近日，网络安全研究人员发现了一个可导致全球互联网瘫痪的名为KeyTrap的严重漏洞。该漏洞隐藏在域名系统安全扩展(DNSSEC)功能中，可被攻击者利用发动DoS攻击，长时间阻断应用程序访问互联网。 KeyTrap漏洞分配的CVE编号为CVE-2023-50387，属于DNSSEC设计缺陷，影响几乎所有主流域名系统(DNS)实现或服务。攻击者仅需发送一个恶意DNS数据包，便能使易受攻击的解析器陷入长期拒绝服务(DoS)状态。 DNSSEC是域名系统(DNS)的一个安全扩展功能，通过加密签名为DNS记录提供身份验证，确保DNS数据来自权威名称服务器，且没有在路由过程中被篡改，从而保护用户免于被引导至恶意网站。 可瘫痪全球大部分互联网的漏洞 KeyTrap漏洞由来自德国国家应用网络安全研究中心ATHENE的研究人员联合歌德大学法兰克福特分校、弗劳恩霍夫安全信息技术研究所和达姆施塔特工业大学的专家共同发现。 据研究人员介绍，该漏洞源于DNSSEC需要发送所支持密文的所有相关加密密钥以及验证签名。即使某些DNSSEC密钥配置错误、不正确或属于不受支持的密文，也会执行相同的流程。 攻击者利用此漏洞开发了一种新的基于DNSSEC的算法复杂性DoS攻击，可以将DNS解析器中的CPU指令计数增加200万倍，从而延迟其响应。 这种DoS攻击状态的持续时间取决于解析器实现，但研究人员表示，单个攻击请求可以使响应延迟56秒到16个小时。 KeyTrap攻击中单次请求导致的DNS解析延迟 ATHENE在披露报告中写道：“利用此攻击将对任何使用互联网的应用程序产生严重后果，包括网络浏览、电子邮件和即时消息等技术可能无法使用。” 研究人员表示：“利用KeyTrap，攻击者可以完全瘫痪全球互联网的大部分地区。” 有关漏洞的完整详细信息以及其在现代DNS实现中如何复现的技术报告已于本周早些时候发布。 容易受到KeyTrap攻击影响的DNS软件、服务、工具和代码库 研究人员从2023年11月初开始演示KeyTrap攻击如何影响谷歌和Cloudflare等DNS服务提供商（上图），并与这些公司合作开发缓解措施。 漏洞存在近25年 ATHENE表示，KeyTrap漏洞自1999年以来就存在于广泛使用的标准中，近25年来一直未被发现，主要原因是DNSSEC验证的复杂性。 尽管受影响的厂商已经推送了修复程序或正在缓解KeyTrap风险，ATHENE表示，从根本上解决问题可能需要重新评估DNSSEC的设计理念。 作为对KeyTrap威胁的回应，Akamai在2023年12月至2024年2月期间开发并部署了针对其DNSi递归解析器（包括CacheServe和AnswerX）以及其云和托管解决方案的缓解措施。 Akamai指出，根据APNIC的数据，大约35%的美国互联网用户和全球30%的互联网用户依赖使用DNSSEC验证的DNS解析器，因此易受KeyTrap攻击。 尽管Akamai没有披露太多缓解措施细节，但根据ATHENE的论文，Akamai的解决方案是将加密失败限制在最多32个，基本上可以防止攻击者通过耗尽CPU资源来延迟或瘫痪网络。 目前，谷歌和Cloudflare也都已经开始着手修复其DNS服务。   转自GoUpSec，原文链接：https://mp.weixin.qq.com/s/UC1wP5L5F2GI8tjalJiniQ 封面来源于网络，如有侵权请联系删除

据国外媒体报道，大型科技公司及其附属的网络安全、人工智能产品很可能会推出类似的安全研究，尽管这会引起用户极度地隐私担忧。大型语言模型被要求提供情报机构信息，并用于帮助修复脚本错误和开发代码以侵入系统，这将很可能会成为常态。 由于科技巨头能够将其与伊朗、朝鲜和俄罗斯等其他主要国家支持的黑客团体联系起来。OpenAI和与其主要投资者微软之间将开展联合研究，结合微软庞大的威胁情报，对恶意账户进行检查与分析，并最终进行封禁。 某网络安全和隐私专家指出，这证明了，尽管大型科技和AI公司广泛推动将隐私标准内化到他们的产品中，但拥有AI产品的公司倾向于筛查聊天记录和用户互动中的滥用行为，最主要的理由是考虑网络和国家安全。 CyberSheath的首席执行官埃里克·努南说：“尽管微软和OpenAI的报告中未提及隐私方面的问题，但这很明显是客观情况，想要观察到恶意用户的活动就意味着有一定程度的监视或监控。” 微软威胁情报策略总监Sherrod DeGrippo则指出，微软和OpenAI采取行动对抗已知的恶意行为者——这些行为者是微软威胁情报持续跟踪的300多个威胁行为者中的一部分，包括160个国家支持的行为者，50个勒索软件团体，以及许多其他行为者。我们的重点是识别和阻止这些我们在威胁空间中活跃的已知恶意身份、特征和基础设施。 研究人员和官员在过去一年中警告说，像OpenAI的ChatGPT或微软的Copilot这样的面向消费者的AI聊天工具的出现，可能会帮助建立起来的国家支持的黑客增强他们的能力，或者使经验不足的网络犯罪分子能够自动化部署程序，从而关闭网站或从网络中窃取敏感信息。 安全专家经常强调，网络战中新兴的AI元素是双刃剑，它帮助防御者和攻击者一样多。但是这两家公司采取的传统方法最终只是浏览消息历史并关闭相关账户，类似于社交媒体巨头分析帖子中的仇恨内容并终止用户。 这种动态在未来的网络和AI研究中可能会继续，这意味着用户可能会期望科技公司有时会深入聊天历史，并将其与网络犯罪分子或国家相关的黑客集团联系起来。鉴于我们已经看到的AI用例示例，AI隐私担忧是完全有根据的，其中用于学习模型的数据泄露或不恰当地被发现，没有适当的防护措施来保护数据。 美国公民自由联盟的隐私和技术高级政策顾问科迪·文兹克表示，任何提供在线服务的大型公司经常会引发隐私担忧，尽管许多隐私法律承认公司在减轻欺诈或解决安全漏洞时的作用。问题在于科技公司关于如何使用收集的数据的透明度通常不清楚。例如检查AI聊天记录是否阻止了攻击者并为网络安全威胁创造了缓解措施，或者这类信息是否被用在其他地方？ 大型科技公司及其附属的AI或网络安全产品可能会在未来发布类似的报告，这些报告涉及扫描聊天记录以检测黑客。尽管这可能不会导致全面监控，但像Mandiant这样的网络安全巨头——其母公司谷歌最近将其Bard AI聊天机器人重新品牌化——将有动力使用他们手头的每一个工具来保障网络安全。   转自Freebuf，原文链接：https://www.freebuf.com/news/391967.html 封面来源于网络，如有侵权请联系删除

由于大规模勒索软件攻击导致当地卫生管理系统瘫痪,导致罗马尼亚至少 25 家医院面临严重的运营问题。 罗马尼亚医院用来管理医疗活动和患者数据的希波克拉底信息系统（HIS）在周末遭到攻击。结果，系统数据库被加密，导致HIS无法访问。 罗马尼亚卫生部 于2月11日至12日晚报告了这一事件。由于运行HIS信息系统的生产服务器遭到攻击，系统完全瘫痪，文件和数据库被Phobos家族勒索软件Backmydata加密。 由于系统离线或关闭，医生被迫重新开处方并将所有记录保存在纸上。 IT专家正在调查这一事件，其中包括罗马尼亚国家网络安全局（DNSC）的专家。作为预防措施，在调查事件期间，其他 75 家使用 HIS 的医疗机构也已将其系统关闭。 DNSC 表示：“大多数受影响的医院都在受影响的服务器上备份了数据，其中备份的数据相对较新（1-2-3 天前），但有一家医院的数据备份时间是 12 天前。” 这次袭击影响了罗马尼亚各地的许多医院，包括地区医院和癌症中心。 DNSC 的网络安全专家目前正在调查该事件，并 建议 受影响医院的 IT 团队暂时不要受到干扰，以便他们可以专注于恢复服务和数据。 攻击者已经提出了 3.5 BTC（约 157,000 欧元）的赎金要求。然而，勒索信中并未提及负责此次攻击的组织名称，仅提及了电子邮件地址。 希波克拉底医疗系统软件供应商 RSC 不太可能支付赎金，因为拥有备份副本可以使恢复变得更加容易。 IT 专家必须应对并尽快让受影响的系统恢复运行。   转自安全客，原文链接：https://www.anquanke.com/post/id/293255 封面来源于网络，如有侵权请联系删除

SolarWinds 近期修补了 Access Rights Manager (ARM) 解决方案中的五个远程代码执行 (RCE) 漏洞，其中包括三个允许未验证利用的严重漏洞！ 漏洞详情 CVE-2024-23476 和 CVE-2024-23479 安全漏洞由于路径遍历问题引发，第三个严重安全漏洞 CVE-2023-40057 由反序列化不受信任的数据造成，一旦未经身份验证的威胁攻击者成功利用这三个安全漏洞，便可以轻松在未打补丁的目标系统上执行任意代码。 另外两个安全漏洞 CVE-2024-23477 和 CVE-2024-23478 被 SolarWinds 评定为高严重性安全漏洞，可以被威胁攻击者用来 RCE 攻击。 值得一提的是，上述提到的安全漏洞中有四个是由 ZDI 匿名安全研究人员发现并报告，剩余一个则是 ZDI 漏洞研究人员 Piotr Bazydło 发现并上报。据悉，SolarWinds 在本周发布的 Access Rights Manager 2023.2.3 中解决安全漏洞问题，并进行了安全修复。 安全漏洞问题曝出后，SolarWinds 发言人第一时间对外表示，目前尚未收到任何关于这些漏洞在野外被利用的报告。此外，公司在获悉漏洞信息后，立刻与客户取得了联系，以确保其能够采取有效措施，避免遭受网络攻击。后续立即发布了安全更新，用户能够通过补丁程序，最大程度上解决安全漏洞问题。 值得一提的事，SolarWinds 曾在 2023 年 10 月份修复了另外三个关键的 Access Rights Manager RCE 漏洞，这些安全漏洞允许威胁攻击者以 SYSTEM 权限运行代码。 2020 年 3 月 SolarWinds 供应链攻击事件 SolarWinds 在全球范围内有着广泛的客户群体，拥有超过 30万客户，为包括苹果、谷歌和亚马逊等知名公司，以及美国军方、五角大楼、国务院、美国国家航空航天局、美国国家安全局、邮政局、美国海洋和大气管理局、司法部和美国总统办公室等政府组织在内机构提供服务。因此，早就成为了威胁攻击者眼中的“香饽饽”。 几年前，SolarWinds  公司曾发生了一起严重的供应链攻击事件，对全球多个组织带来了恶劣影响。 起因是 APT29 黑客组织渗透了 SolarWinds 的内部系统，将恶意代码注入到了客户在 2020 年 3 月至 2020 年 6 月期间下载的 SolarWinds Orion IT 管理平台构建中，为在数以千计的系统上部署 Sunburst 后门提供了便利，使得威胁攻击者能够有选择性地针对潜在受害目标，开展网络攻击活动。 供应链攻击事件披露后，包括国土安全部、财政部和能源部，以及国家电信和信息管理局（NTIA）、国家卫生研究院和国家核安全局在内的多个美国政府机构证实自身遭到了网络入侵。   转自Freebuf，原文链接：https://www.freebuf.com/news/391895.html 封面来源于网络，如有侵权请联系删除

Bleepingcomputer网站消息，数千个Ivanti Connect Secure和Policy Secure终端仍然易受到一个多月前首次披露的多个安全漏洞的影响。目前，这些漏洞已由供应商逐步修复。 影响终端的漏洞包括CVE-2024-22024、CVE-2023-46805、CVE-2024-21887、CVE-2024-21893和CVE-2024-21888。它们的严重程度从高到关键不等，涉及的问题包括身份验证绕过、服务器端请求伪造、任意命令执行和命令注入问题。在这些漏洞被威胁行为者大规模利用之前，已有报告称一些漏洞被国家支持的威胁行为者所利用。 上周，CVE-2024-22024漏洞首次披露，该漏洞是Ivanti Connect Secure、Policy Secure和ZTA网关的SAML组件中的一个XXE漏洞，它允许威胁行为者在未授权的情况下访问受限资源。 目前，尚未确认有活跃的利用漏洞情况，供应商建议如果没有补丁可用，那么立即应用现有的安全更新或缓解措施至关重要。 Akamai发布的报告中提到，已经针对这一特定漏洞发起扫描，2024年2月11日有24万个请求和80个IP尝试发送有效载荷。 威胁监测服务公司Shadowserver报告称，其互联网扫描显示有3900多个Ivanti终端易受到CVE-2024-22024漏洞攻击，其中大多数（1262个）终端位于美国。该公司观察到大约有1000个Ivanti终端仍然易受CVE-2024-21887漏洞的攻击，它允许经过认证的管理员通过发送特制的请求在易受攻击的设备上执行任意命令。 2024年1月10日，该漏洞与CVE-2023-46805作为零日漏洞被首次披露，后者是一个认证绕过问题。 Macnica的安全研究员Yutaka Sejiyama向BleepingComputer分享了他的Shodan扫描结果，报告显示截至2024年2月15日00:15 UTC，共有13636台Ivanti服务器还未应用针对CVE-2024-21893、CVE-2024-21888、CVE-2023-46805和CVE-2024-21887的补丁。2024年1月31日，Ivanti针对这4个漏洞发布了安全更新版本。 根据研究员的说法，共有24239台Ivanti服务器暴露在互联网上，这意味着超过一半的服务器依然没有打补丁。 关于CVE-2024-22024，该漏洞在2024年2月8日被披露并得到修复，Sejiyama的研究显示，截至2月15日，全球有77.3%的服务器已经打上了补丁，但仍有5496台服务器暴露于这个危险的未授权访问漏洞之下。 不幸的是，影响Ivanti产品的这些漏洞在短时间内被连续披露，管理员几乎没有时间准备并应用这些补丁。这不仅增加了修复工作的复杂性，还提高了Ivanti系统因长时间处于脆弱状态而面临的风险，为威胁行为者提供了大量潜在受害者的清单。   转自Freebuf，原文链接：https://www.freebuf.com/news/391893.html 封面来源于网络，如有侵权请联系删除

日本电子产品制造商佳能周一宣布了软件更新，修复了影响几种小型办公打印机型号的七个严重漏洞。 这些被描述为缓冲区溢出错误的问题可以通过网络进行远程代码执行 (RCE) 或导致易受攻击的产品变得无响应。 “这些漏洞表明，如果产品不使用路由器（有线或 Wi-Fi）直接连接到互联网，未经身份验证的远程攻击者可能能够执行任意代码能够瞄准该产品在通过互联网的拒绝服务 (DoS) 攻击中，”佳能指出。 这些漏洞被编号为 CVE-2023-6229 到 CVE-2023-6234 和 CVE-2024-0244。根据漏洞信息门户网站JVN 的数据，他们的 CVSS 得分为 9.8。 NIST 公告显示，这些漏洞是在 CPCA PDL 资源下载过程、地址簿密码过程、WSD 探测请求过程、地址簿用户名过程、SLP 属性请求过程、CPCA 颜色 LUT 资源下载过程和 CPCA PCFAX 号码等组件中发现的。 易受攻击的打印机型号因地区而异：欧洲为 i-SENSYS LBP673Cdw、MF752Cdw、MF754Cdw、C1333i、C1333iF 和 C1333P 系列，北美为 imageCLASS MF753CDW、MF751CDW、MF1333C、LBP674CDW 和 LBP1333C 系列；以及日本的 Satera LBP670C 和 MF750C 系列。 不过，对于所有型号，这些漏洞都会影响固件版本 03.07 及更早版本。可以在佳能的地区网站上找到解决这些错误的更新。 “目前还没有关于这些漏洞被利用的报告。然而，为了增强产品的安全性，我们建议客户安装适用于受影响型号的最新固件，”佳能在其欧洲支持网站上表示。 鉴于上述漏洞可以被远程利用，我们还建议客户限制对打印机的访问，将它们隐藏在防火墙或路由器后面，并为其设置私有 IP 地址。   转自安全客，原文链接：https://www.anquanke.com/post/id/293193 封面来源于网络，如有侵权请联系删除

Linux基金会今天宣布成立后量子密码学联盟（PQCA），这是一个旨在推进和驱动后量子密码技术采用的倡议。 PQCA由Linux基金会、AWS、思科、IBM、IntellectEU、Nvidia、QuSecure、SandboxAQ以及滑铁卢大学共同创立，将专注于解决量子计算带来的安全挑战。由于量子计算飞速发展，可以预见未来将成为攻击者快速破解安全密钥的杀手锏。一旦量子计算被利用，现有的密码体系将遭遇毁灭性打击，因此在后量子时代保障数据和通信的安全变得至关重要，PQCA致力于解决这一问题。 PQCA联盟将参与开发标准化的后量子算法，旨在帮助寻找支持与商业国家安全算法套件2.0对齐的库和包的组织和开源项目。为了促进后量子密码技术的采用，PQCA将参与各种技术项目，包括开发软件以评估、原型设计和部署后量子算法。 PQCA的创始成员长期以来一直活跃在后量子密码学的标准化工作中，共同撰写了NIST后量子密码学标准化项目选定的首批四种算法，PQCA的工作正是基于这一基础。 PQCA的启动项目包括2014年在滑铁卢大学成立的Open Quantum Safe项目，以及新的PQ Code Package项目，后者旨在开发高保证、生产就绪的后量子密码学标准的软件实现。这两个项目都列在了PQCA的GitHub页面上。 思科公司总监Jon Felten指出：“量子计算提供了解决以前无法解决问题的潜力，同时也威胁到我们认为理所当然的许多数字保护措施。密码学是保护数据、用户、设备和服务的基础。转换到后量子密码学是数字时代最大和最复杂的技术迁移之一。” PQCA的成立大约是在IBM发布了一份路线图一年后，该路线图旨在帮助联邦机构和企业迁移到后量子计算。同样在去年，英国和美国政府机构发布了指南，以帮助组织进行过渡。   转自Freebuf，原文链接：https://www.freebuf.com/news/391747.html 封面来源于网络，如有侵权请联系删除

据The Record网站消息，谷歌将支付 3.5 亿美元来和解一场旷日持久的集体诉讼，该诉讼针对的是其已不复存在的社交平台Google Plus产生的数据泄露事故。 这一诉讼最早可以追溯到 2018 年 10 月，当时《华尔街日报》曾报道称，谷歌发现Google Plus用户的个人数据已被泄露多年，但公司内部官员建议不要向股东或公众通报这一问题，因而对这一事件长期保持沉默。报道发表三天后，针对谷歌的诉讼便开始出现。 《华尔街日报》 称，暴露 Google Plus 用户数据的软件漏洞问题始于 2015 年，但直到 2018 年 3 月才被发现或修复，涉及的用户数据包括姓名、电子邮件地址、出生日期、性别、个人资料照片、居住地、职业信息等。 根据2月5日公布的和解条款，谷歌否认了用户因这一泄露事件所造成的损失，并表示虽然对所指控的索赔有充分的辩护，但为了避免代价高昂且的长期持续的诉讼，最终同意达成和解。和解条款还称，谷歌否认就此事误导投资者。 谷歌称大多数零日漏洞背后都是间谍软件供应商 谷歌威胁分析小组 (TAG) 在 2023 年发现的用于监视全球设备的零日漏洞中，80% 都是商业间谍软件供应商 (CSV) 所为。 谷歌发现，这些间谍软件供应商在寻找零日漏洞方面变得非常积极，在 2019 年至 2023 年间开发了至少 33 个针对未知漏洞的漏洞利用程序，他们会根据客户（包括政府和私人组织）的指示，利用零日漏洞来攻击特定目标。 在谷歌披露的报告附录中，列出了11个CSV使用的74个零日漏洞的列表。其中，大多数是影响谷歌 Chrome (24) 和 Android (20) 的零日漏洞，其次是 Apple iOS (16) 和 Windows (6)。   转自Freebuf，原文链接：https://www.freebuf.com/news/391752.html 封面来源于网络，如有侵权请联系删除

Google 近日宣布向 Rust 基金会拨款 100 万美元，旨在帮助提高 Rust 和 C++ 代码之间的互操作性。 出于同样的原因，这家互联网巨头于 2021 年加入了Rust 基金会，并在 Android 和其他谷歌产品中采用了内存安全编程语言，因为它有利于解决内存安全漏洞。 “根据历史漏洞密度统计数据，Rust 已主动阻止数百个漏洞影响 Android 生态系统。这项投资旨在扩大 Rust 在平台各个组件中的采用。”Google 工程、Android 安全与隐私副总裁 Dave Kleidermacher 说道。 谷歌表示，得益于多种工具，Rust 与 Android 和 C++ 的互操作性也得到了改善，并且该编程语言的采用也加速了。 然而，由于大部分进展主要由支持特定项目或公司的工具推动，Google 希望在加速 Rust 整体采用所需的领域进行投资和合作。 此外，该公司表示，它正在汇总和发布对谷歌开源项目中使用的 Rust 箱的审计。 对 Google 的支持使得 Rust 基金会能够启动一项新的“Interop”计划，让感兴趣的组织更容易投资 Rust。 这项新举措的首要任务是起草一份工作范围提案，该提案将在 Rust 项目成员组织之间进行讨论。 Rust 基金会可能会建议雇用 Interop Initiative 工程师并分配资源来提高互操作性、构建系统集成、使用人工智能将代码从 C++ 迁移到 Rust，或者这些的组合。 谷歌指出：“提高整个软件行业的内存安全是我们这个时代的关键技术挑战之一，我们邀请社区和行业的其他人加入我们，共同努力保护每个人的开源生态系统。”   转自安全客，原文链接：https://www.anquanke.com/post/id/293145 封面来源于网络，如有侵权请联系删除

据Inforisktoday消息，英国立法者正在推进《调查权力法案》的更新，允许英国情报机构大规模收集数据，尽管受到了隐私倡导者、监管团体和科技公司越来越多的批评，但该法案近期仍通过了议会的进一步审查。 《调查权力法案》于 2015 年问世，因涉及大规模搜集公民数据，民间将其视为“窥探者宪章”，该法案在2016年进行过一次更新。而此次下议院批准的修订后法案，保留了允许英国情报机构大规模收集大量公共数据集的条款，其中包含“谁、何地、何时、如何以及与谁进行通信” 。 该法案还授权执法机构从第三方电信服务提供商处批量收集数据，包括互联网连接记录，例如用户访问的网站的详细信息，这使执法机构能够在用户的 IP 级别处理进一步的数据。 在听证会上，保守派议员兼该法案联合报告员安德鲁·夏普表示，修改后的提案将为英国情报部门提供“维护国家安全的工具”，同时确保执法部门在适当的情况下提出信息请求，以适当的方式将隐私置于核心位置。 听证会结束后，科技行业机构 TechUK 迅速批评该提案，担心该法案可能阻碍“旨在改善消费者隐私、诚信和安全的技术进步”。TechUK 表示，公司的注意力必须转移到满足政府的监控需求上，而不是专注于改善用户隐私和安全。 科技巨头苹果公司也对此提出异议，它告诉英国广播公司，该提案可能允许英国政府“秘密否决全球新的用户保护措施”，这将阻止该公司向其用户推出安全更新。 内政部发言人淡化了这些担忧，称政府支持“创新和隐私”，但表示合法的通讯渠道对于识别儿童性虐待者和恐怖活动至关重要。发言人告诉信息安全媒体集团：“我们一直明确表示，我们支持技术创新以及私有和安全的通信技术，包括端到端加密，但这不能以牺牲公共安全为代价。” 该修订该法案的推动力源于 2023 年 6 月英国议员大卫-安德森（David Anderson）对 2016 年《调查权力法》的审查。一份名为《安德森勋爵报告》（Lord Anderson report）的审查报告称，2016 年版本法律对批量个人数据集处理的限制阻碍了英国情报机构收集大量公共数据集。 目前，批量个人数据集的处理受到 “三重锁定 “授权的限制，要求情报机构首先从国务大臣那里获得拦截或设备干扰的授权令，然后，该授权令必须得到司法专员的批准，并最终得到首相的批准，且授权令的有效期只有 6 个月。他认为，这些限制不利于快速地侦测犯罪和破坏威胁，反过来又对国家安全构成了威胁。 报告还指出，目前一些科技公司推出的端到端加密技术也妨碍了情报机构及时收集数据。 报告建议进一步修订该法案，包括引入新的 “隐私期望值低或无隐私期望值 “的批量个人数据类别，延长数据保留时限，以及对司法专员这一角色进行重新修订。 针对这些建议，立法者提出了最新的法案，对大量个人数据集的范围进行了修订。根据修订后的法案，批量个人数据集可包括任何经同意共享的公共领域数据，包括官方记录、有声读物和播客，以及从在线共享视频中获取的内容。 修订后的提案还将允许情报部门负责人授权收集和处理数据，设立新的调查权力官员，该官员可以提名执法机构的个人担任司法专员一职。法案还建议将截获和保留数据的时间延长至 12 个月。 该法案还取消了先前条例中为确保新闻信息来源安全而设置的保障措施，允许执法机构 “识别任何机密新闻材料 “或 “识别或确认新闻信息来源”。 国际隐私组织（Privacy International）政策官员莎拉-西姆斯（Sarah Simms）表示，政府正在利用拟议修正案淡化《2016 年互联网安全法案》（IPA 2016）中规定的现有保障措施，以减轻执法机构的行政负担。她认为这些措施需要加强，而不是淡化。   转自Freebuf，原文链接：https://www.freebuf.com/news/391658.html 封面来源于网络，如有侵权请联系删除