标签: 电信

为保 5G 订单华为接受英国要求:提升网络安全性

网易科技讯12月7日消息,据金融时报报道,英国安全官员曾要求华为解决在其设备和软件中发现的严重风险,为了避免被未来的英国5G电信网络拒之门外,华为宣称已经接受这些要求。 两名知情人士表示,在华为高管与英国政府通信总部(GCHQ)下属国家网络安全中心(NCSC)高级官员于本周举行的一次会议上,华为同意了英方提出的一系列技术要求,这些要求将改变华为在英国的操作业务。 华为还同意向NCSC发出正式信函,概述该公司同意紧急解决这些问题的协议。今年7月份,负责华为设备测试的一个监督委员会在批准该设备在英国网络中使用之前,提出了一份关键报告。 此前,出于对网络安全的担忧,美国政府加大压力,劝说西方盟友在升级至5G网络时避免使用华为的设备和服务。但英国高级安全官员一再强调,他们的担忧与华为的技术缺陷有关,而与该公司是否位于中国无关。 华为承诺安抚英国方面的担忧,这反映出在西方安全机构对其业务进行严密审查之际,华为有必要在力所能及的范围内解决人们的担忧。这对英国政府来说也是一场重大改变,因为这将要求华为大幅改变其商业行为。 最近几天,西方国家安全部门负责人直言不讳地强调对华为技术的担忧。英国情报机构军情六处(MI6)负责人亚历克斯·杨格(Alex Younger)表示,在是否允许华为为其5G网络提供技术方面,英国面临一个艰难的决定。 英国监督委员会在7月份的报告中称,华为对外界的担忧反应迟缓。报告强调,华为的工程流程存在“缺陷”,使英国电信网络面临风险。报告中还确定了减轻和管理这些风险方面的长期挑战。 报告中针对华为提出的问题包括,华为使用由第三方开发的过时开源软件,这些软件仍然保留着英国许多网络中使用的代码,非常容易受到网络攻击。 多名使用过华为工具包的人士表示,一个更大的问题与华为开发代码和设备的方式有关。华为将其设备开发分配给多个团队,以加快开发进程,并降低技术被盗的几率。 随着华为的发展,这一体系为其提供了良好的服务,但对于那些在审计设备时寻求更明确责任界限的政府来说,这已成为一个大问题。 市场研究机构IDC分析师约翰·德莱尼(John Delaney)表示,华为似乎已经对压力做出了回应。他表示:“华为现在已经成为英国的主导企业,它显然希望留在那里。对他们来说,至少口头上说些好话,或者采取切实的措施来缓解这些担忧,都是有意义的。他们不希望危机蔓延到其他国家。” 华为表示,英国监督委员会的报告“确定了我们工程流程中需要改进的某些领域。我们十分感谢这些反馈,并致力于解决这些问题。网络安全仍然是华为的首要任务,我们将继续积极改进我们的工程流程和风险管理系统。”NCSC拒绝置评。   稿源:网易科技,封面源自网络;

工信部组织开展电信和互联网行业网络安全检查

新浪科技讯 8 月 13 日下午消息,工信部印发关于开展 2018 年电信和互联网行业网络安全检查工作的通知,以强化电信和互联网行业网络安全风险防范和责任落实,提升行业网络安全保障水平。 检查对象为依法获得电信主管部门许可的基础电信企业、互联网企业、域名注册管理和服务机构建设与运营的网络和系统。重点是电信和互联网行业网络基础设施、用户信息和网络数据收集、集中存储与处理的系统、企业门户网站和计费系统、域名系统、电子邮件系统、移动应用商店、移动应用程序及后台系统、公共云服务平台、公众无线局域网、公众视频监控摄像头等重点物联网平台、网约车信息服务平台、车联网信息服务平台等。 重点检查网络运行单位落实《中华人民共和国网络安全法》《通信网络安全防护管理办法》《电信和互联网用户个人信息保护规定》等法律法规情况,电信和互联网安全防护体系系列标准符合情况,可能存在的弱口令、中高危漏洞和其他网络安全风险隐患等。 以下为通知原文:        工业和信息化部办公厅关于开展2018年电信和互联网行业网络安全检查工作的通知 工信厅网安函〔2018〕261号 各省、自治区、直辖市通信管理局,中国电信集团有限公司、中国移动通信集团有限公司、中国联合网络通信集团有限公司、中国广播电视网络有限公司,互联网域名注册管理和服务机构,互联网企业,有关单位: 为深入贯彻习近平总书记在全国网络安全和信息化工作会议上的重要讲话精神,落实关键信息基础设施防护责任,提高电信和互联网行业网络安全防护水平,根据《中华人民共和国网络安全法》、《通信网络安全防护管理办法》(工业和信息化部令第 11 号)、《电信和互联网用户个人信息保护规定》(工业和信息化部令第 24 号),决定组织开展 2018 年电信和互联网行业网络安全检查工作。现将有关要求通知如下: 一、总体要求 紧紧围绕加快推进网络强国建设战略目标,深入学习领会习近平总书记关于网络安全的系列重要讲话精神,加快落实《中华人民共和国网络安全法》,坚持以查促建、以查促管、以查促防、以查促改,以防攻击、防病毒、防入侵、防篡改、防泄密为重点,加强网络安全检查,认清风险现状,排查漏洞隐患,通报检查结果,督促整改问题,强化电信和互联网行业网络安全风险防范和责任落实,全面提升行业网络安全保障水平,保障公共互联网安全、稳定运行。 二、检查重点 (一)重点检查对象。检查对象为依法获得电信主管部门许可的基础电信企业、互联网企业、域名注册管理和服务机构(以下统称网络运行单位)建设与运营的网络和系统。重点是电信和互联网行业网络基础设施、用户信息和网络数据收集、集中存储与处理的系统、企业门户网站和计费系统、域名系统、电子邮件系统、移动应用商店、移动应用程序及后台系统、公共云服务平台、公众无线局域网、公众视频监控摄像头等重点物联网平台、网约车信息服务平台、车联网信息服务平台等。 (二)重点检查内容。重点检查网络运行单位落实《中华人民共和国网络安全法》《通信网络安全防护管理办法》《电信和互联网用户个人信息保护规定》等法律法规情况,电信和互联网安全防护体系系列标准符合情况,可能存在的弱口令、中高危漏洞和其他网络安全风险隐患等(法律法规和标准依据详见附件)。 三、工作安排 (一)定级备案。各网络运行单位要按照《通信网络安全防护管理办法》的规定,在工业和信息化部“通信网络安全防护管理系统”(https://www.mii-aqfh.cn)对本单位所有正式上线运行的网络和系统进行定级备案或变更备案。 (二)自查整改。各网络运行单位要对照法律法规和本次检查重点,对本单位网络安全工作进行自查自纠,对自查发现的安全问题逐一做好记录,能立即整改的,要边查边改,无法立即整改的,要采取防范措施,制定整改计划,确保整改落实。2018 年 9 月 31 日前,基础电信企业集团公司、域名注册管理和服务机构应将本单位自查工作总结报告报部(网络安全管理局),基础电信企业省级公司和互联网公司形成自查工作总结报告报当地通信管理局。 (三)开展抽查。电信主管部门选取部分网络和系统,委托专业技术机构采取现场询问、查阅资料、现场检测、远程渗透、代码检测等方式进行检查。对省级基础电信企业和专业公司网络和系统的检查分别按照《 2018 年省级基础电信企业网络与信息安全工作考核要点与评分标准》《2018 年基础电信企业专业公司网络与信息安全工作考核要点与评分标准》进行量化评分,评分结果分别作为 2018 年省级基础电信企业和专业公司网络与信息安全责任考核依据。各地通信管理局除抽查省级基础电信企业外,至少抽查当地十家以上增值电信企业,将检查工作总结报告于 10 月 31 日前报部(网络安全管理局)。 四、工作要求 (一)加强领导,落实责任。各地电信主管部门、网络运行单位应严格落实工作责任制,精心组织制定工作方案,落实机构、队伍和工作经费,确保检查工作不走过场,确保检查发现的问题得到及时有效整改。发现问题的单位要举一反三,健全网络安全问题闭环管理机制,加强定期巡查、整改核验、考核问责,以检查为契机,不断完善电信和互联网行业网络安全保障体系。 (二)规范检查,严明纪律。各单位要规范检查方法和程序,避免检查工作影响网络和系统的正常运行,检查工作中发现重大问题应及时报我部。采用随机抽取检查对象、随机选派检查队伍的“双随机”方式安排实施检查。任何部门不得向被检查单位收取费用,不得要求被检查单位购买、使用指定的产品和服务。委托专业技术机构进行安全检查,要进行严格审查,签订保密承诺书,并明确专业技术机构及人员的安全责任。要严格遵守有关保密规定,检查结果除按规定报送外,不得提供给其他单位和个人。 (三)加强防范,及时整改。专业检测机构对检查发现的薄弱环节、安全漏洞和安全风险,要现场告知网络运行单位,并指导其防范整改。抽查发现的重大网络安全风险和隐患,电信主管部门可通过《网络安全问题整改通知书》等形式书面向网络运行单位通报,督促其限期整改。网络运行单位要对检查发现的薄弱环节和安全风险进行深入整改,对相关责任部门和责任人进行问责处理,并及时向电信主管部门报告问题整改和问责情况。 (四)强化协同,协调配合。各地通信管理局要强化与网信、公安等部门的协调沟通,按照网络安全工作责任制和中央网信办《关于加强和规范网络安全检查工作的通知》(中网办发文〔2015〕7号)要求,坚持跨部门、跨行业的网络安全检查应由当地网信部门统筹协调,其他部门对电信和互联网行业的网络安全检查应当会同电信主管部门进行,加强协同沟通,提倡开展联合检查,避免交叉重复,基础电信企业向非电信主管部门提供网络安全相关资料和数据的,应征得当地通信管理局同意,或由通信管理局统一协调提供。 特此通知。 工业和信息化部办公厅 2018 年 8 月 6 日         稿源:新浪科技,封面来源于网络;

埃及电信公司将用户定向到加密货币的采矿网站当中

 3 月 9 日,据多伦多大学公民实验室发布的一份报告显示,在电信埃及分界点发现的设备正秘密地将埃及的互联网用户重定向到广告和加密货币的采矿网站当中。 据该技术研究实验室的报告解释说, 这项计划被称为 Adhose, 是通过 middleboxes、计算机网络设备来操作互联网流量。报告中还指出了埃及公民使用的两种重定向模式:“喷雾模式”和“涓滴模式”。“喷雾模式”指的是一个“中间框”,“当用户向任何网站发出请求时,他们会将埃及的互联网用户群定向到广告或加密货币的挖掘脚本中”,这种模式似乎“很少”使用。 而“涓滴模式”指的是,只要当用户尝试打开某些 url 时,那么就会将用户重定向到这些广告或挖掘脚本,特别是 CopticPope.org(以前是科普特东正教会的教皇的网站)和 babylon-x.com(formely a 色情网站)。 Monero 采矿平台的在线广告替代品 Coinhive,也被列入了多家公司的链接列表中,以便对埃及用户进行重定向。 Coinhive 曾被认为与在 2018 年 1 月底发生的一场大规模的案列联系在了一起。当时黑客们用 Coinhive 脚本运行 YouTube 广告, 这是暗中耗尽用户的 CPU 资源进行挖掘的。而美国有线电视网 Showtime 也被发现在去年 9 月的两个网站上使用 Coinhive 插播广告作为替代广告,而这并没有通知他们的客户。在 Showtime 对挖掘剧本的偷偷使用曝光后,Coinhive 宣布,在使用他们的电脑来挖掘 Monero 之前,它将寻求用户的许可。 据公民实验室的报告显示,同样的 middlebox 也负责在埃及的互联网审查, 阻止人权观察网站和半岛电视台的网站。 该报告还指出,土耳其和叙利亚的“ middleboxs ”将重定向用户,试图将软件下载到同一软件的不同版本,并附带间谍软件。 深包检测(DPI)装置的一个网络注入的指纹被加拿大网络设备公司 Sandvin 生产的二手 PacketLogic 装置修补。 在这份报告中,Sandvine 否认他们的产品可以以这样的方式使用,并向公民实验室强调了他们的人权保护标准,并表示当客户是一个在全球治理指标中排名较低的国家的一部分时,他们就会对销售进行审查。 公民实验室在他们的报告中写道,Sandvine 的保障措施已经“出现短缺”,并建议该公司开始从事“定期咨询民间社会有关人权尽职调查和商业道德计划。” 据报道,埃及首个比特币交易所将于 2017 年 8 月开放,但埃及政府对国内的加密货币采取了强硬立场。今年 1 月,埃及最高宗教领袖根据伊斯兰教法表示,比特币(BTC)是“非法的”。 一年前在 2017 年 2 月,一位伊斯兰教法专家曾对记者表示,由于伊斯兰教历史上只承认“内在价值的商品”作为货币,“比特币很可能会被忽略。”“目前尚不清楚 Monero 或 Coinhive 的挖掘脚本将如何受到伊斯兰教法的管辖。 稿源:区块网,封面源自网络;

澳大利亚电信公司 SAS 与 Check Point 签署卫星网络安全协议

HackerNews.cc 9 月 27 日消息,澳大利亚证券交易所上市的电信公司 SAS 近期发布声明,宣称已经与网络安全公司 Check Point 签署卫星网络安全协议,旨在加强公司纳米卫星服务的网络安全。 SAS 于去年通过反向收购澳大利亚证券交易所上市的 Burleson Energy 公司后筹集了 450 万美元,用于建立大规模窄带卫星服务的低成本语音与数据网络并出售至亚洲、南美洲、中美洲、非洲的电信运营商与航运公司等。 Check Point 谅解备忘录(MOU)显示,其网络安全解决方案将集成于 SAS 空间与地面的网络通信平台中运行。目前,SAS 已经开始验证测试。Check Point 业务发展主管 Alon Kantor 表示,该项协议将扩大公司安全架构,其研究人员会在所有网络空间中提供最高级别的预防措施,从而保障卫星服务的网络安全问题。知情人士透露,SAS 在该声明发布的前一个月与客户签署了首份具有约束力的商业合同,即 SAS 将于明年通过已经部署的纳米卫星为南非公司提供窄带通信服务。 此外,SAS 卫星于现今的测试阶段已经实现了多项服务,其中包括多普勒跟踪、通信载波锁定、建立客户卫星链路,以及在空间与地球之间交换数据包。目前,随着 SAS 三颗卫星已通过欧盟卫星制造商 GomSpace 的认证,该公司开始联合英国通信管理局(Ofcom)对其进行监管,以便利用国际电信联盟(ITU)文件申请频谱许可证、保障卫星服务网络安全。 原作者:Corinne Reichert,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

加拿大贝尔遭遇数据泄露,黑客窃取 190 万个电子邮件地址

据外媒报道, 加拿大电信巨头加拿大贝尔( Bell Canada)于 17 日对外披露一起大规模数据泄露事件,公司承认黑客入侵其系统并窃取 190 万个用户电子邮件地址及约 1700 个用户姓名和活跃电话号码信息。 据悉,该公司拒绝分享有关被盗信息的更多细节。目前,加拿大皇家骑警网络犯罪部门正调查该起事件。加拿大贝尔表示,并没有迹象表明用户的财务信息已被访问。此外,密码和其他敏感数据也是安全的。 虽然黑客窃取的信息不完整,但用户仍然面临风险。更具体地说,黑客可能会向这些用户发送钓鱼邮件。 公司发表声明,指出他们不会通过电子邮件向用户询问信用卡或其他个人信息。希望用户小心那些要求提供个人信息的网站,避免点击链接或从未知来源的电子邮件中下载附件。 此外,加拿大贝尔还建议用户最好修改密码及安全问题。 稿源:cnBeta,封面源自网络

14 个“民族资产解冻”类电信诈骗团伙被抓获

4 月 26 日消息,根据公安部官网消息,执法部门已打掉 “民族资产解冻” 类电信诈骗团伙 14 个,抓获犯罪嫌疑人 204 名,初步查证涉案金额逾 7.3 亿元。“民族资产解冻” 类诈骗是一种集返利、传销、诈骗为一体的新型、混合型犯罪,极具诱惑性和欺骗性。 不法分子谎称中华民族历史上各朝代灭亡后以及国民党溃败台湾时在大陆和海外遗留保存了巨大财富,国家现委托一些民间组织或企业对这些海外“ 民族资产 ”进行解冻,通过诱骗受害人缴纳启动资金、会员报名费或者投资入股等实施诈骗。同时,他们紧跟社会关注热点,围绕 “ 民族资产解冻 ” 这一噱头,虚构所谓 “ 养老 ” “ 扶贫 ” 等投资项目,许诺 “ 民族资产 ” 解冻后,将给予投资赞助者巨额回报,不断骗取钱财。 根据公安部官网消息,犯罪团伙通常运用 QQ、微信等网络通信工具建立各种群,诱骗受害人通过支付宝、微信红包、网银打款或转账,实施远程非接触式诈骗;通过引入传销手段宣传洗脑、大肆伪造国家机关公文、曲解国家相关政策等,让受害人走入他们的圈套,并对所谓的项目以及慈善事业深信不疑。 公安部刑事侦查局有关负责人表示,“ 民族资产解冻 ” 类诈骗犯罪严重侵害人民群众财产安全,损害政府公信力,扰乱社会经济秩序,影响社会安定。公安机关将继续保持对此类犯罪的严打高压态势,全链条打击违法犯罪人员,切实保障人民群众合法权益。 稿源:cnBeta、TechWeb;封面源自网络

中国电信被怀疑替换用户的自签名证书

HTTPS 网站利用浏览器信任的证书确保用户浏览器与网站服务器之间建立安全连接,防止被网络中间人监听。但如果网站使用自签名证书,那么访问这些网站的用户需要在浏览器添加例外或安装根证书(如火车票网站 12306),这就留下了极大的安全隐患。 一位提供游戏网络加速服务的用户在微博上报告,中国电信悄悄替换了其自签名证书。“ 为何有的地区访问我的 HTTPS 网站,获得的证书并不是我签发的。” “你们很聪明,只替换掉自签发的证书,因为自签发证书浏览器本来就有警告加上大部分信息都一样,神不知鬼不觉,用户很难发现自己的 HTTPS 访问被监听了,要不是我的软件对证书指纹有验证根本不会发现这问题 。” 原证书是 RSA-2048,伪造的证书是 RSA-1024。 中国电信客服表示可以“ 协调处理 ”。 稿源:solidot奇客;封面源自网络

身份证信息泄露助长手机“黑卡”泛滥,黑色产业链应对工信部实名制

今年 12 月 1 日起,全国三大运营商对非实名制手机号采取双向停机措施,既不能拨打也不能接听,不能接发短信也不能上网,此举旨在防范打击通讯信息诈骗。然而,成都商报记者调查了解到,为了应对手机号实名制,一种叫“实名卡”的“黑卡”却依然在线上线下售卖,并形成完整产业链。 这样的“黑卡”其实是用别人的身份证做了实名认证,到手之后可以直接使用。多位警方人士向成都商报记者表示,这些“黑卡”的存在对通讯诈骗追踪产生很大阻挠。“黑卡”现在已覆盖全国多个省级行政区,甚至在微信朋友圈公开售卖。警方表示,已实名电话卡倒卖的背后,是不计其数的身份证信息泄露, 被倒卖的身份证主要有两方面来源: 一部分是被盗身份证一部分是遗失身份证后回收。还有就是有人会在一些偏远地区以低价收购身份证信息,或者以低价要求对方登记手机号。 只要拿到一个身份证,理论上可以注册 390 张电话卡。四川电信因为系统尚未全国通查,从理论上说,同一个身份,在中国电信的 34 个省级行政单位可以办理 170 张电信电话卡,再加上移动 5 张、联通 5 张,此外,同一用户还可以向 42 家移动通信转售试点企业注册登记共 210 张电话卡,这样总计可注册 390 张电话卡。 四川省通信管理局对“黑卡”现象表示,如果确认违规行为属实,则会对电话卡的归属电信企业进行行政处罚。电信企业对于检查发现的违规行为也会按照委托代理协议对营业厅进行处罚。 稿源:cnbeta 有删改,封面来源:百度搜索