标签: Black Hat

谷歌工程总监:用户不该操心网络安全 科技巨头需付出更多努力

在周三于拉斯维加斯举行的黑帽网络安全会议上,“谷歌安全公主”Parisa Tabriz 发表了主题演讲,期间讨论了与网络安装状况有关的问题。其主旨是,在线安全不应该是用户关注的重点所在,所以科技巨头们需要作出更多的努力。人们在日常生活中,一直被网络攻击的阴霾所笼罩,比如黑客会以电子邮件、信用卡、甚至政治为目标,由此带来了许多安全顾虑。 她在周二接受采访时称:所谓安全,应该是技术巨头们可以在网络上轻松保护每个人。 其为谷歌设立的终极目标是 —— 让安全成为第二天性,而不是你必须积极考虑实现的目标 —— 显然,这取决于互联网的“建筑师”们。 这趟旅程的重点是保障人们在 Web 上创建内容,但在默认设置下,他们中的绝大多数甚至根本不需要考虑这个问题。 虽然不知道何时会发生,但我认为事情正在朝着正确的方向去发展。 显然,Parisa Tabriz 想要避免制造让用户感到疲劳的“过多警告”。因为在频繁弹出警示信息的情况下,人们会开始变得相当麻木。 在过去四年时间里,谷歌发现了这一点,并且希望努力扭转该问题。值得庆幸的是,许多与 HTTPS 相关的安全指标,最终都会化解这个问题。 我们做了很多工作,使警告信息更易于理解、并了解对用户拥有的内容。作为一个普通人,你或许已经在过去两个月中留意到了一些变化。 比如,Chrome 地址栏前会显示一个绿色的锁状图标,并在旁边标注为‘安全’,以便告诉人们当前页面上的信息是值得信赖的。 不过 Parisa Tabriz 指出,谷歌最终还是决定摆脱它,因为该公司希望让安全性成为一个默认的事情,高亮的标签反而更显突兀。 于是在 7 月份的时候,Chrome 转而瞄准了哪些未使用 HTTPS 保护的网站,并在地址栏前显示‘不安全’。 不过,为了营造一个更加完全的互联网,所有科技巨头都必须投入其中 —— 而不仅仅依赖谷歌一个人的工作。 如果只有 Facebook 和谷歌在使用 HTTPS,那显然是不行的。即便访问的是个人博客网站,也必须让网友们相信,其阅读的是真正的内容,而没有被 ISP 给篡改。 好消息是,在 Let’s Encrypt 的倡议下,谷歌与 Mozilla 这两大浏览器厂商在合力推动 HTTPS 的采用。   稿源:cnBeta,封面源自网络;

美国土安全局官员透露手机存安全漏洞 数百万美国用户受影响

本周在拉斯维加斯召开的Black Hat峰会上,国土安全部官员Vincent Sritapan向新闻机构Fifth Domain透露:当前智能手机中存在安全漏洞。报道称该漏洞涉及美国四大通信运营商(Verizon,AT&T,T-Mobile和Sprint),数百万美国智能手机用户受到影响。 具体表现在黑客可以通过这些漏洞可以在用户不知情的情况下访问用户的电子邮件、短信等等。 Kryptowire是一家由美国国土安全部投资的移动安全公司,公司近期研究发现了这些漏洞。 Kryptowire创始人Angelos Stavrou在接受Fifth Domain采访时候表示:“可以在用户不知情的情况下对个人发起攻击。早在今年2月份就已经向设备厂商发送了通知,不过依然有部分制造商没有公开补丁进程,因此开发人员不确认设备制造商是否已经修复。”   稿源:cnBeta,封面源自网络;

多数编程语言存在安全漏洞:或攻击其语言开发的应用程序

据外媒 12 月 10 日报道, IOActive 的高级安全顾问 Fernando Arnaboldi 于 12 月初在 2017 Black Hat 欧洲安全会议上发表了一篇有趣的研究报告:多数流行的编程语言存在严重的缺陷,可能会攻击其语言开发的任何安全应用程序。 该研究是为了探索安全开发的应用程序受到底层编程语言中未知漏洞的影响。相关人士透露,Arnaboldi 使用 fuzzing 软件测试技术分析了最流行的编程语言( JavaScript、Perl、PHP、Python 和 Ruby )。Fuzzing 或 fuzz 测试是一种自动化的软件测试技术,它包括为计算机应用程序提供无效、意外或随机的数据。获得数据后,研究人员会监视类似崩溃或失败的内置代码断言之类的异常,或者是寻找潜在的内存泄漏。据悉,Google 专家就曾使用这种技术发现了流行软件 OpenSSL 和 Linux 组件中的许多缺陷。 下面是研究人员用 fuzzing 技术测试的编程语言列表。 Arnaboldi 开发了一个定制的 “ 微分fuzzer ”  XDiFF ( 扩展差分 Fuzzing 框架),专门用于测试编程语言的结构。研究人员将 XDiFF 发布为 GitHub 上的开源项目。此外,研究人员还确定了大部分的基本功能,并使用 XDiFF fuzzer 进行了测试。在执行之前,fuzzer 通过在函数和有效载荷之间进行排列来生成所有可能的测试用例,测试用例将当时编程语言的一个功能与不同的有效载荷结合在一起,以便于暴露编程语言中的漏洞。 Arnaboldi 表示,漏洞的发现完全取决于能否选择正确的输入。在这个测试中,使用了少于30个原始值(比如数字,字母等)与特殊有效载荷相结合,并且定义这些特殊的有效载荷,以便于帮助识别软件何时访问外部资源。 Arnaboldi 用 fuzzer 分析了所有编程语言中的严重漏洞,有以下问题: ○ Python 包含可用于 OS 命令执行的无记录的方法和本地环境变量。 ○ Perl 包含一个可以像 eval()那样执行代码的类型映射函数。 ○ NodeJS 输出可以泄露部分文件内容的错误消息。 ○ JRuby 加载并执行远程代码的功能不是为远程代码执行而设计的。 ○ PHP 常量的名称可以用于用来执行远程命令。 Arnaboldi 表示,软件开发人员可能在不知情的情况下将代码包含在应用程序中,而这些代码可能以开发者没有预见到的方式使用,以至于对安全开发的应用程序构成了风险。假设这些漏洞并不是恶意造成的,那么可能是因为错误或试图简化软件开发的结果。而这个结果会影响到解释器解析的常规应用程序。因此,研究人员建议,在重要的生产环境中,应该优先排查或修复程序语言解释器的安全隐患。 消息来源: Security Affairs ,编译:榆榆 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

Black Hat 2017 议题 :辐射监控设备存在多处关键漏洞

据外媒 7 月 28 日报道,信息安全公司 IO Active 研究人员近期于拉斯维加斯 Black Hat 大会上首次披露 Ludum、Mirion 与 Digi 辐射监控设备存在多处未修补漏洞,允许黑客破坏、延迟或混淆放射性物质检测,危及公民人身安全或有助黑客偷运放射性物质。 调查显示,以下监控设备存在关键漏洞: ○ Ludlum 53 Gamma Personnel Portal Monitor:该设备部分漏洞包括最高权限硬编码密码,允许黑客通过反向工程识别系统二进制文件、检测任意方向辐射来源。此外,黑客还可利用后门程序绕过系统认证并控制 RPM 禁用相应警报。 ○ Ludlum Gate Monitor Model 4525:该设备用于检测港口货物中的放射性物质,其主要配置与安全性能存在关键漏洞,允许黑客进行 MiTM(中间人)攻击。另外,Gate Monitor 在使用端口 20034 / UDP 与端口 23 / TCP 等协议时,未进行任何加密措施,导致黑客可以任意拦截数据包、伪造信息或禁用警报。 ○ Mirion WRM2 Transmitters:WRM2 设备软件由 .Net 与 Java 编写,并使用 OEM XBee S3B 无线收发器接收数据,从而泄露加密文件 XCS-Pro 与 S3B-XSC 算法,允许黑客修改或创建恶意固件。 ○ Digi XBee-PRO XSC 900、Xbee S3B (OEM):Digi 设备漏洞允许黑客绕过 XBee AT 命令处理、OEM 网络用户身份只读保护,以及发送接收任何 XBee 网络数据。在这种情况下,黑客还可通过干扰发送 WRM2 兼容设备帧拦截数据或向 NPP 系统发送伪造数据,从而错误解读辐射泄漏或创建拒绝服务攻击。 目前,虽然 Ludlum 证实监控设备存在安全漏洞,但当前技术水平暂时无法提供补丁修复。此外,Mirion 也承认漏洞将会影响监控系统设施,现正在积极与 Digi 合作解决问题。 详细报告内容请阅读:《Go Nuclear: Breaking Radiation Monitoring Devices》 原作者:Stuart Peck,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。