分类: 安全快讯

Facebook 推出新工具来应对竞选期间的黑客行动

据外媒报道,距离中期选举还有两个月不到的时间,Facebook决定推出一套新的工具来保护竞选活动不受黑客攻击。据悉,这是一个全新的网络保护层面,Facebook正在将其作为一个试点项目向美国各州以及联邦政府开放。 根据NBC的一篇报道了解到,根据该计划,选择加入项目的运动以及运动委员会将被指定为潜在的优先级别用户,如果他们发现设计其账号存在的任何异常行为则都能体验到快速排除故障的优势。 Facebook网络安全政策主管Nathaniel Gleicher在公司博客上解释称,页面管理员可以在politics.fb.com/campaignsecurity申请参与这个项目。一旦注册,他们就可以将他们的团队或委员会的其他人加入到项目中。Facebook表示,它将帮助官员采用其最强大的账户安全保护措施比如双重认证,并监控潜在的黑客威胁。 虽然Facebook目前还未提供太多关于这个新安全层的细节。不过这家公司已经表示,他们将在中期选举之前禁掉大量假账户和页面,其中一些行为类似于俄罗斯支持的互联网研究机构在2016年总统大选中引起的轩然大波。 Facebook CEO马克·扎克伯格则曾公开表示,Facebook的工具可能遭到了黑客和相关组织的滥用,这让他们措手不及。现在他们将采取另一种积极主动的行动以确保尽可能地减少为邪恶目的而选择其网络的情况并将这一措施一直持续下去。 至于这项举措是否能够取得预想中的成效则有待时间来考验。   稿源:cnBeta,封面源自网络;

Facebook 改漏洞悬赏政策:报告平台第三方应用可获奖

新浪科技讯 北京时间9月18日上午消息,Facebook平台上的第三方应用可访问用户数据,但这些应用近期被发现诸多漏洞。随着相关批评越来越多,Facebook近日宣布,将其漏洞赏金项目(bug bounty program)扩大至第三方应用范围。 Facebook如今将向报告用户访问令牌(user access tokens)内漏洞的开发人员提供奖励。所谓用户访问令牌,即允许用户通过登录Facebook直接注册/登录第三方应用的功能。假如这个访问令牌落入黑客手中,他们可以未经同意获取用户数据。 在报告中,研究人员须提交概念验证,来说明该漏洞如何可以允许黑客访问或滥用用户数据。Facebook将为报告提供至少500美元的奖励,并且只关注拥有至少5万活跃用户的应用上发现的漏洞。 在宣布这一变更的博客文章里,安全工程师丹·葛芬科(Dan Gurfinkel)说,Facebook将只考虑这些报告:“在使用有漏洞应用和网站时,通过被动查看发送至您的设备或从您设备发出的数据时发现的漏洞”。因此,研究人员无法创建一个开放的重定向,比如,来绕过身份验证要求。 “如果暴露,基于用于设置的权限,访问令牌极有可能被滥用,”葛芬科写道,“我们希望给研究人员提供一个明确的渠道来报告这些重要的问题,我们也希望进我们最大的努力去保护人们的信息,即使问题源不在我们的直接掌控之下。” 通常,第三方应用漏洞均不在大型科技公司的赏金漏洞报告的范围之内。但是Facebook仍在艰难处理用户的反对情绪,因为多年来公司一直允许第三方应用访问大量用户数据且基本上没有任何监督,其中一些应用甚至以允许其他人访问这些数据,违反Facebook的开发者政策,最显著的例子就是“剑桥分析”(Cambridge Analytica)数据泄露事件。 最近几个月,一些应用如Bumble和Coffee Meet Bagel等,也向用户提供了Facebook身份验证之外的其他登录选项——以回应他们所说的用户对使用Facebook登录越来越不放心一事。因此,Facebook必须对第三方应用予以监管以重新获得用户信任。 Facebook最近也推出了修订的应用审查流程,旨在清理访问超出其本身所需的用户数据的第三方应用。   稿源:新浪科技,封面源自网络;

苹果为 Safari 推新隐私功能:防止用户浏览习惯泄露

新浪科技讯 北京时间9月17日上午消息,苹果为Safari浏览器中推出一系列新隐私功能,包括控制cookies,这将使Facebook等公司更难跟踪用户。 一直以来,各大公司习惯使用cookies来记录用户过去的访问内容。这有助于保存登录信息和偏好设置。但如今,这些cookies也被用来绘制用户画像,以便根据用户的喜好精准推送广告。 Cookies的使用不仅限于访问特定网站。比如,其他内嵌了Facebook的“喜欢”、“分享”按钮的网站会向Facebook的服务器发送信息等待服务器的回复,然后Facebook的服务器便可以访问用户存储的cookies。这意味着Facebook将知道用户频繁访问的网站或阅读的新闻。然后,可以根据这些信息定制广告。 但是,新的Safari功能将使得这一波操作更加困难。 没有缓冲期 以往,Safari会在用户最后一次访问服务器后24小时再禁止保存在第三方网站的服务cookies。这段缓冲期给Facebook、谷歌等服务提供了极大便利。如今,Safari将自动阻止这些cookies,或推送提示征求用户的许可。 苹果表示,Safari仍可以保存用户的登录信息等偏好细节,不过有些网站将需要调整他们的代码。 隐藏细节 浏览器通常会显示有关您设备的看似无害的信息,比如使用的操作系统和安装的字体。网站可以利用这些信息来针对页面进行格式上的微调。 一直以来,浏览器上提供大量信息,很大程度上是因为这些信息看似无害。但如今,这些信息放到一起,足以用来识别用户身份。Safari现在将隐藏其中的许多细节,以便隐去用户的身份特征。 隐私服务Anonymizer的创始人兰斯·科特雷尔(Lance Cottrell)表示,这和数字化模糊某人照片的系统有点相似。“你可以看出来照片里的是一个人不是一条狗,但这个人具体长什么样你看不出来,”他说。 比如,Safari将仅显示机器附带的字体,而不显示任何自定义安装的字体。 隐藏网址 访问网站时,浏览器通常会发送用户刚才所浏览网页的网址。这个地址可以十分具体,可能导致其它问题,比如,会泄露您刚刚在电商网站上浏览的具体产品。 现在,Safari将只发送该网站的主域名。所以,以后,Safari发送的地址只会是“Amazon.com”而不会是亚马逊上的具体产品页面的地址。 关闭漏洞 有的广告公司企图通过使用某些技巧来绕过针对第三方cookies的限制。这个作弊方法可以让第三方cookies看起来像是用户当前访问网站的cookies。Safari目前正尝试解决这个问题。 以上变化将作为iPhone和iPad上的操作系统iOS 12的一部分更新于周二发布,至于Mac系列电脑,将通过Mojave系统更新在一周后发布。 多数安全措施仅限于苹果认为是跟踪器的cookies。这样做是为了减少误伤第三方合法cookies的可能性。   稿源:新浪科技,封面源自网络;

微软将防病毒软件添加到 Office 应用程序以解决宏恶意软件问题

微软已将所有Office应用程序与防病毒软件集成,以防止出现宏恶意软件攻击。该公司正在使用反恶意软件扫描接口(AMSI)来处理嵌入在文档中的VBA宏。最近,我们报道了黑客如何使用微软Excel文档来执行CHAINSHOT恶意软件攻击。这些类型的攻击越来越普遍,黑客可以轻松访问受害者的计算机。 各种防病毒公司已经添加了新的AMSI接口,以防止通过恶意JavaScript,VBScript和PowerShell进行攻击。当调用潜在的高风险函数或方法时,Office会暂停宏的执行,并通过AMSI接口请求扫描到那时记录的宏行为。 微软未来指出,解决方案可能并不完美,但好过什么话也没有。也就是说,由于微软正在使用ATP和WindowsDefender,因此可以共享结果并阻止新的威胁。默认情况下,在支持VBA宏的所有Office 365应用程序中启用Office AMSI集成,包括Word,Excel,PowerPoint和Outlook。微软将扫描所有宏,除非它们由受信任方签名或者在受信任位置打开。   稿源:cnBeta,封面源自网络;

Facebook 低调开发 AI 技术工具:自动扫描代码找漏洞

新浪科技讯 北京时间9月14日上午消息,Facebook低调开发和部署了一种名为SapFix的人工智能(AI)工具,可以自动扫描代码,寻找漏洞,然后测试不同的补丁,并向工程师推荐最佳修补方案。 这款工具是在Facebook的@Sacle工程大会上宣布的,目前已经应用于Facebook庞大的代码库。该公司还计划最终向外部开发者分享该工具。 “据我们所知,这是第一次通过自动的端对端测试和修补,在Facebook这种规模的代码库中部署机器生成的修复方案。”Facebook开发者工具团队写道,“这是AI混合模式的重要里程碑,可以进一步证明基于搜索的软件工程可以降低软件开发阻力。” SapFix既可以与Sapienz配合使用,也可以独立使用,Sapienz是Facebook之前的自动化漏洞发现工具,与SapFix配合使用时,可以针对Sapienz发现的问题推荐解决方案。 这些工具可以帮助小团队开发更加强大的产品,也可以帮助大公司节约很多浪费在技术上的时间。对于Facebook这种还有很多其它问题需要处理的公司来说至关重要。   稿源:新浪科技,封面源自网络;

谷歌接受批评:新版 Chrome 恢复显示域名中的 www

日前,谷歌为庆祝 Chrome 浏览器10周年,发布了全新的 Chrome 69 正式版,带来了全新的 Material Design 等特性。不过,新版 Chrome 隐藏域名中的 www 遭到了用户批评,并认为会带来安全问题。 Chrome 69 隐藏了网址中的 HTTP/HTTPS,用户随后又发现 Chrome 69 还会隐藏网址中的 WWW,也就是 www.google.com 在地址栏显示的是 google.com。此举引发了争议。WWW 被 Chrome 视为是无关紧要的子域名。但 www.example.com 和 example.com 是有区别的,它们很可能是不同的网站,有着不同的 DNS 记录。Google 的做法被认为会带来安全问题。 对于用户的批评和担心,谷歌坦然接受,并对 Chrome 浏览器作出了更改,在9月12日发布的最新版 Chrome v69.0.3497.92 默认设置中,已经弃用了不再显示协议名称的功能,恢复显示域名中的 www。   稿源:开源中国,封面源自网络;

微软和苹果浏览器漏洞:不改变地址即可改变网页内容

新浪科技讯 北京时间9月12日早间消息,据美国科技媒体The Register报道,安全研究人员发现Edge和Safari浏览器存在漏洞,恶意者可以利用漏洞发起攻击,在不改变地址的情况下改变网页内容。 安全研究人员拉菲·巴罗奇(Rafay Baloch)指出,微软已经用补丁修复漏洞,不过苹果行动迟缓,所以目前Safari仍然不安全。 通过漏洞,攻击者可以加载合法页面,让网页地址在地址栏显示,然后快速将页面内的代码转换为恶意代码,地址栏中的URL地址无需改变。这样一来,攻击者可以创建虚假登录屏幕或者其它表格,收集用户名、密码及其它数据,用户很难区分真假,他们会认为自己登录的页面是真实的。 浏览器的源码是封闭的,巴罗奇不清楚Edge和Safari存在该漏洞,但Chrome和火狐没有的原因。照他的猜测,浏览器决定何时显示页面地址可能是问题的关键。巴罗奇说:“不同的浏览器处理导航的手法并不一样,当页面正在加载时,Safari、Edge浏览器允许代码更新。浏览器可以允许地址栏在页面完全加载之后更新一次,这样就可以解决问题了。” 微软目前已经修复漏洞。6月2日巴罗奇向苹果提交报告,至今还没有修复。按照惯例有90天的时间窗口,巴罗奇说他会披露漏洞,但是在苹果发布补丁之前不会公开代码。   稿源:新浪科技,封面源自网络;

Chrome 中存在 Wi-Fi 漏洞,谷歌原本并不打算修复

网络安全和渗透测试咨询公司 SureCloud 的研究人员发现谷歌 Chrome 和 Opera 浏览器存在漏洞,可使 Wi-Fi 受到攻击。 研究人员表示,基于 Chrome 内核的浏览器可以保存 Wi-Fi 中路由器管理页面凭据并自动重新输入,以方便用户使用,而由于大多数家用路由器不使用加密通信进行后台管理,这使得研究人员能够利用这种自动凭证重新登录,达到窃取路由器登录凭据并使用它们捕获 Wi-Fi 密码(PSK)的目的。研究人员还提供了一段漏洞利用的演示视频:https://youtu.be/YW0drHztgJY 这个漏洞适用于任何基于 Chrome 内核 Chromium 的浏览器,例如 Chrome、Opera、Slimjet 与 Torch 等,通过明文 HTTP 提供管理页面的任何路由器都会受到此问题的影响。 研究人员早在 3 月 2 日就向 Google 的 Chromium 项目披露了该漏洞,但 Chromium 回复称浏览器功能按设计工作,并且不打算修复。 “安全性和便利性之间始终存在权衡,但我们的研究清楚地表明,存储登录凭据的 Web 浏览器中的功能正在使数以百万计的家庭和企业网络受到攻击“,SureCloud 的网络安全实践总监 Luke Potter 说:“我们认为这个设计问题需要在受影响的 Web 浏览器中修复,以防止漏洞被利用,造成用户损失。”对于谷歌不修复该漏洞的回复,他们也没办法。 而最新消息是,在前两天推出的 Chrome 69 中,谷歌已经修复了该漏洞。   稿源:开源中国,封面源自网络;

英美等五眼联盟(Five Eyes)国家发布声明要求科技企业自愿提供后门

美国、英国、澳大利亚、新西兰和加拿大五眼联盟(Five Eyes)国家政府发布联合备忘录,要求各大科技企业向政府提供其加密产品的后门,以供执法部门有能力获得访问权。如果企业拒绝提供,那么这些政府会寻求技术的、执法的、 立法机构的或者其它手段,进入加密的设备或者服务。 这份声明来自上周召开的五眼联盟(Five Eyes)国家会议,五眼联盟,是指二战后英美多项秘密协议催生的多国监听组织,联盟国之间互相分享敏感情报。在声明中,五国政府向科技企业施压,要求提供加密产品的后门以供在犯罪调查时“合法”访问设备。该声明鼓励企业自愿向政府提供后门,如果科技企业拒绝并且阻挠,政府将采用强制措施集中力量进行加密破解。目前阶段,要求企业提供后门的请求更像是愿望,而非强制命令或威胁。但声明中提到政府和立法者在破解加密遭遇到了更大的反抗运动,则被视为对执法行为的阻挠。未来不排除将要求企业提供加密信息的请求直接升级为法律行动的可能。   稿源:cnBeta,封面源自网络;

美媒:中国进一步抑制加密货币投机 但仍支持区块链

新浪科技讯 北京时间 9 月 4 日早间消息,据美国财经媒体 CNBC 报道,尽管在禁止首次代币发行(ICO)一年后,中国政府努力抑制加密货币投机行为,但中国仍在支持发展基础区块链技术。 区块链技术具有点对点交易、分布式记账、区块信息广播等技术特性,能够有效提升交易的效率性和经济性,一些投资者认为它能够像互联网一样改变世界,加密货币的交易价格一度大幅攀升,目前,包括中国在内的政府机构和大公司正在测试这项技术。 根据上周公布的估计数字,自 2016 年以来,中国政府对基础区块链技术的投资约为 35.7 亿美元。 杭州、上海和南京等一些地方政府已经宣布参与区块链投资。8 月 28 日据新闻网站 SupChina 上发布的统计数字,自 2016 年以来,各地政府的区块链投资总量约为 35.7 亿美元。 中国过去一直是比特币交易的“领头羊”,但是,随着监管审查的强化,尤其是随着比特币价格攀升,去年 9 月初,中国央行和其它金融机构宣布禁止通过所谓的国际投资组织销售新的加密货币,北京还有效禁止了国内比特币和人民币间的交易。 而在过去几周内,中国进一步限制国内加密货币活动。 8 月 17 日,北京市朝阳区发布了一项禁令,禁止在购物区、酒店和办公楼举办密码货币促销活动。据媒体上周报道,广州南部的一个经济特区也宣布了类似禁令。 8 月 24 日,中国多个政府机构联合发布了关于非法集资风险的警告。声明还对那些使用海外服务器瞄准中国投资者的人发出警示。 就在同一天,腾讯宣布,将禁止通过微信支付进行与加密货币相关的交易。腾讯在向 CNBC 发表的一份声明中称,该公司还封锁了一些官方微信账户,因为这些账户发布了有关 ICO 和加密货币交易的信息,违反了政府关于即时通讯服务的政策。 在此情况下,中国的一些区块链项目将公司总部迁往海外,而内地的发展仍在继续,比特币可以通过场外交易市场用人民币购买。 HCM Capital 董事总经理李仁杰(Jack Lee)表示,中国政府希望保持金融稳定,并将对面向普通民众的募集资金活动加以规范。该公司是许多区块链项目的投资者,也是中国最著名的苹果 iPhone 制造商富士康公司(Foxconn)的私募分支。 李仁杰指出,HCM 并不期望监管者放松对加密货币投资的限制,尽管政府已经接受区块链技术。 同时,在去年年底和今年年初的高峰期过后,加密货币价格大幅下降,但区块链领域的私人投资始终保持稳定,业内人士对前景依然乐观。 根据 CoinDesk 的比特币价格指数,比特币对美元的价格上个月下跌了 9%,纽约时间上周日晚间的价格接近 7300 美元,而在 8 月份曾一度跌至 6000 美元以下低点。       稿源:新浪科技,封面源自网络;