安全快讯Top News

谷歌员工使用实体安全密钥避免网络钓鱼

据外媒CNET报道,事实证明,谷歌员工避免网络钓鱼的关键是一个真正的密钥。 Krebs on Security上周报道称,该公司于2017年初开始使用基于物理USB的安全密钥,从那时起,其85000多名员工中没有一人在使用他们的工作账户时遭遇网络钓鱼。 密钥可用作双因素身份验证的替代方法,用户首先使用密码登录,然后输入通常通过文本或应用程序发送到手机的其他一次性密码。 一位谷歌代表告诉Krebs,安全密钥用于该公司的所有帐户访问。 “自从在谷歌使用安全密钥以来,我们没有报告或确认帐户接管,”这名代表表示。“用户可能会被要求使用他们的安全密钥对许多不同的应用程序/原因进行身份验证。这完全取决于应用程序的敏感性以及用户在该时间点的风险。” 谷歌没有立即发表评论。 根据Krebs on Security的数据,在2017年之前,谷歌员工使用Google Authenticator应用生成的一次性密码  。但是一个零售价低至20美元的安全密钥使用了一种称为通用第二因子(U2F)的多因素身份验证。U2F允许用户通过插入USB设备并按下上面的按钮来登录。设备链接到某个站点后,用户不再需要输入密码。 据Krebs on Security称,更多网站正在采用U2F身份验证,但目前只有少数网站支持它,例如Dropbox,Facebook和Github。它受到Chrome,Firefox和Opera等浏览器的支持。据报道,微软将在今年晚些时候更新其Edge浏览器以支持U2F。   稿源:cnBeta,封面源自网络;

Google Chrome 68 正式向所有不安全的 HTTP 网站开炮

在 7 月 24 号发布的 Chrome 68 中,Google 引入了一项重大的变化。当加载非 HTTPS 网站时,该浏览器的处理方式会更加审慎。据悉,只要遇到潜在不安全的站点,Chrome 都将开始抛出警告信息。虽然不会对日常使用造成太大的影响,但这确实是迄今为止发生的一个重大转变。 Chrome 正在改变加载 HTTP 时的处理方法,因为这项老旧的技术未对数据进行加密。   在之前版本的 Chrome 浏览器中,Google 还只是强调“当前访问的网站是否采访用了更加安全的 HTTPS 加密”,并在地址栏上凸显一个标记。 然而现在的情况是,Google 突然加快的步伐,彻底将那些缺失有效安全证书的非 HTTPS 网站划归到了“潜在不安全”的阵营,并抛出安全警示。 在官方支持页面上,Google 解释到: 过去几年中,我们一直主张站点采用 HTTPS,以提升其安全性。去年的时候,我们还通过将更大的 HTTP 页面标记为‘不安全’以帮助用户。 不过从 2018 年 7 月开始,随着 Chrome 68 的发布,浏览器会将所有 HTTP 网站标记为‘不安全’。 简而言之,从 Chrome 68 开始,这一变动将影响到 Web 和内网中‘潜在不安全’HTTP 网站的访问。   稿源:cnBeta,封面源自网络;

印度电信机构警告苹果:不接受监管就退出印度

(环球网科技 记者 樊俊卿)过去几年里,iPhone在印度市场的份额在逐年扩大,一度成为印度年轻人追捧的品牌之一。这一现象引起了某些政府部门的“关注”。 近日,有印度媒体报道称,印度电信管理局和苹果公司之间产生了纠纷。据称印度电信管理局亲自开发了一款名为DND的软件(最新升级版则为DND2.0),这款软件的主要目的是跟踪、打击印度的电信骚扰者,比如频繁打电话或是发送垃圾短信的机构。然而,苹果公司拒绝让这款软件在官方软件商店上架,苹果认为,该软件获取了用户的通话和短信记录,侵犯了个人隐私。 此前,印度电信管理局要求印度所有的运营商都将这款“防止骚扰”的应用程序强制安装到其通讯设备上,虽然苹果方面明确拒绝了这一要求,但印度电信管理局最新表态称,如果苹果继续不合作,印度电信运营商将彻底禁止苹果iPhone利用网络通信。即如果苹果继续在软件商店中拒绝上架该软件,印度所有的iPhone手机将彻底失去3G、4G等通信连接。 上周四,印度电信管理局发表公开声明重申,印度所有的智能手机用户,不论是搭载IOS系统的iPhone还是搭载安卓系统的手机,都应该能够安装DND 2.0版本软件。不过电信管理局监管的对象是移动运营商,而不是手机厂商。管理局表示,在六个月时间里,所有智能手机都应该安装运行DND软件,如果相关的手机不允许安装,则在电信管理局命令之下,移动运营商必须将这些手机从移动网络中注销。 对于印度市场,苹果公司首席执行官Tim Cook非常看重,Cook曾在公开场合暗示,印度可能成为下一个中国,并表示将积极进军印度市场。虽然 iPhone 的价格让大多数人无法企及,但他预测,年轻、有抱负的印度人社会经济地位将越来越高。今年5月,他在与投资者的电话会议上表示,苹果在印度的收入有所增长,创下了2018年上半年的纪录。 然而现实并没有Cook想象中那样美好,根据 Counterpoint Research 的数据,苹果在印度的市场份额仅为2%,2017年只售出了320万部 iPhone。2018年上半年,iPhone 在印度的销量不到 100 万台。即使下半年销量出现大幅增长,总销售额预计仍将低于去年。 雪上加霜的是,彭博报道称,最近几周,苹果公司在印度的三名关键高管已离职,已经离职的高管包括该公司的全国销售和分销主管、商业渠道和中型市场业务负责人,以及电信运营商销售主管。一位知情人士称,苹果在印度的销售团队正在进行重组。原因是该公司难以在印度这个全球增长最快的智能手机市场提升 iPhone 的销量。 无论未来苹果手机是否同意将印度电信管理局要求的DND软件上架App Store,iPhone在印度的日子都不会好过。印度政府推动高端电子产品的本地化生产以及随之而来的关税上调,使得大多数手机厂商面临进一步利润压力。 彭博分析称,印度市场目前处于低购买力阶段,消费者大多数只能承担得起廉价手机的成本,iPhone由于价格高昂,只能被少数人消费。   稿源:环球网科技,封面源自网络;

英特尔管理引擎修复多个安全漏洞

Chipzilla近期公布了英特尔管理引擎(Intel ME)的更多安全更新。根据发布的多个公告,共计修复了四个漏洞。Positive Technologies详细介绍了这些BUG,其中编号为CVE-2018-3628的“HTTP handler的缓冲区溢出”问题最为严重。 身处相同网络子网上的攻击者可以在Active Management Technology (AMT)环境中执行任意代码,不需要管理员权限就能访问AMT账号。这使得恶意攻击者能够完全远程控制计算机。 CVE-2018-3629是另一个缓冲区溢出漏洞,CVE-2018-3632是一个内存损坏错误,只有管理员权限的本地攻击者才能利用。CVE-2018-3627同样需要管理员权限,这是Intel Converged Security Management Engine 11.x中存在的逻辑错误,可以运行任意恶意代码。   稿源:cnBeta,封面源自网络;

FB、谷歌、微软和 Twitter 联合推出数据传输项目

新浪科技讯 北京时间7月23日上午消息,为了各平台之间用户易于传输数据,四大科技巨头——Facebook、谷歌、微软以及Twitter——联合推出了一项名叫数据传输项目(DTP)的源代码倡议。 该项目能让用户在参与DTP的服务供应商之间自由传输数据,目前仍处于实施早期阶段,但有望促进尽可能多的供应商加入其中。 Facebook隐私和公共政策负责人Steve Satterfield在一次声明中表示,“今年,我们已经在隐私设置中进行了调整,用户可以更方便地找到并管理自己的数据。但是当你登录一项服务时,你要想使用另一款服务的数据还是不太方便。” “举个例子,你也许会使用一个公开分享图片的应用、和朋友分享近况的社交应用还有一个记录健身情况的应用。人们希望能传输不同服务上的数据,但是也希望这些公司能够帮助他们保护好数据安全。” 他指出,DTP项目将解决这些问题。 DTP会减少服务供应商以及用户两者身上的基础设施负担,从而提供更多的便捷服务。项目会利用服务已有的应用程序接口以及授权机制来获取数据,之后利用服务特定的适配接口来将数据转化为一种常见的格式,再发送到新服务的应用程序接口。 这一共有的框架能够将任意两个在线服务供应商连接在一起,实现平台之间数据无缝、直接且便捷的传输。   稿源:新浪科技,封面源自网络;

长生生物官网被黑客攻击:不搞你 对不起祖国的花朵

新浪财经讯 7月23日消息,长生生物(14.500, 0.00, 0.00%)科技股份有限公司官网首页被黑客攻击,并配图“不搞你,对不起祖国的花朵”。 新浪财经打开长生生物的官网,显示网站已无法打开,错误提示404,截止发稿,网站尚未恢复。 7月23日早间,深交所公告显示,长生生物拟披露重大事项,7月23日开市起临时停牌。 根据深交所《关于长生生物科技股份有限公司股票临时停牌的公告》,长生生物科技股份有限公司拟披露重大事项,根据该所《股票上市规则》和《中小企业板上市公司规范运作指引》的有关规定,经公司申请,长生生物于2018年7月23日开市起临时停牌,待公司通过指定媒体披露相关公告后复牌,敬请投资者密切关注。 7月16日,长生生物便因子公司生产疫苗存在记录造假等违法违规行为走出跌停走势,随后的4个交易日,该公司也连续跌停。在一周的5个交易日中连续5日一字跌停,停牌前收报14.50元/股。   稿源:新浪财经,封面源自网络;

Facebook 封杀哈佛教授开发 App:分享用户数据违反政策

新浪科技讯 北京时间7月23日早间消息,据彭博社报道,Facebook已暂时冻结哈佛大学研究人员开发的几款App。此前美国《华尔街日报》报道称,相关研究者与政府部门接触,分享公开的用户数据。 Facebook冻结App涉事开发商为Crimson Hexagon,是哈佛大学教授盖瑞·金(Gary King)创办的公司。但最近《华尔街日报》报道称,Crimson Hexagon与一些政府部门等客户接触,分享公开的用户数据。具体客户名单上包括美国数家政府机构、一家与俄罗斯政府相关的非盈利组织、啤酒巨头百威英博、阿迪达斯和通用磨坊食品公司(General Mills)。 Facebook解释称,他们对开发者私下联系的情况并不知情,不过开发者利用监控工具从Facebook抽取信息,这样做违反了Facebook政策。 Facebook产品合作副总裁伊姆·阿齐邦(Ime Archibong)在声明中说:“有报道指责Crimson Hexagon,我们正在展开调查,看看它是否违反我们的政策。” Crimson Hexagon与Facebook有密切关系。盖瑞·金是Crimson Hexagon的创始人、董事局主席。而在Facebook授权推进的一个项目中,盖瑞·金也是项目负责人,该项目的主要目标是帮助研究人员访问匿名数据,研究Facebook在全球大选中的影响力,Facebook目前尚未终止与盖瑞·金的合作。   稿源:新浪科技,封面源自网络;

Facebook 开源 oomd,一种处理内存溢出的新方法

近日,在 Facebook 的网站上,该公司的 Daniel Xu 宣布在 GPLv2 许可证下开源 oomd。oomd 是用户空间内存溢出杀手(OOM Killer),它在最近关于块 I/O 延迟控制器的文章中有被提及到。当内存不足时,内存溢出杀手会杀掉一些进程,它的主要任务是保护内核,因此应用程序可能会受到影响。相比传统的 Linux 内存溢出杀手,oomd 会全面监视系统,评估系统是否处于不可恢复的工作负荷下。在系统的 OOM Killer 作用前,oomd 会在用户空间采取纠正措施。 Facebook 表示,它们的基础设施已经发展到包含新闻信息流、Messenger、Instagram、WhatsApp、Oculus以及其他一系列产品。这些产品和它们背后的系统运行于分布在多个地理分布式数据中心的数百万台服务器上。随着基础设施规模不断扩大,Facebook 的机器和网络越来越多地跨越多代,这种多代生产环境的一个副作用是新的软件版本或配置更改可能导致系统在一台计算机上运行正常但在另一台计算机上遇到内存溢出(OOM)问题。传统的 Linux 内存溢出杀手在某些情况下运行良好,但在其他情况下,它启动得太晚,导致系统进入不确定时期的活锁。 因此 Facebook 开发了oomd,一种更快、更可靠的解决方案,用于常见的内存溢出(OOM)情况,它可以在用户空间而不是内核空间中运行。Facebook 设计的 oomd 包含两个关键特性:pre-OOM钩子(pre-OOM hooks)和自定义插件系统。在工作负载受到威胁之前,pre-OOM钩子提供了对 OOM 的可见性。由于 OOM 检测标准可能因工作负载而异,因此插件系统支持对检测和进程终止策略进行自定义。 与用于内核空间内存溢出杀手的一些对比 结论 oomd 是新型的用户空间内存溢出杀手(OOM Killer),允许应用程序开发者在工作负载消耗所有可用系统内存时自定义响应。Facebook 表示,他们的测试表明 oomd 是默认 Linux 内核内存溢出杀手的可靠而有效的替代品。他们已经在 Facebook 开发并部署了 oomd,发现它使自家的公司能够减少从构建服务器到机架交换机到共享计算资源的工作负载频率。   稿源:开源中国,封面源自网络;

美国国安局局长组建特别行动小组 反击俄罗斯的网络威胁

据外媒报道,美国网络司令部司令兼美国国安局局长Paul Nakasone近日确认,他已经成立了一个特别行动小组来解决俄罗斯在网络空间带来的威胁。Nakasone周六晚在科罗拉多州举行的阿斯彭安全论坛上表示,俄罗斯“有很强的能力,我们一定会被访问。如果被非法访问,我认为,毫无疑问我们将确保我们采取行动。” 《华盛顿邮报》7月17日报道称,美国国安局将和美国网络司令部合作反击俄罗斯对美国中期选举造成的网络威胁。Nakasone表示:“我支持有一个俄罗斯小组的说法。这与情报界自2016年,2017年以来调查的实际情况一致。” Nakasone表示:“我们必须在早期和未来关注对手。我们必须采取一些方式,让我们能够在网络空间等地方对抗他们。” “如果我们决定我们会站在一边,我们就不会利用我们国家的力量对抗我们在网络空间的敌人 – 这不仅仅是网络,而是我们国家拥有的全部能力 – 我再次认为,我们冒着风险来发现对手将在这个领域内做些什么。” Nakasone指出:“他们窃取知识产权,窃取人员的P.I.I或信息,他们在我们的社会中造成不和,或企图破坏我们的选举,所有这些都低于战争水平。因此,我认为你如何使用这种力量的想法是我认为需要不断进行的。” Nakasone表示,以美国关键基础设施为目标,将构成高于该水平的攻击。2017年1月,Jeh Johnson曾将选举基础设施添加到重要政府设施清单中,包括投票系统,选民登记和投票站 。   稿源:cnBeta,封面源自网络;

微软称三名 2018 年国会候选人遭遇钓鱼网络攻击

据外媒报道,日前微软透露,有黑客企图利用一个假冒微软网站对美国国会三位中期候选人展开钓鱼网络攻击。负责客户安全与信息的公司副总裁Tom Burt在阿彭斯安全论坛上表示,微软已经跟美国政府合作阻止了这些攻击,并称相关联的域名都已被清除、黑客的恶意攻击并没有成功。 虽然Burt没有提供这些网络攻击幕后黑手的细节消息,但据其提供的描述让人想到了发生在2016年的另一波网络攻击,当时它们也是利用了假冒的微软。 两年前,隶属于Strontium–同时还有一个称呼Fancy Bear的黑客攻击了民主党全国委员会。而Strontium时常被发现跟俄罗斯政府存有关联。 就在本周与俄罗斯总统普京的会面中,美总统特朗普表示没有理由认为克林姆林宫出来干预了2016年的美总统大选。 “正如我今天以及以前多次说过的那样,‘我对我的情报人员很有信心。’然而,我也认识到,为了建设一个更光明的未来,我们不能只关注过去–作为世界最大的两个核国家,我们必须和睦相处!”特朗普在随后发布的推特上写道。 现在,微软还没有提供任何关于该网络钓鱼目标的细节信息,但表示公司将会继续监控可能发生的网络攻击。   稿源:cnBeta,封面源自网络;