麻省理工学院研发 Metior 框架 一种对抗侧信道攻击的秘密武器
以确定攻击者能从计算机程序中窃取多少秘密信息。精明的黑客可以通过观察计算机程序的行为（如程序访问计算机内存的时间）来获取密码等秘密信息。完全阻止这些”侧信道攻击”的安全方法在计算上非常昂贵，因此对许多现实世界的系统来说并不可行。取而代之的是，工程师们通常采用所谓的混淆方案，试图限制而非消除攻击者获取秘密信息的能力。 为了帮助工程师和科学家更好地了解不同混淆方案的有效性，麻省理工学院的研究人员创建了一个安全框架，用于定量评估攻击者能够从采用混淆方案的受害程序中获知多少信息。 名为Metior的框架允许用户研究不同的受害者程序、攻击者策略和混淆方案配置如何影响敏感信息的泄露量。开发微处理器的工程师可利用该框架评估多种安全方案的有效性，并在芯片设计早期确定哪种架构最有前途。 “Metior帮助我们认识到，我们不应该孤立地看待这些安全方案。分析混淆方案对某一特定受害者的有效性非常诱人，但这无助于我们理解这些攻击为何有效。从更高的层次看问题，我们就能更全面地了解实际情况，”研究生、Metior公开论文的主要作者Peter Deutsch说。 Deutsch的合著者包括麻省理工学院电气工程与计算机科学研究生Weon Taek Na、瑞士联邦理工学院（EPFL）助理教授Thomas Bourgeat博士（23岁）、麻省理工学院计算机科学与电气工程实践教授Joel Emer，以及资深作者、麻省理工学院电气工程与计算机科学（EECS）Homer A. Burnell职业发展助理教授、计算机科学与人工智能实验室（CSAIL）成员严孟嘉。这项研究上周在国际计算机体系结构研讨会上发表。 揭示混淆 安全行业内存在许多混淆方案，但流行的方法通常是通过在受害者的行为中添加一些随机化因素来使攻击者更难获取机密。例如，混淆方案可能涉及程序访问计算机内存的其他区域，而不是只访问需要访问的区域，以迷惑攻击者。还有一些方法会调整受害者访问内存或其他共享资源的频率，使攻击者难以发现清晰的模式。 但是，尽管这些方法使攻击者更难得手，但受害者的一些信息仍会”泄露”出去。Yan和她的团队想知道泄漏了多少。 他们之前开发了CaSA，这是一种量化特定类型混淆方案所泄露信息量的工具。但对于Metior，他们有更远大的目标。该团队希望推导出一个统一的模型，用于分析任何混淆方案，甚至是尚未开发的方案。 为了实现这一目标，他们设计了Metior，将通过混淆方案的信息流映射为随机变量。例如，该模型将受害者和攻击者访问计算机芯片上的共享结构（如内存）的方式映射成数学公式。 在Metior得出该数学表述后，该框架利用信息论的技术来理解攻击者如何从受害者那里获取信息。有了这些碎片，Metior就可以量化攻击者成功猜测受害者秘密信息的可能性。 “我们将这种微架构侧通道的所有细枝末节都映射成数学问题。”Deutsch说：”一旦我们做到了这一点，我们就可以探索许多不同的策略，更好地理解如何通过微小的调整来帮助您抵御信息泄露。” 令人惊讶的见解 他们在三个案例研究中应用了Metior，以比较攻击策略并分析最先进的混淆方案造成的信息泄露。通过评估，他们看到了Metior如何识别以前尚未完全理解的有趣行为。 例如，先前的分析确定了某种类型的侧信道攻击（称为概率素数和探测）是成功的，因为这种复杂的攻击包括一个初步步骤，即对受害者系统进行剖析，以了解其防御能力。 他们利用Metior表明，这种高级攻击实际上并不比简单、普通的攻击更有效，而且它利用的受害者行为与研究人员之前想象的不同。 展望未来，研究人员希望继续增强Metior，以便该框架能够以更有效的方式分析非常复杂的混淆方案。他们还希望研究更多的混淆方案和受害者程序类型，并对最流行的防御措施进行更详细的分析。 最终，研究人员希望这项工作能激励其他人研究微架构安全评估方法，以便在芯片设计过程中尽早应用。 “任何一种微处理器的开发都异常昂贵和复杂，而且设计资源极其稀缺。在公司投入微处理器开发之前，有一种评估安全功能价值的方法极为重要。”Emer说：”这正是Metior允许他们以非常普遍的方式做到的。” 转自cnBeta，原文链接:https://www.toutiao.com/article/7255192298588504615/?log_from=a9e7a42a51fc2_1689239958844&wid=1689239987335 封面来源于网络，如有侵权请联系删除
遭黑客攻击隐忧尚存 日本约6成地方政府网站安全加密措施落后
环球网报道，根据日本一项民间调查，日本全国6成地方政府对作为官网安全对策之一的“https加密”应对落后，网站用户的通信内容有被怀恶意的黑客盗看的隐忧。在日本中央政府6月公布的安全对策标准修正案中，写入了中央省厅网站“有义务”实行https加密。预计今后也将敦促地方政府网站采取措施。 据日本共同社7月14日报道，实施调查的日本信息经济社会推进协会(东京)透露，虽然许多日本地方政府对咨询栏等部分网页实施了加密，但截至6月上旬，仅有37.4%的地方政府采取了保护全部网页安全的加密。所有地方政府中，都道府县政府采取这种加密的占48.9%，但市町村政府仅为37.0%。 被加密的网址前缀有“https”。未采取加密的情况下，存在输入网页的内容被黑客读取，或被诱导至窃取个人信息的“假网站”的隐忧。据称，若在外使用信用度可疑的无限局域网，风险较高。 该协会指出，公共机构的网站必须要有高可信度。负责该调查的高仓万记子表示，“不应让居民浏览主页时感到不安。也有地方政府指出没有应对的理由在于预算不足，但难道不是认识上的不足吗?” 从日本各都道府县来看，鸟取县的10.0%为最低，德岛、冲绳、熊本、岩手各县均为不到20%。最高为爱媛县71.4%。京都府、佐贺县位列其后。共同社的调查显示，中央省厅截至本月14日的安全加密应对占比为50.0%。总务省和经济产业省没有进行加密。 自本月下旬开始，通信未加密的网站将在美国谷歌公司最新的浏览器中被标记该页未被保护以示警告。若来不及应对，可能出现用户把网站误认为“冒牌网站”等混乱。 稿源：环球网，记者：王欢，封面源自网络；
CrowdStrike 全球威胁报告指出：勒索和数据武器化等已成网络犯罪主流
先进攻击战略的传播已经模糊了治国方略和谍报技术之间的界限，使威胁局面超越了传统安全措施的防御能力。根据 2018 年 “ CrowdStrike 全球威胁报告 “显示：通过分析 176 个国家每天 1000 亿件事件的综合威胁数据发现，勒索和数据武器化已成为网络犯罪分子的主流，严重影响了政府、医疗以及其他行业。导致这种情况的部分原因是由于与国家有关的网络攻击活动和有针对性的勒索软件数量正在增加，不过也有可能受到地缘政治甚至是军国主义剥削目的的影响。 此外，供应链泄露、加密欺诈以及采矿业务为国家资助者和网络犯罪人士提供了新的攻击手段。 CrowdStrike 的联合创始人兼首席技术官 Dmitri Alperovitch 表示：“ 我们已经看到网络对手发起了大规模的破坏性攻击，导致机构组织在数天或数周内无法正常运营。在未来的一段时间内，安全团队很可能在及时发现、调查和防御攻击方面面临着更大的压力。” 除此之外，报告还显示，一些已经建立的、资源充足的网络操作不断创新，例如探索分发犯罪软件的新方法，并采用先进的战术渗透，从而摧毁系统。 以 2017 年为例，CrowdStrike 观察到 ，约有 39％的攻击活动中传统防病毒软件无法检测到恶意软件的入侵，其中制造业、服务业和制药行业面临着最多数的恶意软件威胁。目前根据 CrowdStrike 统计， 2017 年的平均 “ 突破时间 ” 为 1 小时 58 分钟（突破时间表示攻击者从入侵的初始系统横向移动到网络中的其他机器所花费的时间——译者注）。 CrowdStrike 情报副总裁 Adam Meyers 表示：“ 现在各国与网络犯罪人士之间的界限日益模糊，以至于威胁的复杂性提升到了一个新的高度。” 消息来源：infosecurity，编译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。