安全快讯Top News

Facebook 天秤币发起赏金计划 发现漏洞奖 1 万美元

Facebook和其合作伙伴正在推进他们的Libra(天秤币)加密货币项目,并宣布他们正与HackerOne合作,针对Libra区块链上的应用程序,推出漏洞赏金计划。尽管政府监管机构已经要求公司暂停该项目,以便评估Libra的合法性和其可能对全球金融系统带来的威胁,但Facebook的脚步似乎并未停止,同时又发起漏洞赏金计划以证明公司决心承担责任的态度,好照着公司期望的样子重塑全球金融体系。 据悉,针对在该加密货币基金的测试网上开发的项目,任何在项目代码中发现漏洞的安全专家,都可以获得一笔高达1万美元的赏金。 “在Libra区块链上限之前,我们推出了这个漏洞赏金计划。我们希望,世界各地的人们可以在他们的日常金融需求中使用Libra,因此Libra的基础设施必须安全可靠,”Libra Association的政策与通讯主管丹特·迪斯帕里特(Dante Disparte)在声明中说道,“值得注意的是,Libra区块链仍在测试中,仅仅是早期的代码,离最终版本还有很大差距。我们将继续致力于打造最好的Libra区块链,在监管顾虑尚未解决以及必要的监管许可未获得之前,我们不会贸然上线Libra区块链。” 不过,为一个商业可行性有待商榷,更不用说是否能获得必要批准的测试网络发起漏洞赏金计划,看起来像是为时过早。多名Libra Association发言人曾指出,Libra尚不会推出。 “随着Libra一步步向主网发布前进,这是一个重要的环节,以向大众证明Libra Association正积极地应对安全问题,”区块链基础设施服务提供商兼Libra Foundation的合作伙伴Bison Trails公司的首席技术官亚伦·亨肖说。 一名Libra Association的发言人,他们不会就Libra测试网络上当前正在运行的项目数量发表评论。   (稿源:cnBeta,封面源自网络。)

荷兰称 Windows 10 远程收集用户数据 或违反隐私法

北京时间8月27日晚间消息,据路透社报道,荷兰数据保护局(DPA)今日表示,微软远程收集Windows 10家庭版和专业版用户的数据,这可能违反了荷兰的隐私保护法。 事实上,DPA早在2017年10月就曾表示,Windows 10违反了该国的数据保护法。在使用默认设置时,微软不断收集有关应用程序的使用记录。 DPA今日表示,虽然微软按照要求在去年对相关设置进行了而调整。但在测试这些调整后的隐私保护措施时,又发现了新的问题。 DPA称:“测试发现,微软还远程收集用户的其他信息。因此,微软还是潜在地违反了隐私保护法。” DPA还表示,已将这一发现转交给爱尔兰数据保护机构,因为微软在爱尔兰设有欧洲总部。 微软对此表示,公司始终致力于保护用户隐私。最近几年,微软已针对个人和小企业用户对Windows 10的隐私功能进行了改进。 微软说:“有机会进一步改进我们为用户提供的工具和选择,我们也很高兴。” 早在2017年1月,瑞士数据保护机构“瑞士联邦数据保护与信息委员会”曾表示,经调查发现,Windows 10因自动上传用户隐私信息而违反了瑞士的数据保护法。   (稿源:新浪科技,封面源自网络。)

18 年的漏洞仍未彻底修复:黑客仍能几秒内破解特斯拉 Model S

破解一辆特斯拉Model S需要多长时间?在2018年安全团队COSIC就曾演示过在短短几秒内完成破解!这主要利用了特斯拉 Model S中PKES(无钥匙进入系统)与无线钥匙的认证过程中存在的安全问题,从而让黑客可以在几秒内复制汽车钥匙将汽车偷走。随后特斯拉立即做出反应解决了这个问题并转换到新的遥控车钥匙。 不过根据《连线》本周二发布的一篇报道称,特斯拉最新发布的车钥匙同样非常脆弱。来自比利时大学的科研团队发现新款车钥匙中同样存在原先的漏洞,不过破解过程需要更长的时间并且需要靠的更近才能完成。 值得庆幸的是,特斯拉再次迅速作出反应,并已推出其软件更新,这将允许用户在几分钟内基本上将他们的表盘重新闪存在他们的汽车中。造成车钥匙问题的关键在于它们的加密方式。于特斯拉配合的Keyless厂商Pektron公司对于这块防盗的密码不够缜密。但Pektron公司却未正面回应研究团队提出的问题。特斯拉车钥匙仅使用了40位加密协议,而这种协议相对容易打破。为了解决这个问题,特斯拉和Pektron将这些密钥转换为80位加密,这应该是更具挑战性的。 特斯拉代表在一份声明中说:“虽然没有任何东西可以防止所有车辆盗窃,但特斯拉已经部署了一些安全增强功能,例如PIN to Drive,这使得它们更不容易发生。” PIN to Drive功能允许车主在驾驶汽车之前设置必须输入的PIN码。这与车钥匙是分开的,不受漏洞影响,想要启动汽车之前必须要输入。 特斯拉继续说道“即使我们不知道单个客户受到报告问题的影响,并且启用PIN to Drive已经阻止了这种情况发生,我们已经开始发布一个无线软件更新(2019.32的一部分)这位研究人员的研究结果让某些Model S车主可以在不到两分钟的时间内更新他们车内的钥匙扣。“ 拥有无钥匙系统的车辆有一个非常简单的操作。窃贼可以通过使用电子继电器系统、钥匙干扰技术和其他黑客手段来截获这些信息,以便立即进入这些无钥匙车辆。这种快速和无声的技术非常容易成功,这也是去年英格兰和威尔士汽车盗窃案创下6年来新高的主要原因之一。 官方数据显示,2017年上报给驾驶和车辆许可机构的被盗车辆数量增至43308辆,比2016年增加了近9000辆。然而,英国国家统计局(Office for National Statistics)的犯罪调查显示,真实数字还要更高,去年英格兰和威尔士共有8.9万辆汽车被盗。在某些地区,如西米德兰兹郡,汽车盗窃率飙升了80%。 英国保险协会(Association of British Insurers)的数据显示,今年头三个月,保险公司的赔付额约为1.08亿英镑,即每天120万英镑。与2018年同期相比,这一数字增长了22%。与此同时,活动人士和政界人士呼吁汽车公司提高安全性,尤其是针对无钥匙汽车。   (稿源:cnBeta,封面源自网络。)

美国官员担心针对 2020 年选举的勒索软件攻击

据路透社报道,美国政府计划在大约一个月内启动一项计划,该计划的重点是在2020年总统大选之前保护选民登记数据库和系统。这些系统在投票前被广泛用于验证选民的资格,2016年俄罗斯黑客试图收集信息,这些系统受到了损害。据现任和前任美国官员称,情报官员担心,2020年的外国黑客不仅会瞄准数据库,而且会企图操纵或破坏这些数据。 “我们将这些系统评估为高风险,”一位美国高级官员表示。网络安全与基础设施安全局(CISA)是美国国土安全部的一个部门,该部门官员担心数据库可能成为勒索软件的目标。勒索软件是一种使美国各地的城市计算机网络陷入瘫痪的病毒,包括最近在德克萨斯州,巴尔的摩和亚特兰大。 “最近的历史表明,州和县政府以及支持他们的人都是勒索软件攻击的目标,”CISA主任Christopher Krebs说道。“这就是我们与选举官员及私营部门合作伙伴一起帮助保护他们的数据库并应对可能的勒索软件攻击的原因。” 勒索软件攻击通常会锁定受感染的计算机系统,直到通常以加密货币的形式向黑客支付赎金以便恢复数据。 根据现任和前任美国官员的说法,针对选举的反击勒索软件式网络攻击的努力与更大的情报界指令平行,以确定在2020年11月大选中最可能的数字攻击媒介。联邦调查局在支持国土安全倡议的一份声明中表示,“各州和市政当局必须限制有关选举制度或行政程序的信息,并确保其网站和数据库可以被利用。” CISA的计划将与州选举官员联系,为这种勒索软件场景做准备。它将提供教育材料、远程计算机渗透测试和漏洞扫描,以及有关如何防止和从勒索软件中恢复的建议列表。 但是,如果一个州的某个系统已经被感染,这些指导方针不会提供关于州政府是否应该最终支付或拒绝向黑客支付赎金的建议。“我们的想法是,我们不希望各州必须处于这种状况,”一位国土安全部官员说。“我们专注于防止它发生。” 官员表示,在过去两年中,网络罪犯和黑客组织使用勒索软件勒索受害者并制造混乱。在2017年发生的一起事件中,勒索软件被用来掩盖数据删除技术,使受害计算机完全无法使用。这次被称为“NotPetya”的攻击继续损害全球公司,包括联邦快递和马士基等。 专家支出,这种威胁因其对投票结果的潜在影响而受到关注。“选举前未被发现的攻击可能会篡改选民名单,造成巨大的混乱和拖延,剥夺权利,并且足够大规模可能会影响选举的有效性,”选举技术ESET研究所首席技术官John Sebes说道。 数据库也“特别容易受到这种攻击,因为当地司法管辖区和州全年积极地添加,删除和更改数据,”民主与技术中心的高级技术专家Maurice Turner说道。“如果恶意行为者没有提供密钥,除非受害者有最近的备份,否则数据将永远丢失。” 州选举官员告诉路透社,自2016年以来,他们已经改善了网络防御,包括在某些情况下,在发生攻击时为选民登记数据库准备备份。但国土安全部一位高级官员表示,地方政府就应该多久创建备份没有共同标准。“我们必须记住,对我们民主的这种威胁不会消失,对勒索软件攻击选民登记数据库的担忧就是一个明显的例子,”佛蒙特州州务卿Jim Condos说。“我们确信威胁远未结束。”     (稿源:cnBeta,封面源自网络。)

所有 Instagram 用户都存在新型钓鱼网络威胁

援引福布斯报道,来自Sophos的网络安全专家近期发现了新型网络攻击方式。虽然要比以往攻击方式更加复杂,但可使用双因素(2FA)来获取受害者的账号信息。研究人员警告称,黑客使用伪造的2FA页面让用户相信有未经授权的登录行为,并要求用户登陆来确认他们的身份。 这些电子邮件所描述的内容自然是假的,但可怕的是这些页面和实际的Instagram登录页面非常相似。Sophos团队表示:“尽管我们不愿意承认,但黑客在伪造技术上是一流的。而且还采用了更令人信服的SSL连接。”黑客获得了该网站的SSL证书,该证书添加了HTTPS和绿色挂锁,以确保用户认为是在访问真正的Instagram网站。 Sophos团队还为用户发布了一条很棒的建议。如果您收到需要访问社交媒体的电子邮件,请不要按照电子邮件中的链接进行操作。相反,请正常登录网站,然后按照电子邮件中的步骤解决问题。这将确保您不会意外地将您的凭据放入钓鱼网站。 此外Sophos团队还建议用户不要只看是否有绿色挂锁,因为黑客非常容易得到。用户应该注意域名信息,Facebook和Instagram等大多数公司都使用顶级域名(.com)。这可以帮助您识别网络钓鱼网站,因为它将使用不同的域。例如,黑客在这里使用的是“.cf”,这是一个分配给中非共和国注册的域名。     (稿源:cnBeta,封面源自网络。)

开发者移除 11 个 Ruby 库中 18 个带有后门的版本

RubyGems 软件包存储库的维护者近期移除了 11 个 Ruby 库中出现的 18 个恶意版本,这些版本包含了后门机制,可以在使用 Ruby 时启动加密货币挖掘程序。恶意代码最初发现于 4 个版本的 rest-client 库中,rest-client 是一个非常流行的 Ruby 库。 这些库中的恶意代码会将受感染系统的 URL 和环境变量发送到乌克兰的远程服务器。同时代码还包含一个后门机制,允许攻击者将 cookie 文件发送回受感染对象,并允许攻击者执行恶意命令。研究者调查后发现,这种机制被用于挖矿。 除了 rest-client,还有其它 10 个 Ruby 库也中招,但它们都是通过使用另一个功能齐全的库添加恶意代码,然后以新名称在 RubyGems 上重新上传而创建的。 研究人员分别统计了这些恶意版本在被移除前被下载的次数,一共被下载了三千多次,其中 rest-client 1.6.13 被下载了一千多次: rest-client:1.6.10(下载 176 次),1.6.11(下载 2 次),1.6.12(下载 3 次)和 1.6.13 (下载 1061 次) bitcoin_vanity:4.3.3(下载 8 次) lita_coin:0.0.3(下载 210 次) 即将推出:0.2.8(下载211次) omniauth_amazon:1.0.1(下载 193 次) cron_parser:0.1.4(下载 2 次),1.0.12(下载 3 次) )和 1.0.13(下载 248 次) coin_base:4.2.1(下载 206 次)和 4.2.2(下载 218 次) blockchain_wallet:0.0.6(下载 201 次)和 0.0.7(下载 222 次) awesome-bot:1.18.0(下载 232 次) doge-coin:1.0.2(下载 213 次) capistrano-colors:0.5.5(下载 175 次) 安全起见,建议在依赖关系树中删除这些库版本,或者升级/降级到安全版本,详情查看: https://www.zdnet.com/article/backdoor-code-found-in-11-ruby-librarie   (稿源:开源中国,封面源自网络。)

美国网络受害者地图:阿拉斯加州受害者最多 加州总损失最大

每个人都可能经历过账号被盗、个人隐私被窃取等伤害,成为网络攻击、恶意软件、勒索软件的受害者。在对基于互联网犯罪投诉中心的FBI年度报告进行分析之后,CenturyLinkQuote绘制了2018年美国每个州的网络受害者数量和损失金额程度。 根据地图显示,阿拉斯加州成为网络受害者数量最多的州,在每1万名居民中就有21.67位网络受害者,而且每位受害者的损失金额高达2256.30美元,使其连续第二年成为受害最严重的州。而网络受害者数量最少的州今年依然是南卡罗来纳州,每万人受害者数量仅为5.3人,整个州全年的网络损失为1.37亿美元。 尽管南卡罗来纳州的总损失已经很高了,但是美国加利福尼亚州总损失金额最大。在2018年美国加州因网络诈骗、恶意软件等网络攻击损失了4.5亿美元,平均每位受害者损失9178.70美元。纽约州以2.07亿美元位居第二,平均每位受害者损失11426.29美元。 在受害方式方面,社交网络是2018年比较流行的攻击方式,41000名受害者因此造成1.01亿美元的损失。而虚拟货币骗局让36000名受害者损失了1.82亿美元。不出所料,60岁以上的人是诈骗者最具针对性的年龄组。他们在2018年失去了6.5亿美元的计划,包括信任/关系欺诈。   (稿源:cnBeta,封面源自网络。)

研究人员披露新的 Steam 客户端零日漏洞,影响超过 9600 万 Windows 用户

Kravets 此次公布的 Steam 客户端零日漏洞是一种特权升级漏洞,将影响超过 9600 万用户。 首个 Steam 客户端零日漏洞就是被 Kravets 发现的,但在 Valve 解决此漏洞之后,研究员  Xiaoyin Liu  发现并披露了绕过 Valve 的补丁的方法。 结果Valve 不仅没有奖励 Kravets,还禁止他参加赏金计划。 Kravets 发现,攻击者可以利用 Steam 客户端服务的 NT AUTHORITY \ SYSTEM 特权,通过运行可执行文件实现特权升级。 据专家解释,此方法使用了 BaitAndSwitch,是一种为了赢得 TOCTOU(检查时间\使用时间)而将链接和 oplock 的创建相结合的技术。 黑客利用Steam游戏、Windows应用程序或操作系统本身的漏洞获得远程代码执行权限,并在权限提升之后使用 SYSTEM 权限运行恶意负载。 “因此,任何代码都可以以最大权限执行,这个漏洞类称为 “特权升级”(EOP)或 “本地特权升级 ”(LPE)。尽管任何应用程序本身都可能是有害的,但实现最大特权可能会导致灾难性的结果。” Kravetz 写道,“例如,禁用火墙和防病毒, rootkit的安装,隐藏 process-miner,窃取任何 PC 用户的私人数据 – 这些还不是全部。”     消息来源:SecurityAffairs,译者:xyj,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

微软、谷歌和 BAT 等巨头成立机密计算联盟,联手保护数据安全

微软近日在其开源博客中宣布加入机密计算联盟(Confidential Computing Consortium,简称 CCC)。该组织致力于定义和加速推进机密计算的采用,并将托管在 Linux 基金会。联盟创始成员还包括阿里巴巴、Arm、百度、谷歌、IBM、英特尔、红帽、瑞士电信和腾讯等科技公司,它提供了一个让行业聚集起来的机会,以促进使用机密计算来更好地保护数据。 建立机密计算联盟的需求源于这样一个事实:随着计算从内部部署转移到公共云和边缘,对数据的保护变得更加复杂。当前的数据保护通常作用于静态(存储)或(网络)传输状态的数据。但是当数据正在被使用时,仍然存在风险,这也是数据保护中最具挑战性的一个步骤。 因此,机密计算将侧重于保护使用中的数据,并为敏感数据提供完全加密的生命周期。它将在内存中处理加密数据,而不会将其暴露给系统的其余部分,并减少敏感数据的暴露,为用户提供更好的控制和透明度。 “保护使用中的数据意味着数据在计算过程中不会以未加密的形式显示,得到访问授权的数据除外”,微软 Azure 首席技术官 Mark Russinovich 表示,“也就是说甚至连公共云服务提供商或边缘设备供应商都可能无法访问它,数据将完全处于私密状态。” 机密计算功能可以做到协作共享数据——例如训练多方数据集机器学习模型、对多方数据集执行分析,或是在数据库引擎中启用机密查询处理——但同时无需对这些数据进行直接访问。 目前,联盟成员已经为机密计算做出了一些开源贡献,包括: 英特尔®软件保护扩展(英特尔®SGX)软件开发套件,旨在帮助开发人员使用受保护的代码和数据,避免数据在硬件层被泄露或修改。 微软 Open Enclave SDK,这个开源框架创建了一种可插入的通用方法来创建可再发行的可信应用程序,以保护正在使用的数据。 红帽 Enarx,为可信执行环境(TEE)提供平台抽象,支持创建和运行“私有、可替换、无服务器”的应用程序。 Linux 基金会执行董事 Jim Zemlin 表示,现有的联盟只是一个开始,后续将会有更多企业加入。   (稿源:开源中国,封面源自网络。)

微软:公司将停止监听 Xbox 玩家语音信息

北京时间8月23日早间消息,微软宣布将停止监听Xbox用户,并表示此举已经“不再必要”。 微软发言人在一份声明中表示:“几个月前,我们已经停止为改进产品而对通过Xbox获取的语音信息进行评估,因为我们认为这不再必要,我们也不准备重新启动这些评估。” 微软还补充说:“当有报道称录音违反了我们的服务条款,并认为我们应该展开调查时,我们偶尔会审查从一个Xbox用户发送到另一个Xbox用户的少量录音。这样做是为了保持Xbox社区安全,我们的Xbox服务条款中也有明确说明。” 之前有报道称,该公司从2014年就开始录制和监听游戏玩家的私人谈话,其中许多人都是儿童。微软称这样做是为了改善Xbox的语音控制功能。 今年四月有报道称,亚马逊、谷歌和苹果都雇佣员工专门监听从智能音箱和语音助手应用程序收集的用户录音。但许多用户都不知情。之前还有报道称,微软工作人员还监听了一些Skype电话以及其虚拟助手Cortana录制的音频。   (稿源:新浪科技,封面源自网络。)