HackerNews 编译，转载请注明出处： 谷歌发布 Chrome 安全更新，修复了两个漏洞，其中包括一个编号为 CVE-2025-13223 的高危 V8 类型混淆漏洞 —— 该漏洞已被野外活跃利用。 Chrome V8 引擎是谷歌开发的开源 JavaScript 及 WebAssembly 引擎（采用 C++ 编写），为谷歌 Chrome 浏览器、Node.js 等应用程序提供代码执行支持。 类型混淆漏洞是指软件将某块内存错误解读为其他类型对象的安全问题。这种混淆可能导致攻击者破坏内存数据、崩溃程序或执行恶意代码，在浏览器等 C/C++ 开发的应用中较为常见 —— 这类语言较弱的内存安全性为漏洞利用提供了可能。 攻击者可通过构造恶意 HTML 页面触发该漏洞，实现代码执行或导致程序崩溃。 该漏洞影响版本号低于 142.0.7444.175 的谷歌 Chrome 浏览器中的 V8 脚本引擎。 美国国家标准与技术研究院（NIST）在安全公告中指出：“谷歌 Chrome 142.0.7444.175 版本之前的 V8 引擎存在类型混淆漏洞，远程攻击者可通过构造恶意 HTML 页面潜在利用此漏洞实施堆破坏。（Chromium 安全等级：高危）” 公告同时明确：“谷歌已知悉 CVE-2025-13223 漏洞存在野外利用样本。” 该漏洞由谷歌威胁分析小组（TAG）的克莱芒・勒西涅（Clément Lecigne）于 2025 年 11 月 12 日报告。谷歌 TAG 团队主要负责调查国家级黑客组织及商业间谍软件供应商发起的攻击活动，此次漏洞大概率已被某类威胁行为者用于野外攻击。与往常一致，谷歌未披露该漏洞相关攻击事件的具体细节。 此外，谷歌还修复了另一个 V8 类型混淆漏洞 CVE-2025-13224，该漏洞由谷歌通过其 “Big Sleep” 安全机制于 2025 年 10 月 9 日自行发现。 用户应根据自身操作系统，将 Chrome 浏览器更新至 142.0.7444.175 或 142.0.7444.176 版本，并重启浏览器以应用修复补丁。 CVE-2025-13223 是 2025 年以来谷歌修复的第七个被野外活跃利用的 Chrome 零日漏洞，其余已修复的零日漏洞包括： CVE-2025-10585：V8 JavaScript 及 WebAssembly 引擎中的类型混淆漏洞。 CVE-2025-6558：谷歌 Chrome 138.0.7204.157 版本之前的 ANGLE 组件及 GPU 模块存在不可信输入验证不充分问题，远程攻击者可通过构造恶意 HTML 页面潜在实现沙箱逃逸。 CVE-2025-5419：谷歌 Chrome 浏览器早期版本的 V8 JavaScript 引擎存在越界读写漏洞，攻击者可通过构造恶意 HTML 页面触发堆破坏，该漏洞已被野外活跃利用。 CVE-2025-4664：Chrome 浏览器漏洞，可能导致账户完全被盗取；谷歌已知悉该漏洞存在野外利用样本（注：原文此处疑似笔误，误写为 CVE-2025-5419，已按上下文逻辑修正表述）。 CVE-2025-2783：Windows 平台 Mojo 组件在特定场景下存在句柄处理错误漏洞，由卡巴斯基研究员鲍里斯・拉林（@oct0xor）和伊戈尔・库兹涅佐夫（@2igosha）于 2025 年 3 月 20 日报告。谷歌针对 Windows 版 Chrome 浏览器发布了紧急更新以修复该高危漏洞，该漏洞曾被用于针对俄罗斯境内机构的攻击活动。 CVE-2025-6554：V8 JavaScript 及 WebAssembly 引擎中的类型混淆漏洞。 消息来源：securityaffairs.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 攻击者利用谷歌基础设施的漏洞发送伪造邮件，这些邮件通过全部验证但指向收集登录凭证的欺诈页面。 欺诈邮件看似来自”no-reply@google.com”并通过了域名密钥识别邮件（DKIM）认证，但实际发件地址不同。 以太坊域名服务（ENS）首席开发者Nick Johnson收到一封伪装成谷歌安全警报的邮件，声称因执法机构传票要求获取其谷歌账户内容。 该邮件几乎完全仿冒真实警报，甚至被归类至合法安全通知会话中，极易误导非技术用户。然而Johnson发现邮件中的“支持门户”托管在谷歌免费建站平台sites.google.com上，由此产生怀疑。 由于域名归属谷歌，受害者更难识别风险。Johnson指出该钓鱼页面“与真实页面完全一致，唯一破绽在于托管在sites.google.com而非accounts.google.com”。 此次攻击的巧妙之处在于通过DKIM重放攻击使伪造邮件通过验证。邮件详情显示，“mailed-by”标头地址并非谷歌官方地址，收件人地址为攻击者伪造的类谷歌域名邮箱。但邮件仍由谷歌签名发送。 Johnson还原了攻击链条： 1、注册仿冒域名并创建“me@domain”谷歌账户 2、创建Google OAuth应用并将钓鱼信息写入应用名称字段 3、通过大量空白字符分隔合法通知与欺诈内容 4、授权OAuth应用访问邮箱时触发谷歌系统生成含有效DKIM签名的警报邮件 5、将警报邮件转发至受害者邮箱 邮件认证公司EasyDMARC的技术分析证实，由于DKIM仅验证邮件内容及标头而非信封，此类伪造邮件可绕过检测。 攻击者还利用“me@”前缀使Gmail显示邮件直接发送至受害者地址。类似手法已在PayPal平台重现。 3月的攻击中，欺诈者通过PayPal“礼品地址”功能绑定新邮箱，在地址字段插入钓鱼信息。PayPal系统自动发送的确认邮件经攻击者转发至受害者列表。BleepingComputer 就此问题联系了 PayPal，但一直未收到回复。 Johnson 还向 Google 提交了一份错误报告，该公司最初的回复是该流程运行正常。然而，Google 后来重新考虑了这个问题，认为它对用户构成了风险，目前正在努力修复 OAuth 漏洞。 目前已有至少6款信息窃取恶意软件滥用该机制，包括Lumma、Rhadamanthys等家族，可恢复过期谷歌认证Cookie实现持久访问。       消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： 谷歌在 2025 年 4 月的 Android 安全更新中发布了针对 62 个漏洞的补丁，其中包括两个在针对性攻击中被利用的零日漏洞。 其中一个零日漏洞是 Linux 内核 ALSA 设备 USB 音频驱动中的高严重性权限提升安全漏洞（CVE-2024-53197），据报道，塞尔维亚当局利用了这一漏洞来解锁扣押的 Android 设备，这是以色列数字取证公司 Cellebrite 开发的零日漏洞利用链的一部分。 这一漏洞利用链还包括一个 USB 视频类零日漏洞（CVE-2024-53104，已于 2 月修复）和一个人机接口设备零日漏洞（CVE-2024-50302，上个月修复），该链由大赦国际的安全实验室于 2024 年中期发现，当时他们正在分析塞尔维亚警方解锁设备上的日志。 谷歌在 2 月告诉 BleepingComputer，这些修复程序已于 1 月与原始设备制造商（OEM）合作伙伴共享。 “我们在这些报告之前就已知晓这些漏洞及利用风险，并迅速为 Android 开发了修复程序。修复程序已于 1 月 18 日通过合作伙伴咨询共享，”谷歌发言人告诉 BleepingComputer。 本月修复的第二个零日漏洞（CVE-2024-53150）是 Android 内核信息泄露漏洞，由越界读取弱点引起，使本地攻击者无需用户交互即可访问易受攻击设备上的敏感信息。 2025 年 3 月的 Android 安全更新还修复了另外 60 个安全漏洞，其中大多数是高严重性的权限提升漏洞。 谷歌发布了两组安全补丁，分别是 2025-04-01 和 2025-04-05 安全补丁级别。后者提供了第一批的所有修复程序以及针对封闭源第三方和内核子组件的安全补丁，这些补丁不一定适用于所有 Android 设备。 谷歌 Pixel 设备立即接收这些更新，而其他厂商通常需要更长时间来测试和优化安全补丁，以适应其特定的硬件配置。 2024 年 11 月，谷歌还修复了另一个 Android 零日漏洞（CVE-2024-43047），该漏洞最初于 2024 年 10 月被谷歌 Project Zero 标记为已被利用，并被塞尔维亚政府在 NoviSpy 间谍软件攻击中用于针对活动人士、记者和抗议者的 Android 设备。   消息来源：Bleeping Computer；  本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了谷歌云平台（GCP）云运行服务（Cloud Run）的一个现已修复的权限提升漏洞。该漏洞可能会让恶意攻击者访问容器镜像，甚至注入恶意代码。 据网络安全公司Tenable的安全研究员利夫·马坦（Liv Matan）称，该漏洞允许攻击者利用其在谷歌云运行服务中的修订编辑权限，拉取同一账户中的私有谷歌工件仓库（Google Artifact Registry）和谷歌容器仓库（Google Container Registry）镜像。这一安全漏洞被Tenable命名为“ImageRunner”，谷歌已于2025年1月28日完成修复。 谷歌云运行服务是一种完全托管的服务，用于在可扩展的无服务器环境中运行容器化应用程序。当使用该技术运行服务时，会通过指定镜像URL从工件仓库（或Docker Hub）拉取容器镜像以进行后续部署。 问题在于，某些身份虽然没有容器仓库权限，但却拥有谷歌云运行服务修订的编辑权限。每次部署或更新云运行服务时，都会创建一个新版本，而每次部署云运行修订时，都会使用服务代理账户来拉取必要的镜像。 如果攻击者在受害者的项目中获得了特定权限（特别是`run.services.update`和`iam.serviceAccounts.actAs`权限），他们可以修改云运行服务并部署一个新修订版本。在此过程中，攻击者可以指定服务拉取项目内任何私有容器镜像。此外，攻击者还可以访问受害者仓库中存储的敏感或专有镜像，并引入恶意指令，这些指令在执行时可能会被利用来提取机密信息、窃取敏感数据，甚至向攻击者控制的机器打开反向Shell。 谷歌发布的补丁现在确保创建或更新云运行资源的用户或服务账户必须明确拥有访问容器镜像的权限。谷歌在其2025年1月的云运行发布说明中表示：“创建或更新云运行资源的主体（用户或服务账户）现在需要明确的权限来访问容器镜像。”当使用工件仓库时，确保主体在包含容器镜像的项目或仓库上具有工件仓库读者（roles/artifactregistry.reader）IAM角色。 Tenable将“ImageRunner”描述为其所谓的“Jenga”现象的一个实例，这种现象是由于各种云服务的相互关联性导致安全风险传递。“云服务提供商在其现有服务的基础上构建服务。如果一个服务受到攻击或被攻破，那么在其基础上构建的其他服务也会继承风险并变得脆弱。”这种场景为攻击者提供了发现新的权限提升机会甚至漏洞的可能性，同时也为防御者引入了新的隐藏风险。 此次披露发生在Praetorian详细描述较低权限主体如何滥用Azure虚拟机（VM）以控制Azure订阅的几周之后。   消息来源：The Hacker News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 在Gmail诞生21周年之际，谷歌宣布了一项重大更新，企业用户现在只需几次点击，即可向任何平台的任何用户邮箱发送端到端加密邮件。 该功能从今日起以测试版形式推出，允许用户向组织内的Gmail用户发送端到端加密邮件，未来几周将扩展至任何Gmail邮箱，并计划今年晚些时候支持所有邮箱平台。 这一新型加密模式——作为安全/多用途互联网邮件扩展（S/MIME）协议的替代方案——的亮点在于，发送方和接收方无需使用定制软件或交换加密证书。 “这种能力几乎无需IT团队和终端用户付出额外努力，消除了传统IT复杂性和现有解决方案的不佳用户体验，同时保留了增强的数据主权、隐私和安全控制，”谷歌工作空间的乔尼·伯克和朱利安·杜普兰表示。 实现端到端加密邮件的技术是客户端加密（CSE），谷歌已将其应用于Gmail及其他服务，如日历、云端硬盘、文档、幻灯片、表格和Meet。 因此，当向另一位Gmail用户发送端到端加密邮件时，消息会在接收端自动解密。对于非Gmail用户（如微软Outlook），谷歌邮件平台会向其发送一封邀请邮件，邀请其通过受限的Gmail版本查看端到端加密邮件，该版本可通过访客谷歌工作空间账户安全地查看和回复消息。 由于这一过程由客户端加密驱动，数据在传输或存储到谷歌云存储之前会在客户端进行加密，从而使其对包括谷歌在内的其他第三方实体不可读。 不过，客户端加密与端到端加密的一个关键区别在于，客户端使用的加密密钥是在云端密钥管理服务中生成和存储的，这使得组织管理员能够控制密钥、撤销用户对密钥的访问权限，甚至监控加密文件。 “首先，在结构层面，这种方法提供了更全面的加密保护，”伯克和德普兰表示，“无论你向谁发送消息，他们使用什么邮箱，你的消息都会被加密，且你拥有唯一的控制权。只有一套密钥，而你就是唯一拥有它们的人。” “其次，它简单易用，减少了IT团队和用户的摩擦，因为无需成为加密专家就能让其正常工作。这将为团队节省大量时间和金钱，最终为他们提供了一条通往大家渴望的路径：无痛且正常工作的邮件加密。”   消息来源：The Hacker News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌正在以其历史上最大的收购交易，斥资320亿美元全现金收购云安全公司Wiz。 “此次收购代表着谷歌云对人工智能时代两大重要且快速增长趋势的投资：提升云安全能力以及支持多云环境（即使用多个云服务提供商），”这家科技巨头今日表示。 谷歌还表示，此次收购有待监管机构批准，旨在为客户提供一个“全面的安全平台”，以保护现代IT环境。 谷歌云首席执行官托马斯・库里安表示，将谷歌的云服务与Wiz结合，将“推动多云网络安全的采用、多云的使用以及云计算中的竞争和增长”。 Wiz首席执行官阿萨夫・拉帕波特表示，即使交易完成后，Wiz仍将保持作为一个独立的多云平台，并将与其他云公司如AWS、Azure和Oracle合作。 此次发展距离谷歌以54亿美元收购Mandiant还不到三年。此外，在七个多月前，谷歌曾试图以据报道的230亿美元价格收购Wiz但未成功。 谷歌的其他与安全相关的收购包括2012年9月收购的VirusTotal和2022年1月收购的Siemplify。   消息来源：The Hacker News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 2024 年，通过谷歌的漏洞赏金计划（VRP），660 名安全研究员因报告安全漏洞共获得了近 1200 万美元的赏金。 谷歌在去年对 VRP 的奖励结构进行了改革，将单笔最高奖励提升至 151515 美元，而移动 VRP 为顶级应用的关键漏洞提供高达 300000 美元的奖励（对于特别高质量的报告，最高奖励可达 450000 美元）。 去年 7 月，云 VRP 将顶级奖励金额最高上调了五倍，而 Chrome 安全漏洞的赏金如今也已超过 250000 美元。 去年，谷歌还将 MiraclePtr 绕过漏洞的赏金从 100115 美元提高到 250128 美元，翻了一倍多。此外，2023 年 10 月推出的 kvmCTF 新漏洞赏金计划，旨在提升基于内核的虚拟机（KVM）管理程序的安全性，为完整的虚拟机逃逸漏洞提供 250000 美元的赏金。 谷歌表示，自 2010 年首个漏洞赏金计划启动以来，已累计发放 6500 万美元的漏洞赏金，而去年的最高单笔奖励超过 110000 美元。 2024 年，谷歌向 137 名 Chrome VRP 研究员发放了 340 万美元，以奖励他们报告的 137 个有效 Chrome 安全漏洞。 去年，谷歌还向通过 Android 和谷歌设备安全奖励计划以及谷歌移动漏洞赏金计划报告安全漏洞的研究员支付了 330 多万美元。 “2025 年，我们将庆祝谷歌 VRP 15 周年。15 年来，我们始终致力于与安全社区的合作、创新和透明度，未来也将继续如此。” 谷歌表示，“我们的目标仍然是领先于新兴威胁，适应技术发展，并持续增强谷歌产品和服务的安全性。” 2023 年，谷歌向 632 名研究员支付了 1000 万美元，以奖励他们发现并负责任地报告其产品和服务中的安全漏洞。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌宣布推出人工智能（AI）驱动的欺诈检测功能，以保护 Android 设备用户及其个人信息。 “这些功能特别针对对话式欺诈，这种欺诈最初可能看起来无害，但随后会演变为有害情况，”谷歌表示。“而且越来越多的电话欺诈者使用篡改技术来隐藏他们的真实号码，假装成可信的公司。” 该公司表示，他们与金融机构合作，更好地了解客户所遇到的欺诈性质，从而能够设计出能够标记可疑模式的 AI 模型，并在对话过程中提供实时警告，同时不牺牲用户隐私。 这些模型完全在设备上运行，如果检测到可能是欺诈的情况，会提醒用户。用户可以选择忽略或报告并阻止发件人。该设置默认启用，仅适用于设备联系人列表中的电话号码。 科技巨头还强调，用户的对话保持私密，如果他们选择将聊天报告为垃圾邮件，那么发件人详细信息和与该发件人的近期消息将共享给谷歌和运营商。 该功能首先在美国、英国和加拿大以英语推出，计划在稍后进行更广泛的扩展。 此外，类似的电话欺诈检测功能正在扩展到美国所有使用 Pixel 9 及以上版本的英语用户。该功能最初于 2024 年 11 月推出。 值得注意的是，虽然此功能默认是关闭的，以给予用户控制权，但电话音频是临时处理的，在与联系人的电话中从未使用。 “如果启用，欺诈检测会在通话开始和通话过程中发出提示音，通知参与者该功能已开启，”谷歌表示。“您可以在任何时候关闭欺诈检测，无论是在单独通话中还是对所有未来通话。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌正在开发一项名为“屏蔽邮件”的新功能，以增强电子邮件隐私保护。该功能旨在为用户在注册应用程序和服务时生成一次性电子邮件别名。这一功能最初由Android Authority在谷歌Play服务v24.45.33 APK的代码拆解中发现，其目的是对抗垃圾邮件，并保护用户的主Gmail地址不被暴露。 “屏蔽邮件”功能将集成到Gboard的自动填充系统中，允许安卓用户在注册过程中创建随机的一次性电子邮件地址。这一功能与苹果的“隐藏我的邮箱”功能类似，但具有更广泛的谷歌生态系统兼容性。 该功能利用谷歌的自动填充框架，目前该框架在应用程序或网站注册时会提示用户使用保存的登录凭证。“屏蔽邮件”在此基础上新增了一个选项：“使用屏蔽邮件”按钮。激活该按钮后，系统会生成一个独特的别名（例如aq7z9d@shielded.google）。 这些别名通过谷歌的服务器进行路由，将邮件转发至用户的主收件箱，同时隐藏用户的真实地址。重要的是，该系统在服务器端运行，这意味着别名的创建和管理依赖于谷歌的后端基础设施，目前该功能尚未正式推出。 APK代码显示，用户可以通过Gmail设置禁用任何别名的转发功能，从而有效阻止垃圾邮件来源。该功能预计将在“转发和POP/IMAP”选项卡中，用户可以在此处切断别名与主账户之间的关联。Android Authority的预览显示，该功能的用户界面已集成到Gboard中，在电子邮件字段交互时会作为上下文建议出现。 “屏蔽邮件”的架构解决了两个关键的隐私挑战：跨服务跟踪和数据泄露风险。通过为每个应用程序或网站分配独特的别名，用户可以分散自己的数字足迹，防止第三方将不同平台上的活动关联起来。例如，购物应用和健身服务将收到不同的别名，从而隔离潜在的数据泄露风险。如果发生数据泄露，用户可以停用被泄露的别名，而不会影响主邮箱。 该功能还更新了谷歌现有的别名方法，例如“+”标签（如user+newsletter@gmail.com），许多服务目前已不再支持这种方法。与静态后缀不同，“屏蔽邮件”的随机别名更难被过滤，因此具有更强的反垃圾邮件能力。此外，与需要手动创建别名的第三方服务（如TempMail）相比，该功能简化了工作流程。谷歌此举是在苹果2021年为iCloud+用户推出“隐藏我的邮箱”功能之后的类似举措，该功能同样可以生成一次性地址。然而，“屏蔽邮件”集成在Gboard和自动填充系统中，使其成为安卓系统级工具，无需第三方密码管理器即可实现类似功能。 这一集成可能会使超过30亿活跃安卓设备用户能够使用电子邮件掩码功能，与苹果的付费解决方案不同。 开发者指出，该功能可能会减少对基于OAuth的登录方式的依赖，这种登录方式允许应用程序访问谷歌账户信息。通过将身份验证与电子邮件暴露解耦，“屏蔽邮件”为那些对分享个人数据持谨慎态度的用户提供了一个折中方案。 尽管代码提交证实了该功能的开发进展，但谷歌尚未公布发布时间表。关键未知因素包括： 别名有效期：地址是一次性使用后过期，还是可用于重复交互。 跨平台支持：是否会扩展到iOS或桌面环境。 盈利模式：关于与谷歌One订阅服务关联的猜测，尽管初步报告显示该功能可能会广泛提供。 安全专家强调，“屏蔽邮件”的有效性取决于邮件转发的可靠性以及谷歌防止别名劫持的能力。与苹果的系统一样，目前尚无法确认转发邮件是否采用端到端加密。 “屏蔽邮件”是谷歌自采用SMTP STARTTLS以来在电子邮件隐私方面迈出的最重要一步。通过将一次性别名嵌入安卓核心工作流程，该公司可能会改变用户管理数字身份的方式——减少垃圾邮件，降低数据泄露风险，并限制跨应用跟踪。随着开发的持续推进，该功能的成功将取决于无缝集成和透明的用户控制，确保在不牺牲便利性的前提下保护隐私。   消息来源：Cybersecurity News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌云宣布在其云密钥管理服务（Cloud KMS）中引入量子安全数字签名功能，目前该功能已在预览版中提供。 这家科技巨头表示，这一举措符合美国国家标准与技术研究院（NIST）的后量子密码学（PQC）标准，旨在应对量子计算可能破坏经典加密方案的未来风险。 鉴于谷歌云被金融机构、大型企业、政府机构、关键基础设施单位和软件开发者广泛使用，引入量子安全加密对于保护敏感数据免受高级攻击至关重要。 量子就绪的 Cloud KMS Cloud KMS 是谷歌云的加密密钥管理工具，用于安全地生成、存储和管理用于加密和签名数据的加密密钥。 使用传统的公钥密码学（如 RSA 和 ECC），客户面临未来通过所谓的“现在收集，以后解密”（HNDL）攻击暴露数据的风险。 尽管目前尚不存在能够破解当前加密方案的量子计算机，但所有专家都一致认为 HNDL 风险过高，不可忽视。微软宣布其 Majorana 1 芯片取得突破，这标志着向构建未来量子计算机迈出了关键一步，进一步加剧了这一担忧。 为了帮助保护我们的数据免受未来量子计算的威胁，谷歌现在正在将抗量子密码学集成到 Cloud KMS（软件）和 Cloud HSM（硬件安全模块）中。 采用的两种算法是 ML-DSA-65（FIPS 204），一种基于格的数字签名算法，以及 SLH-DSA-SHA2-128S（FIPS 205），一种无状态的基于哈希的数字签名算法。 “今天，我们很高兴地宣布在谷歌云密钥管理服务（Cloud KMS）中推出量子安全数字签名（FIPS 204/FIPS 205），用于软件密钥，目前该功能已在预览版中提供，”谷歌在公告中表示。 “我们还分享了谷歌云加密产品的后量子战略的高层次视图，包括 Cloud KMS 和我们的硬件安全模块（Cloud HSM）。” Cloud KMS 现在允许用户使用这些新的 PQC 算法进行数字签名的签名和验证，就像使用传统密码学一样。 这些加密实现将通过 BoringCrypto 和 Tink 库开源，保持透明度并允许独立的安全审计。 谷歌邀请各组织开始测试和集成抗量子算法到现有部署中，并报告他们的反馈，以帮助解决任何问题。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文