安全快讯Top News

谷歌陷假新闻泥潭:“奥巴马宣布将第三次竞选总统”

假新闻的传播一直是让 Facebook 和 Google 头疼的问题,两家公司为了筛除这类链接,在算法更新上下了不少功夫,却只是杯水车薪。近日,用户从 Google 上输入“总统是否能第三次竞选”,出来的结果却是一家名为 NewsExaminer.net 网站上的假新闻,它宣称奥巴马宣布将再次竞选总统,这一消息“震惊全美”。事实上,美国宪法规定总统是不能连任三届的。 Google 方面曾表示,搜索展示的结果都是经过程序筛选的,没有任何人工参与。有人用 Google 的个人助手 “Google Home” 测试同样的问题,Google Home 给出的搜索结果仍然是 NewsExaminer 的“爆炸新闻”。不过,如果把问题换成“美国总统是否可以参与第三次竞选?”Google Home 给出的答案就是美国宪法第 22 条修正案。 这并非 Google 第一次遭遇程序性假新闻。今年 11 月美国总统选举期间,搜索“最终总统票选”时 Google 给出的回答是:川普赢得了大众选票(实际上还没有)。相关文章是一个名为 WordPress 的播客所写,而 Google 的“In the News”算法将其挑选了出来。在这起错误报道美国总统大选结果之后,Google 决定取消其 “In the News” 功能。 Google 的 CEO Sundar Pichai 曾表示假新闻可能会对选举结果产生影响,因此必须被制止,“假新闻不应有任何传播的机会,我们都在为实现这一目标而努力。” 谷歌目前还未就此事发表回应。 稿源:cnbeta,有删改;封面:百度搜索

黑客可通过行李标签代码轻松“解锁”旅客航班和身份信息

德国“安全研究实验室”研究员指出,旅客订票系统多年来一直未得到足够的保护。实际上,全球三大处理航班预定服务的“全球分布式系统”( GDS ),可通过多个方面被别有用心的人所滥用获取旅客信息。 GDS 通过 6 位数字作为预定代码( PNR Locator ),该 ID 被直接打印在了登机牌和行李标签上。 任意接近你行李(或看到旅客登机牌)的人,都可以轻松瞥到(或者用智能机拍张照)。 通过这一代码, 即可访问到完整的旅客信息:包括家庭和电子邮件地址、手机/信用卡号码、常旅客编号、以及当初在线预定该机票的 IP 地址等。更糟糕的是,黑客甚至无需特定的 ID 来验证上述信息。无论 GDS 和航空公司网站,通常都不会限制代码的访问/检查次数,因此理论上只要暴力攻击就能蒙对一次。此外,遍历所有旅客的信息也相当容易,因为该 ID 就是顺序排列的。对于攻击者来说,这也极大地减少了他们搜寻特定时间段内旅客信息的工作量。 想要解决这个问题,唯有提升系统的安全性,但方法其实非常简单。研究人员的建议是,在线服务应该限制每个 IP 访问旅客记录的次数,并且通过 Captchas 图形验证码来断绝暴力穷举攻击。 当然,直接替换掉传统的 6 位数字 ID 也是个好方法,只是实现需要的时间更长。 稿源:cnbeta,有删改,封面来源:百度搜索

加密电子邮件服务 Lavabit 即将回归

加密电子邮件服务 Lavabit 在官网展示了一个倒计时,宣布其服务将在 18 天后重新上线。Lavabit 的创始人 Ladar Levison 为保护用户数据而在 2013 年 8 月关闭服务并破坏服务器。 2013 年 6 月斯诺登公开身份时曾提供一个电子邮件地址 Ed_Snowden@lavabit.com,随后美国政府取得秘密法庭命令,要求加密邮件服务商 Lavabit 提供 Edward Snowden 的登录信息。接着又进一步要求 Lavabit 交出 SSL 私钥,使当局能访问所有用户的信息。Ladar Levison一开始抵制了交出密钥的要求。由于不配合法庭,Levison 被要求每天支付罚款 5 千美元,最终于当年 8 月 8 日关闭 Lavabit 并彻底破坏了服务器。 稿源:solidot奇客,封面:百度搜索

部分 DNS 查询因今年闰秒出现报错现象

2016 年 12 月 31 日增加了一闰秒,31 日 11 点 59 分 59 秒之后不是 2017 年,而是 59 分 60 秒。由于北京处于东八时区,1 号早上会出现 7 时 59 分 60 秒的特殊现象。增加闰秒在过去几年发生过多次,主要互联网公司都对此已有经验。但云计算公司 Cloudflare 报告,它的 DNS 查询服务由于闰秒 bug 而导致了 5xx 错误。 Cloudflare 称,闰秒 bug 影响了部分权威 DNS 和原点 DNS 查询。问题从 2017 月 1 月 1 日 00:00 UTC 开始出现,Cloudflare 在一个半小时后开始部署补丁。 稿源:solidot奇客,有删改,封面来源:百度搜索

匿名者攻击“彼尔德伯格集团”,呼吁造福人类而不是为私人利益

彼尔德伯格集团官方网站遭匿名者黑客团体攻击,黑客在网站上发布了一则公开信,警告该集团未来将面临一系列的黑客攻击事件,除非集团成员开始为人类的共同利益工作而不是为了私人的利益。 彼尔德伯格集团是一个由欧美各国政要、企业巨头、银行家组成的精英团队,他们在“暗处”操纵着世界。这个秘密组织的诸次会议所讨论的问题包括全球化、国际金融、移民自由、国际警察力量的组建、取消关税壁垒实行产品自由流通、限制联合国和其它国际组织成员国的主权等等,往往被认为是西方重要国际会议召开前的预演。这个超国家游说团体,被形像地称为“彼尔德伯格俱乐部”。 该组织的官方网站被“ HackBack ”运动 & “ Anonymous ”匿名者黑客入侵。黑客留下了一封公开信解释了攻击行动的目的,黑客认为“彼尔德伯格俱乐部”的成员都是极具影响力的人,这些人应该为人类的共同利益而“奋斗”而不是为了自身的利益。黑客还向彼尔德伯格成员发布了最后通牒:亲爱的“彼尔德伯格俱乐部”成员,从现在开始,你们每个人都有一年( 365 天)的时间去造福人类而不是自身利益,否则,我们将找到你并向你发起“攻击”。” 匿名者黑客集团表示,他们几乎可以入侵、破坏属于“彼尔德伯格俱乐部”成员的一切,包括银行帐户、智能汽车,笔记本电脑和手机。 稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

泰国“网络防火长城”抗议行动升级,政府网站频频被黑

据外媒报道,上周泰国政府逮捕了 9 名参与抗议“网络防火长城”的匿名者黑客。作为反击,匿名者 #OpSingleGateway 行动参与者之一的黑客 “Gh0s7” 近日入侵泰国国家统计局网站(nso.go.th),成功获取了服务器管理员权限,并将数据库内容公布于互联网上(已被清除),被泄露的数据包含用户名、加密密码以及其他 CMS 数据。 去年泰国政府曾提出一项“网络防火长城”计划,人们意识到该法案将会为政府监控和审查提供捷径,为此匿名者发起了#OpSingleGateway 黑客攻击行动作为抗议,并在 2015 年 10 月先后对泰国政府(thaigov.go.th)和国家信息产业部(mict.go.th)网站进行大规模 DDoS 攻击。泰国警方和当地的互联网服务提供商网站也因此被黑,导致当地政府不得暂时不放弃“网络防火长城”计划。 不过,匿名者的黑客行动也引发了进一步对抗。当局曾在今年 5 月提议修改计算机犯罪法案,并于上个月 16 日获得了通过。新法案允许当局无需法院授权即可审查网站和拦截私人通讯。泰国副总理兼国防部长 Prawit Wongsuwan 也宣布将会进一步逮捕当地社区参与抗议的匿名者黑客群体。 稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

越狱大神 Todesco 再次表示:不会发布 iOS 10.2 越狱版本

iOS 10.1.1 越狱不久前已经发布,在过去的几天时间里,一直有不少声音猜测著名黑客 Luca Todesco 将会为大家带来 iOS 10.2 越狱,因为当时这位黑客在推特上表示 iOS 10.2 依然存在着可以利用的漏洞,这也让不少越狱用户认为,Todesco 是会带来 iOS 10.2 越狱的人。然而事实并非如此。 近日黑客 Todesco 也多次强调,自己并无计划向公众推出 iOS 10.2 越狱。在随后的推文中,他进一步指出可以用于 iOS 10.2 越狱的漏洞是一个 0day 漏洞,他不打算发布公开越狱的原因是不想牺牲这个漏洞。即便他愿意牺牲这个漏洞,也无法保证这个漏洞能使所有设备都支持 iOS 10.2 越狱。想要越狱的用户 停留在 iOS 10.1.1 版本是个不错的选择。 稿源:cnbeta,有删改,封面来源:百度搜索

Firefox 52 借鉴 Tor 浏览器引入防指纹跟踪功能保护用户隐私

Firefox 52 将引入新的隐私保护功能,防止网站利用系统字体作为指纹跟踪用户。该隐私保护功能借鉴自 Tor 浏览器,基于 Firefox ESR 版的 Tor 浏览器利用类似的机制阻止网站利用设备上安装的字体识别用户。 Firefox 52 的 beta 版本已经激活了该功能,正式版预计将在 3 月释出。Firefox 52 利用白名单响应网站对系统字体的查询,每个操作系统将返回相同的默认字体列表,使得字体指纹跟踪对 Firefox 用户不再有意义。 Mozilla 在去年 7 月启动了 Tor Uplift 项目,利用 Tor 浏览器的隐私保护机制改进 Firefox 的隐私保护功能。 稿源:solidot奇客,有删改,封面来源:百度搜索

国际奥委会官网疑遭黑客入侵,里约多位冠军成绩被删

继 WADA 官网遭遇黑客攻击泄露运动员医疗数据后,国际奥委会( IOC )疑似成为新的攻击目标。来自权威媒体消息,包括奥运会四金王莫-法拉赫在多内的多名里约奥运会奖牌获得者,在 IOC 官网的成绩名次信息一夜被删除。 英国长跑名将莫-法拉赫在里约奥运会获得的男子 5000 米、10000 米金牌后,疑似遭到黑客攻击数据被删除,让人不免感到离奇。毕竟在 IOC 官网上, 5000 米银牌、铜牌得主以及 10000 米的银牌、铜牌得主仍然在列。 对于这起神秘的数据事故,IOC 对外宣称只是由于一个技术问题造成,但外界对此的猜测更倾向是遭遇到黑客入侵。巧合的是,本月初 IOC 才任命杰瑞-彭内尔出任首席信息技术官,负责网络系统的安全。如果只是系统原因或者数据出错,那么除了法拉赫外,还有多名运动员的成绩、名次遭到删除,让人更加怀疑这是一起带有攻击性质的黑客入侵。目前因此遭到删除的运动员还有女子 1500 米铜牌得主、美国运动员詹妮弗-辛普森,女子 10000 米银牌得主切鲁伊约特,女子50米自由泳铜牌得主赫拉塞门尼娜。 黑客或许早已盯上了法拉赫。奥运会四金王法拉赫被公开的“用药豁免”资料里显示,他曾经在 2008 年使用了80 毫克剂量的皮质类固醇曲安奈德,2014 年 7 月份因为住院接受了生理盐水、硫酸吗啡和维柯丁口服静脉注射。在信息被公布之后,法拉赫很快就通过发言人表示用药事先得到了 WADA 许可。 稿源:凤凰网,有删改,封面来源:百度搜索

欧安组织被黑,外媒暗指俄罗斯 APT28 为幕后主导

据台湾中时电子报消息,总部位于奥地利维也纳的欧安组织(OSCE)近日证实遭遇网络攻击,内部电脑系统被黑客入侵。官方并未透露机密资料是否泄露。另有外媒指出,入侵事件背后主导者或为俄罗斯 APT28 黑客组织。 欧洲安全与合作组织简称“欧安组织”,主要使命是为成员国就欧洲事务、特别是安全事务进行磋商提供平台,其决定对成员国只具有政治效力而没有法律效力。(自百度百科) 欧安组织表示,事件发生于今年 11 月初,组织内部在发现入侵事件后立即展开调查,尽管存在内部资料被窃的风险,但欧安组织仍能顺利运作下去。 对于外媒“俄罗斯 APT28 黑客组织是幕后主导者”的传言,欧安组织并未给予回应,仅表示已经确认入侵通道以及部分外部联系网络。揭露欧安组织被黑的法国世界报(Le Monde)报导,APT28 与俄罗斯安全机构关系密切。 媒体表示,黑客此举目的在于损害欧安组织形象、破坏声誉。欧安组织日前才刚提出警告,指称乌克兰暴力升级、反叛武装势力扩大暴力行动。欧安组织是目前全球唯一对乌克兰内部动乱进行调查的国际组织。 稿源:据 台湾中时电子报 整理,封面:百度搜索