Google 官方博客宣布将于 3 月份在 Apache 2 许可证下开源 Google Earth Enterprise（ Google 地球企业版，简称GEE），源代码将托管在 GitHub 上。GEE允许开发者构建和托管自己的私有地图和 3D 地球仪。开源的产品包括了 GEE Fusion、GEE Server 和 GEE Portable Server。Google 是在 2015 年 3 月宣布弃用和终止企业版销售。为了给客户足够的时间过渡，Google 提供了两年的维护期，这一维护期将于 3 月 22 日结束。Google 称，开源 GEE 将给予客户社区继续改进和推进该项目。Google 表示， Google Earth Enterprise 客户端、Google Maps JavaScript® API V3 和 Google Earth API 并不开源。 稿源：cnbeta，有删改，封面来源：百度搜索

Google 已经正式宣布推出自有 CA 根证书，这意味着该公司在“自力更生”的道路上更进了一步。这项措施将确保 Google 能够摆脱对由第三方签发的中级证书颁发机构的依赖（本例中为 GIAG2）。该公司一直致力于为全线产品和服务推出 HTTPS 服务，而这显然需要寻求一个更快的方法和更多的控制。 这也是“谷歌授信服务”（Google Trust Services）诞生的基础，它将代表 Google 及其母公司 Alphabet 来运营这些 CA 根证书服务。当然，整个过程还是需要一定时间的。因此 Google 收购了两家现有的根证书机构 —— GlobalSign R2 和 R4 —— 以便该公司更快地开始发行自有证书。 稿源：cnbeta，有删改，封面来源：百度搜索

近日，安全专家 克雷格·阿伦特（@craig_arendt）发现基于 EPub 服务的各大电子阅读器漏洞，能够同时影响亚马逊、苹果、谷歌等厂商。开源的 Java 库 “EpubCheck”被用于将内容转换为通用电子书格式，专家在 EpubCheck 库中发现了 XXE 漏洞可影响主要的 EPub 服务，或可导致信息泄露和拒绝服务。 EPub（Electronic Publication的缩写，意为：电子出版），是一个自由的开放标准，其文字内容可以根据阅读设备的特性，以最适于阅读的方式显示。（百度百科） 此次漏洞会影响支持 EPub 的服务和阅读器，如： EpubCheck <= 4.0.1 （验证 EPub 的工具） Adobe Digital Editions <= 4.5.2 （电子书阅读器） 亚马逊 KDP （Kindle 在线出版服务） Apple Transporter 以及 Google电子书上传服务等 研究人员着重测试过 “EpubCheck” ，发现了 XML 外部实体注入（XXE）问题。“验证工具（EpubCheck）易受 XXE 攻击，因此任何依赖此版本工具来检查图书有效性的应用程序都容易受到这种类型的攻击。”阿伦特解释称，亚马逊的 Kindle 文件上传服务存在一个 XXE 漏洞，或可被攻击者利用来窃取书籍和资料；类似的漏洞也影响 Apple Transporter 服务，攻击者能将恶意制作的图书发送到 App Store，在 EPub 解析过程中可能导致用户信息泄露；Google Play 图书服务虽不受 XXE 漏洞的影响，但专家发现了触发 XML 实体扩展漏洞的可能性，攻击者能够利用漏洞通过爆炸式增长的数据解析请求来导致拒绝服务。 目前，以上所有供应商都已对易受攻击的 EPub 漏洞进行了修复。 稿源：HackerNews.cc 翻译/整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。

臭名昭着的黑客组织 Carbanak 不断寻求“隐身”技术来逃避侦测，近日安全公司 Forcepoint 发现，黑客组织使用武器化的 RTF 格式文档传播恶意软件并利用 Google 服务来进行 C&C 通信隐藏通信流量，减少被发现的几率。 该恶意软件归属于黑客组织 Carbanak （也称为 Anunak ）。此前黑客组织 Carbanak 在 2015 年利用该软件从全球 30 个国家 100 多家的金融机构窃取了 10 亿美元。   Forcepoint 安全实验室发现，犯罪团伙以钓鱼邮件形式将恶意软件隐藏在 RTF 附件中。该文档中嵌入了一个 OLE 对象，其中包含此前恶意软件 Carbanak 的 Visual Basic 脚本（ VBScript ）。当用户打开文档时，他们将看到一个图像，该图像旨在隐藏文件中嵌入的 OLE 对象，并诱使受害者双击打开它。 越来越多的网络罪犯开始使用 Microsoft Office 的 OLE 对象嵌入功能来隐藏恶意软件，而不是现在烂大街的宏功能。 研究人员还发现了一个“ ggldr ”脚本模块，该脚本会通过 Google Apps 脚本、 Google Sheets spreadsheet 和 Google Forms 服务发送和接收命令。对于每个受感染的用户，系统都会动态创建一个唯一的 Google Sheets spreadsheet，以便管理每个受害者。首先恶意软件使用感染用户的唯一 ID 与硬编码的 Google Apps 脚本网址进行通信联系，C＆C 会回应不存在该用户信息。接下来，恶意软件会向另一个硬编码的 Google Forms 网址发送两个请求，为受害者创建唯一的 Google Sheets spreadsheet 和 Google Forms ID 。下次请求 Google Apps 脚本时，C＆C 会回应这些详细信息。 由于很多企业机构都使用 Google 服务，所以一般都不会拦截合法的 Google 流量，从而大大增加攻击者成功建立 C＆C 通信渠道的可能性。   稿源：HackerNews.cc 翻译整理，封面：securityaffairs 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。

据外媒报道，谷歌的巴西域名遭劫持，用户登录谷歌页面显示的不在是“ Google ”标志而是一张日本漫画照片并配上一段英文文字。 上图为当时显示的“ Google ”主页面 事件发生在当地时间周二下午，起初有用户表示 Google 主页域名已失效了，随后一些大型新闻门户网站开始陆续报道此事。谷歌官方也迅速介入调查，并查明：谷歌域名并未遭黑客入侵，而是巴西当地的 DNS 服务提供商遭黑客入侵、篡改了 DNS 服务器配置信息。谷歌立即将结果告知当地服务商并督促其紧急修复，30 分钟后 DNS 服务器问题被修复，用户可以继续访问 Google 页面。 黑客 Kuroi’SH 声称为此事负责,但没有解释攻击原因。研究人员调查发现黑客篡改了该区域 DNS 解析服务器的配置，将“ google.com.br ”解析后的地址进行重定向。【详细内容】 稿源：HackerNews.cc 翻译整理，封面来源：Google 截图。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

假新闻的传播一直是让 Facebook 和 Google 头疼的问题，两家公司为了筛除这类链接，在算法更新上下了不少功夫，却只是杯水车薪。近日，用户从 Google 上输入“总统是否能第三次竞选”，出来的结果却是一家名为 NewsExaminer.net 网站上的假新闻，它宣称奥巴马宣布将再次竞选总统，这一消息“震惊全美”。事实上，美国宪法规定总统是不能连任三届的。 Google 方面曾表示，搜索展示的结果都是经过程序筛选的，没有任何人工参与。有人用 Google 的个人助手 “Google Home” 测试同样的问题，Google Home 给出的搜索结果仍然是 NewsExaminer 的“爆炸新闻”。不过，如果把问题换成“美国总统是否可以参与第三次竞选？”Google Home 给出的答案就是美国宪法第 22 条修正案。 这并非 Google 第一次遭遇程序性假新闻。今年 11 月美国总统选举期间，搜索“最终总统票选”时 Google 给出的回答是：川普赢得了大众选票（实际上还没有）。相关文章是一个名为 WordPress 的播客所写，而 Google 的“In the News”算法将其挑选了出来。在这起错误报道美国总统大选结果之后，Google 决定取消其 “In the News” 功能。 Google 的 CEO Sundar Pichai 曾表示假新闻可能会对选举结果产生影响，因此必须被制止，“假新闻不应有任何传播的机会，我们都在为实现这一目标而努力。” 谷歌目前还未就此事发表回应。 稿源：cnbeta，有删改；封面：百度搜索

著名第三方安卓团队 “Cyanogen” 上周宣布关闭所有服务，Android 发行版 CyanogenMod 背后的开发团队则另立门户，改名为 LineageOS。随着 Cyanogen 的解散，Google 对 Android 生态系统的控制比以往任何时候更严密。Cyanogen 从来不是 Google 控制 Android 的严重威胁，但它的解散仍然代表着 Google 的一大胜利。 Cyanogen 或主要通过其资助的开源发行版 CyanogenMod 代表了 Android 的开放精神，为 Android 基础系统增加了定制性和新功能，而 Google 为了控制和防止 Android 的碎片化而将越来越的功能从开源系统 AOSP(Android Open Source Project)中剥离出去，在 Google 的保护伞下推出越来越多的闭源应用。Google 还制定了规则对制造商进行控制。 稿源：solidot 奇客，有删改；封面：百度搜索

Google 在今年 10 月更新《透明度报告》时曾表示，“ FBI 已根据《美国自由法案》对 2015 年下半年签发的一封国家安全信函 (NSL) 解除了言论禁止令。为了反映这一变化，我们已将相应时段内（2015 年 7 月至 12 月期间）收到的国家安全信函的范围从 0-499 更新至 1-499。” 近日，Google 官方博客直接公开了 2010 年到 2015 年间收到的 8 封国家安全信函。大部分国家安全信函都是寻求访问 Gmail 账号，发出国家安全信函的机构包括了 FBI 在北卡夏洛特的办公室，来自佛罗里达、亚利桑那、纽约和加利福尼亚的办事处。Google 表示，此举旨在增加透明度。 来自 NSL 和美国联邦调查局的 8 封信件： NSL-10-272979 (FBI notice) NSL-13-375880 (FBI notice) NSL-14-394627 (FBI notice) NSL-14-395838 (FBI notice) NSL-14-396103 (FBI notice) NSL-14-396300 (FBI notice) NSL-15-417535 (FBI notice) NSL-15-418313 (FBI notice) 稿源：solidot奇客，有改动；封面：百度搜索

欧盟委员会周日表示，Facebook、Twitter、谷歌旗下 YouTube 以及微软等美国科技巨头必须加快速度打击网络仇恨言论，否则欧盟将借助法律强制他们这么做。 早在这一警告 6 个月前，这些科技巨头就已经签署了一项自愿行为准则，同意 24 个小时之内在欧洲采取措施打击仇恨言论。这些措施包括在必要情况下移除或者禁止访问相关仇恨言论内容，加强与公民社会组织的合作，针对仇恨言论提出“相反的论述”(counter-narratives)。然而，欧盟委员会称，美国科技巨头对于行为准则的遵守情况很难令人满意。在前 24 小时内，他们只审核了 40% 的已记录案例”欧盟委员会官员称，“ 48 小时后，审核的案例比重上升到 80% 以上。这表明，我们制定的目标是切实可行的，但是这需要IT公司做出更大努力。” 欧盟委员会称，他们可能会制定法律来迫使 IT 公司加快打击仇恨言论。除非，科技公司加快行动，证明非立法措施也可以奏效。 稿源：cnbeta.com节选，封面来源：百度搜索

10 月 31 日，Google 官方安全博客披露了正被黑客利用的一个 Windows 本地提权漏洞。该漏洞位于 Windows 内核，可通过 win32k.sys 系统调用 NtSetWindowLongPtr() 触发，可用于安全沙盒逃脱等。Chrome 最新版已暂时限制 win32k.sys 的系统调用。目前微软尚未来得及更新漏洞补丁，而 Google 则表示本次披露符合官方的漏洞披露政策。 有消息指出，目前已发现有军事情报背景的 APT 组织正利用最新的 Windows 内核、Adobe Flash 0-day 漏洞进行针对性攻击，该组织是被外界成为 “APT28” 的俄罗斯网络间谍组织，而 “APT28” 的目标主要又是政府机构、外交机构、军事组织、国防承包商和公共政策研究机构。 微软方面表示或在 11 月 8 日释出新补丁。 稿源：本站翻译整理，封面来源：百度搜索