标签: 美国

皮尤:大部分美国人认为不收集个人数据是不可能的事情

据外媒报道,皮尤研究中心的一项新研究显示,对于许多美国人来说,数据收集现在可能已经被视为是其日常生活的一部分。据统计,超60%的美国成年人表示他们认为政府或公司不收集他们的数据是不可能的。 资料图 报告显示,81%的成年认为广泛收集数据的风险大于益处。不过大多数美国人表示,他们担心自己的数据可能会被公司和政府使用。而超80%的受访者表示,他们觉得对自己的数据缺乏控制。超一半的人则表示,他们对数据收集和使用知之甚少。 25%接受调查的成年人认为,他们几乎每天都在同意一项隐私政策。而在表示同意隐私政策之前他们当中阅读了相关内容的人的数量则更少。 对于许多公司来说,收集数据是为了帮助建立客户档案进而可以根据他们的习惯展示更好的销售行为。然而现在越来越多的入侵让大多数成年人感到自己已越来越控制自己的个人数据。   (稿源:cnbeta,封面源自网络。)

Kryptowire 在预装 Android 应用中发现了 146 个安全风险

在美国国土安全部资助的一项研究中,Kryptowire 在廉价的 Android 智能机上,发现了由预装应用造成的严重安全风险。这些 App 存在潜在的恶意活动,可能秘密录制音频、未经用户许可就变更设置、甚至授予自身新的权限 —— 这显然与 Android 设备制造商和运营商的固件脱不了干系。 类型占比(图自:Kyrptowire,via Cnet) 在新工具的帮助下,Kryptowire 得以在不需要接触手机本体的情况下,扫描固件中存在的漏洞。最终在 29 家制造商的 Android 设备上,查找到了 146 个安全隐患。 在被问及为何特别针对廉价 Android 设备展开软件安全调查时,Kryptowire 首席执行官 Angelos Stavrou 在一封邮件中解释称:这与谷歌对产品的管理态度,有着直接的关系。 Google 可能要求对进入其 Android 生态系统的软件产品进行更彻底的代码分析,并担负起供应商应有的责任。 当前政策制定者应要求该公司将最终用户的信息安全负起责任,而不是放任其置于危险之中。 对此,谷歌亦在一封邮件中称:其感谢合作并以负责任的态度来解决和披露此类问题的研究工作。 (厂商列表) 正如 Kryptowire 研究中发现的那样,预装应用通常为小型、无牌的第三方软件,其被嵌入到了较大的品牌制造商的预装功能中。 然而这类应用很容易构成重要的安全威胁,因为与其它类型的 App 相比,预装应用的权限要大得多、且很难被应用删除。 在 2017 年于拉斯维加斯举办的黑帽网络安全大会上,Kryptowire 披露了上海 Adups Technology 生产的廉价手机中的类似安全威胁。 该手机的预装软件被发现会将用户的设备数据发送到该公司在上海的服务器,而不会提醒这些用户,后续其声称该问题已得到解决。 2018 年的时候,Kryptowire 发布了面向 25 款 Android 入门机型预装固件缺陷的研究,同年谷歌推出了 Test Suite,以部分解决这方面的问题。 (部分漏洞详情) 尽管 Kryptowire 曝光的事情每年都难以避免,不过 Stavrou 认为,谷歌的整体安全策略,还是有所改善的。 他表示:“保护软件供应链是一个非常复杂的问题,谷歌和安全研究界一直在努力解决该问题”。 在今年黑帽安全会议(Black Hat 2019)的演示期间,谷歌安全研究员 Maddie Stone 表示: “Android 设备的常见预装 App 有 100~400 款,从恶意行为者的角度来看,他只需说服一家企业来打包恶意 App,而无需说服成千上万的用户”。     (稿源:cnbeta,封面源自网络。)

洛杉矶 DA 无故发布公共 USB 充电座可能感染恶意软件的警告

据外媒报道,南加州的官员发布了一份公告,宣布公共智能手机充电座并不安全。该机构认为便捷的USB充电接口可以使用户感染恶意软件。但是,目前没有实例可以指出发生这种情况的地方。周五洛杉矶地区检察官办公室警告旅行者不要使用公共USB充电座,因为这些设备可能会感染恶意软件,从而窃取数据或锁定手机。 “在USB充电器欺诈(通常称为“juice-jacking”)中,犯罪分子将恶意软件加载到充电座上,从而可能感染毫无戒心的用户的手机和其他电子设备。恶意软件可能会锁定设备或将数据和密码直接导出给欺诈者。” 洛杉矶地区检察官办公室承认其暂时没有遇到通过洛杉矶充电座感染某人设备的任何实例。它告诉TechCrunch,在美国东海岸有一些案件,但无法提供任何可以证实的细节,例如地点或日期。 此外,安全研究员Kevin Beaumont在一条推文中表示,他从未见过证据表明公共智能手机充电座使用了恶意软件。 但这并不是说不存在这种可能性。几位研究人员开发并展示了经过修改或克隆的充电器和充电电缆,它们可以远程“嗅探”数据或在设备上执行命令,但是这些仅仅是概念验证项目。 美国当局也不是第一次基于类似理由发布咨询。早在2016年,在安全研究员Samy Kamkar演示了他的KeySweeper概念验证后,FBI发出了警告。它是一个Arduino板,尺寸小到可以放入USB充电器的外壳,该充电器可以秘密地记录附近微软无线键盘的敲击数据。   (稿源:cnBeta,封面源自网络。)

微软宣布将“尊重”加州隐私法并将扩展至整个美国

据外媒报道,当地时间周一,微软宣布将尊重加州标志性数据隐私法为加州人提供的“核心权利”并将这一权利扩展到整个美国。微软首席隐私官Julie Brill于周一在一篇博文中表示,就像去年推广《欧洲一般数据保护条例(GDPR)》一样,公司将把《加州消费者隐私法(CCPA)》的主要原则推广到美国各地。 CCPA于2018年6月获得批准,是美国最激烈、最全面的数据隐私法规之一,其有点类似于GDPR。在CCPA的规定下,公司必须向用户披露其收集的个人资料、资料是否会出售及出售对象,并容户选择不出售个人的资料。另外,用户还必须能够访问自己的数据并能要求公司删除它们。 Brill写道:“根据CCPA,公司必须对数据收集和使用透明,并为人们提供防止个人信息被出售的选择。CCPA完成这些目标的具体要求仍在制定中。 Brill继续指出,微软将密切关注政府要求公司在CCPA下执行新透明度和控制要求的任何变化。 据了解,CCPA一直是加州立法机关和国会许多隐私斗争的主题。参议院和众议院都在为他们自己的数据隐私而战,每隔几周就会有新的法案被提出。许多民主党议员认为,任何国家立法都应该以加州为基准,在全国范围内扩大这些保护措施并在必要时增加更多的保护措施。共和党人和行业利益相关者则不同意这一观点,他们普遍认为,CCPA管得太过,并且任何联邦法律都应该废除它、其他任何一个州的法律都应该避免出现隐私法规的“拼凑”现象。 Brill写道:“在美国,CCPA标志着向人们提供对其数据更有力的控制迈出了重要的一步。”“这也表明,即使国会不能或不愿采取行动,我们也可以在国家层面加强隐私保护上取得进展。” 据悉,该法案将于2020年1月1日在加州生效。   (稿源:cnBeta,封面源自网络。)

两名前 Twitter 员工被指控为沙特阿拉伯政府监视数千个 Twitter 帐户

两名前 Twitter 员工已被指控代表沙特阿拉伯政府监视数千个 Twitter 用户帐户,其目的是为了找出不同政见者。 根据11月5日公开的起诉书,这两名前雇员是美国公民 Ahmad Abouammo 和沙特阿拉伯公民 Ali Alzabarah。两人均已于2015年12月离开公司。 两人2014年开始便为沙特阿拉伯政府工作,任务是收集沙特阿拉伯王国和反对王室的 Twitter 账号。 Abouammo 和 Alzabarah有权访问用户的个人资料,包括电子邮件地址,使用的设备,用户提供的个人信息, 生日,用户浏览器信息,用户在Twitter上的所有操作记录,以及IP地址和电话号码。 根据起诉书,Alzabarah 于2013年8月以“站点可靠性工程师”的身份加入Twitter,他于2015年5月21日至11月18日为沙特阿拉伯服务。据指控,他涉嫌监视6000多个Twitter帐户,沙特政府曾经向Twitter请求披露其中的数十个账户的具体信息。 Abouammo 被指控在美国境内充当外国间谍,还向FBI提供了伪造记录,以干扰他们的调查。他还从社交媒体平台删除了某些信息,比如应沙特政府官员的要求删除了某些Twitter帐户。当然,他还能够帮助沙特阿拉伯政府揭露某些用户的身份。 根据起诉书中的内容,沙特阿拉伯官员通过伪造发票的方式,向Abouammo支付了高达30万美元的报酬。该文件还指出,该男子收到了Hublot金陶瓷手表。 美国司法部还对沙特国民Ahmed al Mutairi提出了指控,这是一家与沙特王室有联系的社交媒体营销公司。Ahmed al Mutairi担任 Twitter 的两名前雇员与沙特阿拉伯政府官员之间的中介。 Abouammo 于周二在西雅图被 FBI 逮捕,其他两名嫌犯仍在逃。 “许多Twitter用户在与全世界分享他们的观点的同时也面临着很多危险。我们会保护他们的隐私和发声的权利” Twitter在声明中说。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Mozilla 表示美国 ISP 向国会撒谎 散布有关 DNS 加密的不实信息

Mozilla今天在写给美国众议院委员会主席和高级成员的信中表示,互联网提供商反对浏览器DNS加密这一隐私功能,这些提供商的行为让外界质疑它们如何使用客户网络浏览数据。Mozilla还表示,互联网提供商一直在向立法者提供不准确的信息,并敦促国会公开调查当前ISP数据收集和使用政策。 基于HTTPS的DNS有助于防止窥视者看到用户浏览器正在进行的DNS查找。这会使ISP或其他第三方更加难以监控用户访问的网站。Mozilla信任与安全机构高级总监Marshall Erwin表示,毫无疑问,我们在DoH [基于HTTPS的DNS]上的工作促使ISP发起了一场运动,以阻止所有这些隐私和安全保护功能实施。 宽带行业声称,谷歌计划自动将Chrome用户切换到自己的DNS服务,但是Google公开宣布的计划是检查用户当前的DNS提供商是否在兼容DoH提供商列表中,如果用户选择的DNS服务不在该列表中,则Chrome不会对该用户进行任何更改。 而Mozilla实际上计划在默认情况下将Firefox用户切换到其他DNS提供商,特别是Cloudflare的加密DNS服务。但是,由于Firefox的市场份额较小,因此与Chrome相比,ISP显然不太关心Firefox。 Mozilla在致国会的信中说,ISP对加密DNS进行游说相当于电信协会明确主张ISP必须有能力收集用户数据并从中获利。目前,美国ISP对用户数据滥用包括在未经用户了解或未获得有效同意的情况下,向第三方出售实时位置数据,诸如Comcast之类的ISP、操纵DNS为消费者提供广告,Verizon使用超级Cookie来跟踪用户的Internet活动,AT&T每月向客户收取29美元的额外费用,以避免AT&T收集用户浏览历史记录并且从中获利。   (稿源:cnBeta,封面源自网络。)

特朗普的网络安全顾问输入错误密码后 苹果员工将其 iPhone 恢复为出厂设置

据外媒Techspot报道,2017年在担任特朗普的网络安全顾问和律师仅26天后,苹果员工发现了在旧金山市区商店外等候的鲁迪·朱利安尼(Rudy Giuliani)。他之所以在这里,是因为在输入了十次错误的密码后,他的iPhone 6被锁定,这迫使苹果员工将手机恢复为出厂设置,通过iCloud备份对其进行重新设置。 在NBC News上周报道此事后,将他自己忘记iPhone密码的经历与美国联邦调查局(FBI)要求苹果解锁枪手使用的iPhone一事进行比较。 然而这并非朱利安尼经历过与技术事故有关的尴尬事件。大约一年前,他在推文中写道:“就在总统离开参加G-20之际,穆勒就提出了起诉。7月,他也曾在总统前往赫尔辛基之前起诉那些永远不会来到这里的俄罗斯人。”他发推文时忘记在句号后面加空格,从而不小心创建了一个指向G-20.in的超链接。恶作剧者购买了未注册的域名,并建立了反特朗普网站。 而朱利安尼则指责Twitter允许恶作剧者用令人不快的反总统信息“侵入”他的推文。   (稿源:cnBeta,封面源自网络。)

Facebook:来自伊朗和俄罗斯的对美大选干预正在路上

据外媒报道,就在微软披露了一场由伊朗人领导的网络运动以此来破坏2020年美国大选的几周后,Facebook宣布删除了一些旨在传播虚假信息的不真实账户、页面和群组。与此同时,这家社交网络公司还概述了几项将有助于在2020年美国大选之前“保护民主进程”的新战略。 Facebook网络安全政策主管Nathaniel Gleicher对此专门发表了一篇详细的帖子。据其披露,Facebook发现并清除了来自四个不同网络账户,包括100多个Facebook和Instagram虚假账户。其中三个可疑网络被发现跟伊朗有关,一个在跟俄罗斯有关,它们的大部分欺骗活动针对的则都是美国。 有趣的是,俄罗斯的活动主要被确定为来自Instagram,对此Facebook删除了50个可疑账号。Gleicher写道:“这次行动显示了一些跟互联网研究机构(IRA)的联系并有一个资源充足的行动的标志,其采取了持续的行动安全措施来隐藏他们的身份和位置。” 一个来自美国保守团体的表情包被一个跟俄罗斯有关的账号分享 社交媒体分析公司Graphika也独立核实了Facebook的调查并发布了一份相关报告。 Graphika报告中列出的一个例子:2016年被认定来自俄罗斯的一个网络迷因,2019年似乎又被重新利用 与此同时,Facebook还提出了一些新措施以帮助在2020年美国大选前对抗这些外国威胁。Facebook表示,它将通过明确识别网页所有者、标注国家控制的媒体来源以及为民选官员的账户提供更强的安全保护来提高透明度。 另外,Facebook还称,在第三方事实核查人员审查之前它将减缓被标记为可能虚假的内容的传播从而更快地防止虚假信息的病毒式传播。 “我们不会核实政治广告的真实性,”马克·扎克伯格最近在一次演讲中说道,“我们这样做不是为了帮助政客,而是因为我们认为人们应该能够自己看到政客们在说什么。如果内容有新闻价值,我们也不会撤下它,即使它跟我们的许多标准相冲突。” 作为对Facebook这一政策立场的回应,美国民主党总统候选人伊丽莎白·沃伦发文称,其团队曾在10月初在该平台购买了一则政治广告,而这则广告的内容并不真实。对此,外媒戏谑,扎克伯格的最新表态暗示了他将支持特朗普连任。     (稿源:cnBeta,封面源自网络。)

皮尤:大部分美国人缺乏网络安全基础知识

据外媒报道,皮尤研究中心的一份新研究报告显示,许多美国人在数字安全方面的知识尤其是在隐私网页浏览方式、双重认证是什么等方面存在差距。这些结果则是基于一项包含有10个问题的调查得出,据悉,调查问题主要集中在社交媒体和网络安全方面。 皮尤研究中心在其报告中总结称,人们对网络安全的认识各不相同。美国绝大多数的成年人了解诸如网站cookies是什么、网络钓鱼诈骗性质等知识,但几乎超1/4的受访成年人并不了解能够大大提高在线账户安全的双重认证功能。 另外,只有约一半的受访成年人了解隐私浏览的功能,只有不到1/4的人知道隐私浏览只会阻止其他用户查看会话的浏览历史。皮尤研究中心在最终汇总了所有的回答之后发现只有20%的美国成年人能正确回答至少七个问题。 不到一半的受访者能够正确回答有关隐私政策、网络中立、网络安全中“https”含义、拥有Instagram和WhatsApp的2FA公司、隐私网页浏览以及杰克·多尔西是谁等问题。 据了解,在这项研究中总共有4272名美国成年人参加了调查。     (稿源:cnBeta,封面源自网络。)

美参议院报告呼吁采取措施阻止俄罗斯对 2020 大选的干预

据外媒报道,当地时间周二,美国参议院一个两党委员会呼吁制定新的程序以此来保护美国的2020年总统大选免遭外国虚假信息的影响。在一份85页的报告中,参议院情报委员会敦促通过新法来确保社交媒体平台上的政治广告的透明度,另外其还敦促加强社交媒公司跟政府之间的协调和信息共享。 此外,该委员会还呼吁特朗普政府成立一个特别工作组以此来监控外国在试图干涉美国民主这件事情上使用社交媒体的情况并制定相关措施阻止此类干涉。该委员会还推动了一项以提高公众对这些问题认识的运动。 该委员会主席、北卡罗来纳州共和党人Richard Burr表示,俄罗斯方面仍在继续这种干涉行为,“俄罗斯正在对美国发动一场信息战,这场信息战并没有在2016年大选的时候开始也没有结束。他们的目标则更加广泛:播下社会不和谐的种子、侵蚀公众对政府机构的信心。” 这份报告及其建议凸显了议员们在试图解决选举安全漏洞时所面临的困难。虽然美国众议院通过了一项确保选举公正的法案,但参议院的一项名为《诚实广告法案(Honest Ads Act)》的立法却遭到了搁置。   (稿源:cnBeta,封面源自网络。)