据外媒The Verge报道，美国国家安全局（NSA）近日表示，该机构在确定电信公司提供的一些信息包含未被授权使用的信息后，已于5月开始删除“通话详细记录”。据《纽约时报》报道，记录的数量可能是“数亿”。 该机构表示，这些记录可以追溯到2015年，并且该机构在意识到这些记录中有些可能没有被授权使用后，于5月23日开始删除记录后- 这些通话和信息数据的所有者可能永远不会与该机构监控的人员联系。该机构表示，“识别和隔离正确生成的数据”是“不可行的”，并选择销毁这些记录。 美国国家安全局总顾问Glenn S. Gerstell告诉《纽约时报》，由于“一些复杂的技术故障”，来自“一个或多个”电信公司的问题提供了太多的信息。他表示，美国国家安全局已经与这些公司合作纠正这个问题。 美国国家安全局被授权根据2001年的《美国爱国者法案》（USA PATRIOT Act）从电信公司中收集通话和文本记录，以试图找到恐怖主义嫌犯。尽管2015年签署的《美国自由法案》（USA Freedom Act）对国安局搜集美国民众信息的行为做出了一些限制，但该机构在2016年收集了超过1.51亿条记录，并在2017年收集了5.34亿条记录。该机构的秘密数据收集计划于2013年由斯诺登揭露，引发隐私权倡导者的哗然，并促使2015年法律的制定。   稿源：cnBeta，封面源自网络；

讯 北京时间6月29日早间消息，研究发现一个名为“NameTests”的第三方测验应用令1.2亿名Facebook用户的数据面临泄露风险，而这个应用的漏洞直到上个月才得到修复，这就使得Facebook数据丑闻进一步升温。 Facebook隐私权丑闻是在今年3月首次曝光的，当时曾在唐纳德·特朗普（Donald Trump）竞选美国总统期间受聘的政治数据公司“剑桥分析”（Cambridge Analytica）被曝从一名教授那里非法购买了Facebook用户数据，该教授运作过一个名为“thisisyourdigitallife”（这是你的数字生活）的测验应用。随后，Facebook在5月对第三方应用进行了一次审计，其结果是约200个应用遭到封停。 但现在看来，Facebook还面临着更多问题。根据道德黑客Inti De Ceukelaire的发现，NameTests应用存在安全缺陷。 周三，De Ceukelaire描述了向Facebook新推出的“数据滥用悬赏”（Data Abuse Bounty）计划上报NameTests应用背后网站的一个漏洞的过程。这个漏洞可能只是一个错误而已，也可能是个疏忽大意的例子，但可以肯定的是，这表明Facebook对用户数据的监管过少，而黑客可以利用这些数据来从事各种恶意活动。 NameTest漏洞的发现不仅表明人们仍不了解能够获取自己数据的第三方应用，同时也表明Facebook“数据滥用悬赏”计划的程序存在问题。De Ceukelaire称，他在4月22日就上报了这个问题，但直到8天以后Facebook才作出回应称其正在展开调查。到5月14日，他去查看Facebook是否已经联系过NameTest的开发者；又过了8天，Facebook才回复称其可能需要3到6个月来进行调查。 到6月25日，De Ceukelaire注意到NameTest已经修复这个漏洞。在与Facebook取得联系后，该公司承认该漏洞已被修复，并同意向“新闻自由基金会”（Freedom of the Press Foundation）捐赠8000美元，以此作为悬赏计划的一部分奖金。换而言之，根据De Ceukelaire的说法，Facebook至少花了一个月才解决了这个问题，而且是在不得已的情况下才履行了悬赏承诺。   稿源：，稿件以及封面源自网络；

讯 北京时间6月29日上午消息，美国加州州长杰瑞·布朗（Jerry Brown）周四签署了一项数据隐私法案，目的是让用户对公司收集和管理个人信息的方式有更多控制权。此前，谷歌和其他大公司抗议这项立法造成了过多的障碍。 根据立法草案，从2020年开始，掌握超过5万人信息的公司必须允许用户查阅自己被收集的数据，要求删除数据，以及选择不将数据出售给第三方。公司必须依法为行使这种权利的用户提供平等的服务。 每次违法行为将被处以7500美元的罚款。这项法律将适用于加州用户。 加州民主党参议员鲍勃·赫茨伯格（Bob Hertzberg）表示：“对加州来说，这是迈出的一大步。这同时也是美国迈出的一大步。” 在布朗签署这项法案的几小时前，加州议会两院一致通过了这项立法。 这项措施将影响几乎所有大企业，尤其是在网络通信和商业中扮演越来越重要角色的大型科技公司。近期，Facebook、Uber和其他公司的数据泄露事故加大了监管介入的压力。 谷歌此前曾警告称，这项立法可能会造成意料之外的后果，但没有明确说明是什么样的后果。谷歌高级副总裁斯里达尔·拉马斯瓦米（Sridhar Ramaswamy）周二表示：“我们认为，存在一系列难以理解的分歧。对用户的隐私保护需要进行很好的平衡，以适应合法的商业需要。”   稿源：，稿件以及封面源自网络；

雷锋网报道，今年世界杯期间，黑客“烈剑”的 DDoS攻击业务接单简直接到手软，而且“金主爸爸”们出手都很阔绰，这应该是他从事“中介服务”的四年中，生意最好的时候。 不差钱的金主爸爸来自几家不同的博彩网站，他们找到“烈剑”的目的很简单：用最快、最狠的DDoS攻击搞垮竞争对手的网站，把用户吸引到自己的平台上来。 云端 DDoS 黑产链 在圈内，这类金主爸爸被称为“发单人”，他们有些来自赌博、彩票和游戏私服等网站，用黑客技术手段对同行的服务器进行攻击致使其宕掉，在圈内早已是惯用伎俩。 而烈剑在圈内更像是一个中介，由于懂技术，接到金主的单后，烈剑会迅速找到技术不错的“攻击手”，这些人可以用手头现有的软件和工具来操纵肉鸡，让它们对目标网站进行模拟访问，占据其服务器的 CPU 资源，以此来把正常用户抵挡在门外。或者，直接发送大量流量攻击目标服务器，导致服务器无法访问网络。 在这个黑产链条中，“肉鸡商”和“出量人”也是攻击武器的重要提供者，他们手中掌握着已经搭建好的“肉鸡集群”和“流量平台网页端的服务”，在实施攻击前，这些“肉鸡商”已经利用后门程序和漏洞，获得电脑和服务器的控制权限，并植入木马，使得这些计算机变成能实施 DDoS 攻击的“肉鸡”。 而“出量人”作为拥有服务器控制权限和网络流量的人，能够租用专属服务器并自行配置攻击软件从而获取流量。 在利益面前，各路黑产配合默契，攻击“武器”这两年越来越先进，这也让烈剑的生意越做越大。 其实，除了处于灰色地带的一些比较边缘的网站，一些跟国计民生相关的关键基础设施也会遭到 DDoS 攻击，目前，互联网、金融、能源制造、政府机构等多个行业中，都面临着相似的风险。 上云后的超级DDos攻击 要说近几年越来越猖獗的 DDos 攻击，其实还要拜“上云”所赐。 正如一枚硬币的两面，网络带宽增加后，更高速、更广泛的网络连接让我们的生活更加的便利，但这也为DDoS 攻击创造了极为有利的条件，以前黑客获取一个IP 后，可能对应的只是一个普通的用户，但现在获取了一个IP，他可以在拿到后门后去查属于哪个服务商，是不是整片云是不是有同样的问题。 中国电信网络安全产品运营中心的高级产品经理张晓华，就带来了近几年电信网内的攻击趋势图↓↓↓ 张晓华回忆，在2013年的时候，大部分客户的主机还是在自己的机房里面，最多也就是在 IDC 机房，然后扯上一根 2M 的线，直接接到服务器上面，所以那时虽然也有 DDos ，但攻击量并不大。 随着近几年客户逐渐上云，接入带宽变大，配备的都是上百G的云资源池，这就出现了两点变化，一是一旦成为肉鸡，能够往外攻击的流量也会变大；二是随着能够涌入的流量增多，需要投资和配备的防护设备也需要相应升级。 这就如同你们家原来的门只是一个小门，一次最多只能同时进来两个人，要挡住坏人，简单的小防盗门就可以，由于人数少，哪些进来的是好人，哪些是坏人，也好分辨。但现在你们家的的门变成了一扇巨大的门，可以同时拥进上百个人，这时原有的防盗门就会不堪一击。 更加糟糕的情况是，随着黑产使用的各类攻击“武器”在不断升级，针对 DDos攻击的防护成本远远大于攻击成本，而且由于肉鸡的数量众多，对于攻击源的追查难度很大。 目前，出于商业竞争、打击报复和网络敲诈等多种因素，很多IDC托管机房、商业站点、游戏服务器、聊天网络等网络服务商长期以来一直成为DDoS攻击的目标，而随之而来出现的同虚拟主机用户受牵连、法律纠纷、商业损失等一系列问题。 要想解决上百个人堵在门口，而正常用户却被挡在门外这个问题，有一个办法就是从攻击源头就开始治理，这就如同你要阻止100个人从全国各地来到你这里闹事，最好的办法不是在等他们集结好之后，在闹事地点等他们，而是在他们出发的时候，就能够识别出他们，在源头进行治理，张晓华把这称为—近源清洗，而这个平台，被称为“云堤”。 换句话说，清洗就是把正常的用户放进来，把肉鸡挡在门外，让业务可以正常进行。 于用户而言，他们可以对攻击流量无感知；于运营商而言，可以通过在攻击流量发起侧网络内处置掉攻击流量，提高运营商网络的资源利用。 为什么要搞近源清洗 抗击DDoS的方式有很多，为什么电信要选择云上做近源清理这种方式？ 这还得从电信作为一家运营商所拥有的监测系统讲起。 与其他安全厂商不同，作为一家运营商，其本身就有DPI（基于应用层的流量检测和控制技术）、Netflow 监测系统、Botnet 监测系统、僵木蠕监测系统以及DNS等提供的实时信息来进行监测。 黑客无论是要干什么事情，最终还是得用运营商的网络的，而如果凭借早就在网络中布下的各类监测设备，就可以为最终的“抓捕”提供线索。 凭借电信自身的能力就可以达到监测的目的？你们不买外部的威胁情报吗？ 对于雷锋网的这个问题，张晓华透露，威胁情报在整个处理过程中，其实更多的是处于一个补充的作用。 除了有识别能力，还得有处理能力，你能看出哪个是坏人，还要有把坏人撂倒的本事，重要的是还不能伤及无辜。 张晓华透露，运营商所具有的网络部署与路由调度能力也是他们的杀手锏之一，通过调度能力，就可以直接实现超大规模的网络层/应用层攻击防护，通过云化分布式清洗中心可同时协同处置区域攻击流量，这时单节点处理能力就能得到协同节点的有效补充。 据雷锋网了解，目前这个清洗中心在国内有26个，未来会逐渐云话，张坦言，虽然网撒的很大，但在应用层的防护方面，未来依然需要加强对防护策略的制定，希望最终能做到客户完全不需要自己的处理的程度。 雷锋网还注意到，即将公布的《网络安全等级保护条例》中，对于云上的安全也提出了更高的要求，以防DDos为例，现在的标准会要求“肉鸡”也要承担主体责任。 简单来说，你不仅要时刻注意自己有没有被 DDos攻击，还要确保自己不成为肉鸡，去攻击别人。 这些肉鸡某种程度上，如同电影《釜山行》中的丧尸，虽然你很无辜，你被别人咬了，但被咬的后果就是你马上也会成为一个攻击者，去伤害更多无辜的人。   稿源：雷锋网，作者：郭佳，封面源自网络；

据外媒cnet报道，路透社周二报道，乌克兰公司在它们的计算机系统中发现了越来越多的恶意软件。对此，该国政府认为这些恶意软件是在为未来的一场重大协同式网络攻击做准备。乌克兰网络警察局长Serhiy Demedyuk告诉路透社，他们认为类似于去年遭遇的NotPetya勒索软件病毒将可能再次发生。 当时，这一攻击蔓延全球，影响了丹麦航运巨头Maersk、美国制药公司Merck、澳大利亚吉百利出奇蛋工厂等多家大型公司。该病毒封锁了电脑并要求受害者以比特币的形式支付赎金。美国、乌克兰、英国将这一攻击归咎于俄罗斯政府，对此美国还对俄罗斯进行了制裁。 Demedyuk指出，通过对这些恶意软件的分析以及针对乌克兰的攻击目标，他们发现所有工作都是在一天内完成。另外他还称，入侵的数字指纹将背后黑手指向了俄罗斯。 对此，俄罗斯大使馆和乌克兰国家警察局都未立即置评。   稿源：cnBeta，封面源自网络；

讯 北京时间6月26日早间消息，监管部门官员对路透社表示，北美、英国和亚洲的金融监管机构正紧急寻求关于欧盟最新数据保护规定的豁免，以免这项规定不利于跨境的案件调查。 这些官员警告，如果欧盟未能明确将市场监管部门排除在欧盟“通用数据保护条例”（GDPR）之外，那么可能会不利于涉及操纵市场和反欺诈的国际调查和司法行动。 GDPR于5月25日生效。这项规定的制定已延续了好几年。在过去一年中，随着生效日的临近，外国监管机构和关键国际实体正在加紧游说。 GDPR加强了欧盟内部的个人数据隐私保护，让消费者对自己的个人信息拥有更大的控制权。政府官员和法律专家表示，新规定还对出于“公众利益”的跨境个人数据传输进行了限制，对其使用施加了新条件，包括引入额外的隐私保护措施。 根据此前法律，监管机构可以利用豁免权，分享银行和交易账户数据等关键信息，对多种不当行为展开调查。目前监管机构可以通过新的豁免条款，继续分享此类数据。不过它们也表示，直接这样做会进入法律上的灰色领域，因为新法律的表述留下了解释空间。 它们担心，如果缺乏明确解释，类似美国对加密货币欺诈和市场操纵的调查都可能遇到风险。这些案件的许多参与者都位于美国国外。在没有豁免的情况下，跨境的信息共享可能遇到问题，欧盟可能会认为，一些国家和地区的隐私保护措施没有达到欧盟要求的水平。 消息人士表示，为了抵御这方面的风险，这些监管机构正敦促总部位于布鲁塞尔的欧盟数据保护委员会（EDPB）正式拿出“行政安排”，书面澄清出于公众利益的行为是否可以获得豁免，以及跨境信息共享应当如何操作。   稿源：，稿件以及封面源自网络；

TechWeb报道，6月25日消息，根据媒体报道，谷歌将会在即将推出的Android 9.0版本系统当中加入更好的生物识别API，为开发者提供更安全和方便的生物验证机制。 开发人员使用了BiometricPrompt API将生物识别身份验证集成到他们的应用程序中，应用程序和终端通过指纹、虹膜甚至面部识别来进行验证，同时PIN和密码的方式也会得到保留。 对此谷歌安全工程师Vishwath Mohan表示“生物识别认证机制正变得越来越流行，而且很容易明白其中的原因。它们比输入密码更快，比携带单独的安全密钥更容易，并且它们可以防止基于知识因素的身份验证的风险。” 在Android 9.0版本上，他们将会尽量车辆生物识别的安全性，相对较弱的身份验证方法将会被限制。同时他们将会提供一个通用平台和入口，方便开发者可以轻松的使用生物识别验证功能。   稿源：TechWeb，封面源自网络；

TechWeb报道，6月25日消息，据国外媒体报道，日本最大的比特币交易所bitFlyer日前表示，将暂停允许新客户开户。 日本金融厅称，在bitFlyer的安全系统中发现了问题，涉及在防止洗钱及未授权进入渠道等方面的措施。日本金融厅还表示，该公司管理层监督运营的能力不足。 bitFlyer在其网站上发布声明称，公司管理层及所有员工正在努力理解这些问题的严重性达到了何种程度。该公司称，已暂停新用户开户，先解决监管机构提出的问题。 按交易量衡量，BitFlyer是全球最大的比特币交易所之一；同时BitFlyer也是全球第三大加密货币交易所。 日本已经发展为最大的比特币交易市场之一，去年的一项统计显示，大约50%的比特币交易是通过比特币/日元进行的。 不过，今年1月，黑客从位于东京的加密货币交易所Coincheck盗取了价值约5.3亿美元的数字货币，暴露了日本系统的缺陷，并引发了对日本如何监管该行业的质疑。自此之后，日本监管部门实施了新的限制措施。 加密货币行业网站coinmarketcap显示，目前比特币价格约为6200美元，总市值约1000亿美元。比特币价格去年涨势迅猛，此前一度突破1.9万美元。 比特币是一种用区块链作为支付系统的加密货币。由中本聪在2009年基于无国界的对等网络，用共识主动性开源软件发明创立。   稿源：TechWeb，封面源自网络；

讯 北京时间6月25日上午消息， 《华尔街日报》周日晚援引知情人士的话报道称，唐纳德·特朗普总统计划禁止多家中国企业投资美国科技并阻断对中国进行额外的技术输出。 上述两项措施将于本周末公布，意在对抗北京方面的“中国制造2025”战略——旨在推进中国在科技领域成为全球强国。 《华尔街日报》称，美国财政部正在制定政策以禁止中国企业占25%以上股权的公司收购涉及“工业重要技术”的公司。 报道还补充说，美国国家安全委员会和商务部也在共同商讨更加严格的出口管制方案，届时“工业重要技术”将不得向中国出口。 《华尔街日报》报道，美国指数期货周一下跌0.5%。 白宫和财政部均为及时予以置评。   稿源：，稿件以及封面源自网络；

美网络安全巨头宣称：美国卫星系统遭遇黑客攻击！ 据称，军事领域的卫星系统也被侵入！ 美国著名网络安全公司赛门铁克（Symantec）星期二（19日）说，该公司基于人工智能的网络安全监控工具，最近发现黑客组织正在针对美国和东南亚国家的卫星通讯、电信、地理太空拍摄成像服务和军事系统进行网络攻击。 赛门铁克公司在一份声明中说，该公司自2013年开始追踪这一他们取名为“特里普”的网络攻击组织。声明说，赛门铁克基于人工智能的“针对性攻击分析”（Targeted Attack Analytics, TAA）工具在2018年1月发现，一些来自若干地区的计算机展开了针对卫星系统的恶意行动。 赛门铁克公司认为，这一组织的袭击属于网络间谍行为，但暴露了他们破坏袭击目标的操作系统的策略。赛门铁克公司称，因此可以判定，该组织可以对目标采取更具进攻性的和破坏性的活动。 赛门铁克CEO格雷格·克拉克（Greg Clark）说：“特里普组织从2013年开始运作，他们最近的活动使用标准的操作系统工具，所以那些被袭击的组织不会意识到他们的存在。他们的活动很隐蔽，深度嵌入到网络活动中，我们使用了人工智能查明并标记了他们的活动，这才将他们发现。” 赛门铁克的声明说，黑客组织这次对电信部门和卫星操作系统的袭击行动显示，黑客可以拦截甚至篡改网络运营机构传输给用户的通信。 克拉克说：“让人警觉的是，这一组织似乎对电信、卫星操作系统和军事防务公司特别感兴趣。我们已经准备就绪，为应对这一严重威胁与有关当局合作。” 在一篇与美国相关媒体的采访中，赛门铁克公司说，他们的相关软件已经将黑客从受影响的计算机系统中驱逐，并已经与美国中央情报局、国土安全部以及亚洲的防务部门分享了有关技术情报。 赛门铁克公司过去表示，该公司安全工具在世界上覆盖了1.75亿个终端和9500万个传感器，从而形成最终分析大数据的信息来源。该公司称能跟踪全球157个国家和地区的多个攻击团体，同时了解庞大的漏洞数据库的情况。该数据库在20年里记录了9万个漏洞。 通过对相关数据的分析，该公司可以找到真正的黑客团伙。该公司这几年开始运用机器学习技术，在海量的数据中自行将存在共性的攻击行为实施分析，锁定黑客团伙身份。   稿源：新浪军事，封面源自网络；