安全快讯Top News

科研人员发文质疑:苹果隐私数据保护技术不足保护用户信息

美国南加州大学、印第安纳大学和清华大学的五名研究人员近期共同发表一项研究报告,表明苹果使用的 “ 差分隐私 ” 技术在收集数据时,并不足以保护个人信息。 “ 差分隐私 ” 技术是一种将随机噪声嵌入到数据中的方法。结果显示,苹果的 “ 隐私损失参数 ” 仍允许过多的特定数据泄露。 据称,macOS 和 iOS 10 两个平台都存在问题,但人们认为后者问题更大。另一个令人担忧的问题是,苹果保留了它的丢失参数——也被称为 “epsilon – secret”,这意味着该公司可以在没有任何外界审查的情况下改变它。南加州大学教授 Aleksandra Korolova 说:“苹果的隐私损失参数超出了差异隐私研究社区通常认为可以接受的水平。” 调查显示,macOS 的 epsilon 值为 6 分,而 iOS 10 则是 14。相比之下,谷歌声称 Chrome 的差别隐私保护系统在大多数情况下是 0.5,终身最高的上限是 8 到 9。此外,谷歌还开源了相关代码,这使得谷歌可以进行双重检查。不过,作为对这项研究的回应,苹果公司表示,它不同意很多观点,比如在多大程度上可以将数据与特定的人联系起来。 目前,该公司坚持认为,它根据数据的类型来改变噪声,而且研究人员简单地将所有类型的 epsilons 结合在一起,并假设它可以被拼接在一起。此外,它还指出了一些政策,比如数据存储的时间限制、对 IP 地址的拒绝,以及进行收集选择的决定——指的是安装和设置屏幕,人们可以选择是否共享使用和诊断信息。近期,研究人员发现 ios11 测试版的 epsilon 为 43,但这很可能是由于在 9 月 19 日软件发布前进行的常规测试,旨在清除漏洞。 稿源:cnBeta、威锋网,封面源自网络;

美国加州网络隐私提案尚未投票就已出局

据外媒报道,美国加州立法者试图通过一项法案,旨在恢复被国会和 FCC 否决的网络隐私规定。然而,这个于今年 6 月提出的法案甚至连投票的日子都没等到就已被宣判出局。9 月 15 日为美国 2017 年立法会议的最后一天,然而在这一天到来之前,该提案就已经被搁置 “不活跃文件 ” 中, 这意味着它连接受投票的资格都没有。 这一结果并未让人觉得太过意外,因为加州虽然看起来极有可能通过立法制定更加严格的网络隐私规则,但反对者却有多个机会扼杀掉它,比如它必须要在 3 个不同委员会得到通过才行。此外,该法案不仅要求加州网络服务供应商在将客户的信息展示给销售或第三方之前需得到用户的许可才行;它还要求网络供应商采取 “ 合理的安全程序 ” 保护客户信息。这跟 FCC 在 2016 年通过的一项法案非常相似,不过看起来它也因为同样的原因失败。当时,互联网供应商以及一些互联网公司派出说客展开了高强度的游说活动。 显然,包括 Comcast、Verizon、AT&T 在内的互联网供应商反对这项立法,因为它们想要通过其用户的浏览历史数据从广告商那里赚钱。另外,谷歌、Facebook 也对此提出了反对意见,在它们看来,这种含糊不清的定义将给消费者和企业造成严重的影响。实际上,它们反对的部分原因则是害怕它们的业务最终也要接受被检查的命运。虽然加州的这项提案现在失败了,但它仍旧有可能在明年卷土重来。 稿源:cnBeta,封面源自网络;

海盗湾于后台运行比特币矿工程序,增加用户 CPU 使用率

著名 BT 盗版网站海盗湾是电影制片人、音乐制作人和软件创作者的噩梦,但现在海盗湾发生了有趣的变化,让喜欢下载盗版的用户感到非常失望。因为海盗湾在其网站上添加了一个由 Coinhive 提供的 Javascript 比特币挖掘脚本,即采用加密方式注入到访问海盗湾的用户电脑当中进行挖掘比特币计算,部分用户已注意到他们电脑上的资源使用增加。 这个问题是一个非常新的问题,这些用户 9 月 15 日晚些时候开始注意到电脑 CPU 峰值异常变化。在 Reddit 论坛上,有用户就表示,访问海盗湾之后处理器所有 8 个线程 100% 满负荷运行。部分专家表示,在海盗湾自己改邪归正之前,用户只能通过禁用 javascript 免受侵害。阻止/禁用 JavaScript 将以多种方式损害用户访问其它网站各项功能,包括评论将不起作用,无法发表评论,无法查看文件列表等。因此不要访问海盗湾网站是最好的做法。 稿源:cnBeta,封面源自网络;

流行音乐媒体 Vevo 服务器遭黑客组织 OurMine 入侵,致使逾 3.1 TB 内部文件与视频在线泄露

HackerNews.cc 9 月 16 日消息,流行音乐媒体 Vevo 服务器遭黑客组织 OurMine 入侵,致使逾 3.1 TB 内部文件与视频在线泄露,其中包括 90 多名不同艺术家私人档案(例如:泰勒斯威夫特、贾斯汀比伯、凯蒂佩里、小甜甜布兰妮、麦当娜等)、公司社交媒体战略备忘录、英国 Vevo 办公室禁用报警系统说明、电商营销信息、每周音乐排行榜等内部文件。 OurMine 是一个自称安全黑客的团队,他们经常通过侵入一些大咖的社交网络账号给自己打广告。就在上个月他们还曾窃取过 HBO 和《权力的游戏》的社交媒体账号(注:窃取 1.5TB 数据的并非 OurMine 团队),但 OurMine 宣称他们仅仅 “ 在测试 HBO 系统的安全性能 ”。不过,他们此前主要攻击的目标是科技圈内的 CEO、企业与新闻网站,旨在通过漏洞入侵社交账号后兜售自家安全服务。 黑客组织 OurMine 在窃取 Vevo 大量数据后于 9 月 14 日通知公司,但遭到雇员怀疑与亵渎。不过,尽管 OurMine 已泄露大量数据,但他们还是在官网声称:“ 如果 Vevo 代表主动与我们取得联系,我们会立即删除数据 ”。最终,OurMine 删除了在线数据。随后,Vevo 在一份声明中证实并表示此次泄露事件主要是通过网络钓鱼攻击的结果。目前,Vevo 已妥善解决这个问题并正在加大调查力度,以确保公司信息安全。 原作者:Hyacinth Mascarenhas,译者:青楚  本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Python PyPI 被发现含有 10 款恶意代码安装包

据外媒 9 月 15 日报道,斯洛伐克国家安全局( NBU )研究人员近期在编程语言 Python 的第三方存储库 PyPI 中发现 10 款含有恶意代码的 Python 安装包,旨在感染目标主机系统、窃取用户敏感信息。 调查显示,攻击者主要使用一种被称为 “误植域名” 的技术,即在上传类似合法程序安装包至索引时( 例如:“ urlib ” 而并非 “ urllib ” ),PyPI 存储库不会执行任何类型的安全检查或审计,因此攻击者在线传播这些模块并不困难。另外,攻击者还会将恶意代码植入软件安装脚本,以便快速感染目标用户系统。 研究人员表示,由于这些软件安装包的恶意代码基本相同,因此它们的功能大同小异。不过,尽管在安装脚本 setup.py 时将会被植入恶意代码,但它们对于主机系统来说相对无害。此外,恶意代码只收集受感染主机的使用信息,例如伪造安装包的名称、版本、用户名以及计算机主机名。据悉,NBU 安全研究人员于上周联系 PyPI 管理员后,他们立即删除了这些含有恶意代码的安装包。其中存在恶意代码的软件安装包包括: – acqusition (uploaded 2017-06-03 01:58:01, impersonates acquisition) – apidev-coop (uploaded 2017-06-03 05:16:08, impersonates apidev-coop_cms) – bzip (uploaded 2017-06-04 07:08:05, impersonates bz2file) – crypt (uploaded 2017-06-03 08:03:14, impersonates crypto) – django-server (uploaded 2017-06-02 08:22:23, impersonates django-server-guardian-api) – pwd (uploaded 2017-06-02 13:12:33, impersonates pwdhash) – setup-tools (uploaded 2017-06-02 08:54:44, impersonates setuptools) – telnet (uploaded 2017-06-02 15:35:05, impersonates telnetsrvlib) – urlib3 (uploaded 2017-06-02 07:09:29, impersonates urllib3) – urllib (uploaded 2017-06-02 07:03:37, impersonates urllib3) 安全研究人员表示,恶意代码主要与 Python 2.x 一起使用,而运行在 Python 3.x 应用程序时将会发生错误。这些恶意软件安装包于 2017 年 6 – 9 月一直处于活跃状态,目前也有证据表明,多个恶意安装包已被开发人员使用。对此,安全专家除了要求 Python 程序人员检查他们的软件安装包是否遭受感染外,还建议他们在下载 Python 安装包时避免使用 “ pip ”(一个 Python 包安装程序),因为 pip 不支持加密签名。 原作者:Catalin Cimpanu,译者:青楚  本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Equifax 发生大规模数据泄露后,两名负责信息与安全的高管宣布离职

据外媒报道,在美国信贷机构 Equifax 发生大规模数据泄露致使 1.43 亿美国民众信息遭盗取后, 该公司两名负责信息和安全的高管宣布将离开。Equifax 本周五在新闻稿中宣布,Equifax 首席信息官 Susan Mauldin 和首席信息官 David Webb 将离职。 Equifax 在一份声明中表示:“Equifax 对这一事件的内部调查仍在进行当中,公司将继续与联邦调查局密切合作 ”。Equifax 在 9 月 7 日对外宣布数据遭泄露的消息,引起消费者利益维护者和立法者的愤慨,他们要求该公司对这一事件作出解释。此外,美国参议员 Elizabeth Warren 在同一天提出一项法案,防止信用评级机构向消费者收取信用冻结费。 Equifax 此前表示,该公司相信黑客通过 Apache Struts 软件漏洞入侵其系统。这个漏洞的补丁是在 3 月份提供的,而 Equifax 则表示其在五月份遭遇黑客攻击,引起批评者质疑 Equifax 是否及时修复软件漏洞。Equifax 目前还未澄清当数据被盗时是否修复这一漏洞。 稿源:cnBeta,封面源自网络;

美政府力怼卡巴斯基:业内安全专家意料之中

安全专家表示,美国国土安全部禁止联邦机构和部门采用俄罗斯网络安全企业卡巴斯基实验室产品的决定并没有出乎大家的意料。有官员称,该企业对美国国家安全存在威胁,相关政府机构和部门有 90 天清理卡巴斯基实验室的产品。美国国土安全部宣称:“ 我部担心某些卡巴斯基高层与俄罗斯情报及其它政府机构有联系,根据该国的法律,俄情报机构可以请求或勒令其提供帮助,比如拦截网络通信 ”。 尤金·卡巴斯基对美政府 ‘ 未审先判 ’ 的决定表示遗憾。 美国土安全官员在 13 日的一份声明中提到了 ‘ 绑定操作指令 ’: 无论自己动手、或与卡巴斯基合作,俄罗斯政府都是一个风险。他们可以利用卡巴斯基产品危害联邦信息、或者直接访问那些牵涉美国国家安全的信息系统。 尽管卡巴斯基驳斥了这一指控,但安全专家却在接受福克斯新闻采访时表示,他们对国土安全部的举动并不感到意外。安全咨询公司 TrustedSec 的 Alex Hamerstone 在邮件中称: 美国政府有责任保护好自己的信息,我们可以假设该决定基于慎重的考虑和线索,只是无法将其公之于众。虽然我未能洞察俄政府与卡巴斯基之间的往来,但过去几年,我们总能不时听到 ‘ 某家美国企业与政府情报机构合作 ’ 的消息,那为何这在其它国家就无法发生呢? Tinfoil Security 联合创始人 Michael Borohovski 亦表示: 美国政府已经盯着卡巴斯基好几年了,这一公告对任何人来说都不奇怪。实际上,总务管理局早在 7 月份就将卡巴斯基从预审核供应商列表移除。美方对其它公司也表达过类似的担忧,比如中国电信厂商华为,其当前处于被禁止进入美国网络设备市场的状态(即便如此,华为仍可在美国消费级市场销售手机)。 对于 DHS 的这一决定,Shaheen 在 Twitter 上表示值得称赞。 美国国防部全国防护及计划署向福克斯新闻表示,目前还有数据表明卡巴斯基软件访问了多少美国政府的哪些内容。作为指令的一部分,DHS 下令各机构必须在未来 30 天内确定其信息系统上使用的任何卡巴斯基产品,并且制定在未来 60 天内将相关软件移除的详细计划。简而言之,除非 DHS 有了新的信息,否则从指令开始之日算起,有关机构和部门只有最后 90 天时间来停止使用卡巴斯基实验室的产品。 该指令暗示,美国政府掌握了这家知名反病毒企业与俄罗斯情报机构有着密切联系的线索。此外,参议员 Jeanne Shaheen(D-N.H)也一直在极力阻止联邦政府使用该公司产品。在本月早些时候的一篇《纽约时报》专栏文章中,Shaheen 警告该公司对美国国家安全构成了威胁。 TrustedSec 的 Hamerstone 表示,DHS 此举将对业界产生大范围的影响: 对美国政府来说,这是一个艰难做出的决定,但它也会对使用卡巴斯基产品服务的企业产生重大影响。现在有许多企业感觉他们必须遍历系统、卸载卡巴斯基的反病毒软件、并对相关风险进行评估。 稿源:cnBeta,封面源自网络;

Google 停止反对美国政府搜查海外服务器数据

Google 悄悄停止反对美国法官搜查海外服务器数据要求。据悉,微软第一个站出来就美国对海外服务器上所储存数据的搜查要求发起挑战,去年联邦第二巡回上诉法院做出有利于微软的裁决。此后, Google 等服务商也开始挑战美国对海外数据的搜索令,但其它法庭并未站在它们这边。 今年 2 月哥伦比亚特区联邦法官命令 Google 提供储存在境外的客户邮件。美国司法部在一份给最高法院的文件中指出,Google 如今已经改变原先立场,愿意遵守对海外数据的搜查要求。 稿源:solidot奇客,封面源自网络;

落实网络安全法案,推送个人信息保护条款

9 月 14 日起,网民在登陆微信、淘宝、微博、高德地图等客户端时,陆续收到平台推送的个人信息保护政策,点击 “ 同意 ” 后才能继续使用。在 2017 年国家网络安全宣传周开幕前夕,互联网公司积极落实《网络安全法》规定,更新个人信息保护政策,不断加强对用户个人信息的保护。 2017 年 6 月 1日,《网络安全法》正式实施。互联网公司对个人信息保护政策的修订,正是积极响应《网络安全法》关于网络信息安全的相关规定,落实中央网信办、工信部、公安部、国家标准委等四部门 “ 个人信息保护提升行动 ” 的要求。以微博为例,修订后的个人信息保护政策,在信息收集、信息保护、安全措施等方面均增加了较大篇幅,力求全方位保护用户个人信息,扩大个人信息保护政策的覆盖范围。为保证新政及时为用户所了解,用户安装或升级微博客户端后,首次登陆都会收到推送信息,选择“同意”才能继续使用微博。 微博推送修订后的《微博个人信息保护政策》 2017 年国家网络安全宣传周 9 月 16 日在上海开幕。今年的网络安全宣传周以 “ 网络安全为人民,网络安全靠人民” 为主题,将持续到 9 月 24 日。中央网信办网络安全协调局主要负责人表示,提升个人信息保护的隐私条款专项工作,是贯彻网络安全法的重要举措之一。在提升个人信息保护工作中,要处理好保护和利用的关系,找好平衡点,既要保护个人信息的安全,又要利用好信息为8亿网民乃至14亿人民提供更好的服务,维护人民利益。 稿源:cnBeta、新浪科技,封面源自网络;

银行木马 BankBot 感染 Google 商店 160 款应用程序,阿联酋金融机构成为黑客首选攻击目标

趋势科技(Trend Micro)研究人员于 9 月 13 日发布安全报告,指出 Android 恶意软件 BankBot 已成功感染逾 160 款 Google 商店中的合法应用程序。相关数据显示,该款恶意软件新变种主要瞄准 27 个国家银行机构展开攻击活动,其中 10 家受害组织来自阿联酋地区。 恶意软件 BankBot 于今年 1 月浮出水面,其主要使用虚假页面覆盖真实网页欺骗不知情用户输入登录凭证等敏感信息。此外,BankBot 还可劫持与拦截用户 SMS 信息,从而绕过基于短信的双重身份验证。 近期,研究人员再次发现 5 款受感染的新型应用程序,其中颇受用户欢迎的一款已被下载 5000-10000 次。研究人员表示,最新版本的 BankBot 变体只有安装在真实设备中才会运行。然而,一旦安装并运行 BankBot 后,它将自动检查受感染设备上是否存在银行应用安装包。倘若存在,BankBot 将立即连接至 C&C 服务器并上传安装包名称与标签。随后,C&C 服务器还会向受感染应用发送恶意链接,从而下载包含用于覆盖页面的恶意文件库,以便攻击者后续使用。 图1. BankBot 下载覆盖网页 值得注意的是,研究人员发现该款恶意软件在针对阿联酋银行应用程序时,表现略有不同。BankBot 并非直接显示虚假的覆盖页面,而是请求用户输入电话号码等信息。随后,C&C 服务器会在一个 FireBase 邮件中向目标受害者发送恶意链接。一旦用户进入指定页面,他们将会被提示输入银行具体信息。即使用户提供的信息正确,也会弹出一个 “ 错误页面 ” ,致使受害者必须再次输入信息进行确认。显然,BankBot 的开发人员想要再次核实受害者银行凭证,以便快速正确登录用户账号、窃取资金。 图2.伪造阿联酋银行应用程序屏幕 目前,BankBot 开发人员似乎正尝试使用新技术操作扩大目标攻击范围,对此,研究人员提醒用户在安装任何应用程序前(即使从 Google Play 商店下载)始终验证应用权限,以防黑客恶意攻击。 附:趋势科技原文报告《 BankBot Found on Google Play and Targets Ten New UAE Banking Apps 》 原作者:Hyacinth Mascarenhas,译者:青楚  本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接