标签: Google

微软、谷歌和 BAT 等巨头成立机密计算联盟,联手保护数据安全

微软近日在其开源博客中宣布加入机密计算联盟(Confidential Computing Consortium,简称 CCC)。该组织致力于定义和加速推进机密计算的采用,并将托管在 Linux 基金会。联盟创始成员还包括阿里巴巴、Arm、百度、谷歌、IBM、英特尔、红帽、瑞士电信和腾讯等科技公司,它提供了一个让行业聚集起来的机会,以促进使用机密计算来更好地保护数据。 建立机密计算联盟的需求源于这样一个事实:随着计算从内部部署转移到公共云和边缘,对数据的保护变得更加复杂。当前的数据保护通常作用于静态(存储)或(网络)传输状态的数据。但是当数据正在被使用时,仍然存在风险,这也是数据保护中最具挑战性的一个步骤。 因此,机密计算将侧重于保护使用中的数据,并为敏感数据提供完全加密的生命周期。它将在内存中处理加密数据,而不会将其暴露给系统的其余部分,并减少敏感数据的暴露,为用户提供更好的控制和透明度。 “保护使用中的数据意味着数据在计算过程中不会以未加密的形式显示,得到访问授权的数据除外”,微软 Azure 首席技术官 Mark Russinovich 表示,“也就是说甚至连公共云服务提供商或边缘设备供应商都可能无法访问它,数据将完全处于私密状态。” 机密计算功能可以做到协作共享数据——例如训练多方数据集机器学习模型、对多方数据集执行分析,或是在数据库引擎中启用机密查询处理——但同时无需对这些数据进行直接访问。 目前,联盟成员已经为机密计算做出了一些开源贡献,包括: 英特尔®软件保护扩展(英特尔®SGX)软件开发套件,旨在帮助开发人员使用受保护的代码和数据,避免数据在硬件层被泄露或修改。 微软 Open Enclave SDK,这个开源框架创建了一种可插入的通用方法来创建可再发行的可信应用程序,以保护正在使用的数据。 红帽 Enarx,为可信执行环境(TEE)提供平台抽象,支持创建和运行“私有、可替换、无服务器”的应用程序。 Linux 基金会执行董事 Jim Zemlin 表示,现有的联盟只是一个开始,后续将会有更多企业加入。   (稿源:开源中国,封面源自网络。)

Google 和 Mozilla 正设法阻止哈萨克斯坦 ISP 强制安装证书行为

Google和Mozilla正在采取行动反对哈萨克斯坦政府对其本国公民开展基于证书的监视行动。两家公司今天宣布,他们正在联手在浏览器中阻止哈萨克斯坦政府上个月颁发的根证书,该证书允许它监控任何安装它的用户的加密互联网活动。政府要求该国ISP合作,强制所有客户安装证书以获得互联网访问权限。 根据密歇根大学发表的一项研究报告表明,它允许哈萨克斯坦政府对包括Facebook,Twitter,谷歌等37个域名的HTTPS连接进行“中间人”或MitM攻击。 通常,HTTPS网站的加密方式会让包含ISP在内的第三方无法访问它。就哈萨克斯坦而言,MitM攻击打破了这些网站的加密机制,允许自由监视私人互联网活动。 在行动完成后,最为流行的Chrome和Firefox浏览器都会禁止非法证书。 Mozilla将使用OneCRL阻止哈萨克斯坦的根证书,自2015年以来,Firefox一直用它来撤销证书。之前,在哈萨克斯坦访问互联网的用户的智能手机或计算机上会收到一条消息,要求他们安装根证书。 现在,当Firefox在哈萨克斯坦检测到证书时,它将阻止连接并显示错误消息。 Chrome也会阻止该证书,此外,它还将这一规则添加到Chromium源代码中的阻止列表中,并在将来包含在其他基于Chromium的浏览器中。 由于哈萨克斯坦几周前停止要求用户安装证书,现在看来,此举似乎是不必要的。据路透社报道,哈萨克斯坦政府本月早些时候在面临法律挑战后停止了其监控证书的部署,原因是一批哈萨克斯坦律师起诉该国三家移动运营商限制互联网接入。哈萨克斯坦国家安全委员会作出回应,他们发布了一份声明,称证书推出是一项“测试”,现已完成。 Mozilla承认该公司已经知道哈萨克斯坦结束了这项测试。但是,如果安装了证书,用户仍可能容易受到攻击。 “虽然政府的测试显然已经结束,但它可以用来监视网络流量的机制仍然存在。而且一些用户可能仍然安装了这个恶意证书。这些用户仍然很脆弱,即使攻击没有持续,我们也没有等待漏洞被再次利用,将设法直接解决它。” Mozilla还表示将继续监督哈萨克斯坦政府的行动,并将在未来签发类似证书时采取再次行动。   (稿源:cnBeta,封面源自网络。)

尽管谷歌已修复漏洞 网站仍会检测 Chrome 是否处于隐身模式

针对启用了无痕模式的 Chrome 用户仍会被不守规矩的网站强行检测一事,谷歌方面已经修复了一处漏洞。尴尬的是,这场利益攻防战并没有就此结束,因为聪明的网站仍会通过其它方法来检测 Chrome 76 是否启用了隐私浏览模式。其实 Chromium 团队自身也意识到存在这种可能,毕竟浏览器还提供了一些其它必要的应用程序接口(API)。 (题图 via Techdows) 默认情况下,Google 会在 Chrome 浏览器启用无痕模式时禁用文件系统 API,以防止将浏览历史记录保存到磁盘上。 反之,网站可以通过 Filesystem API,对用户浏览器的当前模式进行判断。然后强行要求用户登录或创建免费账户,以继续浏览完整的内容。 在意识到这个漏洞之后,谷歌引入了一个新的标记(flag),以便在无痕模式下启用 了 FileSystem API,Chrome 76 中已经默认打开。 谷歌在一篇博客文章中写到,其已经修复了某些网站不当利用 FileSystem API 的一个漏洞。 遗憾的是,即便急用了这个标记,《纽约时报》网站仍会检测到该模式是否已开启(如上图所示)。 近日有一位安全研究人员透露,Chrome 浏览器未能真的做到应对无痕模式的检测防御,因为网站仍可通过 Quota Management API 来检测。 另一位名叫 Jesse Li 的开发者,更是给出了一个技术概念验证,表明网站仍可通过评估 Filesystem API的 写入速度,来检测无痕模式。 当然,Chromium 开发团队仍可通过其它措施,来修复针对 Chrome 无痕模式的反向检测,比如可从配额和计时方面着手。   (稿源:cnBeta,封面源自网络。)

特朗普指责谷歌:在大选期间有“非常不合法的”行为

北京时间8月7日上午消息,据路透社报道,美国总统特朗普周二指责谷歌,称谷歌试图破坏他的2016年竞选活动,并警告在2020年大选到来之际,自己正“非常密切地”关注谷歌。 特朗普指责谷歌有“非常不合法的”行为,但并未拿出证据,也未正式控告。 白宫代表未立即回应政府将对谷歌采取何种措施的问题。 而谷歌发言人表示:“出于政治目的扭曲结果将伤害我们的业务,违背我们向所有用户提供有帮助的内容的使命。” 特朗普屡次抨击谷歌等多家科技企业,提升收紧监管的可能性。一些保守派人士指责这些科技公司不公平对待客户。   (稿源:新浪科技,封面源自网络。)

谷歌暂停评估语音助手在欧录音 7月承认泄露用户数据

北京时间8月2日早间消息,谷歌发言人周四向路透社表示,在荷兰录音数据泄露后,该公司暂停评估Google Assistant虚拟助手在欧盟收集的录音。 该公司今年7月承认,负责分析智能助手语音片段的合作伙伴泄露了数据。 CNBC早些时候报道称,有超过1000次私人谈话被发送到比利时的新闻媒体,并补充说有些消息透露出医疗状况和客户地址等敏感信息。 “在了解到荷兰机密信息泄漏事件后不久,我们暂停了对调查助手的语言评估。”该发言人说。她还补充道,该公司仅对约0.2%音频内容进行评估。 此事正值公众和政府对数据隐私措施越来越关注之际,迫使硅谷公司提高了透明度。 美国和其他地方的立法者正在对相关提案进行权衡,可能会限制谷歌、Facebook和其他互联网公司追踪用户和分发信息的方式。 据悉,谷歌此次暂停评估至少会持续三个月时间。   (稿源:新浪科技,封面源自网络。)

Google 公布重大 iOS 漏洞:可通过 iMessage 发动攻击

新浪科技讯 北京时间7月30日晚间消息,据美国科技媒体ZDNet报道,谷歌旗下安全团队Project Zero的两名成员日前公布了影响iOS系统的6个“无交互”安全漏洞中其中5个的详细信息和演示用攻击代码。 据悉,这6个“无交互”安全漏洞可通过iMessage客户端发动攻击。上周,即7月22日,苹果发布了iOS 12.4版,修复了这6个安全漏洞。但是,其中一个“无交互”漏洞的细节此次并未公布,是因为iOS 12.4补丁还没有完全解决问题。 据谷歌研究人员称,这6个安全漏洞中的4个可以导致在远程iOS设备上执行恶意代码,而无需用户交互。攻击者需要做的只是向受害者的手机发送一条“错误格式”的消息,一旦用户打开并查看接收到的项目,恶意代码就会被执行。而第5个和第6个漏洞允许攻击者从设备内存中泄漏数据,并从远程设备读取文件,同样无需用户干预。 根据漏洞交易平台Zerodium的价格表显示,类似于谷歌此次公布的这些漏洞,每条的价格可能超过100万美元。可以毫不夸张地说,谷歌此次公开的这些漏洞信息的价值远超500万美元,很可能达到1000万美元。 在下周于拉斯维加斯举行的“黑帽”(Black Hat)安全会议上,谷歌安全研究人员将举行一场关于远程和无交互iPhone漏洞的演示。 谷歌Project Zero安全团队成立于2014年7月,专为第三方软件寻找漏洞。他们并不会利用这些漏洞,只会对第三方软件开发商发出警告,以避免被恶意利用。   (稿源:新浪科技,封面源自网络。)  

Google 的 Project Zero 团队成功黑掉 Windows 记事本

简单如 Windows Notepad(记事本)这样的软件也会出现严重的漏洞,Google 的 Project Zero 安全研究团队已经成功黑掉了这一每个人都在用的应用程序,并且危险系数还挺高:可以拿到完整的远程 Shell 访问权限。 来自 Google 的 Project Zero 的 Tavis Ormandy 设法在记事本中找到了内存损坏漏洞,该漏洞允许特殊格式错误的文件将应用程序破坏,并可以调用命令提示符应用提供远程shell访问,这意味着黑客可能完全接管系统。 该错误的确切细节尚未透露,Travis 已通知微软解决问题,通常在披露这个漏洞细节前,会给90天的时间。 “我只能说这是一个严重的安全漏洞,我们已经给微软提供了长达90天的时间来处理它(就像我们报告的所有漏洞一样),这就是我可以分享的一切。“他在周五的推文对话中写道。 White Note 的首席科学家兼创始人丹·卡明斯基说:“记事本暴露的攻击面很少,值得注意的是它仍足以让攻击者能够运行任意代码。” “所以说,再简单的程序如果编写不当也会出现巨大问题。” 然而也有知情的研究人员表示,黑客需要首先获得目标才能在记事本中打开文件,除了已弃用的 IE11 作为入口之外,默认情况下不太可能发生这种情况。“除非你坐在电脑前,否则无法在系统上启动记事本。”卡明斯基说。 然而,我们注意到大多数开发人员计算机中最常用的应用程序通常都是记事本,主要是因为它似乎是打开未知文件最安全的方式,但似乎这种日子可以告一段落了。   (稿源:cnBeta,封面源自网络。)

谷歌发现 G Suite 漏洞:部分密码明文存储长达十四年

北京时间5月22日早间消息,据美国科技媒体The Verge报道,谷歌在博客文章里披露,公司最近发现一个漏洞,导致部分G Suite用户的密码以明文方式存储。 博文中称,该漏洞自2005年以来就存在,但谷歌未能找到任何证据表明,任何人的密码被非法访问过。公司正在重置可能受影响的密码,并已告知各G Suite管理员。 G Suite是Gmail和谷歌其它应用的企业版本。显然,G Suite中出现的这个漏洞源于专为企业涉及的功能。一开始,公司的G Suite应用管理员可以手动设置用户密码——例如,在新员工入职前——如果管理员这样操作了,管理控制台会以明文方式存储这些密码,而非哈希加密存储,之后,谷歌便删除了这个管理员功能。 谷歌的帖子详细地解释了加密哈希的工作原理,似在为了分清楚与这一漏洞有关的细微差别。虽然密码是以明文方式存储,但它们至少是明文存储在谷歌的服务器上,因此比起存储在开放互联网上,这些明文密码还是比较难访问的。虽然谷歌并未明确说明,但谷歌似乎也在努力让人们相信,这次的漏洞与其他遭到泄露的明文密码问题不一样。 另外,谷歌并未说明具体有多少用户受到这一漏洞的影响,只是表示该漏洞影响了“我们部分的企业G Suite用户”——估计是2005年时使用G Suite的那些人。尽管谷歌也没有发现任何人恶意使用这一访问权限的证据,但我们也无法清楚地知道究竟谁访问过这些明文密码。 目前这个漏洞已经修复,同时谷歌在博文最后表达了歉意。(图尔)   (稿源:新浪科技,封面源自网络。)

Google 修补多项 Android 高危漏洞

Google 4 月 1 日发布安全公告,修补了多项 Android 高危漏洞。 包括 Samsung、Pixel 与 LG 等在内的主要安卓厂商已在公告发布至少一个月前就接到问题通报。而在公告发布后的 48 小时内,Google 也会将安全补丁的源代码发布至 Android 开源项目(Android Open Source Project , AOSP)存储库。 其中,存在最高等级风险的是位于媒体框架(media framwork)中的一个严重安全漏洞,它可以使攻击者传送更改后的文件,从而在拥有权限的情况下远程执行任意代码。CVE-2019-2027 和 CVE-2019-2028 都包含在这一媒体框架内。 CVE-2019-2026 所在的 Android 框架中的部分漏洞可以使本地攻击者通过用户交互获得额外权限。其余几项位于运行系统中,其中严重的漏洞可能会使本地恶意应用程序取得权限,执行任意代码。 目前,2019-04-01 或更高版本的安全修补程序级别已解决了相关问题。Google 预计于 4 月 5 日发布第二波安全补丁,以解决所有与之相关的问题。用户可参阅检查并更新 Android 版本,以检查设备的安全补丁级别。     (稿源:开源中国社区,封面源自网络。)

Google Chrome 被发现零日漏洞 可让黑客获取用户数据

谷歌浏览器Chrome中的零日漏洞允许黑客使用浏览器中加载的恶意PDF文档来获取个人数据。由EdgeSpot发现这项安全漏洞,已经在被黑客利用,谷歌官方修复方案只会在4月底发布。 当在专用的PDF阅读器(如AdobeReader)中打开时,PDF文档似乎不会泄漏任何个人信息。恶意代码似乎专门针对Google Chrome浏览器中的漏洞,在浏览器中打开这些恶意PDF,会触发到两个不同之一的出站流量,分别称为burpcollaborator.net和readnotify.com。 黑客通过此种方式可以获得的数据包括设备的IP地址、操作系统和Google Chrome版本,以及本地驱动器上PDF文件的路径等等。有趣的是,大部分安全产品无法实时检测到恶意的PDF文档,只有一些防病毒解决方案在扫描它们时才会触发警告。 目前避免此漏洞侵害的最简单方法是避免在Google Chrome浏览器中打开任何PDF文档,但是如果必须这样做,您应该远离来自不信任来源的文件。此外,在Google Chrome中打开PDF文档时,您可以暂时断开电脑与互联网的连接。     (稿源:cnBeta,封面源自网络。)