标签: 微软

微软总裁在新书中透露:特朗普顾问希望微软帮助美国政府监视其他国家

据外媒MSPoweruser报道,微软总裁兼首席法律顾问布拉德·史密斯(Brad Smit)最近发行了他的新书《工具和武器:数字时代的希望和危机》(Tools & Weapons: The Promise and the Peril of the Digital Age),而这本书打开了“潘多拉魔盒”。 本周早些时候,外媒曾报道称布拉德·史密斯认为美国政府对待华为的方式一点也不美国(un-American)。史密斯在其新书中还透露,泰勒·斯威夫特的律师曾在2016年威胁要起诉微软。因为微软的聊天机器人Tay的名字和Taylor很相似。 现在,Geekwire引用了他的书中的一段话,其中揭示了特朗普政府如何希望微软帮助其监视其他国家。史密斯在书中写道:“作为一家美国公司,你为什么不同意帮助美国政府监视其他国家的人?”他指出,微软向美国政府明确表示他们不愿意接受有关这个问题的任何讨论。 我指出,特朗普酒店刚刚在中东和宾夕法尼亚大街的街道上开设了新房产。“这些酒店是否会对那些留在那里的其他国家的人进行监视活动?这对家族企业来说似乎不太好。 – 当特朗普顾问询问为什么微软不帮助他们监视其他国家的人时,布拉德·史密斯如是说 布拉德·史密斯在新书中还介绍了微软等公司面临的类似复杂的法律和道德挑战。他指出,特朗普并不是第一个对微软提出异议的总统。该书的内容还包括微软与奥巴马政府就隐私与面部识别政策等问题存在分歧的情况。 政府如何管理比自己更大的技术?这可能是技术监管未来面临的最大难题。但是一旦你提出这个问题,答案的一部分就变得清晰了:政府需要共同努力。 – 布拉德·史密斯   (稿源:cnBeta,封面源自网络。)

装有赛门铁克防病毒软件的 Windows 7 设备现可继续获得更新

在8月14日宣布的调整中,微软阻止了部分Windows 7和Windows Server 2008 R2设备安装使用SHA-2签名的更新。这些设备主要安装了赛门铁克(Symantec)和诺顿(Norton)防病毒软件,由于在新版更新中不再兼容SHA-1签名,因此微软阻止了这些设备进行升级。 微软在已知问题的描述中提及了这点: 软件可能无法正确识别本次更新中所包含的文件作为Microsoft签名的代码,从而使设备面临更新延迟或不完整的风险。 现在,以下更新取消了保障措施: •KB4512514(8月份月度汇总预览), •KB4512486(仅限8月安全更新), •KB4512506(8月份月度汇总)。   赛门铁克在公告中表示解决了这个问题 赛门铁克已完成对此更新的影响以及对Windows 7 / Windows 2008 R2的未来更新的评估,并确定所有现场版本的Symantec Endpoint Protection都不会增加误报检测的风险。 可以安全地安装Microsoft KB4512506 / KB4512486和未来的更新,并在2019年8月27日移除了软件阻止。 适用于Windows 7的2019年8月更新汇总就是只通过SHA-2签发的,那些装有无法处理SHA-2码签名支持软件的设备将会被阻止更新升级。今天微软已经确认将会阻止安装Symantec Antivirus和Norton Antivirus防病毒产品的PC进行升级,因为均无法处理SHA-2证书。 微软表示已经暂时对那些具有不兼容版本赛门铁克软件的设备进行保护措施。赛门铁克记录了这个问题:“在安装某些版本的Symantec Endpoint Protection时,只有SHA-2签名的更新不可见可用下载。”   (稿源:cnBeta,封面源自网络。)

微软、谷歌和 BAT 等巨头成立机密计算联盟,联手保护数据安全

微软近日在其开源博客中宣布加入机密计算联盟(Confidential Computing Consortium,简称 CCC)。该组织致力于定义和加速推进机密计算的采用,并将托管在 Linux 基金会。联盟创始成员还包括阿里巴巴、Arm、百度、谷歌、IBM、英特尔、红帽、瑞士电信和腾讯等科技公司,它提供了一个让行业聚集起来的机会,以促进使用机密计算来更好地保护数据。 建立机密计算联盟的需求源于这样一个事实:随着计算从内部部署转移到公共云和边缘,对数据的保护变得更加复杂。当前的数据保护通常作用于静态(存储)或(网络)传输状态的数据。但是当数据正在被使用时,仍然存在风险,这也是数据保护中最具挑战性的一个步骤。 因此,机密计算将侧重于保护使用中的数据,并为敏感数据提供完全加密的生命周期。它将在内存中处理加密数据,而不会将其暴露给系统的其余部分,并减少敏感数据的暴露,为用户提供更好的控制和透明度。 “保护使用中的数据意味着数据在计算过程中不会以未加密的形式显示,得到访问授权的数据除外”,微软 Azure 首席技术官 Mark Russinovich 表示,“也就是说甚至连公共云服务提供商或边缘设备供应商都可能无法访问它,数据将完全处于私密状态。” 机密计算功能可以做到协作共享数据——例如训练多方数据集机器学习模型、对多方数据集执行分析,或是在数据库引擎中启用机密查询处理——但同时无需对这些数据进行直接访问。 目前,联盟成员已经为机密计算做出了一些开源贡献,包括: 英特尔®软件保护扩展(英特尔®SGX)软件开发套件,旨在帮助开发人员使用受保护的代码和数据,避免数据在硬件层被泄露或修改。 微软 Open Enclave SDK,这个开源框架创建了一种可插入的通用方法来创建可再发行的可信应用程序,以保护正在使用的数据。 红帽 Enarx,为可信执行环境(TEE)提供平台抽象,支持创建和运行“私有、可替换、无服务器”的应用程序。 Linux 基金会执行董事 Jim Zemlin 表示,现有的联盟只是一个开始,后续将会有更多企业加入。   (稿源:开源中国,封面源自网络。)

微软:公司将停止监听 Xbox 玩家语音信息

北京时间8月23日早间消息,微软宣布将停止监听Xbox用户,并表示此举已经“不再必要”。 微软发言人在一份声明中表示:“几个月前,我们已经停止为改进产品而对通过Xbox获取的语音信息进行评估,因为我们认为这不再必要,我们也不准备重新启动这些评估。” 微软还补充说:“当有报道称录音违反了我们的服务条款,并认为我们应该展开调查时,我们偶尔会审查从一个Xbox用户发送到另一个Xbox用户的少量录音。这样做是为了保持Xbox社区安全,我们的Xbox服务条款中也有明确说明。” 之前有报道称,该公司从2014年就开始录制和监听游戏玩家的私人谈话,其中许多人都是儿童。微软称这样做是为了改善Xbox的语音控制功能。 今年四月有报道称,亚马逊、谷歌和苹果都雇佣员工专门监听从智能音箱和语音助手应用程序收集的用户录音。但许多用户都不知情。之前还有报道称,微软工作人员还监听了一些Skype电话以及其虚拟助手Cortana录制的音频。   (稿源:新浪科技,封面源自网络。)

微软:暂不会停止对 Skype 和 Cortana 对话的人工审查

据外媒报道,上周,Vice Motherboard网站上的一份报告显示,微软正在通过人工承包商来监听Skype翻译和Cortana的语音对话。虽然微软并不是唯一一家使用人工承包商来改进语音识别技术的公司,但问题是这家公司没有在其隐私文件中明确指明这点。 而被公布之后这家软件巨头公司在其隐私政策以及Skype和的支持页面上承认了这点。 其中在Skype翻译隐私FAQ中,微软解释了什么样的音频内容会被收集以及如何被使用。“这可能包括微软职工和供应商的转录录音,但会受制于为保护用户隐私设计的程序,包括采取措施去标识化数据、需要跟供应商和职工达成保密协议并要求供应商遵守高隐私标准的欧洲法律和其他规定。“ 看起来即便苹果和谷歌最近因隐私问题暂停了Siri和Google Assistant对语音记录的人工审查,微软眼下也不会这么做。不过微软发言人告诉媒体,公司显然正在考虑做出进一步的改变。“我们已经更新了我们的隐私声明和产品常见问题,以此来增加更大的清晰度并将继续研究我们可能采取的进一步措施。”   (稿源:cnBeta,封面源自网络。)

微软发布补丁:修复了远程桌面组件中存在的两个高危漏洞

在2019年8月的补丁星期二活动日中,面向Windows 10发布累积更新的同时微软还修复了存在于Remote Desktop Services组件中的两个漏洞,微软认为这些漏洞是“wormable”。和两年前的WannaCry攻击类似,无需用户进行任何输入的情况下在网络的电脑之间传播恶意软件,因此这些补丁是非常重要的。 CVE-2019-1181和CVE-2019-1182利用了和今年5月发布的Bluekeep相同漏洞,推荐用户尽快修复。Windows 7 SP1,Windows Server 2008 R2 SP1,Windows Server 2012,Windows 8.1,Windows Server 2012 R2和所有版本的Windows 10(包括服务器变体)都受到漏洞的影响。只有较旧版本的Windows(如Windows XP,Windows Server 2003和Windows Server 2008)才不受该漏洞影响。 虽然它们使远程桌面服务(RDS)易受攻击,但它们不会影响远程桌面协议(RDP)本身。为了缓解这两个漏洞,微软建议那些启用了网络级别身份验证(NLA)的人可以对漏洞进行部分防御: 在启用了网络级别身份验证(NLA)的受影响系统上进行了部分缓解。在安装该补丁之后可以缓解该漏洞引发的“wormable”恶意程序或者高级恶意程序威胁,因为NLA在触发漏洞之前需要进行身份验证。如果攻击者拥有可用于成功进行身份验证的有效凭据,受影响的系统仍然容易受到远程执行代码执行(RCE)的攻击。 微软建议公司立即安装修复补丁,可以从此处的Microsoft安全更新指南下载。微软指出,这些漏洞是公司内部工程师发现的,是企图加强RDS安全性的一部分。微软还指出,它还没有任何证据表明这些漏洞已经被任何恶意行为者利用。   (稿源:cnBeta,封面源自网络。)

CheckPoint 吐槽微软对影响 Azure 的远程桌面协议漏洞重视程度不够

微软一直吹嘘自家 Azure 云基础设施的安全性,但近期的一份报告称,它还是很容易受到网络攻击。Check Point Research 指出,其在常用协议中发现了大约 12 个漏洞,导致数以百万计的微软云用户暴露在潜在的网络攻击之下。在本周早些时候举办的黑帽安全会议上,该公司指出远程桌面协议(RDP)漏洞或被别有用心的攻击者利用。 (来自:Check Point,via MSPU) 黑客能够利用 RDP 漏洞来查看、更改和删除数据,或在受害者系统上创建具有完全管理权限的新账户。尽管 RDP 最初是由微软开发的,但也有几款 Linux 和 Mac 应用程序使用了该协议。 Check Point Research 补充道,其在 Hyper-V 管理器中发现了另一个漏洞,它允许用户在 Windows 上创建和管理虚拟机。 任何连接到云端的 Windows 计算机、在其中工作的用户、或使用微软本地 Hyper-V 虚拟机的用户,都有可能成为其描述和演示的攻击者的目标。 参考木桶原理,一套系统的安全性,取决于防护措施最不到位的那一环。换言之,通过依赖其它软件库,Hyper-V 管理器可以继承 RDP 中任何其它软件库中的所有安全漏洞。 尽管开源社区很快就对此做出了反应,并修补了相应漏洞,但微软仍未修补最初的 mstc.exe 。其辩称,尽管这些漏洞很是严重,但它并未达到该公司的‘服务标准’。 然而该公司确实在 Check Point 向其发出通知后,发布了一个涉及 Hyper-V 管理器问题的补丁、以及常见漏洞披露(CVE)警告。 (图自:Check Point Research | PDF) Eyal Itkin 表示,Check Point 对微软最初的反应感到失望。庆幸的是,在他们告诉其有关 Hyper-V 产品的联系后,该公司立即就给出了不同的响应。最终他们意识到这算是一个漏洞,并发布了一个补丁。 据悉,微软在 7 月份发布了相关安全更新,启用 Windows Update 自动更新的客户将受到保护。如果未能及时部署,还请手动检查一下。   (稿源:cnBeta,封面源自网络。)

继苹果谷歌后:微软被曝监听用户 Skype 和 Cortana 录音

北京时间8月8日早间消息,据美国科技媒体The Verge援引Motherboard消息报道,微软合同工正在手动审查从Skype自动翻译功能与Cortana语音助手收集的录音。Motherboard获悉的录音中,内容包括用户的私人对话和关系问题讨论以及其他个人事情如减肥等等。“我同你分享的这些内容无不说明,他们在保护用户数据方面是多么松懈,”向Motherboard分享音频文件的一位合同工解释说。 该匿名合同工还提到,在审查过程中,他们还听到类似于“电话色情”的内容,还说他们听到用户使用Cortana命令输入自己的完整地址,以及使用语音助手搜索色情内容。 尽管合同工指出,他们无法获悉用户的身份识别信息,但微软的消费者大概不会希望看到,他们的私人对话正有可能成为“穿着睡衣坐在客厅里的陌生人之间”的笑话。Motherboard随后发现一份招聘清单,证实合同工可以在家工作。一名微软发言人表示,所有合同工都签署了保密协议,且微软拥有审计权确保合规性。 在微软之前,苹果、亚马逊和谷歌也相继因处理从各自语音助手收集到的语音数据而面临严峻的审查。聘请合同工听取录音是为了改善用户使用的语音服务。在微软这件事上,Motherboard报道称,部分合同工需听取的音频来自Skype的机器翻译服务,该服务推出于2015年。 但微软并未在Skype Translator FAQ和Cortana文档中说明公司正使用语音数据以改善服务,仅仅是提到“语句和自动记录将会被分析,任何更正会进入我们的系统,以构建更高性能的服务。”在其他地方,公司称“(验证)自动翻译并将更正反馈给系统”。但是,Motherboard指出,微软并未明确表示会有任何人将收听这些录音。 问及此事时,微软表示,公司仅在用户选择参与的基础上收集和使用语音数据,并指出在隐私面板的语音部分,用户可以删除公司获得的关于用户本人的语音数据。 微软发言人在声明中强调,公司“对收集和使用的语音数据始终保持透明以确保消费者有能力就他们的语音数据做出明智的选择……微软在收集和使用用户语音数据之前,会先征求用户许可。” “在与供应商共享数据之前,我们还制定了几项旨在优先保护用户隐私的程序,包括隐去身份识别信息、要求供应商及其员工签署保密协议、遵守欧盟更严格的隐私标准等。”   (稿源:新浪科技,封面源自网络。)

微软警告黑客组织 Fancy Bear 正试图利用物联网设备漏洞

微软威胁情报中心报道称,俄罗斯黑客组织 Fancy Bear 一直试图利用 VoIP 电话和打印机等物联网设备,对企业网络展开渗透。外界普遍猜测,该组织拥有俄罗斯官方背景,又名 Strontium Group 或 APT 28 。该组织已成功地在 50 多个不同的国家 / 地区,感染了超过 50 万台消费级路由器。 (题图 via MSPU) 今年 4 月,黑客试图将企业的物联网设备作为目标,借助这些“跳板”来渗透规格更大、安全措施更严格的企业网络。 三起事件中的两件,归咎于物联网设备使用了默认的出厂设置。另一件则是设备使用了过时的固件,其中包含了已知的漏洞。 获得物联网设备的访问权限后,攻击者会进一步破坏网络上其它易受攻击的设备和节点。 通过简单的扫描,该组织可在企业内网畅通无阻地移动,寻找获得更高级别账户的访问权限,以窃取高价值的数据。 此外,黑客可执行“tcpdump”,以发现本地子网上的网络流量。幸运的是,袭击事件被迅速扼杀在了萌芽状态。 在调查结束后,我们已于所涉特定设备的制造商分享了这些信息,希望它们能够借此来探索其产品的全新保护措施。   物联网设备制造商需要对安全威胁保持更广泛的关注,了解此类威胁类型的组织和安全团队,以提供更好的企业支持和监控功能,让技术团队更轻松地保障网络安全。 据悉,同一黑客组织还与针对民主党全国委员会(DNC)、法国 TV5 Monde 电视台、以及德国外交部等机构的攻击事件有关。 安全研究人员指出,该组织还攻击了正在调查与俄方有关的网络犯罪事件的调查人员的电子邮件账户,比如 Skripal 中毒和马航 MH17 空难事件的调查者。 显然,这些未遂攻击的揭露,是微软对行业需加强物联网设备安全性的最新警告,否则后续攻击事件还会接踵而至。   (稿源:cnBeta,封面源自网络。)

微软悄然修复 SWAPGS 处理器漏洞 保护 Windows 用户安全

外媒报道称,微软悄然发布了一个提升 Windows 用户安全的补丁,修复了自 2012 年以来生产的英特尔 CPU 漏洞(涉及 Ivy Bridge 之前的芯片)。据悉,SWAPGS 漏洞有些类似于臭名昭著的幽灵(Spectre)和熔毁(Meltdown)芯片缺陷,由安全公司 Bitdefender 在一年前发现。在 BlackHat 安全会议上,其终于宣布已被修补。 (图自:BitDefender,via BetaNews) Red Hat 表示,其需要对 Linux 内核进行更新,以防止 SWAPGS 漏洞影响 Intel 和 AMD 芯片 —— 即便 Bitdefender 称未在 AMD 处理器上发现任何问题。 作为微软上个月的‘星期二补丁’的一部分,其彻底修复了 CVE-2019-1125 安全漏洞。Bitdefender 表示,旧款英特尔芯片可能也很脆弱,但目前尚无法证明。 该公司仅在数量有限的 AMD 处理器平台上进行了测试,因此无法知晓 Red Hat 的建议是否可信。这家 Linux 发行商称: 我已意识到另一个类似于 Vi 的攻击向量,这需要对 Linux 内核进行更新。此附加攻击的媒介,基于先前内核更新中提供的现有软件修复,仅针对使用 Intel 或 AMD 处理器的 x86-64系统。 该漏洞被命名为 CVE-2019-1125,评估等级为中等。无特权的本地攻击者,可借此绕过传统的内存安全限制机制,获得对特权内存的读取访问权限。 除了更新内核和重启系统,没有已知的完全缓解措施。在打上这个内核修复补丁前,请先修复幽灵(Spectre)处理器安全漏洞。 其建议客户采取基于风险控制的解决方案,来缓解 SWAPGS 处理器安全漏洞的影响。对于需要高度安全性和信任的系统,请将其与不受信任的系统隔离,直到完整修复补丁的出现。 需要注意的是,根据行业的反馈,我们不知道在基于 Linux 内核的系统上,是否有任何利用此漏洞的已知方法。 AMD 发表声明称:该公司已意识到新研究所声称的新型推测性执行攻击,它可能允许攻击者访问需要特别权限的内核数据。 不过基于外部和内部的分析,AMD 都不认为自家产品易受到 SWAPGS 变体攻击的影响,因为 AMD 产品在设计上就不会在 SWAPGS 推测新的 GS 值。 至于非 SWAPGS 类型的变体攻击,AMD 依然给出与幽灵(Spectre)及其衍生漏洞相同的修补建议。感兴趣的朋友,可以查看 Bitdefender 制作的概念解析视频。   (稿源:cnBeta,封面源自网络。)