cybersecurity 的安全研究专家 Yakov Shafranovich 发现了 Android 系统中存在的漏洞,能够让网络攻击者秘密捕获 WiFi 广播数据从而追踪用户。这些数据涵盖 WiFi 网络名称、BSSID、本地 IP 地址、DNS 服务器数据以及 MAC 地址,尽管后者在 Android 6 及更高版本中就已经通过 API 来隐藏掉了。 常规 APP 通常会用于合法目的来截取这些数据。但流氓 APP 在窃听这些数据之后,极有可能会导致敏感数据的泄露。攻击者可能会用于发起针对本地 WiFi 的网络攻击,以及使用 MAC 地址来追踪指定的 Android 设备。此外使用数据库查找,还可以通过网络名称和 BSSID 进行地理标记。 研究人员表示“虽然系统中对于阅读此类消息的功能进行了严苛的限制,但应用开发者往往忽略了如何正确的部署这些限制以及如何更好的保护敏感数据。这在 Android 系统中 APP 比较普遍,一旦设备被恶意 APP 感染,就会被黑客处于监听的状态,并且截取其他 APP 的广播信息。”   稿源:cnBeta.COM,封面源自网络;

谷歌新推出 Titan 安全密钥 开发商为一家中国公司

新浪科技讯 北京时间8月31日上午消息,据CNBC报道,谷歌为确保网页服务登录安全而推出的新产品Titan安全密钥是由中国飞天诚信科技股份有限公司(Feitan)开发的。 谷歌目前正在与LG和三星等设备制造商进行直接竞争。考虑到近些年来谷歌一直致力于推广硬件,此次安排确实有些不同寻常之处。去年,谷歌又加大了对于硬件的投资,从HTC手中收购了大量人才和知识产权。 谷歌在上个月举办的Next云计算大会上宣布了“泰坦”密钥的推出并表示将在谷歌开发的固件上验证其完整性,不过公司并未指出这款产品的制造商。但是这款无线密钥与飞天的一款无线密钥产品非常类似,这是一家位于北京的安全公司,于2014年在深圳证券交易所上市。 CNBC电话联系了飞天驻加州圣克拉拉的办公室,接电话的员工表示飞天在“泰坦”项目上正与谷歌进行合作。另外一位熟悉此项目的知情人士也证实了这一合作关系。周四,The Information媒体也单独报道了双方之间的合作。 谷歌发言人表示,谷歌是泰坦密钥“名义上的制造商”,但实际上开发泰坦密钥的是不具名的第三方制造商。不过发言人拒绝回应飞天是否是密钥的制造商。 这种安排在谷歌早有先例。2016年,谷歌强调自己是其首款Pixel智能手机“名义上的设计者”,而其实HTC才是其代工制造商。 谷歌一直以来的倡议 谷歌一直以来都推崇可以阻止不必要尝试登录用户账户行为的技术。现在,除了要求员工输入密码之外,公司还要求员工使用物理安全密钥。新增加的信息核实措施旨在防止网络钓鱼攻击,即黑客会通过欺诈消息获取个人信息。 泰坦密钥不但看上去与飞天密钥很相似,而且和美国一家名叫Yubico公司的USB密匙也非常相似。Yubico的密钥可以用于安全登录谷歌的Gmail、Dropbox、GitHub和其他网络服务。 但是Yubico的首席执行官斯蒂娜·埃伦斯瓦尔(Stina Ehrensvard)在博客文章中明确表示泰坦密钥不是由Yubico制造的。埃伦斯瓦尔还对该密钥使用蓝牙一点提出了批判。 “尽管Yubico之前也开发过蓝牙低能耗(BLE)安全密钥,并促成了BLE U2F标准的问世,但由于它不符合我们的安全、可用性和耐用性标准,因而我们决定不推出这款产品。”埃伦斯瓦尔写道,“BLE无法提供NFC和USB级别的安全保障,而且需要电池和配对,这就会带来非常糟糕的用户体验。”Yubico公司在瑞典和加州均设有办公处。 周日,谷歌产品经理克里斯蒂安·布兰德(Christiaan Brand)在博客中宣布用户可以通过谷歌在线商店获得泰坦密钥。她还表示谷歌的固件被密封在特殊的芯片中,这些芯片是直接配送到生产线上的。“对于泰坦密钥的信任便是源于这些密封芯片,而不是基于在设备制造过程中的后续步骤。” 在泰坦密钥发布之后,飞天也在社交媒体上分享了一些关于谷歌的消息,但并未正式发表公开声明表示两者之间的合作关系。 谷歌在自己的“高级保护”计划网站上建议美国公民——如果他们没有两个安全密钥的话,可以通过亚马逊购买飞天无线密钥以及Yubico的USB密钥。但这两款密钥均不是以谷歌泰坦品牌的名义进行销售的。   稿源:新浪科技,封面源自网络;

美国政府正采取措施整改备受困恼的 CVE 系统

据外媒报道,美国政府正在采取措施修复近年来一直受到各种问题困扰的公共漏洞和暴露(CVE)系统。 CVE 由 MITRE 公司在美国政府资助下创建于1999年,它是一个包含安全漏洞识别符(追踪号码)的数据库。自创建以来,CVE 系统被公共和私营企业采用,广泛应用于全球各地。大多数现代网络安全软件使用 CVE 编号来识别和跟踪利用某些软件 bug 的网络攻击。 CVE 数据库一直受到各种问题的困扰 但近年来,CVE 系统饱受压力。从2015年末起,大量安全研究员反馈称在获取 CVE 编号时延迟严重。他们中的一群人甚至联合起来创建了一个替代的漏洞数据库,称为分布式弱点归档(DWF)。 当时,MITER 表示 CVE 号码分配延迟是由于软件供应商数量的增加,和软件驱动的工业(SCADA)设备和物联网设备的激增造成的。这两个因素导致漏洞报告的数量大幅增加,CVE 员工无法及时跟进。2016年末的一份报告发现,MITER 的 CVE 未能向2015年发现的 6000 多个漏洞分配编号。 美国参议院于 2017 年开始调查 CVE 项目 在媒体的大肆报道后,美国参议院能源和商务委员会于2017年3月底启动了对 CVE 项目的调查。 参议院之所以有权调查 CVE 的运行情况,是因为 MITRE 从美国国土安全部的国家网络安全处获得运行 CVE 数据库的资金。 经过长达一年的调查后,能源和商务委员本周一致函国土安全部(DHS)和 MITRE 公司,概述了调查结果和拟议的行动方案,以解决 CVE 中发现的问题。 原因#1:资金波动和减少 委员会表示,DHS 资助金额的不一致和大幅减少是该项目走下坡路并大量积压的原因之一。信中写道:“2012-2015年,项目收到的资金同比减少了37%。DHS 和 MITER 文档显示,CVE 合同既不稳定,又容易出现计划和资金上的剧烈波动。” 为解决这一问题,委员会建议国土安全部官员将 CVE 的资金从基于合同的资助计划转移到 DHS 的自身预算内,作为 PPA(计划、项目或活动)资助项目,让 MITRE 专注于运营 CVE 数据库而不用总是担心资助问题。 原因#2:缺乏监督 其次,委员会还确定了第二个问题来源,即缺乏对 CVE 项目的监督。 “管理 CVE 计划的历史实践显然是不够的。除非取得重大进展,否则它们可能会再次引发对整个社会利益相关者产生直接负面影响的问题和挑战”,委员会建议 DHS 和 MITER 进行两年一次的审查,以确保该项目在未来几年的稳定性和有效性,帮助在渗入下游网络安全行业之前发现问题。   稿源:开源中国社区,封面源自网络;

前 Facebook 安全主管:美国政府现在保护 2018 年选举已经太晚

据外媒theVerge报道,Facebook最近刚刚离职的安全主管指出,美国政府的不作为使得即将到来的中期选举很容易遭到黑客攻击和网络操作。据悉,Alex Stamos于本月早些时候离开公司,他在最近发表的文章中称,“保护2018年选举已为时已晚”。 这一言论则是对昨日两条新闻的回应:一条是微软发现了6个将为俄罗斯展开政治钓鱼攻击的,另一条是Facebook关闭了652个据称跟虚假信息运动相关的虚假账号和页面。 Stamos表示来自俄罗斯(现在是伊朗)的黑客并未被阻隔在干预选举之外,另外他对奥巴马政府、特朗普政府以及国会在2016年大选期间对操控选举行为作出的“僵化反应”提出了指责。他写道:“如果美国继续沿着这条道路下去,那么它就有可能让自己的选举变成信息站世界杯。” Stamos认为,对于2020年的美国选举,政府应该推动《诚实广告法》的推行,它将对网络政治广告提供更高的透明度要求。另外他还敦促美国政府创立一个专门的联邦网络安全机构以及直接预防选举攻击的州级安全部门。 这篇文章还对Facebook以及其他社交媒体平台因黑客操控其平台而受到的广泛批评进行了反驳。Stamos是一个对公司安全问题直言不讳的人,他曾因披露有关2016年的错误信息活动而惹怒了Facebook的一些高管。不过他指出,虽然包括其前雇主在内的社交媒体平台在2016年犯下了严重的错误,但在很大程度上政府需要为此负责。   稿源:cnBeta,封面源自网络;

Facebook 清除上百个传播虚假信息的账号 伊朗疑卷入其中

据外媒报道,Facebook日前删除了另一批做出不真实行为的页面、群组和账号。这些页面主要针对的是生活在中东、拉丁美洲、英国以及美国的人,上面展示的政治内容旨在塑造他们的观点。就在几周前,Facbeook曾披露其已经从平台上删除了多个涉嫌具有可疑政治动机的页面。现在它又公布了第二次大规模的清除活动–删除了652个页面、群组和账号,据称这次来自伊朗。 这一可疑活动于上月首次披露,当时一家名为FireEye的网络安全公司通知Facebook,他们认为这是一场可疑的、有影响力的宣传活动。据称,这些账号来自伊朗,其目的是利用各种相关账号传播反沙特、反以色列和亲巴勒斯坦的内容。 FireEye在最初的分析报告中指出,总体来说,这一活动背后的意图似乎跟推动伊朗政治利益相关,包括反沙特、反以色列和亲巴勒斯坦的主题以及促进支持美国对伊朗有利的具体政策。这家公司还表示,由于这些干预运动的影响范围非常广,所以它的目标并非只是针对即将到来的美国中期选举,而是要更广泛地影响到世界各地的政治对话活动。 除了这批伊朗账号之外,Facebook还披露,他们删除了美国政府消息源确认跟俄罗斯情报服务机构相关的页面、群组和账号,至于清除了多少并未公布。据称,这些新的干预活动并没有明确表现出跟美国的关系,反而更加关注叙利亚和乌克兰并传播亲俄罗斯和亲阿萨德的宣传。 就在Facebook披露这一消息的前一天,微软数字犯罪部门表示他们已经向美国联邦法院提出申请,要求转移对据称跟一个叫做Strontium的俄罗斯军事情报组织有关的六个的控制权。 微软总裁兼首席法律官Brad Smith表示,Strontium对这些域名的收购暗示了2016年美国总统大选和2017年法国总统大选期间的类似活动。 Facebook网络安全政策主管(Nathaniel Gleicher在一份声明中说道:“我们正与美国执法部门密切合作,对他们的帮助表示感谢。调查工作正在进行中——考虑到敏感性,我们不会没有分享更多关于我们删除内容的信息。”   稿源:cnBeta,封面源自网络;

Chrome 隐身模式可能没有你想得那么能保护个人隐私

据外媒报道,大多数用户在用Chrome上网时都对它的隐身(Incognito)模式抱着合理的期待,但来自行业组织Digital Content Next委托的一项研究结果却呈现了不一样的情况。范德比尔特大学计算机科学教授、研究论文作者Douglas Schmidt指出,如果用户是通过像Gmail等这样的谷歌服务登录,那么从理论上来说即便是在隐身模式下,谷歌还是能通过cookies将用户的浏览情况跟其身份联系起来。 不过如果用户是在登录谷歌账号之前就启动了隐身模式那么跟踪数据就会被清除。 然而这份报告并没有明确指出谷歌是否需要为此负责,但从技术层面上来讲却是可以的。对此,谷歌很快反驳了这种说法。 在一封提供给AdAge的邮件中,谷歌发言人表示并没有把隐身浏览跟用户登录已经退出隐身模式的账号关联起来。另外他还表示,他们的广告系统不会知道Chrome何时处于隐身模式,同时也不知道其他浏览器何时处于类似模式。 这位发言人补充称,这份报告是由一个专业的DC游说团体委托由正与谷歌进行诉讼的一名甲骨文证人撰写。“因此,它包含大量误导信息也就不足为奇了。”   稿源:cnBeta,封面源自网络;

美国 22 个州联名诉 FCC 要求恢复”网络中立”规则

网易科技讯 8月21日消息,据国外媒体报道,当地时间周一晚些时候,一个由22名州检察长和哥伦比亚特区组成的小组,要求美国一家上诉法院恢复奥巴马政府2015年出台的具有里程碑意义的网络中立规则(Net neutrality)。 美国联邦通信委员会(FCC)去年12月投票表决,废除了关于禁止互联网服务提供商阻塞、限制流量或提供付费快车道(也称付费优先次序)的规定。 FCC表决通过的新规定于6月初生效,新规定授予互联网服务提供商广泛的新权力,改变了美国人使用互联网的方式。 各州认为,FCC的新规定会伤害消费者。这些州还表示,FCC没有任何“有效权威”来越过州及其保护网络中立性的地方法律。截止目前为止,有六个州的州长签署了关于网络中立的行政命令,三个州颁布了网络中立法律。   稿源:网易科技,封面源自网络;

连年上涨,全球信息安全支出明年或超 1240 亿美元

(原标题:Global Information Security Spending To Exceed $124B In 2019, Privacy Concerns Driving Demand) 网易科技讯  8 月 20 日消息,据福布斯杂志报道,研究公司 Gartner 最新预测,2018 年的全球信息安全产品和服务支出将超过 1140 亿美元,比去年增长 12.4% 。该公司还预测,2019 年市场规模将增长 8.7% ,达到 1240 亿美元。相比之下,2017 年的支出为 1015.4 亿美元。 Gartner 研究总监悉达多·德什潘德(Siddharth Deshpande)表示:“安全公司正努力帮助自己的组织安全地使用技术平台,提高竞争力,推动业务增长。持续存在的技能短缺和欧盟《全球数据保护条例》(GDPR)等监管规则的变化,正在推动安全服务市场持续增长。” Gartner 在去年 9 月至 10 月间进行的调查显示,安全支出的三大驱动力分别是安全风险、业务需求以及行业变化。此外,调查发现,隐私问题也成为企业关注的“关键因素”。Gartner 认为,到 2019 年,隐私问题将“推动安全服务市场需求增长至少 10%” ,并影响到身份和访问管理(IAM)、身份治理和管理(IGA)以及数据丢失预防(DLP)等多个领域。 调查结果还显示,从 2017 年到 2022 年,信息安全市场的收入将以每年 7.8% 的复合增长率(CAGR)增长,以恒定汇率计算将达到 1430 亿美元。到 2019 年,在安全服务方面的支出将占全球整体安全支出的 51.75% 。德什潘德表示:“安全与风险管理必须成为任何数字业务计划的关键组成部分。”       稿源:网易科技,封面源自网络;

澳大利亚少年入侵苹果网络:非法下载 90GB 安全文件

澳大利亚的苹果应用商店 凤凰网科技讯 据科技博客 AppleInsider 北京时间 8 月 16 日报道,澳大利亚墨尔本一名十几岁的少年黑客,在他位于郊区的家中多次入侵苹果公司内部系统,进入他人账户非法访问隐私数据。在其黑客行径被发现之前,这名少年从苹果内部系统下载的安全文件容量竟然高达 90GB。 据澳大利亚《时代报(The Age)》周四援引当地法庭的消息称,这名少年黑客是位苹果粉丝,他的“梦想”是进入苹果公司工作。不过苹果公司对其行为并不买账。去年苹果获悉该情况后,立即向美国联邦调查局(FBI)发出求援警告,而 FBI 随后与澳大利亚当局进行沟通、协调,少年黑客很快被捕。 一名检察官表示,因苹果“对公众的关注非常敏感”,直到本周法庭开庭前,苹果未向媒体透露过关于此案的任何蛛丝马迹。 除了知道少年黑客非法下载了 90GB 数据,目前还不清楚这名少年黑客入侵的范围影响有多大,到底访问了哪些账户或其他信息;与此同时,目前尚不清楚这次黑客入侵事件影响到了澳大利亚,还是影响到了全球范围。 苹果尚未对此案发表评论。 去年,当地警方突击搜查了这名少年黑客的住处,并在他的电脑上一个名为“黑客黑客黑客”的文件夹中,发现了所窃取的苹果文件,随后该少年被捕。澳大利亚联邦警察还没收了这名少年的两台苹果笔记本电脑,发现被告获得了进入苹果系统的“授权密钥”。由于法律原因,媒体暂未公开这名少年黑客的姓名。作为被告,少年黑客承认自己有罪,该案将于下月宣判。 目前尚不清楚是否有任何获得的数据提供给了第三方。据了解,这名黑客在 Whatsapp 上与其他人就此事进行了沟通,但谈话内容并未公布。 本周早些时候,澳大利亚政府计划就是否迫使苹果和其他公司削弱加密进行辩论。今年 6 月,苹果因 iPhone 和 iPad 的维修政策被澳大利亚监管机构罚款 670 万美元。     稿源:凤凰网科技,编译:若水,封面源自网络;