上个月 WannaCry 勒索软件攻击事件的真正幕后黑手至今仍然未知，但是多数安全机构认为是朝鲜黑客组织 Lazarus Group 所为。 WannaCry 恶意勒索软件影响了全球 150 多个国家/地区的 30 万多台电脑，但英国国家卫生服务机构 ( NHS ) 却是最早受到影响的组织之一。 据外媒报道，英国情报机构 GCHQ 旗下的国家网络安全中心 ( National Cyber Security Centre,简称 NCSC ) 的研究人员近日得出了一个和赛门铁克、卡巴斯基及韩国网络安全公司 Hauri Labs 等安全机构一样的结论：基于 WannaCry 代码的相似之处和黑客创造的工具， Lazarus Group 应该为此次事件负责。 Lazarus Group 被认为是 2014 年索尼影业入侵事件及去年孟加拉国央行盗窃案等事件的幕后黑手。 朝鲜方面认为所谓的联系 “ 非常荒谬 ”，但一些研究人员表示，几乎没有证据指向其他嫌疑犯。 稿源：cnBeta，封面源自网络

据外媒 15 日报道，BBC 公司历时一年的调查结果显示，英国国防巨头 BAE 系统公司向全球政府、统治阶级出售用于打击非法政权的高级解密软件等功能强大的网络监控技术。 此项调查重点关注丹麦一家名为 ETI 的科技公司，该公司曾于 2011 年并入 BAE 系统公司应用情报单位。在被正式收购之前，ETI 曾开发一款名为 “Evident” 的软件，据称该软件是面向政府出售的大规模监控与拦截系统。ETI 前雇员向 BBC 透露：“ Evident 可以拦截任何网络流量，具体对象既可以是整个国家也可以是通过蜂窝数据定位的个人。这些技术十分先进，不仅具有语音识别功能，还可用于解密。” 过去六年来，BAE 系统公司通过这家丹麦公司向中东国家提供“ Evident ”工具，并派遣专家至沙特阿拉伯、阿联酋、卡塔尔、阿曼、摩纳哥、阿尔及利亚等国。BBC 调查发现，BAE 系统公司在全球拥有超过 8.3 万名员工并设有一个利润丰厚的网络战部门。，其销售业务具备由丹麦商业管理局（DBA）发布的丹麦政府出口许可。虽然销售性质合法，人权活动家们却对大规模监控活动背后的这家英国公司涉及的伦理道德问题产生质疑。 调查结果显示，土耳其政府是较早购买“ Evident ”的买家之一。据相关消息透露，该国总统本•阿里（Ben Ali）曾在 2011 年阿拉伯之春期间使用该款工具打击抗议者。土耳其情报官员在 BBC 采访中表示，“ ETI 负责具体安装并安排工程师上门培训”。该款工具提供关键字查询功能，输入查询对象名称后将看到关于该用户的所有网站、博客、社交网络等。而荷兰欧洲议会议员（MEP）Marietje Schaake 表示，欧洲国家可能很快就会后悔将此项技术出售给专制政府，“在我看来，利用欧盟技术剥夺话语权或施与终身监禁在任何情况下都令人无法接受”。 BAE 系统公司在此前的一次声明中向 IBTimes UK 表示： “我们的技术在帮助英国及其盟国打击恐怖主义威胁、支持执法、帮助维护国内外公共安全方面起到至关重要的作用。我们的业务操作严格遵守国家安全保密条例，因此无法对具体合同或共享保密信息发表任何评论。然而，我们注意到 BBC 的某些言论有悖事实并在新闻正式播出前向 BBC 阐述了相关问题。BBC 也承认没有证据证明 BAE 系统公司产品存在任何滥用现象。BAE 系统公司一向遵纪守法，具有社会责任感。我们以强健的政策流程作为依托，确保出口到海外的商品完全符合国际出口规定。不仅如此，我们还通过自设的严格标准评价每个潜在合同，对可能存在滥用风险的业务一律采取拒绝态度。” 消息指出，这已不是英国公司第一次将间谍技术出售给独裁政权。Motherboard 曾于去年报道，自 2015 年以来，至少有十几家英国公司运送黑客跟踪工具至沙特阿拉伯、阿联酋、土耳其与埃及。去年，The Intercept 也曾报道 BAE 系统公司向阿联酋出售黑客工具。英国国际贸易署在对 BBC 发表的声明中表示：“考虑到申请时涉及的所有相关因素（包括人权注意事项在内），所有出口许可证申请均按照严格标准进行逐案评估。” 原作者： Jason Murdock ，译者：游弋，校对：FOX 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

据外媒 6 月 15 日报道，安全研究人员于近期发现格鲁吉亚国会选举（ 6 月 20 日）的投票管理设备存在安全漏洞，已致使国家 670 万选民记录与其他敏感文件在线泄露。 调查显示，这一漏洞或导致选举期间投票系统被种植恶意软件，而敏感文件的泄露或被利用于制造投票混乱。据悉，目前的格鲁吉亚投票管理设备极易遭受攻击，因为该国家的投票结果均依赖于过时的触屏投票机，即该投票机无法提供硬拷贝投票记录，因此几乎不能判断是否有人操纵投票结果。 知名媒体 Politico 于 13 日首次报道该事件并表示，受影响的选举系统中心已将所有问题转交至负责机构肯尼索州立大学，但目前该机构拒绝透露任何信息。 研究人员 Logan Lamb 表示，他于去年 8 月在搜索肯尼索州选举系统网站时就已发现该安全漏洞是由服务器配置错误引发。当时，他在该网站中发现一个在线公开的目录，其中除了包含选民数据库外，还包含投票工作人员在选举日使用的中央服务器指令与密码。此外，该文件目录还被 Google 编入索引，这意味着任何人均可通过正确搜索找寻目录。Lamb 随后通知该系统网站负责机构。 Lamb 接受采访时表示，他并未当即公开披露该漏洞，主要因为他于去年 11 月 8 日大选之前 “不想进行不必要的升级 ”，但 Lamb 于 3 月对该漏洞进行深入研究后发现只有部分漏洞已被修复。目前，虽然尚未掌握任何非法入境的证据，但联邦调查局也已开展调查。 稿源：Associated Press，译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

据外媒报道，路由器几乎是每一个网络的前门，除了提供访问入口，它还能为阻止远程网络攻击提供一定的安全保护作用。所以，如果路由器沦陷，那么也就意味着攻击者可以看到用户在网上做的每一个动作。根据维基解密最新曝光的文件显示，CIA 就拥有能够做到这点的工具。 根据文件描述了解到，CIA 一个叫做 Cherry Blossom 的项目可以通过一个修改过的给定路由器固件将路由器变成一个监控工具。一旦部署成功，Cherry Blossom 就能让在被攻击者的网络上展开远程代理监控、扫描诸如密码的实用信息甚至还能重定向被攻击者想要访问的网站。 获悉，维基解密曝光的文件来源于 2012 年 8 月，所以现在并不清楚 CIA 在这 5 年间是否有升级过 Cherry Blossom ，或许它已经停止使用。另外，从曝光的文件了解到，Cherry Blossom 对来自华硕、贝尔金、Buffalo、戴尔、DLink、Linksys、摩托罗拉、Negear、Senao、US Robotics 这 10 家厂商的近 25 种不同的设备都有效。 此外，文件还提到，CIA 通过 Claymore 工具或一个供应链操作将 Cherry Blossom 固件植入到无线设备中。“ 供应链操作 ” 很有可能指的是在工厂和用户之间拦截设备，这是间谍活动的常用手段。目前并不清楚该固件植入的使用范围有多广，不过文件指出该类型攻击只针对特定目标发起，而非大规模监控。 稿源：cnBeta，封面源自网络

据外媒 6 月 16 日消息，欧洲法院刚刚裁决，BT 种子网站海盗湾直接侵犯版权。此举可能导致欧洲各地 ISP 和政府封杀其他 BT 网站。 这场官司已延续 7 年，此前已经导致 2003 年创办于瑞典的海盗湾遭到封杀和查封，其办公室也被执法人员搜查，3 名创始人遭到罚款和监禁。该案核心在于，海盗湾认为与 Napster 等上一代盗版网站不同的是，该网站并没有托管侵权内容，也并没有提供指向盗版内容的链接。相反，他们只是托管了 “ 种子 ”，通过这种方式告诉 BT 用户应该与其他哪些 BT 用户建立连接，从而下载大型文件——海盗湾案中牵扯的内容有很多都属于独家版权内容。 另外，该网站认为，由于这些追踪器并非该网站制作，他们只是负责托管用户上传的种子，所以应该受到 “ 避风港 ” 条款的保护——正是因为这样一条规定，才使得 YouTube 不必立刻对上传到该网站的侵权内容负责。但欧洲法院对这些主张进行了驳斥，他们认为，海盗湾的行为并没有局限在一个受保护的网站理应采取的范围之内，他们不仅提供搜索功能，还对文件进行归类，而且删除了失效的种子，甚至对某些内容进行过滤。欧洲法院还表示，海盗湾通过其平台上的博客和论坛表现出一种倾向，希望用户能获得这些受保护的作品，然后鼓励他们复制这些作品。 本案由一家荷兰版权组织发起，他们希望迫使该国的 ISP 封杀海盗湾。荷兰最高法院将此转交给欧洲法院，以便澄清一个具体问题：海盗湾是否在明知自己提供了受保护作品下载渠道的情况下，与公众展开沟通交流。 稿源：，稿件以及封面源自网络  

尽管千年虫 Bug 危机已经过去 17 年，但美国政府直到近期才宣布解除对该 Bug 的戒备状态。为了预防这个世纪之交可能爆发的计算机危机，美国政府制定了详实的预案规避对当前 IT 系统潜在的威胁，而且定期都会提交相关的需求报告。6 月 15 日，特朗普政府团队宣布取消超过 50 项文书需求，其中 7 个涉及到千年虫 Bug。 管理和预算办公室在备忘录中写道：“ 这些过时的策略早已经被废弃，联邦政府成功避免了这次风险并没有出现任何服务终端。为此办公室决定解除这些备忘录，因为部署内容都已经过期了。” 稿源：，稿件以及封面源自网络

据科技博客 The Verge 6 月 16 日报道，为了在超级计算机研发领域赶超中国，美国能源部于 15 日向惠普企业（ HPE ）、Cray、AMD、英特尔、IBM 和英伟达等公司资助总计 2.58 亿美元的资金，旨在帮助这些企业开发亿亿次级（ Exascale ）的超级计算机系统。 按照合同，这笔 2.58 亿美元的扶持资金将在未来三年内拨付，而且每家公司同意承担 40% 的研发成本，这意味着该项目的总研发成本将达到 4.3 亿美元。工程师们正在集中精力研究如何能够提高这些机器的能源效率，同时提高系统的整体记忆性能水平。他们预测，他们需要的超级计算系统要比现在最好的系统原型产品运算速度快出 10 倍。此外，本次 2.58 亿美元的资金扶持，并非美国能源局在全球超级计算机军备竞赛中的首次投资。2011 年，它与 Cray 和英伟达签订了一份价值 9700 万美元的独立合同，用于建造世界上速度最快的超级计算机 “ 泰坦（Titan）”。 尽管美国能源部的目标是在 2021 年至少开发出一套能达到亿亿次级的超级计算机系统，但就目前而言，美国的超级计算机模型仍处于落后状态。目前排名前两位的超级计算机都来自中国，排名第一的是位于中国无锡国家超级计算中心的 “ 神威太湖之光 ”，它的运算能力达到每秒 93.01 千万亿次；仅次于它的是位于中国广州国家超级计算机中心的 “ 天河二号 ”，它的运算能力为每秒 33.86 千万亿次；而美国的超级计算机系统 “ 泰坦 ” 仅排名第三。 稿源：cnBeta，封面源自网络

据外媒 6 月 14 日跟进报道，美国国会众议院军事委员会于近期提出一项新监督法案，要求五角大楼发动网络攻击与防御行动前 48 小时内通知国会，以致挫败持续或迫在眉睫的网络威胁，加强国会对敏感军事网络行动与网络武器监督、提高国防机密要素的透明度与问责制。 据悉，该法律草案允许两个例外，即网络行动发生于训练期间或采取秘密行动授权时，可在秘密完成行动前无需提前透露。其秘密网络行动授权法则如下： ○ 美国总统不得授权政府部门、机构或实体采取秘密网络行动，除非是总统决定采取此类行动支持美国外交政策以保障美国国家安全。此外，除非美国需要立即采取行动，否则该行动调查材料需以书面形式详细叙述所有细节并在行动 48 小时前提交至总统审批； ○ 所有网络行动前需要向国会情报委员会提出申请报告; ○ 报告提交后，国会将调查报告内容真实性。如果总统认为有必要限制访问调查结果，以保障国家重大利益情况下，可以只向国会情报委员会主席与少数民族成员上报调查结果； ○ 总统应确保国会情报委员会以书面形式下发通知时，其内容与先前审批的行动报告相同且不存在重大变更； ○ 禁止发动针对美国政治进程的任何秘密网络行动； ○ 对于秘密行动的每一个部分进行的每一种活动，总统应建立计划，以回应未经授权公开披露的攻击活动。 众议院军控委员会主席麦克·雷纳里（ Mac Thornerry ）在一份声明中表示，虽然部分行动必须保持加密，保障国家安全，但国会仍有责任进行适当监督，保护公民基本安全与自由。 原作者：Zack Whittaker，译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

据外媒 6 月 14 日报道，德国政府允许企业超出必要范畴收集个人数据的提议引发隐私倡导人士的强烈愤懑与反对。 安吉拉•默克尔（Angela Mekel）领导的德国执政党基督教民主联盟（CDU）目前正在着手准备今年 9 月的改选，旨在通过放松数据保护机制关键要素进一步开放大数据业务。 本周二，《明镜周刊》（Der Spiegel）报道了一份 CDU 策略报告，该报告抨击了倡导仅通过传感器与在线平台收集用户必要数据的“数据最小化原则”，强调“数据最小化原则”减少了新产品/服务与潜在服务的机会，不应再作为通用准则。报告承认，鉴于隐私敏感度较高的国家必然对该观点持抵制态度，任何转变都将以信任作为基础，但此项变革仍将在选举后以立法形式呈现。 德国数据保护法之所以强大有力，很大程度归因于上世纪纳粹与东德政权对民众施行的过度监控。尽管如此，由于大数据愈发成为汽车制造等德国主导产业开展业务的核心，近年来，德国多数产业一直呼吁放款法律，为企业的发展扫清障碍。 德国信息产业、电信和新媒体协会（Bitkom）发言人 Andreas Streim 表示，“我们必须意识到数据的价值在于实用性，数据最小化 的尝试将导致最终无数据可用。因此，需要在安全与隐私之间找到制衡点，为新业务模型提供更多机会。” 然而，权利活动家们却对该问题却持有截然不同的看法。布鲁塞尔欧洲数字权利组织（EDRi）副执行董事 Joe McNamee 认为，记录与利用更多数据将减少人们对欧洲数字服务机构的信任。“ CDU 的意图十分明显，即通过重蹈美国数据乱象覆辙的方式为欧盟产业提供支持，消除欧洲企业与立法框架的最大竞争优势。” 他还提到美国商务部国家电信与信息管理局于 2016 年发布的一份报告。报告强调，对在线安全与隐私的恐惧心理正在“促使一些美国人对线上活动谨小慎微”、 “ CDU 的政治动机非常糟糕，显得既天真又不合时宜”。 确实很难看出默克尔方面的计划如何与即将出台的欧盟通用数据保护条例（GDPR）保持一致。据悉，此项将数据最小化作为核心原则的立法将于明年五月起生效，其中规定：“个人数据收集应该并仅限于满足必要的数据处理之需。” 为 GDRP 编写提供指导与支持的欧洲议会德国绿党成员 Jan-Philipp Albrecht 表示，“问题在于，CDU 并没有真正意识到，只有在谈及个人数据这一话题时，数据最小化才真正成为一个问题。围绕数据分析科学的大部分讨论并不一定关乎个人数据，而是关于工业数据。在该领域内，当涉及非个人数据时，肯定没有人希望采取最小化原则。谁都希望尽可能掌握更多数据。如果要求当局根据创新者释放数据，那么毫无疑问我们都将承担相应责任。” 但在可识别个人数据方面，Albrecht 警示大家，“数据最小化原则”  在帮助人们有效掌控所分享信息方面起到至关重要的作用。 “我不认为他们完全理解了这一点，而仅仅是以数据最小化为由不加区分地将所有数据投掷到一处。是时候该对这种做法叫停了。” 这位欧洲议会成员（MEP）还指出，欧洲人民党作为以 CDU 为核心成员的欧洲议会阵营热烈拥护此项欧盟新法规的出台。 “这些人忽视了这样一个事实，即政府与党派家属已经一致投票赞成GDPR 全面提及数据最小化的举措。“既然已经投票维护该项法律，再贸然结束就未免显得有些荒谬。应该在采取行动前将一切考虑清楚。” 原作者： David Meyer ，译者：游弋，校对：FOX 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

据彭博社 6 月 14 日报道，在特朗普当选总统前，俄罗斯对美国选举系统发动的网络攻击范围远大于公开报道，即入侵了 39 个州的选民数据库和软件系统，是之前报道数量的近 2 倍。 调查人员在伊利诺斯州发现黑客试图删除或修改选民信息的证据。黑客入侵计票人员在选举日使用的软件，并至少在一个州入侵了选举经费数据库。此外，安全专家表示，攻击范围和老练程度让奥巴马政府高官担忧，他们采取了前所未有的举措——直接通过热线向莫斯科抱怨。 两名知情人士称，白宫于去年 10 月通过秘密渠道向克里姆林宫提供了俄罗斯干预美国总统选举的详细文档，并警告称这可能引发双方更广泛的冲突。俄罗斯官员公开否认与针对美国总统选举的网络攻击活动有关联，其中包括针对希拉里竞选团队、民主党全国委员会等机构的 “ 鱼叉式钓鱼攻击 ”。俄罗斯总统普京最近向媒体表示，俄罗斯犯罪分子可能与此事有关联。俄罗斯回应需要更详尽信息，并保证如果美国选举系统继续受到攻击，它将展开调查。 有关 2016 年美国总统大选的未解之谜之一是，在入侵州和地方政府的系统后，俄罗斯情况机构为什么没有尝试破坏选举。一种可能是美国的警告起了作用。但另外一名不具名美国高官称，一种更可能的解释是，数个月的攻击，没有使黑客获得破坏选举的能力。 目前，美国国土安全部成立了专门团队，帮助各州强化网络安全系统，部分州甚至聘请私人安全公司。在许多州，俄罗斯黑客攻击的程度尚不清楚。联邦政府对州选举系统没有直接管辖权，其部分州只与联邦政府进行有限合作。 稿源：cnBeta，封面源自网络