-
-
【每日安全资讯】只需发送一条短信 黑客就能成功入侵你的iPhone| 8月9日
-
发表于: 2019-6-3 11:05
-
8月 每天最新的安全资讯将在本帖进行持续更新
2019年8月9日 星期五
1、 只需发送一条短信 黑客就能成功入侵你的iPhone
正在拉斯维加斯举办的黑帽安全峰会上，来自Google Project Zero团队的安全专家Natalie Silvanovich展示了存在于Apple iOS iMessage客户端中的无交互漏洞，只需要一条短信就可通过这些漏洞来控制用户的设备。目前苹果已经发布了这些BUG的部分安全补丁，但是并没有完全进行修复。
这些漏洞可以变成各种BUG，用于执行恶意代码以及访问用户的数据。所以最糟糕的情况就是有黑客利用这些错误来伤害用户。Silanovich与Project Zero成员SamueLGroß合作发现这些漏洞，通过逆向工程之后在iMessage中发现了多个可利用的漏洞。
出现这些漏洞的原因是因为iMessage提供了一系列通信选项和功能，例如Animojis和Apple Pay等等，这必然带来了更多的BUG和漏洞。这个无交互漏洞允许黑客从用户的信息中提取信息。这个漏洞还允许攻击者向目标发送特制的文本内容，偷换SMS短信或者图片中的内容。
虽然iOS通常具有阻止攻击的保护措施，但这个漏洞利用了系统的底层逻辑，因此iOS的防御措施将其解释为合法。由于这些漏洞全程不需要受害者参与，因此特别受到暗网和黑客组织的青睐。 Silanovich发现，这些漏洞在暗网上价值可能达到数千万美元。
Silanovich表示：“在像iMessage这样的程序中会有很多额外的攻击。个别错误相当容易修补，但你永远无法找到软件中的所有错误，你使用的每个库都将成为一个攻击面。因此，设计问题相对难以修复。”
2、 波音泄漏代码暴露 787 安全漏洞
《连线》报道了 IOActive 公司的安全研究员 Ruben Santamarta 对泄漏的波音代码的研究。Santamarta 业余时间用于专研飞机的网络安全。去年九月，他无意发现波音公司的一台服务器没有任何密码保护，服务器储存了波音 737 和 787 客机的代码。
他下载了这些代码。在大约一年之后，Santamarta 声称他从 787 的代码中发现了安全漏洞，可被黑客作为入侵的起点，进一步渗透到飞机的安全敏感系统。
他将在拉斯维加斯举行的 Black Hat 安全会议上披露其发现，包括在 Crew Information Service/Maintenance System（CIS/MS）中发现的多个漏洞。
CIS/MS 负责维护系统和电子飞行包等应用。Santamarta 称他在 CIS/MS 中发现了多个内存损害漏洞，可作为入侵飞机安全系统的立足点。
波音否认了这一说法，称漏洞不会影响任何关键或必须的飞行系统，它在飞行模式下尝试利用这些漏洞，但没有成功。
来源：solidot.org
3、 KDE存在一个易于被利用的 0day 漏洞 影响广泛
安全研究员 Dominik Penner 披露了 Linux KDE 桌面环境上存在的一个 0day 漏洞。根据 Dominik 的说法，此漏洞存在于 KDE v4 与 v5 版本中，该漏洞使得嵌入在 .desktop 和 .directory 文件中的命令在打开文件夹或者将压缩文件夹提取到桌面时即可执行，目前几乎所有 Linux 发行版都在使用易受攻击的 KDE 版本。
.desktop 和 .directory 文件是符合 freedesktop.org 标准的桌面环境使用的配置文件，它们用于配置应用和文件夹的显示方式。.desktop 文件用于在 KDE 菜单中注册应用程序，而 .directory 文件用于描述 KDE 应如何显示文件夹。
在 BleepingComputer 的采访中，Dominik 解释：“KDE 4/5 容易受到 KDesktopFile 类中的命令注入漏洞的攻击。当实例化 .desktop 或 .directory 文件时，它通过 KConfigGroup::readEntry() 函数使用 KConfigPrivate::expandString() 不安全地评估环境变量和 shell 扩展。使用特制的 .desktop 文件，当用户在文件管理器中下载和查看文件，或者将链接拖放到文档或桌面上，就会被攻击。”
问题主要出在 KDE 允许 Shell 扩展通过环境变量或执行命令动态生成字段的值，“它们使用与 freedesktop 规范相同的语法，但是因为它们也允许 Shell 扩展（freedesktop 不允许这样做），所以这是可利用的。”
如开头 gif 所示，BleepingComputer 做了个简单的测试，可以很直观地了解该漏洞的执行过程。
该测试特别简单，测试者创建了一个 ZIP 文件，其中包含了一个带有 .directory 文件的子文件夹，在该配置文件的 icon 字段中，嵌入了一个启动并执行 kcalc 计算器的 test.sh 脚本。
因为目前无法关闭 KDE 桌面的 Shell 扩展来缓解该问题，所以 Dominik 建议用户检查每一个 .desktop 或 .directory 文件并禁用任何动态条目。
来源：开源中国
2019年8月8日 星期四
1、 IBM X-Force Red发现新型网络风险：用邮寄方式入侵WiFi网络
IBM X-Force Red是隶属于IBM Security的一个资深安全团队，主要目的是发现和防范网络中存在的潜在漏洞。今天该团队发现黑客可以利用网络安全的潜在漏洞渗透网络，实现访问设备以及窃取设备上的数据。这项新技术被X-Force Red称为“Warshipping”，黑客会在包裹内部署一个名为“战舰”（WarShip）的巴掌大小计算机，并通过快递方式将其运输到指定机构，随后入侵这些机构的WiFi内部网络。
和Wardialing或者Wardriving这样的传统方式不同，Warshipping是一种支持3G网络的设备，因此避免了传统方式必须要在黑客设备范围内的局限性，能够更加灵活的进行远程和现场控制。
一旦到达目标站点，设备就会留意可用于探测网络的潜在数据包。 IBM X-Force Red的全球管理合伙人Charles Henderson记录了该团队进行被动无线攻击的过程：
举个例子我们听到了一次握手，一个信令表明设备建立了网络连接。其中一个WarShip设备将捕获的哈希传送到我们的服务器，然后我们利用后端进行破解，基本上就是用户的无线密码，然后获得WiFi的掌控权。
一旦WarShip成功入侵机构的WiFi，并且随后对所有与其连接的设备进行访问。该WarShip设备还会创建自己的流氓WiFi网络，迫使目标设备连接到该网络。自此该机构的关键信息，例如用户名和密码都会发送给黑客，以便于黑客进行后续的网络攻击。
查尔斯通过总结了该团队的调查结果：在这个warshipping项目中，遗憾的是，我们能够建立持久的网络连接并获得对目标系统的完全访问权限。
需要部署到站点的设备基本上由单板计算机（SBC）组成，该计算机在传统的手机可充电电池上运行。此外，使用现成的组件，制作成本仅约100美元，而且它看起来就像是用于学校展示的DIY项目，而不是用于入侵网络的设备。
来源：cnBeta.COM
2、 谷歌高级保护计划可帮用户阻止Chrome下载危险文件
据theverge报道,从今天开始,加入谷歌高级保护计划（Google’s Advanced Protection Program）的用户在Chrome上下载文件时名将额外的保护措施。该计划为新闻记者、活动家、政治家和商业领袖等高知名度的谷歌账户用户带来更高的安全性和保护。
谷歌方面表示,加入了谷歌高级保护计划的用户只要打开Chrome同步功能,就能使用该功能。当用户下载一个Chrome检测为存在危险的文件时,Chrome会发出警告,甚至阻止下载。
谷歌称,增加这项功能可以更好地防范通过链接恶意软件和意外下载有害软件。
图片来自于谷歌
目前,谷歌高级保护计划已经针对谷歌账户进行了几项安全改进。例如,该计划要求两个物理安全密钥(一个充当备份)。注册后,用户需要用密码以及密匙才能登陆谷歌账户,并显示外部访问 Gmail、 Drive 文件、Google应用程序等等。如果用户需要恢复对其帐户的访问,还有其他验证步骤来验证身份。
来源： ChinaZ 站长之家
3、 分析显示荷兰人喜欢用常规单词、足球队或地名作为密码
据外媒报道，来自密码相关网站Scattered Secrets的一项最新分析显示，荷兰人在选择安全可靠的密码上跟世界其他国家的人一样糟糕。虽然大多数科技迷都知道使用一个值得纪念的短语或存储在储物柜里的长而晦涩的字符作为密码，但很多人更喜欢选择一些容易记住的东西。
资料图
跟美国人或英国人使用的密码--通常会是一串数字或含有一些英文字母--不同的是，荷兰人的密码则显得与众不同，在他们使用密码中排在前十的就有诸如welcome、password等荷兰语变体单词。分析还发现，跟足球队相关的密码也非常受欢迎，像“费耶诺德队(feyenoord)”排在第15位、“阿贾克斯(ajax)”排在第30位。“阿姆斯特丹(amsterdam)”和“鹿特丹(Rotterdam)”等地名也进入了前25名。
以下为荷兰最容易被黑的前十密码：
123456
qwerty
123456789
welkom
12345
password
welkom01
wachtwoord
1234
12345678
来源：cnBeta.COM
2019年8月7日 星期三
1、 破坏型攻击爆发：制造业沦为重灾区
研究人员表示在过去6个月中网络攻击所造成的破坏力翻倍，而且受影响的组织中有50％属于制造业。基于近阶段的网络攻击，本周一IBM的X-Force IRIS事件响应团队发布了新的安全研究报告，强调破坏型恶意软件正在快速爆发。通过对恶意代码的分析发现，诸如Industroyer，NotPetya或Stuxnet在内的恶意程序不再是纯碎的窃取数据和秘密监控，而是造成更有破坏力的伤害。这些破坏行为包括锁定系统、让PC崩溃、渲染服务不可操作以及删除文件等等。
研究人员表示：“在历史上，像Stuxnet，Shamoon和Dark Seoul这样的破坏性恶意软件通常是被有国家背景的黑客所使用。不过自2018年年末以来，网络攻击份子开始不断将这些破坏型代码整合到自己的攻击中，例如LockerGoga和MegaCortex这样的新型勒索软件。”
而制造业是这些攻击的主要目标，目前曝光的案件中50%以上和工业公司有关。其中石油、天然气和教育领域的组织是重灾区，非常容易受到这种类型的攻击。最常见的初步感染手段就是网络钓鱼电子邮件，然后窃取进入内部网络所需要的电子凭证，注水漏洞攻击，劫持目标连接从而让对方妥协。
在发动恶意攻击之前，一些黑客将潜伏在公司系统中数月。IBM的X-Force IRIS事件响应团队的全球补救负责人Christopher Scott表示：“目前在破坏型恶意软件中存在另种攻击行为，前期保持缓慢发展，直到收集到需要的所有信息才会进行破坏；而另一种则是单纯的入侵然后破坏。”
报告中称当一家企业遭受破坏型恶意软件攻击之后，平均会有12000个工作站受到损坏，并且在攻击事件发生之后可能需要512个小时或者更长时间才能恢复。在一些极端情况下，恢复时间甚至可以延长到1200个小时。而大公司的恢复成本非常高，平均成本高达2.39亿美元。作为对比，Ponemon Institute估计，平均数据泄露将花费392万美元。
来源：cnBeta.COM
2、 微软成立Azure安全实验室：最高悬赏30万美元
Azure是目前微软发展最快的业务之一，在提升全球覆盖率和使用率的同时微软希望将其打造成为数字领域的诺克斯堡（Fort Knox，美国最安全的小镇）。微软刚刚宣布成立了Azure安全实验室，并且欢迎世界各地的安全专家通过测试Azure安全漏洞来换取奖金报酬。
微软首席安全PM经理Kymberlee Price解释称：“Azure安全实验室的隔离允许我们提供新的东西：研究人员不仅可以研究Azure中的漏洞，还可以尝试进行修复。那些有权访问Azure安全实验室的人可以尝试基于场景的挑战，获得300,000美元的最高奖励。”
愿意加入微软新Azure安全实验室的安全研究人员可以在此页面上填写申请。新的悬赏项目对于Azure生态系统来说无疑是个好消息，它能够为使用该业务的所有客户提供更安全的环境。
Price表示：“为了感谢他们的努力以及在产生实质性危害之前缓解和解决这些问题，在过去12个月中我们已经累计发放了440万美元的悬赏。我们感谢整个行业的安全合作伙伴，并相信我们今天宣布的新计划将有助于进一步保护Azure生态系统。”
来源：cnBeta.COM
3、 窃取30亿条用户信息 上市公司瑞智华胜被告被公诉
中新社北京8月5日消息，微博莫名关注了多个陌生营销帐号，QQ突然被加进陌生群组，“自动”成为网红的“粉丝”……这或许皆因你账户被数据“黑灰产”团伙操控。
中国浙江省绍兴市警方此前破获的一起涉及30亿条用户数据窃取的案件揭开了其中的奥秘。一家正式挂牌新三板的公司通过劫持运营商流量，违规窃取用户数据，为旗下在微博、微信、等互联网平台的账号强行加粉，一年营收超3000万元人民币。
这起被称为“史上最大规模数据窃取案”的受害者包括百度、腾讯、阿里等96家互联网公司。
中新社记者5日获悉，绍兴越城区检察院已对该犯罪团伙中的周某等7名被告人提起公诉。
据悉，7名被告人所在的北京瑞智华胜科技股份有限公司于2017年正式挂牌新三板。该公司2014年即以竞标方式，先后与中国多家电信运营商签订营销广告系统服务合同，进而拿到了运营商服务器的远程登录权限。
为了劫持运营商流量，该犯罪团伙将自主编写的恶意程序放在运营商内部服务器上，当用户流量经过服务器时，恶意程序自动清洗、采集出用户cookie（用户登录网站的账户密码等数据）、访问记录等关键数据，后存放在境内外多个服务器上。
“该案造成网络用户海量个人信息数据泄露，社会危害性极大，造成公众恐慌。”承办该案的检察官施晟向记者表示，与以往通过撞库、植入木马等犯罪手法相比，该案作案手段更新颖，手法更隐蔽。
案件告破引发中国诸多互联网公司共鸣。中国社交媒体新浪微博发布公告称，大量用户指出自己账号存在异常，经排查正是由于网络劫持导致，已第一时间将案件中涉及的微博账号关闭，“此案的侦破将为微博社区环境秩序的提升带来积极影响”。
绍兴市越城区公安局网警大队相关负责人表示，中国警方全力开展“净网行动”以来，发现黑灰产团伙或黑数据公司是当前用户数据泄露的罪魁祸首，“他们盗取数据和使用数据豪无底线，并且在非法获取数据后肆意滥用”。
“用户数据保护已成为中国互联网公司的首要任务，头部互联网公司虽有一套完整的数据安全系统，但还是会遭遇零星的用户信息泄露事件。”协助警方破获本起案件的阿里安全部门高级运营专家皓剑表示，下一步将加大力度运用技术协助各界解决黑灰产的社会问题。
来源：中新社
2019年8月6日 星期二
1、 NVIDIA显卡驱动曝出5个高危漏洞：升级最新431.60版本可解决
NVIDIA今天发布安全公告称，在目前的Windows显卡驱动中发现了5个高危级别的安全漏洞，都非常的危险。这些漏洞波及GeForce、Quadro、NVS、Tesla等各条产品线，分别涉及用户模式驱动、DirectX驱动、内核模式层(nvlddmkm.sys)等方面，可导致本地代码执行、DoS拒绝服务攻击、权限提升等，操作系统则影响Windows 7、Windows 8.1、Windows 10。
其中，GeForce游戏卡的漏洞影响最新版431.60之前R430系列的所有版本，升级至431.60版本即可免疫，而升级驱动也是唯一的解决方法。
NVIDIA特别提醒说，PC厂商提供的驱动可能是431.23、425.85、412.39等旧版本，很多用户也不会主动升级显卡驱动，所以请所有GeForce显卡用户尽快通过Windows Update检查升级最新驱动，或者前往GeForce.com官方网站下载更新。
幸运的是，目前尚未出现针对这些漏洞的攻击。
来源：快科技
2、 Chrome 地址栏默认不展示 HTTPS 和 WWW
3、 Facebook、WhatsApp、Instagram出现全球大范围宕机
Facebook及其关联服务WhatsApp、Instagram均出现宕机情况。根据用户在推特上的反馈和吐槽，本次宕机问题覆盖全球，目前还没有来自Facebook的官方公告。部分用户抱怨无法查看好友的状态，还有部分用户表示无法打开Facebook和Facebook Messanger。
来源：cnBeta.COM
2019年8月5日 星期一
1、 月活10亿的Google Chrome 大部分扩展插件没人用
Chrome已经牢牢坐稳全球第一大浏览器的宝座，而其制胜IE/Edge的法宝之一就是数量众多、功能各异的扩展插件。据统计，Chrome Web商店目前共有18.86万件扩展。不过，最新报道称，实际上，87%的扩展总安装次数不到1000次，50%的扩展总安装次数不到16次，13%的扩展仅被安装过一次，10%的扩展零安装。
实际上，超过1000万次安装的扩展只有13件，分别是Google Translate, Adobe Acrobat, Tampermonkey, Avast Online Security, Adblock Plus, Adblock, uBlock Origin, Pinterest Save Button, Cisco Webex, Grammarly for Chrome, Skype, Avast SafePrice和Honey。
考虑到Chrome浏览器月活10亿，这也难怪，一些批评人士称Chrome Web商店实际上是一座“鬼城”。
来源：快科技
2、 WiFi WPA3标准中发现新的Dragonblood漏洞
今年4月初，两位安全研究人员在WiFi联盟最近推出的WPA3 WiFi安全和认证标准中披露了有关五个漏洞（统称为 Dragonblood）的详细信息。
昨天，同样的安全研究人员披露了影响同一标准的两个新的额外错误。
两位研究人员--Mathy Vanhoef和Eyal Ronen--在WiFi联盟为设备供应商创建的安全建议中发现了这两个新漏洞，以减轻最初的龙血袭击。
就像4月份的原始Dragonblood漏洞一样，这两个新漏洞允许攻击者从WPA3加密操作中泄漏信息并暴露出WiFi网络的密码。
这两个错误解释了，第一个错误是CVE-2019-13377，当使用Brainpool曲线时，这会影响WPA3的Dragonfly握手。
Dragonfly是用户通过WPA3路由器或接入点进行身份验证的密钥交换机制。4月，Vanhoef和Ronen发现依赖P-521椭圆曲线的Dragonfly关键交换可以降级为使用较弱的P-256。因此，WiFi联盟建议供应商使用更强大的Brainpool曲线作为Dragonfly算法的一部分。
“然而，我们发现使用Brainpool曲线在WPA3的Dragonfly握手中引入了第二类侧通道泄漏，”两位研究人员解释说。“我们在最新的Hostapd版本中确认了新的Brainpool漏洞，并且能够使用泄露的信息强行破解密码。”
第二个错误是CVE-2019-13456，这会影响FreeRADIUS框架中的EAP-pwd实现- 许多供应商使用它来支持WiFi连接。EAP-pwd（可扩展身份验证协议）是以前的WPA和WPA2 WiFi身份验证标准中支持的身份验证系统，WPA3中的旧版本也支持该身份验证系统。就像之前的错误一样，在一些FreeRADIUS支持的设备上，EAP-pwd认证过程中存在信息泄漏，允许攻击者恢复密码。
WIFI ALLIANCE的封闭标准开发
研究人员称，他们向WiFi联盟报告了这两个新的漏洞。
“现在正在更新Wi-Fi标准，并采用适当的防御措施，这可能会导致WPA3.1，”Vanhoef说。
研究人员表示，“尽管这一更新与WPA3的当前部署并不向后兼容，但它确实阻止了我们的大多数攻击。”
但除了披露两个新的龙血之类的漏洞之外，这两位研究人员还抓住机会再次批评WiFi联盟的封闭式标准开发流程，该流程不允许开源社区做出贡献并防止大型漏洞进入首先是标准。
研究人员说：“这表明实施Dragonfly和WPA3而没有侧通道泄漏是非常困难的。” “它再次表明，私下制定安全建议和标准至多是不负责任的，最糟糕的是无能为力。
虽然来自其他研究人员时可能会忽略这些类型的反馈，但是当它来自Vanhoef时意味着更多。比利时的研究人员发现KRACK攻击打破了WPA2 WiFi认证标准，迫使WiFi联盟开发了WPA3标准，该标准于2018年6月推出。
Dragonblood白皮书的更新版本中提供了有关这两个新的Dragonblood漏洞的详细信息。
来源：ZDNet
3、 勒索软件 GermanWiper 破坏数据然后索要赎金
一种新的勒索软件正在德国扩散。被称为 GermanWiper 的勒索软件通过电子邮件传播，感染之后它不是加密文件而是用随机字符覆写文件永久性的破坏用户数据。但在破坏数据之后它还会索要赎金。但支付赎金并不能恢复数据，除非用户有离线备份，否则遭到破坏的数据不可能恢复。好消息是这种破坏性的勒索软件只在德语国家传播，主要是德国。
来演：solidot.org
2019年8月2日 星期五
1、 Wind River修复了VxWorks实时操作系统的11个重大安全漏洞
（题图 via SlashGear）
报道称，过去 13 年里，这些设备已存在不少于 11 个零日漏洞。遗憾的是，由于 RTOS 设备属于电子设备领域的沉默工作者，媒体并没有对其加以广泛的关注。
举个例子，RTOS 软件驱动着从调制解调器、电梯、乃至核磁共振（MRI）扫描仪等在内的各种机器。而 VxWorks 的客户名单，涵盖了 Xerox、NEC、三星、理光等知名企业。
物联网安全研究机构 Armis 将这些漏洞统称为 URGENT / 11，以敦促行业尽快更新机器的 RTOS 系统。其中六个比较严重的漏洞，或赋予攻击者远程代码执行的权限。
另外五个漏洞没有这样致命，但也可以在没有用户交互的情况下，授予攻击者相应的访问权限。讽刺的是，它们甚至可以绕过 VxWorks 自带的防火墙和 NAT 等安全设备。
尽管 GRGENT / 11 的名字看起来有些平淡，但 Armis 还是希望业界能打起 12 分精神。研究人员提出了三种潜在的攻击方式，称威胁可来自内部或外部网络，另一项甚至威胁到了网络本身的安全措施。
Armis 表示，URGENT / 11 对工业和医疗保健行业造成了最大的风险，因其广泛使用运行 VxWorks 的设备。
好消息是，Wind River 已在 7 月 19 日发布的补丁中进行了修复。坏消息是，使用 RTOS 的设备，并不能简单地执行应用软件更新。
来源：cnBeta.COM
2、 谷歌Titan安全密钥套件在加拿大、法国、日本和英国市场推出
谷歌今天宣布旗下的Titan安全密钥套件已经在加拿大、法国、日本和英国市场推出，而此前这款带有蓝牙按键和标准USB-A插口的安全密钥仅在美国地区上市发售。售价方面，在美国，Titan Key套装的售价为50美元；在加拿大价格为65加元；在法国为55欧元；英国为50英镑；日本为6000日元，均包邮送货。
这款USB安全密钥基于FIDO技术规范打造，内部固件由谷歌工程师，能够保护支持该硬件的所有平台账号。该密钥最初为为了谷歌内部使用而设计的，在对外出售之前已经在内部持续使用8个月了。USB密钥需要将设备插到电脑的USB端口展开认证，而蓝牙密钥则用于移动设备的无线认证。
它可用来保护支持该硬件的账号。Titan将有两个版本：USB版和蓝牙版。USB版，很显然需要将设备插到电脑的USB端口展开认证，而蓝牙版则用于移动设备的无线认证。获悉，两款密匙设备的套装价将在50美元左右，单独购买的话售价大概是20美元或25美元。
3、 iOS 12.2封堵的几个漏洞由谷歌Project Zero团队提交
上周苹果推出了 iOS 12.4 正式版，这一版本除了带来新的 iPhone 迁移功能和为 Apple Card 做准备之外，还封堵了一些系统漏洞。按照惯例，每个系统版本更新都会顺带修复一些 BUG，这是十分正常的行为。但有趣的是，苹果在刚刚发布的 iOS 12.4 中封堵的个别漏洞却是由来自谷歌的 Project Zero 团队成员发现的，而且“价值不菲”。
据外媒报道，来自谷歌 Project Zero 的 Natalie Silvanovich 和 Samuel Groß 近日公布了几个“无交互”安全漏洞，攻击者能够通过 iMessage 发起攻击。具体来说，黑客仅需要通过简单的操作（例如通过 iMessage 发送一段代码），就能够发动攻击，也正是由于这一漏洞的“无交互”特点，使其在黑市上备受关注，据称一个漏洞售价可能高达 500 万美元。
所幸的是，这些漏洞由 Project Zero 团队发现，而且在最新的 iOS 12.2 中，苹果已经修复了这几个 BUG，分别是 CVE-2019-8624，CVE-2019-8646，CVE-2019-8647，CVE-2019-8660 和 CVE-2019-8662，所以为了设备安全还是尽快更新至 iOS 12.2 吧。
来源：威锋网
2019年8月1日 星期四
1、IP根来了，假IP再难坑你
当前，国际上有一个重要性不亚于域名根的机制——IP根正在形成。未来，IP根或将重塑国际互联网治理格局。”在近日举办的第16届中国网络安全年会上，域名国家工程研究中心主任毛伟表示，IP根是个新概念，它有望解决“路由劫持”问题。
那么，究竟什么是IP根？它在互联网中扮演着什么角色？
IP根：最顶级的IP地址验证机构
要解释IP根，就要先从IP地址说起。如果把个人电脑比作电话，那么IP地址就相当于电话号码。可现实中却存在很多假冒的电话号码，引用户误入歧途，由此带来隐私泄露甚至财产损失风险。
“然而长期以来，我们未形成IP地址认证机制。”毛伟介绍道，网络攻击者可利用这一漏洞，冒充他人的IP地址，截获误入歧途的流量，这一操作被称为“路由劫持”或“路由泄露”，发布假冒IP地址的过程就像伪基站发布诈骗短信。
如何解决路由劫持问题？毛伟表示，RPKI（互联网码号资源公钥基础设施）作为公认的互联网地址安全认证体系解决方案，有望成为下一阶段网络空间安全和互联网治理的核心技术。简单来讲，RPKI证书就像为IP地址颁发的“认证证书”，通过对IP地址进行第三方认证，来增强IP地址的安全性、可靠性。
2017年，全球五大IP地址注册管理机构（RIR）及中国互联网络信息中心，开始在分配IP地址时，同时签发RPKI认证证书，用于验证IP地址的分配信息。这些IP地址信息的分配及验证机构，处于全球IP地址树的“根部”。也就是说，IP根是整个IP地址认证体系的入口，是最顶级的IP地址验证机构。
部署应用进入关键阶段
这种强认证机制，虽然解决了路由劫持问题，但也带来新的潜在风险：如果认证机构出现认证错误，那该怎么办？
2017年，域名国家工程研究中心技术专家和RPKI发明人联合起草了国际标准IETF RFC 8211，在技术上系统梳理了RPKI部署应用后治理架构改变带来的风险和挑战。2018年，域名国家工程研究中心技术专家再次牵头起草了国际标准IETF RFC 8416，提出了本地验证机制的解决方案，从而可避免全球RPKI的错误数据干预本地网络运行。
这一系列国际标准的不断推出，使路由认证和IP根运行机制日臻完善。在毛伟看来，现在的认证技术已非常成熟，正进入部署应用的关键阶段。
数据显示，截至2019年6月30日，被RPKI签名认证的IP地址数量呈爆发式增长趋势，全球IPv4地址空间的RPKI覆盖率已达17%，包括美国的AT&T、日本的NTT、德国的DECIX等在内的运营商，以及亚马逊、微软、脸书等网络内容服务商，都开始依赖RPKI验证彼此间的通信。在我国，华为、中兴、新华三等设备制造商也开始在路由器上支持基于RPKI数据的路由起源验证。
“当前全球范围内开展的RPKI部署应用，是一次触及互联网‘互联互通根基’的安全升级行动，是互联网由‘可用’向‘可信’演进的新阶段。”毛伟说，在这个推进过程中，中国不应该缺位。
为推广RPKI，毛伟建议，我国相关单位可依托其职能定位，发挥积极作用。例如，网络运营商可升级其IP地址管理系统以支持RPKI，启动基于RPKI的路由认证试点；互联网服务提供商可使用RPKI技术，来保护其关键服务地址空间。
来源：科技日报
2、五眼想要 WhatsApp 的后门访问
3、报道称 900 多万人从事刷流量产业
2019年7月31日 星期三
1、前亚马逊雇员被控窃取一亿第一资本银行用户信息
美国第一资本银行周一透露，1 亿美国居民和 600 万加拿大居民的信息被盗。33 岁前亚马逊 AWS 雇员 Paige A. Thompson 周一遭到逮捕，被控入侵第一资本的网络，窃取了用户的敏感数据。暴露的用户信息包括名字、收入、生日、地址、手机号码、电邮地址，14 万美国用户和 100 万加拿大用户的社会安全号码被盗，8 万银行账号被访问。
信用卡号码或登录凭证没有失窃。Thompson 被指利用第一资本网络防火墙的漏洞在其服务器上执行一系列命令，其中一个命令被用于获取管理员账号 *****WAF-Role 的凭证。
第一资本租赁了 AWS 的服务器，IP 地址和其它证据显示是 Thompson 利用了漏洞并将数据发布在其 Github 账号内。Thompson 尝试利用 IPredator 的 VPN 和 Tor 来隐藏入侵痕迹，但却在社交媒体上公开了许多入侵证据。
入侵发生在 3 月 22 日左右，但直到 7 月 17 日第一资本收到有人发出的邮件警告，报告 Thompson 的 Github 账号发布了敏感用户数据。
7 月 19 日第一资本证实了入侵。 Thompson 的 Github 账号（镜像）包含了她的 LinkedIn 链接。
来源：solidot.org
2、二季度全国关闭违法违规账号群组20余万个、网站2899家
二季度，全国网信系统持续加大行政执法力度、规范行政执法行为，依法查处各类违法违规案件。据统计，全国网信系统依法约谈网站648家，警告网站636家，暂停更新网站56家，会同电信主管部门取消违法网站许可或备案、关闭违法网站2899家，移送司法机关相关案件线索377件。有关网站依据用户服务协议关闭各类违法违规账号群组20余万个。
依法查处各类违法违规行为和网站
各级网信部门结合开展“清朗”“网剑”“剑网”“网上扫黄打非”等专项行动严格执法，会同有关部门依法查处网上违法信息和违法行为，严厉处置一批违法违规网站平台。依法关闭“乐易新闻”“中社新闻”“三农调研中心官网”“农民工网”“塞上江南”等违规从事互联网新闻信息服务的网站；关闭仿冒“河北省住房和城乡建设厅”“长安大学地质工程与测绘学院”“和田新闻”“南开大学滨海学院招生网”“上海招考热线”等一批侵权网站；关闭“财经热搜”“比特币挖矿”“苹果ID解锁”“共鑫繁荣”“冰点代刷网”等一批诈骗网站；关闭“金顶棋牌官网”“梦想冰雪”“宝乐娱乐”“乐潮娱乐城”“杏耀娱乐”等一批游戏赌博网站；关闭“糖果轻娱”“心之恋”“163小说网”“哈哈畅娱”“低俗小说”等一批传播淫秽色情信息网站。相关网站平台依据用户服务协议关闭“货币当局”“路易贾”“首席剥皮”“蓝山一线”“耕雪读梅花”“湘声在线V”等一批违法违规账号，切实履行企业主体责任，维护网络信息传播秩序。
针对突出问题全力查处一批典型案件
就网络生态问题频发，淫秽色情等有害信息反弹反复等问题，各级网信部门通过约谈整改、行政处罚、公开曝光等手段，依法加大网信行政执法力度。国家网信办持续对省级网信办加强指导，针对新浪网对用户发布违法违规信息未尽审查义务，持续传播炒作导向错误、低俗色情、虚假不实等违法有害信息问题，北京市网信办约谈相关负责人，责令其全面深入整改，整改期间对 “新浪博客”“新浪看点”平台自行暂停更新1个月，对“新浪新闻”“新浪博客”APP下架1个月；针对视觉中国在其发布的多张图片中刊发敏感有害信息标注，破坏网络生态等问题，天津市网信办约谈相关负责人，责令网站切实履行主体责任，全面清查历史存量信息，强化内容审核管理，并对网站运营主体汉华易美（天津）图像技术有限公司罚款30万元；针对阅文集团旗下起点中文网发布传播低俗色情小说等违法违规问题，上海市网信办联合市“扫黄打非”办、市新闻出版局约谈运营企业负责人，责令其全面深入整改，整改期间对“都市频道”“异术超能栏目”“女生网频道”“N次元栏目”自行暂停更新7天。
来源：澎湃新闻
3、CJEU裁定使用Facebook Like按钮的网站对用户数据负责
欧盟法院（CJEU）已经裁定，托管Facebook Like按钮的网站可能需要承担将数据传输到Facebook的责任。虽然法院表示第三方网站不能对数据传输后Facebook进行的数据处理负责，但绝对有责任通过Like按钮促进数据的收集和传输。
德国消费者协会Verbraucherzentrale NRW起诉德国零售商Fashion ID，通过其网站上的Facebook Like按钮起诉它在数据保护上的缺失。在德国法院要求就此官司提供指导后，欧洲法院报告了其决定。
在有关此事的声明中，法院表示，在这种情况下，网站运营商Fashion ID从用户那里获取内容时，必须让他们知道它正在收集数据并将其传输到Facebook。此外，法院表示，“网站的运营商和社交插件的提供者必须通过收集和传输个人数据来追求合法利益，同时在这方面证明这些操作是合理的。”
对于想要在Facebook等大型科技公司面前保留隐私的最终用户而言，法院的裁决是一个巨大胜利。很明显，Facebook被要求停止跟踪用户。之前，电子前线基金会的隐私Badger插件阻止了Facebook Like按钮，这种插件在Firefox和Chrome上安装了大约140万次。
来源：cnBeta.COM
2019年7月30日 星期二
1、BT客户端BitLord被发现捆绑间谍软件
BitTorrent 客户端 BitLord 被发现捆绑了名叫 PremierOpinion 的间谍软件，该间谍软件会利用中间人攻击的方法捕捉机器的 SSL/TLS 流量。它会安装一个代理在端口 8888、8443 和 8254，安装一个本地系统证书，该证书会被所有应用程序自动信任。
当所有流量都经过它的代理，它会解密所有加密流量，监视用户的在线活动。
PremierOpinion 主要通过捆绑在其它软件进行传播，其中之一是 BitLord。BitLord 最早是基于比特彗星源代码的一个 BitTorrent 客户端，能利用 VLC 串流视频。
2、Google 要求 Chrome 扩展最小化数据收集
Google 要求 Chrome 扩展在浏览器会话期间最小化数据收集，否则将会面临从扩展商店 Chrome Web Store 驱逐出去。扩展开发者必须在 10 月 15 日前也就是 80 天内遵守这一规定。
这一规定旨在解决扩展正常工作所索要权限可能带来的隐私问题，扩展索要的部分权限可能会非常强大，比如截取桌面屏幕截图，捕捉麦克风音频，从本地文件系统收集数据。这些权限潜在有可能会遭到滥用。
Google 通过官方博客表示，它将要求扩展只访问最少量的数据。以前这一规定只是鼓励开发者采用，现在则要求所有扩展遵守。
3、丝芙兰数据泄露事件涉及东南亚和澳新银行的客户
丝芙兰通过电子邮件向东南亚地区的客户发送电子邮件，告知他们发现了过去两周内发生的违规行为。
“我们了解您的个人信息的重要性，并重视您对我们的信任以保护它，”Sephora SEA总经理Alia Gogi写道。
“在过去的两周里，我们发现在新加坡，马来西亚，印度尼西亚，泰国，菲律宾，香港特别行政区，澳大利亚和新西兰使用我们的在线服务的客户数据方面存在违规行为。”
丝芙兰表示，某些个人信息可能已暴露给未经授权的第三方，包括姓名，出生日期，性别，电子邮件地址和加密密码，以及与美容偏好相关的数据。
该公司表示没有访问信用卡信息，并且该电子邮件继续说丝芙兰没有理由相信任何个人数据被滥用。
一旦丝芙兰意识到这一事件，它就表示立即任命了独立专家来帮助调查。它表示，一旦能够验证事件的详细信息，它就会通知受影响的客户。
“我们很抱歉这可能会给你带来任何担忧或不便，”Gogi发来的电子邮件说。
“作为预防措施，我们已取消客户帐户的所有现有密码，并彻底审查了我们的安全系统。我们还通过领先的第三方提供商免费提供个人数据监控服务。”
Sephora建议客户设置新密码并注册免费的个人数据监控服务。
“我们向您保证，我们将继续采取一切必要措施来保护您的隐私，”它继续说道。
那些在实体店购物并且不使用公司的在线服务或移动应用程序的人不受此事件影响，因为它仅限于为丝芙兰的东南亚，香港特别行政区，澳大利亚和新西兰客户提供在线服务的数据库。
来源：ZDNet
2019年7月29日 星期一
1、Siri被曝私下录音用户敏感谈话内容 苹果回应
苹果语音助手Siri被曝录音用户谈话，包括但不限于性接触、医患交谈、毒品交易等内容，并将隐私的音频内容发送给Siri的国际承包商，用以改善Siri。对此爆料，苹果立即做出回应，向媒体解释称：这些录音只是用于改善Siri的听写功能，而且这些发送给国际承包商的录音没有记录用户的Apple ID（脱敏数据）。
苹果强调，这些录音用户不到Siri日活的1%，而且大多数录音内容仅持续几秒钟。换言之苹果承认了Siri录音一事，但坚称录音影响不大。
不过此番表态似乎有所保留，据外媒采访苹果承包商时得到的信息显示，这些录音行为没有排除用户无意中触发Siri的情况，它们可能最终无意中听到用户可能从未希望记录的对话。而且这些录音拥有可以识别的用户详细信息。
承包商表示：“工作没有太多的审查，我们可以自由查看的数据量似乎相当广泛，识别你正在听取的录音对象也并不困难，尤其是误触发情况的内容包括了姓名、地址等信息。”
而此事的爆料人更为直接地向媒体表示：“无数的录音都是医生和患者之间的私人讨论，商业交易，疑似犯罪交易，性接触等等。这些录音附有显示位置，联系方式和应用数据的用户数据。”
2、GitHub 开始限制被美国贸易制裁的国家的开发者
3、5G物联网时代，如何保证智能驾驶安全
新华社记者余俊杰
5G时代，万物互联，信息通信技术正与汽车产业加速融合，智能汽车、自动驾驶已成为行业研发风向标。然而，在智能汽车产业蓬勃兴起的背后，作为交通关键信息基础设施重要资产的车联网，也逐渐成为黑客们的攻击目标。
如何加强汽车网络安全防护，成了跨领域、多行业共同关心的话题。
7月23日至25日，由国家互联网应急中心、国家市场监督管理总局缺陷产品管理中心、中国网络空间安全协会和中国互联网发展基金会联合指导的第二届汽车安全与召回技术论坛在浙江宁波举行，与会代表们聚焦车联网发展趋势和核心防护技术研发，探讨如何保障智能驾驶行业平稳健康发展。
国家互联网应急中心实验室主任李政介绍，理论上，黑客可以通过网络攻击任意一台网联汽车，窃取车内数据，甚至夺取驾驶控制权。
据中国信通院发布的汽车电子网络安全标准化白皮书(2018)显示，近年来国内外发生过数百起智能驾驶安全漏洞事件：2015年两名黑客远程入侵了正在行驶的吉普汽车，造成减速、制动失灵等问题，导致克莱斯勒公司全球召回140万辆汽车并安装了系统补丁；腾讯科恩实验室分别在2016年和2017年两次实现远程无接触式破解特斯拉汽车，可在驻车和行驶状态下远程控制车辆。
“数据、网络、软件这些非实物要素，它们的漏洞和威胁构成新的安全隐患。”国家市场监督管理总局质量发展局副局长王赟松表示，网联汽车的初心是为了更便捷和安全，不能因为新技术增加更多风险。
国家互联网应急中心高级工程师范乐君介绍，汽车最容易受攻击的是通信和娱乐系统，黑客通过入侵手机网络、WiFi、蓝牙等通道，找到车载App漏洞进行攻击，就能获取用户在这些App上的隐私数据、历史记录，实现监听或促发导航偏离。
“如果将一辆汽车比作一幢房子，车联网让房子的门窗不断增加，受到的攻击频率自然水涨船高。”范乐君说，如果能为每扇门窗都配上安全阀，以技术管技术，便能尽可能减少隐患，掌握智能驾驶安全保护主动权。
“首先要具备技术、法律、安全三方面的保证，基于智能网联的自动驾驶大规模应用才能实现。”中国汽车工程研究院股份有限公司副总经理周舟介绍。
业内多名专家表示，要降低被入侵风险，最核心的是控制权限，加强加密工作，建立一套自主、完整的安全网络体系。
浙江吉利控股集团总工程师刘卫国建议，提高汽车网络安全防护，首先车企要确保软件开发安全，减少代码漏洞，从源头端减少风险。
国家互联网应急中心副总工程师陈训逊表示，每个数据接口都要做好加密，并对汽车健康数据进行实时监控。此外，车辆要加装安全硬件模块，并加强对云端服务器的数据传输处理过程保护。
业内专家建议，车主要注意车载软件及时更新，修复漏洞；汽车外接设备和网络时，应先确定其安全性；最重要的是，离开车时切勿忘记熄火锁车。
“随着5G的到来，汽车的动力系统也将实现网络化。届时，车联网的安全防控能力必须进一步升级。”范乐君说，目前国内急需培育一批既懂网络安全又对汽车工程有所了解的专业人员。同时，需要让整车制造企业及汽车零部件企业全面认清当前车联网安全形势，不断提升防护水平，构建适应汽车产业智能化、网联化转型的主动安全体系。
来源：新华网
2019年7月26日 星期五
1、美股券商Robinhood承认以明文方式存储了部分用户密码
美股券商Robinhood在致受影响用户的电子邮件中，承认以明文方式存储了部分用户的密码。该公司在邮件中表示“本周一晚上，我们发现在我们的内部系统中部分用户的凭证以可读格式存储。通过全面彻底的检查之后目前我们已经解决了这个问题，没有任何证据表明除了我们的响应团队以外的人访问过这些信息。”
虽然没有找到用户泄露的证据，不过Robinhood已经向受影响用户重新设置密码。公司发言人向外媒ZDNet表示，并非所有Robinhood用户都受到影响，但无法透露具体数字。根据帮助页面，我们被告知该问题已得到解决，现在正在使用Bcrypt算法对密码进行哈希处理。
就在Robinhood开发人员发现明文存储密码的同一天，该公司刚刚宣布完成了3.23亿美元的E轮融资，使该公司的价值达到76亿美元，比之前的估值高出约35％。虽然以明文方式存储密码是一个巨大的安全错误，但是Robinhood依然是一家“优秀的公司”。仅在今年，Facebook，Instagram和Google都承认以明文形式存储用户密码。
来源：cnBeta.COM
2、在黑暗网络上交易超过2300万张被盗信用卡
研究人员称，在2019年上半年，地下论坛提供了超过2300万张信用卡和借记卡。
周四，网络安全公司Sixgill发布了其地下金融欺诈报告，记录了暗网中与被盗财务数据相关的趋势和交易。
该研究小组表示，在2300万张卡中，每三张卡中就有近两张来自美国，而美国约占被盗信息的三分之二，其他任何国家都没有超过10％。
继美国之后，英国成为受欢迎的被盗数据来源，而相比之下，只有316张信用卡来自俄罗斯。
来源：ZDNet
3、巴西银行用户暴露250GB数据泄露
安全专家发现，属于巴西金融服务提供商的未受保护的服务器已经暴露了来自各个本地银行客户的大量数据。
安全研究人员Data Group已检测到此漏洞，并且公共域中可用的敏感个人信息的总文件大小估计为250GB。
巴西网站The Hack首先报道的受泄漏影响的人数仍然未知。尽管该事件与多家银行有关，但是相当多的文件都与当地公司Banco Pan有关。
暴露的个人数据包括扫描的身份证和社会保障卡，以及作为地址证明和服务请求表格提供的文件，这些表格由位于巴西塞阿拉州首府福塔莱萨的客户填写。Panco Pan在一份声明中表示，它由银行的商业合作伙伴管理，该银行似乎提供诸如养老金领取者贷款等服务，因为泄露的文件似乎主要与该资料相匹配。
该银行表示，“经过对其安全系统的仔细分析以及独立咨询服务后，很明显该服务器并非由Pan拥有，并且没有发现银行基础设施的入侵。”
该公司补充说，在与业务合作伙伴的交易中，潜在客户的注册数据在贷款转让等合同签订之前由第三方捕获。“如果发现任何滥用此数据的行为，”将采取适当措施，“它指出强调安全是公司的一个关键优先事项，并且它符合数据保护最佳实践以及当地法规。
2019年7月25日 星期四
1、研究发现对于Windows 10而言 大多数零日漏洞都已无效
微软已经证明他们最新的操作系统是最安全的：自2015年以来，只有40％的Windows零日漏洞可以成功利用在最新的Windows版本。微软安全响应中心的安全工程师Matt Miller撰文分析了2015年至2019年间的零日漏洞。
早在二月份，著名黑客米勒在BlueHat以色列安全会议上发表了演讲，他表示，在发布补丁之前，Windows漏洞可被利用，但通常几个月后就会失效。
事实也是如此，由于Control Flow Guard和Device Guard安全系统的加入，只要开启了更新操作系统功能的用户大多受到保护。在三分之二的实战演练中，由于添加到操作系统中的安全保护措施，0day漏洞对最近版本的Windows无效。
此外，调查结果显示，在过去12年中，微软解决的所有安全漏洞中有70％是与内存管理相关的问题。Miller的MSRC同事目前正在探索Rust作为C和C ++的替代品。语言的安全功能可能会导致与内存相关的错误数量进一步减少。
2、美俄的网络威胁都针对民用基础设施
根据媒体最近的报道，美国和俄罗斯的网络对抗都越来越多的针对重要的基础设施如电网。据报道美国对俄罗斯的电网植入了恶意程序，而俄罗斯据报道扩大了对美国电网的侦查活动。
克里姆林宫警告美国的数字入侵可能会触发两国之间的网络战争。纽约时报称，美国和俄罗斯自 2012 年以来一直瞄准各自的基础设施，但目前这些行动的规模和攻击性是前所未见的。
美国担心俄罗斯会利用其专制权力聚集学术界、私营公司和黑客犯罪网络去提升网络战能力。
俄罗斯则看到了美国在网络战方面的无所不能，能开发出类似 Stuxnet 独特复杂恶意程序，能利用数字技术协调地区动荡。部分俄罗斯官员显然认为针对民用基础设施可作为一种阻止对方的杠杆。
来源：solidot.org
3、50亿美元罚款还不够？美国政府可能对FB提出新指控
脸书因误导用户而面临FTC新指控。 50亿美元罚款可能还不够。7月24日，据路透社报道，美国联邦贸易委员会（The Federal Trade Commission，简称：FTC）或将于当地时间周三宣布与Facebook（脸书）达成和解，终止对Facebook在用户隐私问题方面的指控，Facebook将支付50亿美元罚款以获得和解。50亿美元罚款也是美国联邦贸易委员会有史以来收到的最高的一笔民事罚款。
美国联邦贸易委员会从2018年3月开始调查Facebook与剑桥分析公司（Cambridge Analytica）不恰当地分享8700万用户信息的行为。剑桥分析事件将Facebook推入舆论漩涡，此后Facebook受到监管机构更严密的监督与调查。
据介绍，作为和解协议的一部分，Facebook将设立隐私委员会，Facebook的CEO扎克伯格必须亲自证明该公司正在恰当采取措施保护用户隐私。扎克伯格需要每季度向美国联邦贸易委员会提供证明，这些证明如果存在虚假陈述，将招致处罚。
不过，这50亿美元的罚款可能未必能终结美国政府对Facebook的调查。
据华盛顿邮报周二的报道称，美国联邦贸易委员会又对Facebook提出了新的指控，称Facebook在处理用户电话号码和面部识别技术方面误导用户。报道称，美国联邦贸易委员会还指控Facebook在向3000万名用户提供面部识别工具时提供的信息不足。
华盛顿邮报提到，联邦监管机构对Facebook早前提出的双重身份验证的安全功能提出质疑，Facebook允许用户在每次登录时使用发送的一次性短信密码。但如果这些用户将联系方式进行了上传，广告商可以借此瞄准这些用户，在用户不知情的情况下使用这些信息。今年早些时候，有媒体和学者发现了这一滥用电话号码的行为。
美国联邦贸易委员会拒绝评论，Facebook方面也未予置评。
据华尔街日报7月23日报道，美国证监会（The Securities and Exchange Commission）也可能与Facebook就该公司没有充分披露其隐私问题风险的指控达成和解。作为和解的一部分，Facebook将支付1亿美元的罚金。
美国证监会也是在Facebook陷入剑桥分析丑闻后展开了调查。Facebook被指控没有向投资者充分地介绍其平台上开发者和第三方在未经允许的条件下获得用户隐私信息的情况。
来源：澎湃新闻
2019年7月24日 星期三
1、韩国门户Naver因未实行内外网分离被罚3000万韩元
22日，据外媒称，Naver因未履行维护电子金融交易安全的义务，被韩国金融监督局处以3000万韩元的罚款 。根据现行《电子金融交易法》和《电子金融监督规定》，为防止金融机构的信息处理系统和信息通信网络遭受黑客入侵等威胁行为，应当将连接内网的业务用系统与外网进行分离操作。
但是Naver在总部员工终端设备等内部系统没有完成内外网分离的情况下，进行了联网操作。
根据相关法律法规，金融机构等必须对直接连接信息处理系统的终端设备进行物理网络分离。然而，Naver没有将连接终端设备的通信线路和设备进行物理分离。
以此为由，韩国金融监督院决定对Naver处以3千万韩元的罚款，同时并对Naver一名在职员工和一名退休人员的违法事实进行了通报。
来源：Inews24
2、西门子合同工承认在电子表格中植入逻辑炸弹
3、您的业务遭遇数据泄露？预计会有392万美元的账单
根据一项新研究，数据泄露的平均财务影响持续上升，现在可能使平均业务成本高达392万美元。数据泄露已经成为一种很常见的情况，几乎每星期都会发生。
虽然经济处罚可能因业务规模而异，但数据泄露可能会造成严重破坏，长期成本可能不会立即显现。
周二，IBM Security发布了年度研究报告“数据泄露成本报告”，以估算数据泄露的即时和持续费用。据该公司称，数据泄露的成本在五年内上升了12％，组织预计平均支付392万美元。员工人数少于500人的企业平均亏损超过250万美元，而对于规模较小的企业来说，这相当于其年收入的很大一部分。
IBM表示，这笔费用 - 可能是由第三方网络取证公司的聘用，法律费用，支持安全的快速投资，以及可能的赔偿金和政府发布的处罚 - 等费用组成。
相反，数据泄露的真正损害和成本可以持续多年。该报告称，平均而言，67％的费用是在违规后的前12个月内显现的; 22％的在第二年显现，11％可以用两年时间才能显现出来。
随着时间的推移，医疗保健，金融服务，制药行业和能源公司最有可能面临额外成本。此外，地理位置可能会有所不同 - 因为美国公司会有更高的账单来纠正数据泄露造成的损害。平均而言，成本最高可达819万美元。
每家数据被盗的公司将面临最高150美元的罚款。例如，当超过一百万条记录被盗时，这可能花费高达4200万美元 - 而5000万条记录可能会导致高达3.88亿美元的账单。
根据该报告，一个组织需要206天时间来发现数据泄露，而另需73天时间来完全遏制数据泄露。
在当今世界，不仅仅是需要担心恶意攻击 - 缺乏培训也有可能导致任何员工无意地打开网络钓鱼电子邮件，并在不知不觉中成为违规的根源。
但是，IBM表示，恶意数据泄露仍然比系统错误或人为失误导致的更为常见，占记录的安全事件的49％。此外，恶意攻击比意外数据泄露平均多出100多万美元。
2019年7月23日 星期二
1、Mozilla Firefox将很快获得包含Tor模式的扩展组件
据外媒报道，Firefox浏览器可能很快就会收到一个Tor模式的附加组件，它将通过连接Tor网络显著增强隐私功能。虽然Mozilla和Tor团队的最终目标是在浏览器上实现完整功能的Tor模式，但这需要时间，对此，两个团队在最近举行的一次会议上讨论了其中可能遇到的挑战。
团队成员提出建议，通过开发一个浏览器插件在Firefox中启用Tor模式，因为这种方法可以给两个团队足够的时间来计划这个新功能所需的工程工作。
由于在默认情况下Firefox不会安装这个扩展，所以用户必须要在Mozilla的网站手动下载它才能启用Tor模式。
它将允许用户体验Tor完全集成的样子。另外Tor团队指出，它还可以通过计算下载量等来帮助评估用户的兴趣。
跟标准WebExtension相比，受优待的插件具有更高的特权，例如它可以调用XPCOM函数。一个享受优待的插件需要Mozilla或其他机构的签名，但这个提议的想法是让它由Mozilla制作并推出，所以这就不是什么问题了。
虽然关于这个附加组件的决定还没有做出，但为Mozilla和Tor项目工作的开发人员已经就此讨论了几个技术细节。
目前，开发人员认为最好的方法是让插件允许一个专用的Tor模式按钮在一个新窗口中启动一个专用的概要文件。
关于何时可以开始公开测试现在还没有消息。
2、安全研究人员发现中国网贷App漏洞泄露大量个人信息
中国近年流行“网贷”，只需要使用手机 App 就可以简单地借到钱，因此非常受欢迎。不过最近有研究人员发现有大量网贷 App 泄漏了个人信息，有几百万用户受影响。来自 SafetyDetective 的研究人员 Anurag Sen发现，在网上有一个达 889GB 的巨型数据库，内有超过460 万使用网贷 App 的装置信息。
包括用户个人联络数据、财务信息（包括借贷记录、风险管理数据、交易详情）、装置数据报括联络人列表、短讯记录、IMEI 编号以及容量数据，甚至每次登入时的地理位置，而且在不断更新之中，因此如果有意对特定用户进行监控，甚至可以追踪实时位置。这个数据库位于阿里云，未经加密公开，而研究人员表示阿里云应该没有参与或造成这次个人资料泄漏。
Anurag Sen 表示，他相信问题是出于这些网贷 App 的营销团队出错，造成数据库公开。这个数据库中的个人资料非常详尽，足以盗取个人身份进行各种恶意行为。如果这个数据被不当使用，后果相当严重。目前仍然未知什么人负责管理这个数据库，而有关方面已经向阿里云作出查询。
来源：Unwire.hk
3、美征信巨头Equifax因大规模数据泄露被罚7亿美元
新浪美股讯 北京时间22日消息，据知情人士称，美国征信机构Equifax将支付约7亿美元，就2017年一起大规模数据泄露事件与美国联邦贸易委员会（FTC）达成和解。在这起事件中，大约1.43亿位消费者的社保号码和其它个人信息被泄露。
知情人士称，和解协议最早将于当地时间周一公布。Equifax拒绝置评。
据称，此次和解将了结FTC、美国消费者金融保护局和大部分州检察机构的调查，并将了结一起全国性的消费者集体诉讼。
发生在2017年的这起事件是美国历史上最大的个人信息泄露事件之一。总部位于亚特兰大的Equifax在超过六周时间里没有觉察到黑客攻击。泄露的数据包括社会保险号码、出生日期、地址、驾照号码和信用卡号码等。
2019年7月22日 星期一
1、黑客通过利用ERP漏洞破坏了62所美国大学
美国教育部在本周发布的一份安全警报中称，黑客利用企业资源规划（ERP）Web应用程序中的漏洞入侵了62所高校的系统。
该漏洞存在于Ellucian Banner Web Tailier中，该模块是Ellucian Banner ERP的一个模块，允许大学自定义其前端Web应用程序。该漏洞还影响Ellucian Banner Enterprise Identity Services，一个用于管理用户帐户的模块。
今年早些时候，一位名叫Joshua Mulliken的安全研究员发现了两个模块使用的身份验证机制中的一个漏洞，远程攻击者可以利用该漏洞劫持受害者的网络会话并访问他们的帐户。Ellucian于5月修复了该漏洞，并由研究员和NIST公开披露（见CVE-2019-8978）。但是在周三发布的一份安全警报中，教育部说黑客已经开始利用这个漏洞。该部门已经确定了62个受此漏洞影响的学院或大学，”官员说。“我们最近还收到了一些信息，表明犯罪分子一直在积极扫描互联网，寻找通过这一漏洞受害的机构，并制定针对这一漏洞的机构名单。”
教育部表示，这些攻击的受害者报告说，在攻击他们的系统后，攻击者“利用受影响的ERP系统的招生或登记部分中的脚本来创建多个学生帐户。”一名受害者报告说，攻击者在数天内创建了数千个假帐户，在24小时内创建了大约600个帐户。官员们说，这些账户“几乎立即用于犯罪活动”，但没有提供任何有关犯罪活动性质的细节。
由于Ellucian Banner Web Tailor系统与ERP的其余部分相连，部门官员表示他们担心黑客可能会获得学生的财务援助数据。官员现在正在敦促使用易受攻击的ERP模块版本的学院和大学尽快打补丁。
在公司于本月发出的第二份安全警报中，Ellucian也提出了同样的建议。然而，该公司否认虚假账户的创建与其ERP的缺陷和最近的攻击有关。“虽然据报道攻击者可以利用上述漏洞创建账户，但Ellucian认为这不正确，”它说。“警报中描述的问题不被认为与先前修补的Ellucian Banner System漏洞有关，并不仅限于使用Ellucian产品的机构。“攻击者正在利用机器人提交欺诈性入院申请，并通过入院申请门户网站获取机构电子邮件地址，”Ellucian补充说。“Ellucian建议在录取过程中增加reCAPTCHA功能，以降低因招生而遭遇欺诈性申请的可能性，即使机构目前没有遇到此问题。”
换句话说，Ellucian认为教育部正在将利用其ERP中的缺陷的企图与另一组不同的攻击混为一谈。Ellucian表示正在与该部门合作调查这些攻击并清除混乱。
根据其网站，Ellucian Banner ERP被1400多所大学，大学和其他机构使用。
2、Chrome 76 将防止纽约时报等网站探测隐身模式
3、匈牙利航空公司Wizz Air因“技术违规”问题向客户发送密码重置邮件
匈牙利航空公司Wizz Air通过电子邮件向数百万客户发送电子邮件，通知他们他们的密码已被重置。虽然该公司强调此次事件并非黑客攻击所致，也没有任何个人信息存在风险，但该电子邮件依然让许多客户感到意外，并对可能的数据泄露事件表示担忧。
迄今为止，Wizz Air并没有真正提供任何有关已发生事件的细节，只是简单委婉地称之为系统中的“技术违规”。虽然有300多万客户会被迫重置密码，但该公司强调这只不过是一种预防措施。
Wizz Air发表声明说：我们可以确认，公司今天已向客户发送了一封电子邮件，内容涉及检测系统中的临时技术违规行为。任何个人数据都没有受到损害，且重置Wizz账户上的密码是一种预防措施。保证安全仍然是Wizz Air的首要关切，其中包括乘客数据的安全性。在与Twitter上的客户交流时，Wizz Air重申要求重置密码只是一种审慎的策略，并没有更坏的情况发生：
2019年7月18日 星期四
1、苹果再发静默更新 删除其他存在Zoom漏洞软件的Web服务器
今天苹果向The Verge在内的多家媒体发出通知，表示已经向Mac设备发送静默安全更新，以删除RingCentral和Zhumu自动安装的软件。这些视频会议应用程序都使用了Zoom的技术，由于它们本质上都是白标签（White Labels），因此它们同样存在Zoom的安全漏洞。
具体来说就是它们可以安装辅助应用，在没有用户干预的情况下打开你的网络摄像头。即使卸载这些应用程序啊也不会删除这些辅助Web服务器，这意味着许多用户无法获得软件供应商的更新来解决问题。而解决这个问题的最佳方法就是苹果的介入，苹果计划为Zoom的所有合作伙伴解决这个问题。
Zoom发言人Priscilla McCarthy告诉TechCrunch：“我们很高兴与Apple合作测试此更新。我们希望今天解决Web服务器问题。我们感谢用户的耐心，因为我们会继续努力解决他们的问题。
本周早些时候，安全研究员Jonathan Leitschuh公开披露了在Mac电脑上Zoom视频会议应用中出现的一个严重零日漏洞。他已经证明，任何网站都可以在安装了Zoom应用的Mac电脑上打开视频通话。
这在一定程度上是可行的，因为Zoom应用在Mac电脑上安装了一个网络服务器用于接收普通浏览器不会接收的请求。事实上，即便卸载了Zoom, 网络服务器仍会持续存在，并且可以在不需要用户干预的情况下重新安装Zoom。
来源：cnBeta.COM
2、Android 应用开发者有意推迟升级以收集更多用户数据
3、微软前员工被控窃取公司价值1000万美元数字货币
北京时间17日消息，微软一名被开除的员工周二被美国当局逮捕，他被控利用在微软工作之便窃取了该公司价值1000万美元的数字货币。西雅图检察长办公室表示，这位名叫Volodymyr Kvashuk的25岁乌克兰公民曾帮助测试微软的在线零售平台。
他被指控盗取电子货币，比如可以兑换成微软产品的礼品卡，然后在互联网上转售，并用非法所得购买了一辆价值16万美元的特斯拉汽车和价值170万美元的湖畔住宅。
检方称，微软的调查人员在2018年发现了Kvashuk的犯罪行为，并于当年6月将其开除。在他7个月的犯罪活动期间，共有280万美元被转入他的银行账户。
如果罪名成立，Kvashuk最高将面临20年监禁和25万美元罚款。
来源：新浪美股
2019年7月17日 星期三
1、滴滴：上半年协助警方调证6500次，破获12宗黑产案
7月16日消息，滴滴数据显示，在出行安全问题上，今年上半年，已与多地警方合作，加强司机背审，配合警方完成调证6500多次，协助破获黑产案12宗，邀请警方录制行程播报。在行程前，滴滴进一步提升平台审核能力，加强司机背景审查，并在全国开展近百场司机安全培训。
培训中，警方不但向网约车司机、代驾司机教授交通、消防、识别网络诈骗等安全知识，也在现场演示紧急救援和防身技巧，提升司机救助他人以及自我保护的能力。
在行程中，滴滴持续与各地警方探讨，升级行程中的端内“110报警”功能。目前全国227个城市的司机乘客，在电话报警外，可以通过App使用短信报警。并邀请警方，在广东省以及太原、烟台等多个城市警方，为滴滴录制车内语音播报。
在行程后，滴滴安全客服对接警方调证工作组全年7×24小时无休。为进一步提升调证效率，滴滴设立线上调证机制，警方可在线上传警官证照片等身份证明信息。在警方上传警官证照片等身份证明信息后，滴滴可以在10分钟内满足98%的调证需求。另有2%的调证需求，因涉及多笔、长时间段内的订单，调证时间将有所延长。
滴滴数据显示，在打击黑产方面，滴滴上半年协助警方破获案件12宗，抓获嫌疑人179名。
来源：TechWeb
2、iOS13和iPadOS爆安全漏洞：用户名密码或遭泄露
【环球网科技综合报道】一直以安全著称的苹果，在近日来却屡遭安全泄露问题。前段时间，Apple Watch刚刚遭遇了隐私危机，今天，iOS 13与iPad OS也遭遇了同样的问题。
援引外媒报道，在iOS 13和iPad OS的最新测试版本中发现了一个安全漏洞，允许绕过安全机制访问设置应用中的用户名称和密码。 不过外媒也坦言该漏洞在实际场景中对于消费者的安全威胁并不大。外媒iDeviceHelp本周一指出，用户反复点击“网站&应用密码”选项可以绕过Face ID、Touch IS或者密码进行访问。
目前苹果已经收到这个问题的报告，但官方并未做出承认。
3、70%的保加利亚个人信息遭黑客窃取，并发给了当地媒体
原标题：黑客窃取了数百万保加利亚人的数据，并将其通过电子邮件发送给当地媒体
一名神秘的黑客（或黑客组织）窃取了数百万保加利亚人的个人详细信息，并通过电子邮件将下载链接发送给当地新闻出版物。该数据的来源被认为是该国的国家税务局（NRA），该部门是保加利亚财政部的一个部门。
在星期一在其网站上发布的消息中，NRA承认了这一事件，并表示正在与内政部和国家安全局（SANS）合作调查黑客行为。“我们目前正在核实数据是否真实，”NRA表示。黑客窃取了110个数据库，泄露了57个。
据当地媒体报道，黑客说，他们偷走了全国七百万总人口中超过五百万保加利亚人的个人信息。黑客吹嘘从NRA的网络窃取110个数据库，总计近21 GB。黑客只共享了57个数据库，其中包含11 GB的汇总数据給当地新闻媒体，但承诺在未来几天内释放剩下的数据。
泄漏信息包含姓名，个人识别码（PIN），家庭住址和财务收入。大多数信息已有多年历史，可追溯到2007年，但也发现了更新的数据库条目。除了特定于NRA的信息外，还有其他信息似乎已从其他政府机构导入NRA系统。泄露的数据还包含民事登记和行政服务（GRAO）的信息，该部门描述的数据库类似于“其他国家的社会安全号码（或类似）身份证明”。
还发现属于保加利亚海关机构的信息，即保加利亚消费税集中信息系统（BECIS）的数据，这是一个存储进口货物消费税信息的数据库。此外，还有一些当地媒体认为属于国家健康保险基金（NZOK）的信息，尽管他们没有详细说明信息的确切性质以及保加利亚就业局（AZ）的数据。
黑客是阿桑奇的粉丝，黑客通过Yandex.ru电子邮件地址与当地媒体联系，其中包括维基解密创始人朱利安·阿桑奇（Julian Assange）的一段引语的变体，该引语大致翻译为“你的政府是愚蠢的。你的网络安全是模仿。”
保加利亚的反对党没有浪费任何时间。在泄密公开后的几个小时内，民主党保加利亚党要求财政部长弗拉迪斯拉夫·戈拉诺夫辞职。上个月，保加利亚当局逮捕并暂时拘留了一名保加利亚信息技术专家，以释放有关如何在国家管理的幼儿园门户网站中利用漏洞的公共细节，以收集所有保加利亚人的GRAO详细信息。这两起事件似乎没有关系。
来源：ZDNet
2019年7月16日 星期二
1、欧洲伽利略导航系统遭遇大规模故障 用户寻求美国GPS等后备支撑
欧洲的伽利略卫星导航系统，已因大规模故障而离线很长一段时间。自周五以来，用户只能寻求美国的全球定位系统（GPS）、或者俄罗斯 / 中国的后备系统提供支撑。欧洲全球卫星导航机构（GSA）官方通报称，故障疑似与基础设施的技术层面有关，目前尚不清楚何时才能完成修复并重新上线。
（图自：GSA，via BetaNews）
伽利略卫星网络被欧洲的金融等机构所采用，但近期来欧洲旅游的人们，将不得不重新考虑 GPS 等后备系统。尴尬的是，此前欧洲自诩伽利略会比 GPS 更加可靠。
庆幸的是，本次宕机事件仅影响伽利略的初始导航和定时服务，那些在特定区域使用的终端设备并不会受到影响（比如海上或山区）。
此外，Galileo 目前仍处于测试阶段，且最近才被美联邦通讯委员会（FCC）批准用于美国的智能手机。GSA 在官网上称：
伽利略从 2016 年 12 月起提供‘初始服务’，但在‘全面投入服务运营’之前的试验阶段，伽利略会与其它卫星导航系统的信号配合使用，以便在转正前有充分的时间去检出技术问题。
目前 GSA 已经设立了异常审查委员会，各路专家正在努力分析确切的故障原因，以尽快恢复伽利略导航系统的正常运行。
来源：cnBeta.COM
2、2020年起韩国政府部门开始采用“安全邮箱”系统
15日，据韩国国情院透露，为防御邮件攻击，强化邮件系统的整体安全，将计划从2020年开始以中央行政机关、电力基础设施等主要政府部门为对象引进 ‘安全邮件’系统，之后将逐渐扩大至地方政府等其他部门。
该系统可帮助用户确认收件人和发件人之间是否可以发送邮件。在发送一些重要邮件时，首先发件人会发送一个包含密码在内的短信，以供收件人查看。
通过该短信收件人会确认是否接收邮件，之后再输入所收到的密码进行浏览邮件。其实这不仅仅是单纯的浏览邮件，它还附加了有效期、邮件内容附件加密、储存等功能。
此外，还计划联合各大门户网站，以快速捕获、拦截黑客邮件发信地址。并使用邮件认证技术标准，从技术层面上识别并拦截攻击国家、政府机关以及地方•公立大学等的黑客攻击邮件。
来源：韩国《电子新闻》
3、Windows 10 20H1 预览版暗示旧版 Edge 将移除
2019年7月15日 星期一
1、Apple Watch对讲机APP曝出窃听漏洞
中关村在线消息：使用Apple Watch的用户需要注意了，其中的对讲机APP——Walkie Talkie被曝出存在漏洞。苹果本周四曾发出声明指出，其发现Apple Watch上的Walkie-Talkie APP出现了某项漏洞，或让恶意人士窃听他人iPhone上的通话。为此苹果已紧急关闭了上述功能。
不过苹果指出，这个漏洞的利用难度较大，需要特定条件以及一系列代码触发。截至目前，苹果并未发现有任何用户遭到相关攻击。
据悉，Walkie-Talkie是一款一键通话APP，它由FaceTime Audio演变而来，并在watchOS 5中加入到Apple Watch。这款APP的用法如同对讲机，用户只需按下界面上的交谈键后即可相互呼叫。
目前这项APP仍在Apple Watch上，但通话功能已经被苹果方关闭而无法使用。
苹果并未说明该漏洞细节，不过为了保护用户，其表示在调查完成并发布更新前不会揭露、讨论或证实与之相关的安全问题。
实际上，这已是苹果第二次关闭FaceTime的功能了。今年一月iPhone FaceTime的群组通话功能曝出有漏洞，让使用者即使尚未接起通话，拨话方也可听到使用者对话、甚至可看到影像。苹果因为应对迟缓而遭受指责。
来源：中关村在线
2、2020美国大选在即：多州选票机被爆运行过时操作系统和软件
2016年美国总统大选之后，包括宾夕法尼亚州在内的多个州均承诺加大投票机方面的资金投入，尽可能地减少安全问题。不过根据美联社公布的最新报告，尽管美国各州都采购了新设备，但是这些设备都运行过时的软件，仍然容易受到黑客攻击。
这些新设备的核心问题就是依然运行Windows 7系统。微软在2009年至2014年间发布了操作系统，并且已经被Windows 10取代。该公司已经缩减了对操作系统的支持，并且明年1月将正式结束对它的支持。
在对所有50个州的投票机进行的分析中，美联社称其在多个战场州（Battleground States，也称摇摆州）均受到Windows 7停止支持的影响，包括宾夕法尼亚州，威斯康星州，佛罗里达州，爱荷华州，印第安纳州，亚利桑那州和北卡罗来纳州。此外类似于乔治亚州和密歇根州在新系统中考虑使用Windows 7。
此外美联社还表示三大投票机供应商的前两家Election Systems and Software LLC和Hart InterCivic Inc所提供的设备中均运行过时的软件。Hart InterCivic所用操作系统（Windows 10 Enterprise 2015 LTSB和Windows 10 IoT Enterprise 2015 LTSB）的主流支持将会在2020年10月30日结束。
而Election Systems和Software LLC均表示将会提供运行在Windows 10上的新系统。不过目前尚不清楚这些已经投入使用的设备能否在11月开始的2020大选之前升级。
而第三家供应商Dominion Voting Systems Inc.并未受到此问题的影响，不过公司指出此前从已经不存在公司收购来的多个系统可能依然运行在更旧的操作系统上。
随着各州开始为2020年的选举做准备并为新系统下订单，宾夕法尼亚州，密歇根州和亚利桑那州的州官员表示，他们已与供应商讨论了机器上的软件问题。
3、篡改同学志愿处罚过轻？专家：报志愿系统存漏洞
原标题：篡改同学志愿处罚过轻？ 律师：不需单独立法 专家：报志愿系统存漏洞
俗话说“十年寒窗苦读，一朝金榜提名”。对许多人来说，高考承载着他们的梦想，是改变命运的重要转折点。试考完了，填志愿当然也是一次重要的选择。不过就在近日，浙江、河南却接连发生了两起恶意填报、篡改他人志愿的事件，引发舆论关注。
让人心痛、甚至愤怒的是，这两起事件，都是同窗所为。一个是因琐事发生矛盾，河南中牟一考生恶意填报同学的志愿；一个是因为自己高考没考好，浙江台州一学生篡改了3名同学的志愿。那么，恶意填报或是篡改他人高考志愿，应该承担什么法律后果？相关处罚是否“过轻”？又该如何加强防范，避免类似事件再次发生呢？
同班同学恶意填报、篡改他人志愿
河南高招志愿填报工作刚刚结束，但中牟县考生刘某今年高考志愿填的并不顺利。按照规定，河南考生填报志愿修改次数不得超过两次，但是7月1号当天，刘某准备登陆河南省普通高校招生考生服务平台，准备填报志愿时，发现自己的本科一批、二批志愿已被填报，并已被连续修改2次，无法再做修改。刘某立即向当地教育招生部门说明情况，并在工作人员指导下报警。
经公安机关查明，犯罪嫌疑人系刘某同班同学乔某。因在校期间曾因琐事发生矛盾，乔某在看到刘某的高考填报志愿账号及密码后，进行恶意填报。目前，公安机关正在依法依规处理中。
无独有偶，浙江一名考生也遭遇了同样的事情。今年高考志愿填报日期截止前，浙江省台州市天台县的考生张某等三人按照自己的高考成绩，分别填报了各自院校。几天后，查看自己的志愿时，却发现高考志愿被人篡改了，三人立马向警方报案。警方通过侦查发现，作案者是三人的好朋友陈某，他得知三位同学的成绩出色，担心被取笑就篡改志愿。目前浙江省考试院已恢复三人志愿，陈某被行政拘留10天。
接连发生的两起高考志愿篡改事件，均由同窗所为。相关部门再度提醒，考生要增强个人信息保护意识和风险防范意识，妥善保管个人登录密码。河南省招生办公室新闻发言人陈大琪：
陈大琪：“每次填报、修改或浏览完志愿后，务必点击‘退出’并关闭所有填报志愿期间打开的浏览器窗口，以免他人进行不利于考生本人的修改和信息收集。”
其实，类似篡改考生高考志愿的事情，早已不是第一次被曝光了。近年来，多地都发生了考生高考志愿被篡改事件，其中既有个别教师为谋利益，篡改考生志愿；也有同窗好友出于个人目的，篡改同学志愿；还有社会人员利用黑客技术，破解志愿填报系统修改考生志愿。
专家：报志愿系统存漏洞
2011年，安徽省37名高考生志愿被篡改；2012年，河南周口14名学生志愿被改，第一志愿均变成山东某职业学院；2014年，江西3名考生志愿被老师篡改……其中，受到广泛关注的要数2016年山东连续发生的两起篡改高考志愿事件。其中的一起案例，作案者因篡改了四位同学的高考志愿，还被当地法院以破坏计算机信息系统罪判刑7个月。篡改他人高考志愿是否构成犯罪？可能涉及什么罪名？北京岳成律师事务所高级合伙人岳屾山：“没有就单独的一个篡改高考志愿行为来做规定，而是说它是通过破坏计算机信息系统这种行为来实施这样一个犯罪，如果说是符合犯罪构成的话，要以破坏计算机信息系统罪来追究责任了。篡改高考志愿这种事，它并不是一个非常普遍的事情，它挺极端，很少的一种个例。对于这种个例的话，一般不需要通过单独的立法来进行规制，都是按照现有的法律规定里面的内容对它来进行规制。”
最重的因犯破坏计算机信息系统罪获刑7个月，最轻的只能不了了之。此次篡改3名同学高考志愿的浙江台州学生陈某，被警方根据《治安管理处罚法》，行政拘留10天。这一结果被很多网友质疑“过轻”，担心起不到惩罚当事人和警戒他人的目的。21世纪教育研究院副院长熊丙奇认为，篡改高考志愿的犯罪成本较低，相关法律的缺位或许也是近年来该类事件屡禁不止的重要原因：
熊丙奇：“从现实情况来看，因为涉及者都是学生，有人担心，这个学生的前途也受到影响，因此，往往就是采用两个处理办法，一个就是如果篡改志愿产生了严重的伤害后果，那么就是要追究责任，追究刑责。但是往往这个事情出来之后，往往当地教育部门，还有大学采取补救措施，因此也没有产生所谓的具体伤害后果，因此，往往也就从轻处理了。所以说有些时候就是由于这种特殊的高考问题，因此往往就会在这些方面网开一面，反而就是助长了这种以高考为名的违规违法犯罪。”
屡屡发生的高考志愿被篡改事件，也或多或少折射出当前高考志愿填报环节中存在的隐患，特别是防篡改方面存在风险与漏洞。在熊丙奇看来，避免学生“被志愿”，技术防范也应该增强。可借助人脸识别、指纹识别、信息绑定、密码问题保护等技术手段，增强志愿报考系统的严密性，为志愿的填报添加一道“技术防线”：
熊丙奇：“要加强志愿填报系统的稳定性，基本上要求学生不能简单的靠密码和帐户信息去登录，他必须有一个验证的过程，这个验证要求你本人手机验证，要验证码，加强他的安全防范。以前有的时候都有一个用户名和一个密码，有的学生就会猜出你的密码，那一定会出现这种安全的漏洞，那就导致了很容易被别人进行篡改。这就要求必须有安全意识，必须保护好自己的账户和密码，不要交给别人来处理这个事情。”（记者 周文茹、赵珊珊）
来源：中国之声
2019年7月12日 星期五
1、注意：全世界97%的银行都无法保障你存款的安全
安全测试机构ImmuniWeb日前发布了一项全球大型金融机构安全评测报告。报告指出，就应用程序安全性、隐私保护和合规性而言，这些大型金融机构的安全状况令人担忧。全球97%的大型金融机构容易受到网络和移动攻击，在SSL加密和网站安全方面仅有三家机构获得A+的评价。
这三家机构分别为瑞士信贷（Credit Suisse）、丹麦丹斯克银行（Danske Bank）和瑞典Handelsbanken银行。ImmuniWeb在这三家金融机构的主要网站上没有发现任何漏洞或配置错误。此外，还有五家金融机构因“发现存在可被利用的公开安全漏洞”而未能通过检测。
据悉，在ImmuniWeb进行的评测中，共有40家机构的评价结果为A，20家机构为B，还有31家机构被评为C。A表示被发现的安全问题“微不足道”或“略显不足”；B意味着发现一些小问题或者未发现足够的安全强化问题；而C则表示网站上有安全漏洞或数个严重的错误配置。
在电子银行方面，获得A+评价的机构略多一些，达到15家；A为27家；B为13家；C为40家。另外还有7家机构获得F评价，代表被发现存在可利用的公开安全漏洞。
就主网站的SSL/TLS加密安全等级而言，获得A+评价的金融机构有所提高，但也有未能通过检测的机构。其中，共有25家金融机构获得A+评价，A为54家；B为7家；仅有一家金融机构获得C评价，但也有13家金融机构没有采用加密，或者被发现存在可利用的安全漏洞而未能通过检测。电子银行网络应用程序的SSL/TLS加密总体表现要好一些，共有29家金融机构获得最高的A+评价，仅有两家金融机构未能通过检测。
另外，只有39家金融机构通过《通用数据保护条例》（GDPR）主站合规性测试，共有2081个子域名未通过测试。电子银行网站通过GDPR合规性测试的仅有17家机构。
Immuniweb透露，每个网站平均包含两个不同的web软件组件，JS库、框架或其他第三方代码。多达29个网站包含至少一个公开披露的中等或高风险的未修补安全漏洞。在研究过程中检测到的最原始的未打补丁的漏洞是jQuery 1.6.1版本中的CVE-2011-4969，这个漏洞最早在2011年被发现。ImmuniWeb表示，最常见的网站漏洞是XSS（跨站点脚本，OWASP A7）、敏感数据暴露（OWASP A3）和安全错误配置（OWASP A6）。
此外，过期组件在二级域名更加糟糕：81%的二级域名含有过期组件，2%的二级域名存在已被公开披露并且可被利用的中、高风险漏洞。
ImmuniWeb表示，该机构所调查的银行都存在安全漏洞或与被弃用的二级域名相关的问题。
该机构还对网络钓鱼攻击进行检测，研究发现在29起活跃的网络钓鱼活动中，大多数恶意网站都在美国托管，其中美国银行的客户受到的攻击次数最高，达到8次，富国银行和摩根大通次之，分别为7次和3次。在检测中，摩根大通总共有受到227次网络钓鱼攻击。
调查还拓展到移动银行应用程序，ImmuniWeb表示，有55家银行允许访问敏感的银行数据。这些移动应用程序总共与298个后端API进行通信，以便从各自的银行发送或接收数据。
Immuniweb直言这些发现“令人相当担忧”。报告指出所有的移动银行应用程序至少包含一个低风险安全漏洞，92%移动银行应用程序至少包含一个中等风险安全漏洞，还有20%包含至少一个高风险漏洞。
Immuniweb首席执行官兼创始人伊利亚·科洛琴科（Ilia Kolochenko）最后表示，考虑到研究方法不具有侵入性，以及银行机构可利用重要财政资源，研究结果表明金融机构有必要迅速修订并加强其现有的应用程序安全方法。
来源：凤凰网科技
2、30款App违规收集个人信息被通报 含探探、韵达快递等
App专项治理工作组公告显示，探探、人人、趣店、春雨医生、天天酷跑、韵达快递等30款App因违反《网络安全法》关于收集使用个人信息的规定，被通报整改。根据公告显示，中国银行手机银行、春雨医生、魔漫相机、韵达快递等10款App违反《网络安全法》第四十一条“公开使用收集个人信息规则”的要求，无隐私政策。
天天酷跑、趣店、探探、猎豹安全大师、人人等20款App违反《网络安全法》第四十一条“网络运营者收集使用个人信息，应当遵循合法、正当、必要的原则”的要求，要求用户一次性同意开启多个可收集个人信息权限，不同意则无法安装使用。
App专项治理工作组要求，上述App运营者30日内完成整改，逾期未完成整改的，工作组将建议相关部门依法处置。
3、刷好评删差评将被列入严重失信名单
国家市场监管总局公布了《严重违法失信名单管理办法（修订草案征求意见稿）》，意见递交截止日期为 2019 年 8 月 10 日。
《征求意见稿》包含了两条与电商相关的条款：第六条 21，网络交易经营者通过虚构交易、删除不利评价、授意他人发布不真实的利己评价等方式，为自己和他人提升商业信誉和商品声誉，或者通过将自己的商品与其他经营者的商品作不真实的对比、对其他经营者作不真实的不利评价等捏造、散布虚假事实的方式损害他人商业信誉和商品声誉，造成严重后果，社会影响恶劣，被市场监督管理部门行政处罚的。
22，网络交易平台经营者存在管理制度缺失和重大缺陷，或者滥用服务协议、交易规则和技术等手段，或者以商业秘密、信息安全等不合理理由，规避、怠于履行对平台内经营者的资质资格审核义务、对消费者的安全保障义务以及向市场监督管理部门进行信息报送的义务，或者报送信息不及时、不完整、不真实，妨碍市场监督管理工作，造成严重后果，社会影响恶劣的。
有上述行为将会被列入严重失信名单，网络交易平台经营者不得为其提供平台服务。
2019年7月11日 星期四
1、美国医院麻醉机、呼吸机现安全漏洞：极易遭到远程篡改
据外媒报道，安全研究人员发现，美国医院的麻醉机和呼吸机所使用的网络协议存在一个漏洞，如果利用该协议，这些医疗设备可能会遭到恶意篡改。来自医疗安全公司CyberMDX的研究人员表示，通用电气(GE)Aestiva和GE Aespire设备中使用的协议可以在连接到医院网络终端服务器时发送命令。
研究人员指出，这些指令可以关闭警报、改变记录，另外还可以被滥用来改变呼吸器和麻醉机中吸入气体的成分。
美国国土安全局在周二发布的一份报告称这些漏洞只需要低水平的技术就能遭到利用。“这些设备使用的是一种专有协议，”CyberMDX研究主管Elad Luz说道，“计算这些命令非常简单。”
Luz指出，其中一个命令会迫使设备使用仍存在于设备中的较老版协议，更糟的是，这些命令都不需要任何身份验证。
不过如果设备没有连接到网络那么就会安全得多。
据悉，CyberMDX则是在2018年10月底向GM披露了这些漏洞。后者表示，Aestiva和Aespire的7100和7900版在受影响范围内。据这家公司发言人表示，这一潜在的问题没有带来临床风险或直接的患者风险，麻醉设备本身也不存在脆弱性。不过这家公司拒绝透露受影响设备的具体数量，而2009年以后销售的系统则不再具备修改气体成分的能力。
2、微软警告 Astaroth 恶意程序攻击
微软安全团队对正在进行中的 Astaroth 恶意程序攻击发出警告。Windows Defender ATP 团队成员 Andrea Lelli 称，当监测到 Windows Management Instrumentation Command-line (WMIC) 工具的使用率突然大幅增加之后，他们感到警钟响起。
WMIC 是一个所有 Windows 版本都包含的合法工具，但使用率的突然爆发式增长暗示了恶意程序攻击。微软仔细调查之后发现了利用该工具的 Astaroth 恶意程序攻击。
攻击者利用钓鱼邮件引诱用户下载和运行恶意文件，然后使用 WMIC 下载额外的代码，最后下载 Astaroth 木马。
3、Mozilla拒绝将DarkMatter根证书纳入Firefox白名单
浏览器开发商 Mozilla 今日宣布，它将不会在 Firefox 根存储中包含一家名为 DarkMatter 公司的根证书。作为浏览器内部自带的一份实体白名单，其旨在严格认证用于保护签名加密 HTTPS 流量的 TLS 证书。问题在于，DarkMatter 近期陷入了一些争议，被指控向不被认可的中东组织机构出售发行了用于监视和黑客服务的证书。
Mozilla 证书颁发机构（CA）项目经理 Wayne Thayer 表示：
除了拒绝在 Firefox 中包含 DarkMatter 的根证书，Mozilla 还将不信任 QuoVadis 的六个中间证书，因为 DarkMatter 将其作为向客户颁发 TLS 证书的临时中转。
若将 DarkMatter 根证书包含在 Firefox 中，那它将使得该公司发布的“认证假网站”的 TLS 证书被浏览器视为合法。
此前，诸多网络安全专家和隐私倡导者向 Mozilla 发去了警示函，称 DarkMatter 会滥用自身权力来促成某些调查行动，且其中一些已经在路上。
早些时候，DarkMatter 曾对这些报道提出过异议。但对于今天早些时候的最新报道，该公司没有立即回应 ZDNet 的置评请求。
2019年7月10日 星期三
1、10月底前完成数据安全检查 违法违规APP将无处藏身
近日，工信部印发《电信和互联网行业提升网络数据安全保护能力专项行动方案》（以下简称《方案》），以解决数据过度采集滥用、非法交易及用户数据泄露等数据安全问题，加快推动构建行业网络数据安全综合保障体系。《方案》提出，在今年10月底前完成全部基础电信企业（含专业公司）、50家重点互联网企业以及200款主流APP（手机应用软件）的数据安全检查。
近年来，APP在采集和泄露数据信息方面出现了不少安全问题。今年1月，中央网信办、工业和信息化部、公安部、市场监管总局4部门组织开展了APP违法违规收集使用个人信息专项治理。工信部网络安全管理局相关负责人告诉经济日报记者，目前专项治理工作取得了阶段性成效，通过对百余款用户投诉量大、社会关注度高的APP检查评估，发现存在强制授权、过度索权、未经同意收集个人信息和对外提供个人信息等典型问题，并督促企业及时整改。
“本次《方案》中提出的深化APP违法违规专项治理，就是对4部门专项治理工作的延续和深化。”上述负责人介绍说，下一步，将加强APP安全技术检测和监督执法，组织第三方评测机构开展APP安全滚动式评测，对在网络数据安全和用户信息保护方面存在问题的APP及时下架和公开曝光，严厉查处各类违法违规行为。同时，还要督促应用商店落实APP运营者真实身份信息验证、应用程序安全检测、违法违规APP下架等责任，切实规范用户个人信息的收集使用行为；制定出台网络数据安全合规性评估标准规范，组织企业开展网络数据安全合规性自评估工作，提升企业网络数据安全风险防范能力。
当前，我国数据安全管理面临的问题和挑战主要有两方面。一是，要平衡处理好发展与安全的关系。面对大数据快速发展带来的新形势新挑战，部分企业为掌握海量数据资源，在数据保护方面存在“重采集，轻保护”的现象，亟需指导督促企业落实数据安全保护责任。二是，大数据时代下数据安全面临更多的风险和挑战，传统网络安全监管手段和能力难以有效应对数据作为生产资料无处不在的新环境，需要在实践中不断完善管理方法，进一步加强数据全生命周期保护和管理。
“从当前监管实际看，数据过度采集、滥用等问题较为突出。”上述负责人表示，要进一步督促企业加强用户个人信息和数据保护，及时整改安全隐患。同时，需要加快推进行业网络数据安全制度、标准、技术、管理等综合体系建设。
上述负责人介绍说，考虑到数据安全管理属于新兴领域，方案设定了为期一年的两个阶段工作目标。其中，近期目标要督促基础电信企业和重点互联网企业强化网络数据安全全流程管理，及时整改消除重大数据泄露、滥用等安全隐患；远期目标则是重点围绕关键制度、重点标准、技术手段、示范项目、支撑队伍等方面，推动建立行业网络数据安全保障体系和长效机制。
来源：经济日报
2、智联招聘三年两曝盗卖个人简历 "黑市价"2元涨至5元
近日，据中国消费者报报道，一起“智联招聘”员工参与倒卖公民个人信息的案件在北京市朝阳法院第二次开庭审理。一份简历的出售价格为5-6元左右不等，该案涉及公民个人信息达16万余份。
中国经济网发现，这已不是智联招聘首次出现员工盗卖客户简历的事件。2017年6月2日，智联招聘员工私售15万条简历一案在北京市朝阳区法院审理。智联招聘大客户部销售申某利用智联招聘网站系统漏洞，于2016年3月至10月间，在智联招聘的客服李某帮助下，将该网站15.5万余条个人简历廉价卖给余某。官网报价为50元一条的简历，他们卖出的价格为2至2.5元一条。
智联招聘还曾被曝存漏洞。2014年12月3日，漏洞报告平台乌云网曝出智联招聘存在漏洞，涉及86万用户简历信息泄露。不过，智联招聘回应称，乌云网站上公布的疑似泄露信息图片中，标有智联招聘字段的简历信息，绝非来自智联招聘。
智联招聘员工参与倒卖用户简历16万余份 每份5-6元左右不等
中国消费者报报道称，7月5日，北京市朝阳区人民法院审理了一起“智联招聘”员工参与倒卖个人信息案。无业人员郑某为了获得公民简历信息，伪造假的企业营业执照并提供给北京网聘咨询有限公司上海分公司（简称“智联招聘”）工作人员卢某和王某，获得企业会员账号，获取大量公民简历，然后在淘宝上销售。该案涉及公民个人信息达16万余份。
经过5月6日和7月5日两次开庭，此案未当庭宣判。
据悉，被告人卢某和王某在案发前是“智联招聘”的员工，被告人郑某是一家淘宝店店主，专门在网上卖个人信息。2018年，郑某结识了在“智联招聘”工作的卢某和王某，开始从二人处购买简历。“他们有便宜的套餐，一份简历4.5元，一个账号2800份简历”郑某称。
记者从法院获悉，郑某在庭审中称，一份4.5元的简历，他加价1元到1.5元在淘宝上销售。最终，一份简历的出售价格为5-6元左右不等。
按照“智联招聘”的正常信息销售流程，企业需要与“智联招聘”签订正式合同，待审批生效后再以企业账号的形式获得信息。卢某在庭审中称，郑某自称是猎头公司的，需要大量简历。于是卢某通过公司内部获取了超过60个企业名称，还协助郑某用PS伪造虚假的企业营业执照蒙混过关。郑某将钱款转至卢某的个人微信或支付宝账户，再由卢某转至公司的银行账户。
当公诉人当庭询问其做法是否符合“智联招聘”制度要求时，卢某称“领导跟我说客户给钱就行”。但他同时称自己并未从中获益。而另一位“智联招聘”的销售员王某则称，其在一开始并不知道郑某营业执照的假的，“我到后来才知道是他PS的”。面对公诉人“你提供企业名称，郑某就提供营业执照”是否符合常理的疑问，王某称其未考虑太多。
2017年北京朝阳法院审理：智联招聘员工私售15万条简历 每条卖2至2.5元
2017年6月2日，智联招聘的两名内部人员和购买信息人一同在北京市朝阳区法院开庭审理。50元的简历他们私下只卖2元多一条，被控销售15.5万余条。
据检查日报报道，作为智联招聘的大客户部销售，申某利用智联招聘网站系统漏洞，于2016年3月至10月间，在智联招聘的客服李某帮助下，将该网站15.5万余条个人简历廉价卖给北京某科技公司的人事经理余某。
申某表示，在做销售期间，业绩压力很大，如果完不成业绩奖金就泡汤，经常有人私下问他能不能将简历便宜出售。
“2016年3月，我发现公司的程序有漏洞，于是便以乙公司的名义发起转移合同的邮件，李某在后台回复邮件确认，之后运营部门逐层审批，我截取邮件审批结果截图上传公司系统，转移合同便生效，系统会生成一个用户名和密码。”申某告诉记者，他将这个包含数份简历的账户密码私下销售给客户获利。
李某帮申某确认邮件的过程中，简历数量最多的一次就达1万多份。“前期大约一周一次，后期几乎每天都有。”李某坦承，“由于抹不开面子，加上自己也想从中挣点钱。”
申某每次获取简历后会通过微信红包付给李某200元。“后来李某觉得钱少，我答应每1000份简历给他200元好处费。”申某表示，自己一共挣了将近50万，给李某的好处费差不多接近4万。
2014年：被曝泄露86万用户简历信息 智联招聘否认
据北京青年报，12月2日晚，智联招聘收到来自乌云白帽子“天地不仁 以万物为刍狗”邮件，信中提交了一个关于“导致智联招聘86万用户简历信息泄露”的漏洞，12月3日早上乌云网站正式公布此漏洞。从漏洞中可以清楚看到姓名、地址、身份证号、户口、月薪等信息。同时，智联招聘对该漏洞的反馈是“忽略”。
智联招聘表示，在接到乌云的提醒之后，技术部门很快进行了排查确认，认定其指向的IP地址并非智联招聘，同时乌云网站上公布的疑似泄露信息图片中，标有智联招聘字段的简历信息，绝非来自智联招聘。而对于此消息，智联招聘的个人用户显得十分平静，有些甚至发帖称“一看这些信息就是假的，身份证号根本不对”。
而对于有媒体推断，该事件很可能是智联招聘曾经遭遇脱库，泄露信息又被转手到本次事件中的招聘网站，最后因为漏洞又被发现，智联招聘坚称绝无可能。
另据京华时报报道，乌云方面称已经确认漏洞中曝出的IP地址属于一家新兴招聘网站，该网站被白帽子发现86万条简历数据，而这些数据却全部被标示为来自智联招聘。到下午乌云平台将该报告删除。
中国互联网协会信用评价中心法律顾问赵占领表示，信息盗取和买卖是违法行为。拥有海量用户信息的公司或平台作为信息管理方要承担保护用户信息的法律义务，因平台漏洞和“内鬼”倒卖而出现信息泄露时需要承担赔偿责任。
记者询问出现漏洞IP地址是哪里，存在安全漏洞的那一家新兴招聘网站又是哪家时，乌云和智联招聘方面并未透露。有在线招聘行业人士告诉记者，事实上网络上长期存在着简历买卖的“黑市”，一类是线上招聘网站的“内鬼”，他们盗取网站数据对外交易获利；另一类是线下企业或其HR部门、非正规的网络招聘论坛等出售用户信息，为表示权威或掩饰信息来源而标示来源为知名企业或招聘网站。
来源：中国经济网
3、报告称超6成Web应用程序攻击来自SQL注入
[TechWeb]7月9日，Akamai近日发布了《2019年互联网安全状况报告：Web攻击和游戏撞库》，数据显示，黑客已将游戏行业作为主要攻击目标，SQL注入（SQLi）攻击目前占所有Web应用程序攻击的65.1%。
报告显示，在2017年11月至2019年3月的17个月内，黑客们针对游戏网站进行了120亿次撞库攻击。游戏社区不仅成为撞库攻击增长最快的目标之一，也是那些希望快速获利的犯罪分子最有利可图的目标之一。
此外，在同一分析时间段内，Akamai还发现所有行业总共遭受了550亿次撞库攻击。
其中，SQL注入（SQLi）攻击目前占所有Web应用程序攻击的近65.1%，本地文件包含（LFI）攻击占24.7%。作为一种攻击向量，SQLi攻击以惊人的速度增长。在2017年第一季度，SQLi攻击占所有应用程序层攻击的44%。
报告分析，游戏行业对于黑客而言是一个极具吸引力的目标，这是因为犯罪分子可以轻而易举地交易游戏道具来获利。这些攻击的其中一个案例就是犯罪分子以热门游戏为目标，寻找有效账号和特殊皮肤。玩家账号一旦成功遭到黑客入侵，即被交易或出售。
2019年7月9日 星期二
1、研究人员发现医疗软件漏洞 将导致诊断结果有误
据外媒报道，近期研究人员最新发现了一个用于基因组分析的通用开源软件的漏洞，这将导致基于DNA的医学诊断很容易受到网络攻击。桑迪亚国家实验室的研究人员发现了这个弱点，并及时通知了软件开发人员，随后他们发布了一个补丁来解决这个问题，同时最新版本的软件也解决了这个问题。
虽然目前还不知道该漏洞是否遭受过攻击，但国家标准技术研究院最近在给软件开发人员、基因组学研究人员和网络管理员的一份说明中对该漏洞进行了分析。这一发现揭示了保护基因组信息不仅仅涉及个人基因信息的安全存储，而分析基因数据的计算机系统中的网络安全也是至关重要的。
个性化医学是利用患者的基因信息指导医疗的过程，这个过程包含两个步骤：首先对患者细胞中的整个基因内容进行测序，然后将该序列与标准化人类基因组进行比对。通过这种比对，医生可以确定与疾病相关的患者的特定基因变化。
通常个性化基因组学研究人员广泛使用的匹配程序为Burrows-Wheeler-Aligner（BWA）。基因组测序从切割和复制一个人的基因信息到数以百万计的片段开始。然后一台机器读取每个片段无数次，并将片段图像转换为构建基块序列，通常由字母A、T、C和G表示。最后，软件收集这些序列，并将每个片段匹配到其在标准化人类基因组序列上的位置。
桑迪亚国家实验室研究该项目网络安全的研究人员发现，当该项目从政府服务器导入标准化基因组时，存在一个漏洞。标准化的基因组序列在不安全的通道上传播，这就为普通的网络攻击创造了机会。
如果遭受了黑客攻击，他们可以截获标准的基因组序列，然后将其与恶意程序一起传输给BWA用户，恶意程序会改变从测序中获得的标准基因信息。然后，恶意软件可以在基因组绘图过程中更改患者的原始基因数据，使得最终的分析在没有人知道的情况下不正确。这也预示着，如果被黑客攻击，医生的诊断结果有可能是不对的，同样开出的药物可能对于患者也是无效的。
研究人员同时指出，同样使用这种软件的法医实验室和基因组测序公司也容易遭受到类似攻击。但是来自直接面向消费者的基因测试的信息不受此漏洞的影响，因为这种测试使用的方法与全基因组测序不同。
2、英国航空公司将因数据泄露问题面临创纪录罚款处罚
据外媒报道，英国数据监管机构近日宣布，计划对英国航空公司处以1.83亿英镑的罚款处罚，原因是发生在去年的数据泄露事件。信息专员办公室(ICO)表示，因为这家航空公司糟糕的安全工作导致50万名左右客户的信用卡信息、姓名、地址、旅游预订信息和登录信息被泄露。
据BBC报道称，这将是成为ICO有史以来开出的最高罚单，远高于Facebook剑桥分析(Cambridge Analytica)丑闻的50万英镑罚单。英国航空公司将有28天的时间对该罚单提出上诉，然后将迎来最终裁决。
信息专员Elizabeth Denham在一份声明中表示，个人数据的丢失不仅仅只是一个麻烦，对于这家公司来说它应该采取适当的措施保护客户的基本隐私权。
英国航空董事长兼首席执行官Alex Cruz在回应这一消息时表示，该公司对ICO的决定感到意外和失望。另外他并补充称，他们公司没有发现与该次早泄露账户有关的欺诈行为发生的证据。不过ICO倒是指出，这家航空公司配合了他们的调查工作并在发现该漏洞后改善了安全措施。
3、Canonical GitHub 账号被入侵 未观察到修改源代码
7月6日，Canonical Ltd. 的 GitHub 账号被黑了。Canonical 是 Ubuntu Linux 发行版背后的公司。根据被攻击的 Canonical GitHub 帐户的镜像，黑客在官方 Canonical 帐户中创建了11个新的存储库。这些库都是空的。
“我们可以确认，在 2019-07-06，GitHub 上有一个 Canonical 拥有的帐户，其凭据被泄露并被用于创建存储库和 issue”，Ubuntu 安全团队在一份声明中表示，“Canonical 已从 GitHub 的 Canonical 组织中删除了该帐户，并且仍在调查违规的程度，此时没有迹象表明任何源代码或 PII 受到影响”。
“此外，我们已经断开构建和维护 Ubuntu 发行版的 LauncHPad 基础设施与 GitHub 的连接，同时也没有迹象表明它已受到影响。”
Canonical 表示将在调查、审核和修复完成后发布公开更新。
这并非 Canonical 经历的第一起被黑事件。Ubuntu 官方论坛曾在 2013 年 7 月、2016 年 7 月和 2016 年 12 月三次遭到黑客攻击。前两次分别有 182 万和 200 万用户的信息被窃取，而在后一次，整个论坛被破坏。
去年 5 月，官方 Ubuntu 商店也发现了包含加密货币矿工的恶意 Ubuntu 软件包。
不过，所有这些 Ubuntu 安全事件与 2016 年 2 月 Linux Mint 发生的情况相比起来，都显得苍白无力，当时黑客攻击了网站，并通过后门污染了操作系统的源代码。类似的事件发生在 2018 年 6 月的 Gentoo Linux 发行版上，当时黑客获得了对发行版的 GitHub 存储库的访问权限并且使用包含后门的操作系统版本使一些 GitHub 下载文件中毒。
目前，这个事件似乎是良性的。如果黑客已经将恶意代码添加到 Canonical 项目中，那么他就不会通过在 Canonical GitHub 帐户中创建新的存储库来引起他们的注意。
事件发生前两天，网络安全公司 Bad Packets 检测到 Git 配置文件的全网扫描。此类文件通常包含 Git 帐户的凭据，例如用于管理 GitHub.com 上的代码的凭据。
不过目前尚不能确定事件是否与此相关，还是等待 Canonical 的官方调查报告及更新吧。
2019年7月8日 星期一
1、去中心化基础架构安全尝试
"2018年至今所谓的区块链行业经历了如火如荼的高速扩张到加密货币价格暴跌后的各种有趣现象，商业的角度只是投机者们追逐下一个泡沫市场的更替，但从自由软件社区和技术的角度，过去30年的自由软件社区经过了大量的去中心化的实践（看看最近刚发布Buster的Debian GNU/Linux社区就是去中心化管理的典范），而随着crypto anarchy社区的早期尝试以及后来的进化，各种密码工程的产物的意义不亚于互联网本身，而加密货币只是其中之一。
一方面随着自由软件/固件/硬件社区的黑客们往下不断的深挖和探索( Ring -3和 Ring -4)，另外一方面被调侃成"Someone else's computer"的云计算的普及，两个看似无直接交集的领域产生了一些直接或间接的联系，而分布式账本技术则看似在一夜之间成为了全球的焦点，所有这一切的涌现其背后的复杂性不言而喻。
HardenedLinux社区成员基于security-chain项目对未来的去中心化基础架构安全进行了一些探索，去中心化节点之间最为关注的是信任的问题，而我们关注的信任并非业务层面而是机器之间的信任( attestation for secure state)以及机器之间的“隐私”(通信过程的非认证防护体系和可抵赖性)，涉及到了如何整合现代信息安全防御体系中不可或缺的系统安全和密码工程，这是业务层面去中心化应用的坚实基础，否则大规模的应用还是只能依赖于低效的PoW来完成。
有兴趣的读者可以关注永久停留在草稿阶段的white paper( ODT版本)以及PoC，希望能对个人，企业带来一些新的启发。高能警告：如果你已经是0ldsk00l hacker，请把这些信息当成bullshit，这不是为你准备的，请直接联系( contact@hardenedlinux.org)帮忙peer review;-)"
2、如何在Firefox中启用DNS-over-HTTPS（DoH）
DNS-over-HTTPS（DoH）协议目前是热门的话题，Firefox浏览器是唯一支持它的人。但是，默认情况下，Firefox用户不启用此功能，他们必须经历许多环节并修改多个设置才能启动并运行DoH。在我们进入有关如何在Firefox中启用DoH支持的分步教程之前，让我们先描述它的作用。
DNS-OVER-HTTPS的工作原理
DNS-over-HTTPS协议的工作原理是获取用户在其浏览器中键入的域名，并向DNS服务器发送查询，以了解托管该特定站点的Web服务器的数字IP地址。
这也是正常DNS的工作原理。但是，DoH接受DNS查询并通过端口443上的加密HTTPS连接将其发送到与DoH兼容的DNS服务器（解析器），而不是端口53上的纯文本。
这样，DoH会在常规HTTPS流量中隐藏DNS查询，因此第三方观察者将无法嗅探流量并告知用户运行的DNS查询并推断他们将要访问的网站。
此外，DNS-over-HTTPS的第二个特性是协议在应用程序级别工作。应用程序可以附带内部硬编码的DoH兼容DNS解析器列表，他们可以在其中发送DoH查询。
此操作模式绕过OS级别的默认DNS设置，在大多数情况下，这些设置是由本地Internet服务提供商（ISP）设置的。
这也意味着支持DoH的应用程序可以有效地绕过本地ISP流量过滤器并访问可能被本地电信公司或当地政府阻止的内容 - 这也是DoH目前被誉为用户隐私和安全的福音的原因。
这是DoH在推出后不到两年内获得相当普及的原因之一，也是为什么一群英国互联网服务供应商提名Mozilla获得2019年互联网Vilain计划支持DoH协议的原因之一。他们说会阻止他们过滤不良流量的努力。
作为回应，并且由于英国政府阻止访问侵犯版权内容的复杂情况，以及ISP自愿阻止访问虐待儿童网站的情况，Mozilla已决定不为英国用户默认启用此功能。
下面的分步指南将向英国的Firefox用户和世界各地的Firefox用户展示如何立即启用该功能，而不是等到Mozilla稍后启用它 - 如果它能做到的话。
步骤1：在URL栏中键入about：config，然后按Enter访问Firefox的隐藏配置面板。在这里，用户需要启用和修改三个设置。
第2步：第一个设置是network.trr.mode。这打开了DoH支持。此设置支持四个值：
0 - DoH被禁用
1 - DoH已启用，但Firefox选择是否使用DoH或基于其的常规DNS返回更快的查询响应
2 - 启用DoH，常规DNS用作备份
3 - 启用DoH，并禁用常规DNS
值2最有效。
来源：ZDNet
3、Debian 10 "buster" 发布
来源：cnBeta.COM
2019年7月5日 星期五
1、首款利用DNS over HTTPS隐藏网络流量的恶意软件Godlua已经现身
为了提升域名解析服务的安全性，行业内推出了叫做 DNS over HTTPS 的解决方案（简称 DoH）。然而 Network Security 研究实验室的伙计们，已经发现了首个利用 DoH 协议的恶意软件，它就是基于 Lua 编程语言的 Godlua 。这个名字源于 Lua 代码库和七种一个样本源码中包含的神奇字符 God 。
这款后门程序可利用 DoH 来掩盖其 DNS 流量
基于 HTTPS 的域名解析服务的增长势头一直很强劲，去年 10 月，互联网工程任务组正式发布了 DoH（RCF 8484）。
尽管并不是新鲜的概念，但首个利用 DoH 的恶意软件，还是让行业提前感受到了影响未来的新一轮正邪攻防战。
Netlab 研究人员在报告中提到，他们发现了一个可疑的 ELF 文件，但最初误以为它只是一款加密货币挖矿木马。
尽管尚未确认或否认任何加密货币的挖掘功能，但他们已证实其行为更像是分布式拒绝服务（DDoS）机器人。
（截图 via TechSpot）
研究人员观察到，该文件会在被感染系统上作为“基于 Lua 的后门”来运行，且注意到至少有一次针对 liuxiaobei.com 的 DDoS 攻击。截至目前，Netlab 已经发现了至少两个未利用传统 DNS 的变种。
借助 DNS over HTTPS，恶意软件可通过加密的 HTTPS 连接来隐藏其 DNS 流量，使得 Godlua 能够躲过 DNS 监控，这已经足够让网络安全专家感到震惊。
据悉，谷歌和 Mozilla 都已经提供了对 DoH 的支持，前者甚至将 DoH 作为其公共 DNS 服务的一部分。此外，Cloudflare 等互联网基础设施服务提供商，也提供了对 DoH 的支持。
2、YouTube“黑客教学禁令”误伤了许多正常的计算机安全讲解视频
今年早些时候，YouTube 颁布了禁止在视频内容中添加有关黑客攻击和网络钓鱼教程的禁令。然而许多恪守职业道德的“白帽”黑客，也不幸遭到了这家视频网站的错误封杀。比如 Hacker Interchange 联合创始人 Kody Kinzie 就表示，他们只是一家致力于向初学者教授计算机科学与安全方面的知识的公司，但昨天该频道已经无法上传新的视频。
（YouTube 截图）
据悉，Hacker Interchange 为 YouTube 观众制作了 Cyber Weapons Lab 系列的视频。但受新政策的影响，他们最近已经无法上传新的内容，已发布的资源也被标记为不可用。
在 YouTube 官方的‘有害或危险内容’提示页上，明确禁止了‘黑客攻击和网络钓鱼’类的教学视频内容，其中包括‘向用户展示如何绕过计算机安全系统，窃取用户凭证和个人数据’。
正如 Kinzie 等人在 Twitter 上吐槽的那样，尽管 YouTube 的初衷是阻止一些非法行为，但此举对于计算机安全研究人员、以及对反黑客 / 网络钓鱼技术感兴趣的人们来说，却是相当不友善的。
即便攻击技术常被黑客用于非法目的，但这样的一刀切确实有些鲁莽。毕竟许多合法的研究人员和计算机系统测试者，也需要经常展开攻防上的实践。
（via TheVerge）
目前暂不清楚 YouTube 执行新政策的确切时间和评判标准，不过从互联网档案馆的资料来看，它其实在今年 4-5 月份就已经存在了。
YouTube 发言人在接受外媒 TheVerge 采访时称，这项政策并非全新推出，只是在今年春季添加了新的例子，以便使现有的规则更加明晰。
根据 YouTube 的描述，其规则允许演示“主要用于教育、纪录片、科学或艺术（ESDA）等目的”的危险行为。照此来看，Hacker Interchange 的 Cyber Weapons Lab 系列视频，明显是属于被误封的。
最新消息是，YouTube 发言人向 TheVerge 证实，被错误标记的 Cyber Weapons Lab 频道已被解封，相关内容正在陆续恢复，且未来该平台会继续完善其审核流程。
来源： cnBeta.COM
3、黑客因对Daybreak Game服务器发起DDoS攻击而被判入狱两年
据外媒MSPoweruser报道，曾于2013年年底和2014年年初对游戏开发商Daybreak Game Company（前索尼在线娱乐公司）发起DDoS攻击的Austin Thompson被判入狱两年，此外他需要向该公司支付至少95000美元的赔偿金。
23岁 Thompson于2018年11月对攻击事件认罪。他承认自己是黑客组织DerpTrolling的一员，并被指控造成“受保护计算机受损，触犯了美国联邦法律18USC§1030（a）（5）（A）”。
官方新闻发布称Thompson“通常使用Twitter帐户@DerpTrolling宣布即将发起攻击，然后发布”scalps“（截图或其他照片显示受害者的服务器已经被攻击）”。
虽然汤普森目前保释在外，但他已被命令于8月23日向当局投降，以便开始服刑。该最新最高可判处十年监禁和25万美元的罚款。
Polygon报告称，美国和芬兰的检察官也成功地确认了Lizard Squad的两名成员的定罪，Lizard Squad也在2014年对Daybreak Game Company进行了DDoS攻击。
2019年7月4日 星期四
1、SKS Keyserver Network遭到“中毒”攻击
OpenPGP 项目的两位知名开发者 Robert J. Hansen (rjh) 和 Daniel Kahn Gillmor(dkg)过去一周成为证书中毒攻击的受害者。未知攻击者利用 OpenPGP 协议本身的缺陷给 rjh 和 dkg 的 OpenPGP 证书下毒。
导入中毒版证书会破坏存在缺陷的 OpenPGP。中毒证书已经存在于 SKS Keyserver Network 中，没有理由认为攻击者在对两个证书下毒后就停止攻击。dkg 称 Tor 项目的多个证书也遭到攻击。这一攻击无法在短期内被 SKS keyserver 或 OpenPGP Working Group 减轻影响，未来发布的 OpenPGP 将会包含一些削弱攻击的方法，但目前没有时间表。权宜之计是不要从 SKS Keyserver Network 提取数据。Keyserver 使用的软件是一名研究员使用 OCaml 语言为自己的博士论文开发的，社区缺乏理解其算法或该语言的人才。软件没人维护，也没有人有资格去修改代码。
来源： solidot.org
2、Cloudflare 因自己软件的问题导致宕机事故
云服务商 Cloudflare 遭遇了一次持续约半个小时的宕机事故，用户访问报 503 错误。根据官方博客的解释，这个问题是它自己软件导致的。Cloudflare 称，为了改进内联 JavaScript 屏蔽，它在 Cloudflare Web Application Firewall 防火墙内部署了新的规则，其中一条规则包含的正则表达式导致了其在全世界各地的机器 CPU 占用 100%，从而导致了 502 错误。
Cloudflare 称，这起事故暴露了它测试的不充分，他们将检查和修改测试流程，避免以后发生类似的事故。
3、网络攻击事件发生后 美国海关与边境保护局已暂停与分包商合作
今年 5 月，美国海关与边境保护局（CBP）的分包商遭遇了一起“恶意网络攻击”，导致出入境旅客的照片信息泄露。本周二，《华盛顿邮报》报道称，该机构现已暂停了为其制作车牌扫描仪和其它监控设备的 Perceptics 联邦政府合同。6 月 12 日，CBP 证实该分包商违反政策，将收集到的车牌和出入境旅客照片副本转移到了企业网络中。
后来这家分包商的企业网络遭受了黑客攻击，导致 10 万名在 1.5 个月时间里驾车出入美国某个陆地边界特定车道的人们受到影响。联邦纪录指出，CBP 官员怒斥该分包商的行为缺乏商业诚信。
尽管出入境旅客的护照和旅行证件照片未在网络攻击中曝光，但 6 月晚些时候，黑客窃取了 Perceptics 敏感的 CBP 数据，包括与政府机构签订的合同、预算电子表格、甚至 Powerpoint 演示文稿。
（GSA 记录）
该机构一直努力在美国多个机场的登机口处扩大使用被称作生物识别出口的面部匹配系统，但 ACLU 高级立法法律顾问 Neema Singh Guliani 在一份声明中称：
CBP 一直希望扩大人脸识别设备的部署，从旅行者那里收集敏感的信息（包括车牌和社交媒体 ID），但这一违规事件无疑打击了各方面的信心。而避免个人信息泄露的最佳方法，就是不采集、不保存。
此外，参议员 Rick Scott 要求代理国土安全部部长 Kevin McAleenan 回答究竟发生了什么：“美国人民有权利知道他们的个人信息是如何被使用的，做不到完全透明，是绝对不可接受的”。
2019年7月3日 星期三
1、2019年7月Android安全补丁发布：共计修复33处安全漏洞
面向所有尚处于支持状态的Pixel设备，谷歌于今天发布了2019年7月的Android安全补丁，在修复近期曝光的诸多安全问题之外还添加了各种功能改进。本次安全补丁共有2019-07-01和2019-07-05两种安全级别，共计修复了33处安全漏洞，涉及Android系统、框架、库、媒体框架以及包括闭源部分的高通组件等。
在安全公告中写道：“本月修复的安全漏洞中最严重的问题就是媒体框架中的一个关键安全漏洞，它能够让远程攻击者使用特制的文件来执行包含特权进程的任意代码。对该漏洞的严重性评估是基于该漏洞对设备的影响程度而划定的。”
除了安全更新之外，2019年7月的Android安全补丁还修复了Pixel设备上报告的诸多BUG。例如，改善了Pixel 2、Pixel 2 XL、Pixel 3、Pixel 3 XL、Pixel 3a、Pixel 3a XL上的“OK Google”热词和音乐检测功能，并且修复了Pixel 3和Pixel 3 XL上的开机卡死问题。
此外，谷歌还修复了Pixel 3，Pixel 3，XL，Pixel 3a和Pixel 3a XL在EDL模式卡死在黑屏上的问题；在Pixel，Pixel XL，Pixel 2，Pixel 2 XL上改进了对Unicode日语支持；在Pixel 3，Pixel 3 XL，Pixel 3a和Pixel 3a XL设备上改进了Titan M模组的性能。
2019年7月的Android安全更新现面向所有支持的Pixel设备推送，包括Pixel 2，Pixel 2 XL，Pixel 3，Pixel 3 XL，Pixel 3a和Pixel 3a XL。此外Essential、索尼等其他主要手机厂商也会在近期内为用户提供。
2、十年后，恶意软件作者仍在滥用“天堂之门”技术
在黑客电子杂志（在线杂志）首次详细介绍十多年后，即使在今天恶意软件仍然成功地使用“天堂之门”技术来避免防病毒检测。
近日，思科的网络安全部门Talos 发布了一份报告，详细介绍了最近的天堂之门。
Talos研究人员表示，他们已经发现至少三个恶意软件分发活动，其中感染用户系统的恶意软件使用Heaven's Gate技术运行恶意代码而不会触发防病毒检测。
这三个活动分发了HawkEye Reborn键盘记录器，Remcos远程访问木马（RAT）和各种加密货币采矿木马。
这三个活动中的共同点是恶意软件加载器 - 一种首先感染系统的恶意软件，只是为了在以后下载更危险和更高级的恶意软件。Talos表示，这个新的恶意软件加载程序正在滥用Heaven's Gate技术来绕过防病毒引擎并下载并安装三个更有效的恶意软件。
什么是天堂门技术？
此恶意软件加载程序使用的技术并不新鲜。它首先在2000年代中期由29A病毒编码组管理的网站上详述。天堂之门的教程由一位匿名黑客编写，上传为29A集团成员Roy G. Biv。在该集团解散并且他们的电子杂志网站倒闭后，天堂门技术后来在2009年版的Valhalla黑客电子杂志中重印。
实际技术是Windows 64位系统上的一个误导。Biv发现，在64位系统上运行的32位应用程序可能会欺骗操作系统执行64位代码，尽管最初声称自己是32位进程。
当时，防病毒软件和操作系统安全功能都无法检测从运行32位兼容代码到64位代码的32位进程跳转。
虽然最初这种技术有所进步，但多年来它逐渐进入大量商用恶意软件中。到2010年初，它主要被大量的rootkit滥用，但后来传播到Phenom木马，Pony信息输出器，Vawtrack（NeverQuest），Scylex，Nymaim，Ursnif（Gozi）和TrickBot银行木马。
该技术在现代恶意软件中的普及和使用有所消退，主要是在微软推出了Windows 10中名为Control Flow Guard的安全功能之后，该功能有效地阻止了从WOW64 32位执行到本机64位代码执行空间的代码跳转。
然而，一些恶意软件作者仍在使用该技术，主要是针对遗留系统。在Talos本周报告之前，Malwarebytes去年在2018年发现了这种技术被加密货币矿工滥用。
任何使用Heaven's Gate技术的恶意软件都会在老系统上有效地发挥作用，这再一次表明使用现代操作系统的原因总是一个好主意。
3、机会情报：工信部发文提升数据安全保护能力 指导企业加大投入
据汇信了解，工信部日前印发《电信和互联网行业提升网络数据安全保护能力专项行动方案》，提出通过集中开展数据安全合规性评估、专项治理和监督检查，督促基础电信企业和重点互联网企业强化网络数据安全全流程管理，及时整改消除重大数据泄露、滥用等安全隐患。
方案还提出，加快建设行业网络数据安全管理和技术支撑平台，支撑开展行业数据备案管理、事件通报、溯源核查、技术检测和安全认证等工作，提升网络数据安全监管技术支撑保障能力。指导企业加大网络数据安全技术投入，加快完善数据防攻击、防窃取、防泄漏、数据备份和恢复等安全技术保障措施，提升企业网络数据安全保障能力。
外汇天眼注意到，有机构认为，信息泄露、毁损、丢失等数据安全事件日益受到重视，数据保护基础设施需求刚性上升，长期利好网络安全产业。
2019年7月2日 星期二
1、最新 Mac 恶意软件 OSX/CrescentCore 被发现
安全研究公司 Intego 发现了最新的 Mac 恶意软件 OSX/CrescentCore，这次恶意软件依然伪装成 Flash 播放器更新。为了吸引用户下载并运行 OSX/CrescentCore，包含 OSX/CrescentCore 的网站会宣称提供免费的电影、电视剧、音乐和电子书，吸引用户。
与其他恶意软件不同的是，OSX/CrescentCore 还有防止被安全研究人员发现的机制。运行之后，OSX/CrescentCore 会自动检测是否处于虚拟机中以及电脑上是否安装了杀毒软件，如果确认在虚拟机或有杀毒软件后，OSX/CrescentCore 不会有任何恶意行为，可以说是非常狡猾了。安全研究人员通常使用虚拟机测试恶意软件。
已经是 2019 年，建议大家任何情况下都不要安装 Flash 播放器，几乎所有热门网站都已经停止依靠 Flash。Adobe 也宣布，自 2020 年之后，将停止发布 Flash 安全更新。OSX/CrescentCore 恶意软件使用了苹果开发者 ID 签名，相信不久之后苹果会禁用这个开发者 ID。
2、前Equifax高管因与大规模数据泄露相关的内幕交易被判入狱4个月
据外媒CNET报道，一名前Equifax首席信息官因与2017年该公司大规模数据泄露相关的内幕交易被判处四个月监禁。这名前Equifax高管在该公司宣布大规模数据泄露之前在消费者信用报告公司出售了他的股票，他因内幕交易被判处四个月监禁。
美国检察官办公室上周四表示，该公司前首席信息官Jun Ying也被要求支付约11.7万美元的赔偿金和5.5万美元的罚款。
2017年，美国信用机构Equifax宣布该公司遭遇数据泄露事件，这使得大约1.47亿美国人的社会安全号码，姓名和地址等信息遭曝光。该公司于2017年7月29日已知晓遭黑客入侵，但在大约两个多月后才将消息公之于众。
据起诉书称，2017年8月25日，Ying向一位同事发送了关于数据泄露事件的短信。接下来的一周，Ying进行了一次网络搜索，了解Equifax公司在2015年遭遇数据泄露后股价的变化。 三天后，Ying卖掉了他在Equifax的所有股份，获利超过95万美元。Ying的内幕交易发生在Equifax公开宣布数据泄露事件前10天。
44岁的Ying是第二名因与数据泄露相关的内幕交易被判有罪的Equifax员工。前Equifax软件开发经理Sudhakar Reddy Bonthu于2018年认罪，其利用内幕信息在股票市场上赚取超过75000美元。Bonthu被判处监禁在家8个月，支付5万美元罚款并没收该股票的收益。
3、“行业互助”成公民信息泄露毒瘤
据报道，有消费者反映一天接到10多个促销电话，均与自己装修房屋有关。这位消费者在当地某家具卖场购买家具后，商家便将客户信息泄露给经营不同产品、彼此熟悉的合作伙伴。在不少行业，这已经成为一种“行业互助”潜规则。
事实上，所谓“行业互助”，就是商家之间共享客户信息，实际上是一种不当获取个人信息的违规行为。特别是个人信息一旦被不法之徒掌握和利用，涉及面广，危害面大，极易引发公众对个人隐私和公共安全的担忧。可以说，这样的“行业互助”已成为公民信息泄露的毒瘤，必须尽快清除。
保护消费者个人信息，不能寄希望于商家自律，必须依靠完善的法律。2017年，最高人民法院、最高人民检察院出台“关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释”，规定对于非法获取、出售或者提供财产信息等敏感信息50条以上，非法获取、出售或者提供交易信息等重要信息500条以上，或者违法所得5000元以上的，即构成侵犯公民个人信息罪。利用非法购买、收受的公民个人信息获利5万元以上的，属于“情节严重”情形，同样构成犯罪。
有鉴于此，相关部门应进一步完善公民个人信息安全保护的法律法规，通过建立个人信息合理使用制度、侵害补偿和惩罚机制，设置监督机构等方式，为公民个人信息上一道“保险阀”。同时，还要对公民个人信息的采集、使用和保密等问题制定详细、周密的规定。特别是完善举报机制，强化惩戒措施，提高违法成本，让公民个人信息得到更有效的保护。（汪昌莲）
2019年7月1日 星期一
1、 Firefox 69 将加入随机密码生成器
预计将在 9 月初发布的 Firefox 69 将包含一个随机密码生成器。Chrome 则早在一年前就提供了类似的功能。目前用户可通过测试版本 Firefox Nightly 使用随机密码生成器，该功能位于设置—“隐私和安全”的“登陆和密码”下。
Firefox 应该使用的是操作系统提供的随机数生成器去生成足够随机的密码。随机的密码比重复使用相同的密码要安全得多。
根据 Mozilla 的时间表，Firefox 69 还将默认禁用 Flash。
2、《超级马里奥大逃杀》被玩家复活 源代码公开随便玩
两周前，曾有一款根据经典《超级马里奥》设计的免费大逃杀游戏《超级马里奥大逃杀》，但上线获得关注后不久就收到了任天堂的警告。虽然制作者进行了许多改动，规避任天堂的版权保护，但任天堂始终紧追不舍。最后有几名粉丝采取了行动，复活了第一个版本，并且作为免费开源项目公开了源代码。
开源就意味着任何人都可以免费下载并利用其背后的所有代码，这也意味着任天堂基本上无法找到某个具体的人追责。但最初版本的作者不知道是否会因此遭受无妄之灾。
《马里奥大逃杀》是一款根据《超级马里奥》关卡设计的大逃杀规则游戏，用浏览器就能玩。在《马里奥大逃杀》中，100个玩家一起进入关卡，虽然不能互相厮杀，但是能撞碎砖块、抢得道具，用龟壳攻击其他玩家。很有创意，但也很短命。
新的开源版以2.1.3版本为基础，增加了一些漏洞修复，增加了菜单音乐和大厅音乐，感兴趣的玩家可以点此进入游戏。
3、EA宣布已修复影响3亿玩家的Origin游戏服务漏洞
EA已经修复了此前Origin游戏服务上曝光的一系列安全问题，攻击者可以利用这些漏洞控制用户账户并获取对个人数据的访问权限。EA承认全球3亿玩家面临风险 以色列安全公司Check Point表示，攻击者可以利用一系列“漏洞”来攻击FIFA，Maden NFL，NBA Live，UFC，The Sims，Battlefield,命令与征服以及Medal of Honor等游戏。
Origin是EA推出的一个类Steam的数字发行平台，由于它是在PC上获得新发行EA游戏的唯一途径，所以它拥有不少的用户，目前已经达到数百万。
Check Point Research和CyberInt在此前发布的一份报告中指出，这个漏洞可能已经影响到来自世界各地多达3亿的原始用户。该漏洞允许黑客可以无需先盗取登录凭证的情况下就能劫持原始账户。他们可以通过使用废弃的子域名窃取身份验证令牌并利用OAuth单点登录和EA登录系统内置的信任机制来访问这些帐户。
今年早些时候，Check Point在《堡垒之夜》中发现了类似漏洞。实际上，这种攻击利用了EA的微软Azure帐户中废弃的子域名，然后以此创建看似合法的网络钓鱼链接。一旦受害者点击了该链接，Check Point和CyberInt就可以得到他们的认证令牌并劫持其账户，而无需登录电子邮件或密码。
2019年6月29日 星期六
1、苹果安全主管将出席黑帽大会 详解 iOS 13 和 macOS 安全性
苹果安全工程主管 Ivan Krstic 将出席 8 月 8 日举行的黑帽安全大会，谈论 iOS 13 和 macOS Catalina 幕后的安全技术，以及全新查找 App 的工作原理。Ivan Krstic 将带来 50 分钟的演讲《iOS 和 Mac 安全性幕后的故事》，这也将是苹果首次公开介绍 iOS 13 和 Mac 关键安全技术。
Ivan Krstic 是苹果安全工程和架构主管，曾经的多次参加黑帽安全大会。
演讲主要介绍与安全相关的三个领域，从代码完整性实施开始，这是 iOS 安全架构的关键部分。演讲涵盖了 iOS 内核中代码和内存完整性技术的历史，还将介绍 A12 仿生和 S4 芯片中的指针认证代码，该代码禁止修改可能导致可利用的内存损坏错误的重要元素。
2、海淀法院集中宣判搜狗输入法劫持三大搜索引擎流量不正当竞争案
6月27日，海淀法院对奇虎公司、百度公司，以及动景公司和神马公司因搜狗输入法通过搜索候选词为搜狗搜索导流量分别起诉搜狗公司等不正当竞争纠纷三案集中宣判。
原标题：海淀法院集中宣判搜狗输入法劫持三大搜索引擎流量不正当竞争案 来源：北京海淀法院
法院一审认定搜狗公司构成不正当竞争，应停止不正当竞争行为，分别为三案原告公开消除影响，向奇虎公司、百度公司各赔偿经济损失500万元等，向动景公司和神马公司共赔偿2000余万元。
案情简介
三原告：搜索候选词跳转属不正当竞争
奇虎公司经营360手机浏览器和360搜索引擎，百度公司经营百度搜索引擎，动景公司经营UC浏览器，神马公司经营神马搜索引擎，360手机浏览器顶部栏默认提供360搜索引擎，UC浏览器顶部栏默认提供神马搜索引擎。搜狗公司经营搜狗输入法和搜狗搜索引擎。
三原告发现，搜狗公司自2015年12月推出的安卓版搜狗手机输入法提供搜索候选词服务，搜索候选词排列在输入法界面的输入候选词上方，用户点击搜索候选词即直接跳转进入搜狗搜索结果页面，三原告主张搜狗公司构成不正当竞争，要求赔偿的经济损失各超过1亿元等。
被告：该行为属技术创新
搜狗公司抗辩称，其搜索候选词仅出现在浏览器环境中，将输入法与搜索引擎的结合属于技术创新，且已尊重用户知情权、选择权。
争议焦点
三案争议主要体现为两种情形：一是在浏览器环境下登录百度搜索引擎网站、360搜索引擎网站，用户在搜索框中搜索时，因使用搜狗输入法并点击了搜索候选词而直接进入搜狗搜索网站；二是用户在360手机浏览器和UC浏览器顶部栏中搜索时，因使用搜狗输入法并点击了搜索候选词而直接进入搜狗搜索网站。争议焦点主要集中在浏览器环境下的搜索用户流量归属、搜索候选词是否对用户造成服务来源的混淆以及技术创新、用户选择权等因素对诉争行为性质的影响等方面。
海淀法院经审理认为用户在前述情形下已经选定了搜索引擎，搜狗公司有意制造用户混淆，在输入法界面不添加与搜索经营者相关的明显标识的情况下，通过搜索候选词将用户引导至同样没有明显标识的搜狗搜索结果页面，劫持本属于三案原告的搜索用户流量，应认定为利用技术手段，通过影响用户选择的方式，妨碍了三案原告经营活动的正常运行，构成不正当竞争。
因涉案行为自2015年持续至今，法院结合在案证据综合考虑原告产品的市场规模、搜狗公司主观恶意等相关因素对百度公司、奇虎公司起诉的两案适用法定赔偿上限。对动景公司和神马公司起诉的一案，则在对因使用搜狗输入法搜索候选词而从UC浏览器首页直接跳转进入搜狗搜索的搜索用户流量进行法庭勘验的基础上，适用裁量性赔偿计算搜狗公司非法获利并确定最终的判赔额度。
三案是移动互联网时代劫持用户流量的典型案件；其中的动景公司和神马公司起诉搜狗公司一案，系海淀法院迄今为止作出的判赔额度最高的知识产权案件，体现了该院以提高知识产权侵权成本，加大知识产权司法保护的态度。此外，法院还指出，自由市场允许经营者在遵循自愿、平等、公平、诚信原则下竞争用户流量，也鼓励经营者开发不同产品和服务，但不能以技术创新为名，以增进消费者福利为名，不正当攫取其他经营者合法商业利益。唯有此，才能构建诚信有序、兼顾各方利益的互联网市场秩序。
以下为搜狗回应：
搜狗坚信通过领先技术和产品创新创造用户价值。让获取信息更简单，是搜狗输入法推出“搜索候选”功能的初衷。该功能将输入法和搜索相结合，可以帮助用户更快获取想要的信息，这一创新已获得专利授权，其创新性在此次的审理中也得到法院的认可。
“搜索候选”功能不存在劫持流量的行为，对于此次的判决结果我们感到十分遗憾。我们将向北京知识产权法院提起上诉，以获得进一步的审理和澄清。
来源：财经网
3、AWS S3服务器泄露了财富100强企业的数据：福特，Netflix，TD银行
Attunity是一家为全球最大公司提供数据管理，仓储和复制服务的以色列IT公司，它在没有密码的情况下将三个Amazon S3存储桶暴露在互联网上之后，暴露了一些客户的数据。
泄漏的AWS S3数据包包含有关Attunity自身运营的信息，以及其部分客户的数据 - 财富100强公司，如福特，Netflix和TD银行。
由于数据泄露狩猎公司UpGuard的工作，泄漏的S3桶在5月13日被发现，并在三天后得到保护。
公开的信息包括员工OneDrive帐户的备份; 电子邮件通信 系统密码; 生产系统的私钥; 销售和营销联系信息; 项目规范; 员工个人资料; 和更多。
例如，UpGuard研究人员发现了Netflix生产数据库系统的用户名和密码，内部软件员工正在使用的TD Bank发票以及各种福特内部项目文件。
图片：UpGuard
其他信息包括未命名公司员工之间的电子邮件通信，包含工作帐户或生产系统的密码。
备份文件还包含公司内部网络的私钥和密码。
除了Netflix之外，Attunity本身也是公开其内部系统凭据的公司之一，这意味着泄漏的S3服务器本可以作为更大的黑客入侵Attunity网络的跳板。
“系统凭证可以在Attunity数据集的许多地方找到，可以作为一个有用的提醒，告诉我们如何在组织的数字资产中的许多地方存储这些信息，” UpGuard研究人员在昨天发布的一份报告中说。
毫无疑问，泄漏是巨大的，因为潜在的后果，提供有用的信息，可能导致一些世界上最大的公司的入侵。根据其网站，Attunity有一个谁是客户名单。
除了公司IT系统的数据外，S3存储桶还包含存储员工个人数据的文件。UpGuard表示，Attunity是暴露其员工数据的公司之一。
但UpGuard的研究人员表示，这只是他们从暴露的Attunity S3存储桶下载的1TB样本数据中的表面，而泄漏的服务器可能包含更多。
最近收购了Attunity的公司Qlik表示，它仍在调查暴露数据的程度。
2019年6月28日 星期五
据外媒报道，游戏服务出现安全漏洞不是什么新鲜事，日前，来自Check Point Research和CyberInt的研究人员就公开了一个来自EA Origin服务的漏洞。Origin是EA推出的一个类Steam的数字发行平台，由于它是在PC上获得新发行EA游戏的唯一途径，所以它拥有不少的用户，目前已经达到数百万。
Check Point Research和CyberInt在今天的一份报告中指出，这个漏洞可能已经影响到来自世界各地多达3亿的原始用户。该漏洞允许黑客可以无需先盗取登录凭证的情况下就能劫持原始账户。他们可以通过使用废弃的子域名窃取身份验证令牌并利用OAuth单点登录和EA登录系统内置的信任机制来访问这些帐户。
今年早些时候，Check Point在《堡垒之夜》中发现了类似漏洞。实际上，这种攻击利用了EA的微软Azure帐户中废弃的子域名，然后以此创建看似合法的网络钓鱼链接。一旦受害者点击了该链接，Check Point和CyberInt就可以得到他们的认证令牌并劫持其账户，而无需登录电子邮件或密码。
不过Check Point和CyberInt在任何怀有恶意的行为者能够利用该漏洞之前就提醒了EA，这使得后者能够利用这两家公司提供的信息关闭这一漏洞。很显然，这对于EA和Origin用户来说是一个好消息。
来源： cnBeta.COM
2、新恶意程序专注于破坏物联网设备的固件
一种新的恶意程序正通过破坏物联网设备的固件使其停止工作，类似 2017 年破坏数百万设备的 BrickerBot 恶意程序。该恶意程序被称为 Silex，它通过抹掉物联网设备的存储、防火墙规则和网络配置让其停止工作，要恢复设备受害者需要手动重新安装固件，对大多数设备拥有者来说太复杂了。
Akamai 研究员 Larry Cashdollar 称，恶意程序利用已知的物联网设备登录凭证登录系统，然后调用 fdisk -l 显示所有硬盘分区，向所有分区写入随机数据。
它还会删除网络配置，运行 rm -rf / 删除它错过的数据。
另一名安全研究员 Ankit Anubhav 称该恶意程序是化名 Light Leafon 的 14 岁少年写的。
来源: cnBeta.COM
3、Firefox发布Track THIS 故意向广告商提供虚假浏览历史
广告商在互联网上跟踪你的一举一动，然后它会根据你的浏览习惯向你展示针对性的广告。如何应对这种无处不在的监视资本主义？Mozilla 和 mschf 工作室提供了一种方法：把你的浏览历史打乱，创造出虚假版本提供给广告商。
他们合作发布了 Track THIS，根据你选定的角色——潮人、有钱人、世界末日预备者以及意见领袖。
打开 100 个特定标签，你的浏览历史将会被去个性化，将让广告商不知道如何定位你。注意，加载一百个标签可能需要几分钟的时间。
2019年6月27日 星期四
1、研究发现微软OneDrive上存储的恶意软件突然大幅增加
微软OneDrive用于托管恶意文件的使用率显着上升。根据FireEye报告显示，微软OneDrive上一季度托管恶意文件的用户数量激增60%以上，而此前仅上升了一位数百分点。据FireEye称，OneDrive在托管恶意文件的使用率方面，已经超过Dropbox、Google Drive和WeTransfer等竞争对手。
另一方面，Dropbox虽然没有看到与微软OneDrive几乎相同的托管恶意文件用户数量激增，但仍保持着恶意文件使用量季度环比增长的最高比例，使其成为存储此类文件最常用的托管服务。攻击者发现这些知名和可信的站点很有用，因为它们绕过了安全引擎执行的初始域信誉检查。
攻击者没有直接向目标发送包含恶意内容附加文件的电子邮件，而是将内容上载到文件共享站点。目标受害者从服务接收到一个新文件正在等待他们的通知，以及一个下载该文件的链接。其中一些服务还提供文件预览，显示URL中的内容，无需下载文件即可单击该URL。这使得攻击非常有效，而且很难被发现。
该报告还建议用户不要将敏感或机密文档存储在公共托管的文件共享网站上，因为当今数百万受害者的电子邮件帐户遭遇大量网络钓鱼。
2、甲骨文将在 2020 年关闭免费的Dyn DNS服务
甲骨文通知 Dyn 客户，免费的 Dyn DNS 服务将于 2020 年 5 月 31 日关闭，付费服务则会继续提供。甲骨文在 2016 年收购了 DNS 服务商 Dyn，随后还收购了 Zenedge，之后工程团队开始致力于将 Dyn 的产品整合到甲骨文的云计算平台。
现在大部分 Dyn 产品已经整合到了 Oracle Cloud Infrastructure，甲骨文决定终止免费 Dyn DNS 服务，只提供付费订阅服务。
对于 Dyn 的付费服务如 DynDNS Pro/Remote Access，则会脱离 Dyn 品牌但仍然会留在甲骨文，服务没有任何改变。
3、macOS门禁功能爆出安全漏洞：可安装恶意程序
门禁（Gatekeeper）是macOS系统上的一项安全工具，旨在确保只有受信任的软件才能在 Mac 上运行。不过援引外媒报道，这款应用身份认证功能存在安全漏洞，可以用于传播名为“OSX/Linker”的恶意软件安装包。
当您安装来自 App Store 外部的 Mac 应用、插件和安装器软件时，macOS 会检查 Developer ID 签名和公证状态，以验证软件是不是来自获得认可的开发者并且没有遭到改动。通过 macOS Mojave，开发者还可以让 Apple 来公证他们的应用——这表明应用在分发前已经上传到 Apple 并通过了安全检查。
该漏洞由安全专家Filippo Cavallarin首先发现，主要利用了Mac的两项功能：automount和Gatekeeper。正如外媒Tom's Guide报道，Gatekeeper会将从互联网上下载的文件汇集到苹果XProtect防病毒筛选程序进行审核，但是对于从本地存储设备（通过automount安装）授予文件安全通道，不经过详细审查。Cavallarin能够欺骗Gatekeeper认为下载的文件来自于本地磁盘，从而绕过正常的筛选协议。
Cavallarin表示已经于今年2月份向苹果方面反馈并于5月24日发布了详细信息，但是这个尚未得到修复解决。随附的OSX / Linker恶意软件会试图劫持Mac，从而让计算机从事任何恶意活动，包括加密货币挖掘和数据窃取。
该代码已上传四次到VirusTotal，后者是一个研究人员用于检测和共享恶意软件样本的存储库。目前攻击样本数据并不大，恶意软件已经被Intego软件和可能的其他防病毒工具筛选识别。因此如果用户选择拒绝来自未知来源的下载，相对容易能够避免OSX/Linker恶意软件。
2019年6月26日 星期三
1、Verizon BGP路由泄漏导致大量服务受影响
在大约 3 个小时里，由于大型转运服务商 Verizon 错误转发了一则 BGP 路由广播，致使流量路由经过了一家小型 ISP，导致了包括亚马逊、Cloudflare 和 Facebook 等公司的服务无法访问。
事故的起因是宾夕法尼亚州的一家小型 ISP AS33154 - DQE Communications 使用 Noction 的 BGP 优化器优化其内部网络的路由，它的内部路由优化本不应该通告世界其它网络服务器，然而由于错误配置，它向客户 AS396531 - Allegheny Technologies 宣布了特定的路由信息，然后这些路由信息又发给了转运服务商Verizon，而 Verizon 又不加甄选的接受了路由公告，于是互联网高速公路的巨大流量被路由经过了一条羊肠小道，导致的结果显而易见。Cloudflare 建议网络运营商部署 RPKI，不接受这种优化路由的特定前缀公告。
来源：开源中国
2、中国拟立密码法 明确任何组织或个人不得窃取他人加密信息
密码法草案25日提请十三届全国人大常委会初次审议。草案明确，任何组织或者个人不得窃取他人的加密信息，不得非法侵入他人的密码保障系统，不得利用密码从事危害国家安全、社会公共利益、他人合法权益的活动或者其他违法犯罪活动。
密码法草案中的密码，是指使用特定变换对信息等进行加密保护或者安全认证的产品、技术和服务。密码的主要功能有两个：一个是加密保护，另一个是安全认证。
密码法草案共分总则，核心密码、普通密码，商用密码，法律责任，附则五章四十四条。
作为一部密码领域综合性、基础性法律，密码法立法过程中秉持三个原则：一是明确对核心密码、普通密码与商用密码实行分类管理的原则。二是注重把握职能转变和“放管服”需要与保障国家安全的平衡。三是注意处理好草案与网络安全法、保守国家秘密法等有关法律的关系。
关于密码工作的领导和管理体制，草案明确：坚持中国共产党对密码工作的领导；中央密码工作领导机构对全国密码工作实行统一领导，制定国家密码重大方针政策，统筹协调国家密码重大事项和重要工作，推进国家密码法治建设。国家密码管理部门负责管理全国的密码工作；县级以上地方各级密码管理部门负责管理本行政区域的密码工作；国家机关和涉及密码的单位在其职责范围内负责本机关、本单位或者本系统的密码工作。
关于密码的分类管理原则，草案明确规定密码分为核心密码、普通密码和商用密码，实行分类管理。相应的，草案提出了密码分类保护的原则要求：核心密码、普通密码用于保护国家秘密信息，核心密码保护信息的最高密级为绝密级，普通密码保护信息的最高密级为机密级；核心密码、普通密码属于国家秘密，由密码管理部门依法实行严格统一管理。商用密码用于保护不属于国家秘密的信息；公民、法人和其他组织均可依法使用商用密码保护网络与信息安全。
此外，草案还规定了相应的法律责任。
来源：中新网
3、台人事机构出现重大安全漏洞：数十万笔官员资料外泄
环球网报道 记者 付国豪]台当局“公务人员”人事主管机构“铨叙部”发生重大资料外泄事件。台“铨叙部”24日称，疑有59万笔该部门保管的官员个人资料被境外网站泄露，经查后确定实际影响人数达24多万。对此，有岛内网友痛批“故意的吗？”还有人说，只要是民进党执政“没什么事不可能发生”。
台“铨叙部”系台当局“公务人员”人事机构（图片来源：台媒）
作为台“考试院”的两个附属部门之一，“铨叙部”系台当局最高铨叙以及“公务人员”人事主管机关。台湾“联合新闻网”等媒体6月25日报道称，“铨叙部”掌管的文官个人资料惊传遭外泄，“铨叙部”在网站证实了此事。
台“铨叙部”24日在网站发布通知称，22日接获外部消息知悉，有境外网站泄露疑似“铨叙部”掌管的个人资料达59万笔。
台“铨叙部”随后在通知中透露，此次外泄的文官个人资料时间范围为从2005年起至2012年6月30日，包含台当局及县市机关“公务人员”送审的历史资料，实际影响人数为24.3万，泄露的具体资料包含身份证字号、姓名、服务机关、职务编号、职称等。
“铨叙部”在通知中称，已依照“资通安全管理法”向台“行政院”进行资讯安全事件通报。另据台“中央社”报道，“铨叙部”声称已对此事采取相关应对措施，进行全面性资讯通信安全检测，确实“检讨改进”。
尽管台“铨叙部”声称“检讨改进”，但事态严重性已被多家台媒关注，其中部分媒体形容此事为资讯安全“重大疏漏”“重大漏洞”。
另外，岛内网友也对此感到“超级夸张”，还有人痛批“民进党执政，什么都烂事都会发生”。
甚至还有人怀疑，民进党当局可能是“故意的”。
还有人讽刺台当局：吃饭，睡觉，玩乐才是他们的工作，其他跟他们无关。“肉烂在一锅”。
2019年6月25日 星期二
1、Firefox 的 UA 将移除 CPU 架构信息
Mozilla 计划从 Firefox 的 User Agent（用户代理）和几个支持的 API 中移除 CPU 架构信息，以减少 Firefox 用户的“数字指纹”。Web 浏览器会自动向用户在应用程序中打开的网站显示信息，而用户代理会显示有关浏览器和浏览器版本、操作系统以及 CPU 架构等数据。
指纹识别脚本使用用户代理信息和其他信息（例如语言和位置）来创建数字指纹，指纹的准确性会随着唯一数据点的数量而增加。
不过以注重用户隐私而著称的 Firefox 表示，在 Firefox Nightly 69 版本中将不再显示来自 User Agent 的 CPU 架构信息。
将使用如下的方式来区分 CPU 架构：
32-bit Firefox on 32-bit operating systems.
32-bit Firefox on 64-bit operating systems.
64-bit Firefox on 64-bit operating systems.
使用 Firefox 69 的 Firefox 用户会注意到返回用户代理的脚本将不再区分信息，在谷歌搜索“check user agent”的结果如下截图所示：
Mozilla / 5.0（Windows NT 10.0; Win64; x64; rv：69.0）Gecko / 20100101 Firefox / 69.0
此更改会影响在 64 位版本的 Windows 或 Linux 操作系统上运行的 32 位 Firefox 安装。从 Firefox 69 开始，这些版本将使用以下用户代理：
Linux:Linux x86_64 instead Linux i686 on x86_64
Windows: Win64 instead of WOW64
3、5G面临风险大考：我国一半以上工控系统带毒运行
人工智能技术的加持，5G建设的全面铺开，加速了工业互联网的普及，与此同时，工业信息安全产业规模加速扩容。6月22日，“2019年中国工业信息安全大会”发布《中国工业信息安全产业发展白皮书（2018—2019年）》，其中数据显示，2018年我国工业信息安全产业规模市场增长率达33.55%。预计2019年市场增长率将达19.23%，市场整体规模增长至93.91亿元。
这组数据佐证了这样的现实，传统的安全防护策略已难以为工业全产业链抵御外部攻击，即便5G可以盘活传统工业的活力，它首先要过的是安全风险大关。
我国工业互联网安全状况不容乐观。
随着自身防护能力较差的传统工业控制系统和设备接入互联网，海量工控系统、业务系统成为网络攻击的重点对象。
工业和信息化部网络安全管理局副局长杨宇燕说：“互联网和工业的深度融合，打破了传统工业领域相对封闭可信的环境，将互联网的安全威胁渗透进工业领域。网络攻击直达生产一线。”
安恒信息技术股份有限公司董事长范渊介绍，工业环境最大的威胁是专有的靶向类恶意代码，如大家熟知的震网、火焰等病毒，它们的攻击对象是工业控制系统中的工程师站、操作员站、服务器等主机以及DCS、PLC等控制器。目的是，通过逐级渗透至现场层控制网络，直接对主机及现场控制设备进行恶意操控和逻辑篡改，达到破坏工业生产流程和损伤物理实体的目的。
我国的工业互联网安全状况不容乐观，仅去年工业和信息化部网络安全管理局委托相关专业机构对20余家典型工业企业、工业互联网平台企业安全检查评估时就发现了2000多个安全威胁。
中国科学院院士王小云说：“我国的工控系统由各种自动化控制组件构成，运行环境相对落后，大量的工控系统采用私有协议通信，缺少安全设计和论证。多数情况是牺牲安全性、换取稳定性，安全更新维护不及时，这与我国的科技水平有关，特别是不能实现自主可控有密切关系。”
首先守住工业主机防护大门，工业互联网涉及诸多设计及全产业链各环节，我国正在从政策、标准、规范、体系框架角度勾勒工业互联网安全的大蓝图。
奇安信集团副总裁左英男认为，工业信息安全一定要构建一个完整的闭环的安全体系，才能最终解决问题，但目前阶段最需要解决的是工业主机的安全防护。
左英男对科技日报记者说：“工业主机如同信息世界通往物理世界的大门，所有的生产控制指令、数据的获取都通过工业主机下发给具体的工业控制设备，如果守护好这个大门，就能从根本上解决非常多的安全问题。”
一个非常严重的问题是，过去一年很多工业企业遭遇的勒索病毒，并非专门针对工业控制设备特定的勒索软件，通用的勒索软件从信息化网络溜进了工控网络，而80%的病毒来源或入侵攻击源，都是通过USB的数据导入。
北京威努特技术有限公司首席技术官黄敏说：“以前的工控系统很封闭，但并没有带来工控系统的安全，50%以上的工控系统带毒运行，100%的工控系统带漏洞运转。短期甚至未来几年都不可能改变上述状况，因为大量的工控系统需要7×24小时不间断运转，没有机会及时修复补丁，一些未知的漏洞我们还没有掌握。”
左英男强调：“工业环境里大量的存量设备替换代价很高，步骤也很漫长，当前阶段以相对低的成本解决大存量的工业设备安全问题是首要命题。”
协同构建工业互联网安全发展环境，工业自动化和信息化系统广泛应用在能源、交通、电力、供水等关系国计民生的重点领域，一旦遭受攻击，将对经济社会发展和广大人民群众生命财产安全带来严重影响。
范渊说：“工业互联网是5G应用的大舞台，多样智能终端在工业互联网应用场景中广泛使用，未来安全将向设备、网络、控制、数据、应用全方面渗透。亟须从技术、管理、服务等多角度协同构建工业互联网安全发展环境。”
工业和信息化部副部长陈肇雄说：“近年来，委内瑞拉电网大规模断电、乌克兰氯气站受网络攻击等安全事件，给相关行业敲响了警钟。我们必须从维护国家安全的政治高度，进一步提高对工业信息安全工作极端重要性的认识。”
陈肇雄认为，关键信息基础设施是经济社会运行的神经中枢，是网络安全的重中之重，也是可能遭到重点攻击的目标。
中央网信办网络安全协调局副局长李爱东表示，针对加强关键信息基础设施的安全保护，将进一步强化供应链和重要数据安全管理，明确行业主管、监管部门的指导监督责任，落实运营单位主体责任，建立健全网络安全责任制。
来源：中国科技报
2019年6月24日 星期一
1、NSA 向 Coreboot 项目贡献代码
NSA 向自由固件项目 coreboot 分配了开发者，它的开发者 Eugene Myers 开始向 coreboot 贡献 SMI Transfer Monitor (STM) x86 处理器实现代码。Myers 隶属于 NSA 的 Trusted Systems Research Group，其使命是进行和资助研究保护美国信息安全的技术。
NSA 最为人所熟知的开源项目是 Linux 安全模块 Security-Enhanced Linux，它最近还释出了逆向工程工具 Ghidra，但它在 NIST 标准上的工作备受争议，被批评推动 NIST 采用了存在后门的加密算法。
Myers 去年发表了论文，介绍了 STM 实现的工作原理。所有的代码都是开源的，在理论上任何人都可以检查它是否存在后门。
来源：solidot.org
2、法国创建G7加密货币特别工作组：应对Facebook Libra
法国中央银行行长周五表示，该国正在设立一个G7特别工作组，研究中央银行如何确保像Facebook Libra（天秤座）这样的加密货币受到各种法规的监管。法国央行行长弗朗西斯·维勒鲁瓦德加洛（Francois Villeroy de Galhau）表示，该工作组将由欧洲央行委员会成员本诺伊特·科雷（Benoit Coeure）领导。
Facebook公司本周宣布计划推出一种新的全球加密货币Libra，作为其进军数字支付计划的一部分。
根据营销材料和对高管的采访，Facebook与包括万事达卡、PayPal和优步在内的28个合作伙伴一起组建了Libra Association，这是一家总部位于日内瓦的实体，负责管理新的数字硬币。但没有一家银行参与其中。
Facebook这项声明很快引发了外界担忧。美国参议院银行委员会表示将在下个月举行听证会。据熟悉此事的华盛顿知情人士透露，负责监管Facebook区块链工作的大卫·马库斯（David Marcus）预计将作证。
英格兰银行行长马克·卡尼（Mark Carney）表示，Libra必须足够安全，否则就不能推出，世界主要央行需要进行监督。
身为七国集团轮值主席国的法国表示，它并不反对Facebook创建金融交易工具。但它坚决反对这种工具成为主权货币。
“我们希望将对创新的开放态度与对监管的坚定态度结合起来。这符合每个人的利益。“维勒鲁瓦德加洛告诉金融业官员。
维勒鲁瓦德加洛说，仍然需要定义“稳定”加密货币的概念。特别是，需要确定哪些工具是稳定的，以及如何确定其汇率。
维勒鲁瓦德加洛还呼吁建立一个由欧洲银行管理局协调的国家反洗钱监管网络，以执行紧急措施，甚至替代国家管理机构，而不是建立一个专门的欧洲机构。
但包括科雷在内的几位欧洲央行官员在过去几个月中一直主张建立这样一个机构。
3、美多家媒体证实美国对伊朗发动了网络攻击
据Yahoo News报道，美国针对伊朗间谍组织的报复性数字攻击于周四实施。《华盛顿邮报》、《纽约时报》、美联社都用各自的消息源证实了该报道。而就在同一天，美国总统特朗普取消了对伊朗目标的空袭。
据悉，袭击的目标是一个“情报组织”，该组织要么跟伊朗革命卫队有联系或存在部分联系。
Yahoo News报道指出，该组织与最近在该地区对商业船舶的攻击有关联。《华盛顿邮报》则称，该袭击严重损害了伊朗的军事指挥和控制系统，但没有造成任何人员伤亡。《纽约时报》表示，伊朗的导弹控制系统也成为美方攻击的目标。
据了解，网络攻击由美国网络司令部发起，《纽约时报》的报道显示，这些攻击早在几周前就有了计划，意在回应针对油轮的攻击以及最近一架美国无人机被击落的事件。
实际上这并不是美国第一次卷入针对伊朗资产的网络攻击。此前，美国曾协助开发了攻击伊朗核离心机的Stuxnet蠕虫病毒。2016年，曾有报道称，美国制定了一项名为Nitro Zeus的计划，该计划本来是用来对付伊朗的基础设施，但据报道该计划后来被搁置了。
目前还不清楚网络攻击的整体规模也不清楚其产生的影响，但未来可能还会发生更多这样的冲突。
即使伊朗不对此次的网络攻击做出回应，两国的紧张局势似乎仍会继续加剧。特朗普总统今日表示，他打算周一对伊朗实施重大额外制裁。
来源：cnBeta.COM
2019年6月22日 星期六
1、别再用同一个密码了 这黑客“撞库”窃密已获利百万
从黑市获取数千万个“账号密码”后，对多个热门应用进行“撞库”，从而将用户正常账号变为“水军”账号牟利。近日，涉嫌非法获取计算机信息系统罪的汪某，被北京海淀公安从湖北咸宁家中抓获。
撞库，是黑客圈的术语。指的是黑客将互联网上已泄露的账号密码，拿到其他网站批量登陆，从而“撞出”其他网站的账号密码。由于许多网民习惯多个网站一个账号密码，所以“撞库”有着不低的成功率。
案件丨黑客自写代码 专门撞库热门平台
今年2月，北京字节跳动公司向海淀双榆树派出所报案，称其公司旗下抖音APP，遭人拿千万级外部账号密码恶意撞库攻击，其中上百万账号密码与外部已泄露密码吻合。
字节跳动公司表示，事件发生后，为防止黑客利用撞出账户实施不法行为，该公司通过安全系统，实时对所有疑似被盗账号设置了短信二次登陆验证。接到报警后，双榆树派出所立即将情况上报分局警务支援大队开展工作。通过侦查，民警迅速锁定了一名湖北籍男子汪某。5月22日，民警远赴湖北嫌疑人家中，将汪某抓获归案，并起获了其作案时使用的笔记本电脑。
据了解，汪某毕业后一直无业，便利用其掌握的计算机能力，控制了多个热门网络平台的大量账号，随后通过在网上承接点赞刷量、发布广告等业务牟利。同时汪某还编写了大量撞库代码，对目前网络上比较热门的网络平台进行撞库，然后控制撞库获取的账户，累计获利上百万元。
目前，嫌疑人汪某因涉嫌非法获取计算机信息系统数据罪已被海淀警方依法刑事拘留，案件正在进一步审理中。
解读丨撞库危害大 “净网2019”重点打击
据了解，今年的“净网2019”专项行动，将侵犯公民个人信息、黑客攻击破坏等网络违法犯罪行为列为了打击重点。
知名信息安全专家李响告诉北青报记者，撞库对网络安全的危害非常大，“首先，能被撞出的账号，嫌疑人均掌握用户部分个人信息，而且账户使用者安全意识都不太强，所以这些账号去撞其他网站成功率更高。”李响说，“其次被撞的账号都是正常用户的账号，大部分没有发过黄赌毒等有害内容。”
李响说，这类账户在各网站的风控体系里，属于安全度较高的一类，一旦被犯罪分子掌握，比一般水军账号更容易造成破坏。“被撞的账号里，不仅有一般用户还会有大V。一旦这些账户被控制发一些有害内容，可能危害的不仅仅是网络空间。”
文/北京青年报记者 朱健勇 叶婉
来源：北青网
2、推行“共享病历”需保护好患者隐私
19日，北京市卫生健康委主任雷海潮透露，本市医疗机构电子病历有望实现互联互通。本市医疗机构在促进信息互联互通方面有了实质性的进步，现在全市16个区在区域内的医疗机构信息均能互联互通，下一步会把16个区的信息，在全市范围内实现联通，这样一来就能够形成一个云平台，通过大数据为老百姓看病就医提供更加良好的优质服务。（6月20日《北京日报》）
随着医疗信息化的持续推进，目前电子病历已经全面普及，各大医疗机构都建立起了完整的医疗信息系统，将患者病况、病史、诊疗结果、治疗方法等，都一一记录在案，各个科室、医护人员都能根据需要和权限调取，非常方便快捷，省了不少事。由于此前每个医院的医疗信息系统自成一体，导致电子病历不能互通互联，患者在更换医院时，就要做重复登记信息、诊断，严重浪费医疗资源和时间。
目前，包括北京在内的许多城市都在采取措施推进“共享病历”，以打通医疗机构和地域之间的信息壁垒，确保电子病历信息畅通无阻，通过云平台实现“共享病历”。如此，让医生可以跨医院、跨地域调取患者信息，减少无谓的重复登记、检查、诊疗手续，提高看病效率。在病历信息共享后，患者也省心不少，一张医保卡就能通行，减少重复流程，降低看病费用，以减轻老百姓的医疗负担。
需要看到的是，“共享病历”的信息数据调阅很方便，但对患者来讲，也存在着信息安全隐忧，如果医疗机构没有妥善保管好，就会造成患者信息泄露，带来很多麻烦。而且，很多大医院拥有丰富的患者诊疗信息数据库，在实施电子病历共享后，就要将患者数据分享给其他医疗机构，意味着存在多个调阅环节，如果信息数据监管不严的话，就可能出现泄露、盗取患者信息的事件。
近年来，很多领域都出现了用户信息数据大规模泄露的事件，动辄就是几十万条，乃至于过千万、上亿条信息数据，给广大用户造成严重的损失，还衍生出电信诈骗、网络欺诈、虚拟财产盗窃等诸多麻烦。医疗领域也是信息泄露的重灾区，比如《法制日报》曾报道一起特大侵犯公民个人信息案，某部委医疗服务信息系统遭“黑客”入侵，超过7亿条公民信息遭泄露，8000余万条公民信息被贩卖。
据信息安全专家介绍，从历史类似事件来看，很多医疗系统涉及数据泄露的漏洞多属于低级漏洞，如弱口令、SQL注入、命令执行等，容易遭到来自外部的攻击，还有存在信息数据管理不严，内部工作人员贩卖泄露数据等问题。由此可见，在“共享病历”普及之后，可能遭到攻击、泄露的管道就更多了，对于患者信息数据的保管，更加需要高度重视，应提高云平台和医疗机构信息系统的防御能力，建立最严格的信息安保措施，对违规操作施以重罚。
来源：北京青年报
3、Firefox 0day 漏洞被用于攻击 Coinbase 雇员
Firefox 刚刚修复的 0day 漏洞被用于攻击 Coinbase 雇员。Coinbase 安全团队的 Philip Martin 称，攻击者组合利用了两个 0day 漏洞，其一是远程代码执行漏洞，其二是沙盒逃脱漏洞。
远程代码执行漏洞是 Google Project Zero 安全团队的研究员 Samuel Groß 发现的，他称自己在 4 月 15 日向 Mozilla 报告了这个漏洞。
目前不清楚攻击者是从什么地方获知漏洞细节的，可能是独立发现，也可能是从内部人士获得了信息，或者可能是入侵了 Mozilla 雇员账户。
针对 Coinbase 的攻击如果成功的话可能会被用于窃取该交易所的资金，Martin 称没有证据显示漏洞利用针对了 Coinbase 的客户。
来源：solidot.org
2019年6月21日 星期五
1、被曝180万会员信息被售卖 苏宁回应称并非其用户数据
经济观察网 记者 陈秋 今日，针对“网友在暗网发帖出售苏宁会员数据，涉及180万苏宁用户数据，售价100美元”一事，苏宁对经济观察网表示，经对网曝示例数据进行核查，并非苏宁用户数据，不管是买卖个人信息还是编造谣言损害苏宁声誉均已触犯法律乃至构成犯罪。
据悉，这位暗网用户还列出部分苏宁会员账户信息，其中包括手机号、密码、6位交易密码、姓名、身份证号、邮箱等各项信息。此外，该用户还在帖子中称，购买后还额外赠送苏宁金融—易支付支密账户7.5W条。
但由于上述曝光的信息内容被遮挡，同时该用户也没有公布数据来源，记者不能进行查验信息是否属实。
“暗网是一种不被常见标准搜索引擎检索到或者不能被超链接接入的一种数据库。”北京炜衡（上海）律师事务所合伙人鞠秦仪对记者说，在信息网络时代，大量经济社会生活需要借助于网络平台，海量个人信息、经济社会活动信息都存储于相应的网络公司。根据现行的相关网络安全法规，网络运营者对于其收集的使用者的用户信息，包括但不限于账户信息、身份信息、交易记录、联系方式、支付信息等均有严格保障信息安全的义务，网络服务提供商应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
鞠秦仪认为，如果上述苏宁平台的数据泄露事件是真的，那么苏宁显然对于该起数据泄露应当承担相应责任。但由于目前司法制度领域存在一定的空白亟待完善和填补，如如何确认数据泄露事件的真实性、平台具体应该承担什么样的责任、消费者或者信息被泄露者又如何有效维权，这些问题其实都有待于制度化的明确。
来源：经济观察网
2、Google Chrome浏览器开始阻止令人困惑的URL网址
谷歌已经宣布了对Chrome浏览器用户的一些新保护措施，因为该公司希望降低用户登陆网络钓鱼网站的可能性。首先，当用户试图加载被描述为“令人困惑的URL地址”时，应用程序将开始警告用户。
基本上，一个令人困惑的URL网址被认为是一个地址为go0gle.com的页面，它显然试图模仿google.com，通常是钓鱼攻击的一部分，以窃取用户凭据。由于此类尝试的次数激增，当用户将浏览器指向如此混乱的URL时，Google Chrome现在会显示一条新的警告。
Chrome产品经理Emily Schechter表示：”此新警告通过将当前网页的URL与最近访问过的网页的URL进行比较而起作用。如果URL看起来很相似，可能会使您感到困惑或欺骗，我们将显示一条警告，帮助您回到安全状态。”此外，谷歌Chrome还推出了一个新扩展，其角色是专门允许超级用户报告可能包含在网络钓鱼攻击中的可疑域名。
该扩展名为可疑站点报告器，它发送一个特定的站点供审查，然后由谷歌工程师决定是否应该将其放到安全浏览列表中。最新版本的Google Chrome浏览器已经提供这两个功能，因此如果您已经更新到build 75，那么您应该能够看到混淆URL的警告，并安装扩展来报告潜在的危险网站。
3、FTC启动对YouTube调查 或违反儿童数据收集规定
北京时间6月20日早间消息，据彭博社报道，美国联邦交易委员会（FTC）正在调查谷歌旗下YouTube是否违反了对儿童收集数据和打广告的规定。具体包括是否非法收集未成年人信息以及在没有家长允许的情况下透露给其他人。
去年，一支活动家队伍曾要求FTC调查相关情况。YouTube和FTC代表拒绝对此事置评。
有知情人士透露，在调查开展之际，YouTube也在考虑对儿童内容进行更多改变。周三《华尔街日报》称，该公司计划把所有儿童影片搬迁到独立的 YouTube Kids应用上。但另一位人士表示，这样打的改变不太可能发生。
YouTube已经因为儿童内容饱受争议。该公司聘请了专门的员工来观看和审查儿童视频，移除有害内容，并推出了一款儿童款应用，更加安全。(妙娴)
来源：新浪科技
2019年6月20日 星期四
1、Firefox 出现严重安全漏洞，建议所有用户尽快更新
Mozilla 发布了 Firefox 67.0.3 和 Firefox ESR 60.7.1 版本，用于紧急修复最新发现的 0day 漏洞。安全公告中的完整描述如下： 由于 Array.pop 中的问题，操作 JavaScript 对象时可能会出现类型混淆漏洞。这可能导致可利用的崩溃。我们意识到已经有针对性的攻击滥用这个漏洞。
也就是说，该漏洞能够让黑客操纵 JavaScript 代码诱骗用户访问，并将恶意代码部署到他们的 PC 上。
该漏洞由 Google Project Zero 安全研究团队的 Samuel Groß 发现并报告，编号 CVE-2019-11707，安全等级为“严重”。甚至美国网络安全和基础设施安全局也已经参与传播有关补丁的信息。
有报道称可能有黑客利用这个漏洞进行攻击，获取加密货币。但除了 Mozilla 网站上发布的简短描述之外，没有关于此安全漏洞或持续攻击的其他详细信息。
以注重安全和隐私著称的 Firefox 出现 0day 漏洞是非常罕见的，Mozilla 团队最后一次修补 Firefox 0day 还是在 2016 年 12 月。
目前， Mozilla 安全委员会提醒所有 Firefox 用户尽快升级到最新版本，以避免遭受攻击。
2、三星建议客户定期对智能电视进行杀毒扫描
来源：solidot.org
3、网络安全漏洞管理规定今起正式征求意见
法制网北京6月18日讯 记者侯建斌 为贯彻落实《中华人民共和国网络安全法》,加强网络安全漏洞管理,工业和信息化部会同有关部门近日起草了《网络安全漏洞管理规定(征求意见稿)》(以下简称《意见稿》),今天起正式向社会公开征求意见。
《意见稿》拟规定,网络产品、服务提供者和网络运营者发现或获知其网络产品、服务、系统存在漏洞后,应当立即对漏洞进行验证,对相关网络产品应当在90日内采取漏洞修补或防范措施,对相关网络服务或系统应当在10日内采取漏洞修补或防范措施;需要用户或相关技术合作方采取漏洞修补或防范措施的,应当在对相关网络产品、服务、系统采取漏洞修补或防范措施后5日内,将漏洞风险及用户或相关技术合作方需采取的修补或防范措施向社会发布或通过客服等方式告知所有可能受影响的用户和相关技术合作方,提供必要的技术支持,并向工业和信息化部网络安全威胁信息共享平台报送相关漏洞情况。
《意见稿》拟规定,第三方组织或个人通过网站、媒体、会议等方式向社会发布漏洞信息,应当遵循必要、真实、客观、有利于防范和应对网络安全风险的原则,并不得在网络产品、服务提供者和网络运营者向社会或用户发布漏洞修补或防范措施之前发布相关漏洞信息;不得刻意夸大漏洞的危害和风险;不得发布和提供专门用于利用网络产品、服务、系统漏洞从事危害网络安全活动的方法、程序和工具;应当同步发布漏洞修补或防范措施。
来源：法制日报-法制网
2019年6月19日 星期三
1. Linux 曝出 TCP 拒绝服务漏洞
Netflix 工程师在 Linux 和 FreeBSD 内核中发现了多个 TCP 网络漏洞。漏洞与最小分段大小(MSS)和 TCP Selective Acknowledgement(SACK)有关，其中最严重的漏洞绰号为 SACK Panic，允许远程对 Linux 内核触发内核崩溃。
SACK Panic 漏洞编号 CVE-2019-11477，影响 2.6.29 以上版本，漏洞补丁已经发布，一个权宜的修复方法是将 /proc/sys/net/ipv4/tcp_sack 设为 0。
来源： solidot.org
2. Instagram正在测试恢复被黑客窃取的帐户的新方法
据外媒Techspot报道，Instagram上的网络钓鱼和帐户被盗已成为一个问题，当Instagram无法快速帮助用户时，一些Instagram受害者通常会求助于白帽黑客。现在Instagram正在尝试新的安全技术，这些技术可以让用户更容易重新获得已被黑客攻击的帐户，并且更难以让恶意行为者开始使用帐户。
在发送给Motherboard的电子邮件声明中，一位Instagram发言人表示，他们从社区中听到现有的安全措施还不够，人们正在努力重新获得被黑客入侵的账户。
如Motherboard概述，在反复输入错误密码或点击“需要更多帮助”选项后，Instagram将提示用户输入与他们帐户关联的电子邮件地址或电话号码，或用户注册Instagram时使用的电子邮件地址或电话号码。
然后，该服务将发送一个六位数代码，以便您重新获得对帐户的访问权限。
如果黑客还可以访问用户的电子邮件帐户时会发生什么？“当您重新获得对帐户的访问权限时，我们会采取其他措施确保黑客无法使用发送到您的电子邮件地址[或]电话号码的密码，从其他设备访问您的帐户。”
Instagram发言人表示，该公司将确保用户名“在任何帐户更改后的一段时间内”是安全的，以阻止某人在黑客攻击后立即获得所有权。此功能目前仅适用于Android用户，但即将在iOS上推出。
来源：cnBeta.COM
3. Akamai表示黑客在17个月内对全球游戏网站进行了120亿次攻击
根据互联网交付和云服务公司Akamai的最新报告，黑客在截至2019年3月的17个月内对全球游戏网站进行了120亿次凭证填充攻击，从而瞄准了游戏行业。这使得游戏社区成为凭证填充攻击中增长最快的目标。在这些攻击当中，黑客利用窃取的凭据来接管帐户，并且寻求快速获利。在同一时间段内，Akamai在所有行业中，共遭遇550亿次凭据填充攻击。
报告还显示，SQL注入（SQLI）攻击现在占所有Web应用程序攻击的65.1%，本地文件包含（LFI）攻击占24.7%。报告的数据显示，作为一种攻击手段，SQLI攻击继续以惊人的速度增长，2018年假日购物季期间这种攻击活动量激增。在2017年第一季度，SQLI攻击占所有应用层攻击的44%。
事实上，今年早些时候，Akamai研究人员发现了一个攻击视频教学，其中黑客展示了如何对易受攻击的网站进行SQLI攻击，然后使用获得的凭据生成可用于对流行在线游戏进行凭据填充攻击的列表。
Akamai研究人员认为游戏行业对黑客有吸引力的一个原因是，犯罪分子可以轻松地将游戏内的物品交换为利润。此外，游戏玩家是一个以花钱出名的小众群体，因此他们的财务状况也是一个诱人的目标。黑客似乎更重视与有效信用卡或其他财务资源相关联的受感染帐户。一旦这些帐户遭到入侵，犯罪分子就可以购买额外的物品，例如游戏中使用的货币，然后以加价方式交易或出售。
虽然游戏公司不断创新和改进防御，但这些公司也必须继续帮助教育他们的消费者如何保护自己。许多游戏玩家都很年轻，如果他们被教导保护自己帐户的最佳方法，那么他们将把这些最佳实践融入他们的余生当中。
来源： cnBeta.COM
2019年6月18日 星期二
1.新深度伪造算法让你可以用文本方式编辑视频讲话者的话
据外媒报道，现在一项新的技术可以让你添加、删除或编辑视频里说话者所说的文字，而这一切就像在文字处理器上编辑文本那么简单。获悉，一种新的深度伪造(deepfake)算法可以将音频和视频处理成一个新文件。
由来自斯坦福大学、马克斯普朗克信息学研究所、普林斯顿大学以及Adobe研究所的研究人员组成的研究团队开发了这样一套算法。
为了学习说话者的面部动作，该算法大概需要40分钟接受训练视频和说话者文字记录，所以如果想要得到好的结果就不能只用一个简短的视频。40分钟可以让算法能够精确地计算出受试者为原始脚本中的每个语音音节做出的脸型。
在此基础上，当人们编辑脚本，算法就可以创建人脸的3D模型并生成所需的新形状。一种叫做神经渲染(Neural Rendering)的机器学习技术可以用真实感纹理绘制出3D模型，使其看起来与真实物体基本没有区别。
不过研究团队也意识到了该算法在不道德领域的使用潜力。虽然世界上还没有发生一起深度造假丑闻，但不难想象，在没有受过教育的观众面前，深度造假是一种极其有效的欺骗工具。更令人担忧的是，它们的存在会让不诚实的公众人物否认或质疑真实但可能影响到他们个人形象的视频。
对此，研究团队提出了一个解决方案，即任何使用该软件的人都可以选择性地加上水印并提供完整的编辑文件，但这显然不是阻止滥用的最有效办法。
另外，该团队还建议其他研究人员开发出更好的取证技术来以确定某一视频是否被别有用心的人改过。事实上，区块链式的永久记录在这里有着一些潜力，它将允许任何一段视频可以回到其原始状态来进行比较。但这样的技术还没到位也不清楚如何在全球范围内推行。
在非指纹识别方面，许多深度学习应用已经在研究如何识别赝品等问题。通过生成对抗性网络的方法，两个网络相互竞争--一个生成一个假冒产品，另一个试图从真品中挑出假货。经过不断的学习，识别网络在识别赝品方面开始做得越来越好，而伴随越做越好，生成赝品的网络就也就必须变得越好，才能达到欺骗的目的。
因此，这些系统在自动识别假视频方面做得越好，假视频也就会变得越好。所以很显然，识别伪造视频是一个复杂而严重的问题，在未来几十年里，它几乎肯定会对新闻报道产生重大影响。
来源：cnBeta.COM
2. 黑客组织瞄准美国电网
3. 对俄发动“网络战争”？专家警告：美国动一下试试看
网络战争真的即将到来吗？美国《纽约时报》16日爆料称，美国政府官员承认，早在2012年就已在俄罗斯电网中植入病毒程序，可随时发起网络攻击。这一惊人爆料立即引发世界关注。尽管美国总统特朗普第一时间否认《纽约时报》的报道，宣称这是“假新闻”，但世界仍然担忧网络冷战甚至热战距离人类越来越近。
美国是互联网技术和资源最强大的国家，同时也是最早成立网络司令部、把网络攻击作为主要军事手段的国家之一。《纽约时报》称，不太为人关注的是，去年夏天美国已经开始放宽了相关的法律授权限制，允许在发生冲突时对对方国家的网络进行瘫痪性攻击。
多名中国学者16日接受《环球时报》采访时表示，显然，无论在技术上、法律上，还是战略上，美国的网络战略已经变成攻击性的网络战略，美国已经成为全球网络安全的最大威胁。在《纽约时报》的报道中，得克萨斯大学教授切斯尼对美军这一网络行动洋洋得意地称：“这是21世纪的炮舰外交，我们过去常常把军舰停泊在对方国家岸边(才能征服它们)，现在我们(不为人知就)可以进入对方电网等关键系统……令其付出巨大的代价。”这番话完全暴露出美国网络霸凌的嘴脸。
“虽然让人类处于核毁灭边缘的核冷战已经过去，但现在网络冷战正在开始。”德国全球新闻网16日称，《纽约时报》曝光了美国军方在俄罗斯电网植入可能产生严重破坏的病毒，这显然比美国所谓“俄罗斯用假新闻干预大选”要严重得多。尽管恶意软件尚未激活，但作为全球唯一超级大国的美国，显然正在为网络冷战做准备。
日本富士电视台称，“网络攻击”一直是美国用来指责他国的借口。美国口口声声表示网络攻击是“极其恶劣和无耻的行为”，但是现在美国自己却开始公然对他国进行网络攻击，并且丝毫不认为有什么问题。也许此次在日本大阪举行的G20峰会上应该探讨一下网络攻击问题。
对于《纽约时报》的报道，俄官方目前还没有表态。不过， 俄罗斯《观点报》16日称，美国一直指责俄罗斯和中国对其发动网络攻击，但实际上，美国才是对他国发动网络攻击的真正凶手。对一个国家的电力系统等关键设施发动网络攻击，将给平民造成重大损失，有可能会造成正在医院接受手术的病人死亡，这完全是恐怖主义行径。报道还称，美国这一行动表明此前普京说的俄必须建立有自己主权的互联网系统是十分必要的。针对美国的这种恐怖主义行为，俄应做好应对这种攻击的准备，并有能力对美国做出针锋相对的回击。
“今日俄罗斯”网站称，《纽约时报》的报道向读者展示了美国官员“咄咄逼人”的姿态。去年该报报道所谓“俄罗斯黑客入侵”时大肆渲染这会造成美国“数百人受害”。而现在，“当网络战争由华盛顿发起时，地缘政治便压倒了人的生命”。
中国外交学院教授李海东说，在某种程度上，可以说美国才是全球网络安全的最主要威胁。美国在网络技术方面是全球最先进的，现在又降低了网络攻击的门槛，这就意味着美国在网络安全方面，很难说是建设性的，美国可以随意对不喜欢的政权发动网络战。在全球网络安全秩序方面，美国正在成为破坏性因素，成为混乱制造者。
复旦大学网络空间治理研究中心主任沈逸16日对《环球时报》记者说，从目前来看，在电网等关键设施中植入恶意程序，只是一种网络战的准备阶段。沈逸说，包括美国在内，没有哪个国家敢真正发动网络战争。网络战争目前没有交战规则，后果无法预料。“特别是对俄罗斯这样的国家，美国敢真正动一下试试看？”
2019年6月14日 星期五
1、谷歌新功能上线：Android手机可作为iOS应用的安全密钥
几个月前，谷歌正式推出了使用 Android 智能机作为物理安全密钥的特性，以便用户在 Chrome 浏览器上登陆桌面网站和服务。该功能通过蓝牙连接工作，因此只能在两款设备相邻时才能起效。不过现在，谷歌上线了新的功能，允许借助 Android 智能机来登陆 iPhone 和 iPad 上的应用与服务，为 iOS 平台带来额外的安全保障。
（题图 via Neowin）
与依赖 Chrome 浏览器进行验证身份的桌面链接不同，iOS 上的两步验证功能可借助 Smart Lock 应用程序。通过配套 App（而不是浏览器）来登录服务，是有一定意义的。
要设置安全密钥，用户需要现在 Android 设备上添加 Google 账户，然后在网页端配置两步验证设置，以便将你的手机变成一枚安全密钥。
然后登陆 iOS 设备，开启两台设备上的蓝牙，登录 iPhone / iPad 上的 Smart Lock 应用程序，确认您使用的是 Android 智能机。
来源：cnBeta.COM
2、消失的互联网历史 - 1991年创建的全球首个网页也已不复存在
在现实世界中，一家地方报纸的倒闭往往会被广泛报道。但在线网站的消亡通常都悄无声息，只有当点击的链接指向一个空白页面时，你才知道它们已经不存在了。互联网档案馆从 1996 年开始保存网站的网页。
当时距离第一批网页创建已经过去了 5 年，许多早期的网页都已经消失，就连1991年创建的全球首个网页也已经不复存在。
人们在万维网联盟（World Wide Web Consortium）上看到的页面是一年后制作的副本。
我们以为自己发表在社交网络上的内容会永远存在，只需要敲一下键盘就能看到。但最近 MySpace 披露丢失了大约 12 年的音乐和照片。这表明，即使是存储在大型网站上的内容，可能也不安全。
来源：solidot.org
3、Google 研究员披露 Windows 10 0day 漏洞
安全研究员 Tavis Ormandy 是谷歌 “Project Zero” 团队的一员，负责寻找 0day 漏洞。他公开了一个可利用的 Windows 漏洞，目前，微软仍处于修复过程中。Tavis Ormandy 发推文说他已经发现了 Windows 核心加密库的安全问题，“微软承诺在 90 天内修复它，结果没有”。于是在第 91 天，Ormandy 选择了公开这个漏洞。
该漏洞实际上是 SymCrypt 中的一个错误，SymCrypt 是负责在 Windows 10 中实现非对称加密算法和在 Windows 8 中实现对称加密算法的核心加密库。Ormandy 发现，通过使用格式错误的数字证书，他可以强迫 SymCrypt 计算进入无限循环。这将有效地对 Windows 服务器执行拒绝服务（DoS）攻击，例如，运行使用 VPN 或 Microsoft Exchange Server 进行电子邮件和日历时所需的 IPsec 协议的服务。
Ormandy 还指出，“许多处理不受信任内容的软件（如防病毒软件）会在不受信任的数据上调用这些例程，这将导致它们陷入僵局。”
不过，他还是将其评为低严重性漏洞，同时补充说，该漏洞可以让人相对轻松地拆除整个 Windows 机群，因此值得注意。
Ormandy 发布的公告提供了漏洞的详细信息，以及可能导致拒绝服务的格式错误的证书示例。
如前所述，Project Zero 有 90 天的披露截止日期。Ormandy 于 3 月 13 日首次报告此漏洞，然后在 3 月 26 日，微软确认将发布安全公告，并在 6 月 11 日的 Patch Tuesday 中对此进行修复。Ormandy 认为，“这是 91 天，但在延长期内，所以它是可以接受的。”
6 月 11 日，微软安全响应中心（MSRC）表示“该修补程序今天不会发布，并且由于测试中发现问题，在 7 月发布之前也不会修补好”，于是 Ormandy 公开了这个漏洞。
公开的漏洞地址：
https://bugs.chromium.org/p/project-zero/issues/detail?id=1804
来源：开源中国
2019年6月13日 星期四
1、RAMBleed扩展位翻转攻击领域 成功获取OpenSSH 2048位密钥
几名安全研究人员发表了一篇论文，介绍了一种基于位翻转漏洞 Rowhammer，并且将其威胁从内存完整性缺失扩展到内存信息泄露领域的技术 RAMBleed，表明位翻转的利用能力远超出当前人们的想象。
RAMBleed 是一种侧信道攻击，攻击者可以读取其它进程中的物理内存。研究者介绍，这一技术利用了几年前就出现的位翻转漏洞 Rowhammer，这是一种故障攻击，攻击者使用特定的存储器访问序列，使得内存出现位翻转，也就是 bit 值（0/1）改变。由于攻击者不直接访问更改的内存位置，因此 CPU 或操作系统一般不会察觉到问题。虽然这种位翻转技术不太好控制，但是其能力已被应用于沙箱逃逸、对操作系统和虚拟机管理程序的提权攻击、DoS 与加密协议故障注入等攻击。
过去人们认为 Rowhammer 攻击都是只能够破坏内存的完整性，也就是说，攻击者使用 Rowhammer 将有限的写入原语获取到其它无法访问的内存中，然后修改该内存的内容，而只要通过内存完整性检查就可以缓解这种攻击，比如使用以保护内存完整性为目标的内存或者带有纠错码（ECC）的内存。特别是纠错码技术，一直被认为是防止 Rowhammer 的有效手段，它可以在检测到位翻转时将其纠正。虽然近期有证据表明攻击者可以绕过 ECC 机制，使得在纠错后仍可观察到的位翻转，但成功纠正翻转仍然被认为是良性的，没有任何安全隐患。
但是研究者认为这样的想法不可靠，于是论文提出两个问题：
Rowhammer 构成的威胁是否仅限于内存完整性缺失？
纠正位翻转的安全隐患是什么？即使 ECC 内存纠正了所有翻转位，攻击者是否可以使用 Rowhammer 来破坏机密性？
结果表明位翻转的利用能力远超出当前人们的想象，位翻转漏洞 Rowhammer 的威胁不仅仅是内存完整性缺失，它还可以用于获取内存信息。
研究人员研究出了一种 RAMBleed 攻击方法，这是一种侧信道攻击，通过观察 Rowhammer 引发的位翻转，可以推断出附近 DRAM 行中的值，因此可以读出属于其它进程的物理内存，论文中他们还演示了使用 RAMBleed 对 OpenSSH 的攻击，并成功获取了泄漏的 2048 位 RSA 密钥。
此外，与 Rowhammer 不同，RAMBleed 不需要持久的位翻转，因此服务器机器常用的 ECC 内存对于缓解该攻击是无效的。
研究人员将在 2020 年 5 月举行的第 41 届 IEEE 安全和隐私研讨会上发表题为“RAMBleed：在没有访问它们的情况下读取内存位”（RAMBleed: Reading Bits in Memory Without Accessing Them）的论文，进一步介绍该攻击手法。
论文地址：
https://rambleed.com
来源：开源中国
2、微软修复了五个SandboxEscaper零日漏洞中的四个
过去几个月，微软一直深受“沙箱逃逸”（SandboxEscaper）零日漏洞的困扰。因为黑客那边不按常理出牌，不仅没有给出 90 天的预备披露时间，还接二连三地抛出了针对 Windows 操作系统的特权提升漏洞。万幸的是，尽管准备工作有点仓促，该公司还是设法修复了已流出概念验证代码的五个漏洞中的四个，且目前尚无被人在野外利用的报道。
（SandboxEscaper 概念验证，via MSPU）
据悉，已修补的这四个 SandboxEscaper 漏洞分别为：
●CVE-2019-1069| 任务计划程序的特权提升漏洞
●CVE-2019-1053| Windows Shell 的特权提升漏洞
●CVE-2019-1064| Windows 特权提升漏洞
●CVE-2019-0973| Windows Installer 特权提升漏洞
鉴于漏洞的普遍严重程度，还请诸位及时安装每月发布的安全更新。
来源：cnBeta.COM
3、Have I Been Pwned 寻找买家
Have I Been Pwned?（HIBP）维护者 Troy Hunt 宣布他正在积极寻找买家。HIBP 是知名的数据泄露通知网站，储存了各个网站和服务已知的泄露数据。Hunt 称至今 HIBP 的每一行代码、每一个配置和数据泄露记录都是他一个人做的，不存在 HIBP 团队之说，他一个人做了所有的事情。现在是时候壮大 HIBP，从一个个人维护的服务转变到由一个资源和资金更充足的机构维护的服务。他表示已经与部分有意收购的组织进行了非正式对话。Hunt 公布了部分 HIBP 服务的数据：80 亿泄露记录，300 万人订阅通知，发送了 700 万次邮件通知，每天独立访客 15 万，特殊情况下一天的访客数量会增加到 1000 万。对于收购，他希望搜索功能仍然免费，希望能继续参与该项目。
来源：solidot.org
2019年6月12日 星期三
1、iOS 12.4成功越狱 - 越狱开发者秀iPhone SE执行Cydia画面
iOS 12.4 正处于测试阶段中，相信过不了多久后将会释出，不过iOS 12 越狱最近又带来最新的进展，越狱开发者iBSparkes 在Twitter上展示iPhone SE 正执行iOS 12.4 Beta 并成功越狱，还秀出一张正在执行Cydia 画面来证实。
iBSparkes过去曾经推出iOS 10越狱工具Meridian后，在iOS 11和iOS 12越狱上也有不少的贡献，曾释出名为machswap漏洞，可让越狱工具成功率与速度上比起所旧有漏洞效率还更高，经过开发者测是在A10处理器设备上只需要2秒，在A7处理器设备上只需花费4秒就可利用，更让新款主流越狱工具可更换此漏洞，进一步改善越狱效率与成功率。
如今iBSparkes 展示iOS 12.4 测试版已经越狱成功，可正常执行Cydia ，还附注说明「”apfs” “0day” “apfs” “security” “feature”」，这似乎也就表明他已经发现到iOS 12.4 上能用的0day漏洞，也已经解决apfs 问题，能越狱机率非常高，且该名开发者都会释放越狱和越狱漏洞，很有可能会在后续释出iOS 12.4 越狱？
iBSparkes 还尚未表态会释出iOS 12.1.3 ~ iOS 12.4 越狱，不过大家也希望可以将这漏洞留到iOS 13 上，不要太快推出，至于这个0day 漏洞能不能使用在iOS 13 上，就要等待后续iBSparkes 进一步说明，从目前现况来能支持iOS 12.1.3 ~ iOS 12.4 越狱似乎已经离我们不远。
来源：Mac电报
2、上海交大泄漏8.4TB电子邮件数据 漏洞已经修复
根据外媒 ZDNet 援引 rainbowtabl.es 安全博客上的文章报道， 上海交通大学 一个数据库因未正确配置公开访问权限，而导致泄漏了 8.4TB 的电子邮件元数据。这款暴露的服务器是由 CloudFlare 安全总监贾斯汀 · 潘恩 于 2019 年 5 月 22 日发现的。
据称该泄漏数据库包含 95 亿行数据, 在发现时处于活动状态, 因为其大小从 5 月 23 日的 7TB 增加到一天后的 8.4 tb。该数据库属于上海交通大学, 这是一个总部设在中国的大型学术机构。该大学为 41, 000 多名本科学生提供博士学位。
数据库中包含的信息是通过 Zimbra 打包的, zimbra 是全球超过 20 万家企业使用的流行开源电子邮件解决方案。
根据研究人员的说法, 与 “特定人员” 发送电子邮件有关的批量电子邮件缓存似乎还包括了电子邮件的 IP 地址和用户代理。
可以看到特定用户之间的电子邮件流程, 但值得注意的是, 只涉及元数据, 并且既不公开主题, 也不公开电子邮件正文内容。
在发现泄漏一天后, 上海交通大学接到了数据库泄漏的通知。值得称道的是, 泄漏在 24 小时内被修复。
“在搜索 Shodan 时, 我最近发现了一个没有任何身份验证的 ElasticSearch 数据库,” 潘恩说。”此数据库包含与大量电子邮件相关的元数据。我要感谢校方的安全团队, 一旦接到通知, 他们迅速采取行动, 确保这些数据的安全。不过, 就我所知, 他们没有通知受影响的学生。”
来源：himp4.com
2019年6月11日 星期二
1、新华网：中国遭受的网络攻击主要来自美国
国家计算机网络应急技术处理协调中心（CNCERT）日前发布《2018年我国互联网网络安全态势综述》。数据显示，来自美国的网络攻击数量最多，且呈愈演愈烈之势。
根据CNCERT的监测数据显示，在木马和僵尸网络方面，2018年位于美国的1.4万余台木马或僵尸网络控制服务器，控制了中国境内334万余台主机，控制服务器数量较2017年增长90.8%。在网站木马方面，2018年位于美国的3325个IP地址向中国境内3607个网站植入木马，向中国境内网站植入木马的美国IP地址数量较2017年增长43%。根据对控制中国境内主机数量及控制中国境内遭植入木马的网站数量统计，在境外攻击来源地排名中，美国“独占鳌头”。
有关专家表示，一直以来，美国都指责中国是美国网络安全的主要威胁，但从上述数据可以看出，美国才是网络攻击的最大来源国。
2、研究：只有5.5%的被发现漏洞曾遭到利用
据外媒报道，本周发表的一项新研究揭示了在过去10年里发现的安全漏洞中实际遭到利用的数量。据悉，这项被认为是迄今为止在同类研究中最广泛的研究发现，在2009年至2018年发现的7.6万个安全漏洞中只有4183个安全漏洞遭到利用。
更有趣的是，研究人员发现，在公共网站上发布概念验证(PoC)攻击代码与网络攻击尝试之间没有相关性。
研究小组表示，2009年至2018年间，在4183个安全漏洞中只有一半的漏洞代码曾出现在公共网站上。
这意味着，没有公共PoC并不一定会阻止攻击者利用某些漏洞--一些黑客在需要的时候会利用自己的漏洞。
严重缺陷被利用的最多
研究指出，在外被利用的大多数漏洞都是安全漏洞，它们都具有很高的CVSSv2严重性评分（可以从1到10，其中10分被分配给最危险和最容易遭到利用的漏洞）。
研究小组表示：“在所有被利用的漏洞中，将近一半的漏洞CVSS的得分是9分或更高。”
研究工作来源
据悉，这项研究的核心数据由多种来源汇编而成的。例如，从NIST的国家漏洞数据库(NVD)中提取了所有安全漏洞、分数和漏洞特征的列表。而与在外发现的攻击有关数据则从防御工事实验室收集而来，有关攻击的证据从SANS Internet Storm Center、Secureworks CTU、Alienvault的OSSIM元数据和reverse Labs元数据中收集而来。关于编写的利用代码信息来自Exploit DB、利用框架（Metasploit、D2 Security的Elliot Kit和Canvas Exploitation Framework）、Contagio、Reversing Labs和Secureworks CTU，研究团队发现在2009年到2018年间PoCs发布的数量有9726个。
此外，通过Kenna Security，安全研究人员还获得了从扫描数百个公司网络的漏洞扫描器信息中提取的每个漏洞的流行程度。
未来
研究人员希望，他们这一安全漏洞研究将能帮助企业优先考虑其首先想到的漏洞修补以及那些最有可能遭到攻击的漏洞。
这份研究表明，一个漏洞的CVSSv2得分越高，它遭到严重利用的可能性就越大--无论利用代码公开与否。
另外，受到攻击的漏洞数量是1/20，而不是以前的研究表明的1/10。
此外，研究团队还希望他们的工作将能增强整个CVSS框架并提供关于特定漏洞可能会被利用的新信息，进而帮助那些依赖CVSS评分来评估和优先打补丁的组织提供更好的指导。
3、谁来识别AI生成的假新闻？英媒：解铃还须系铃“人”
英媒称，在社交媒体上，假新闻的传播速度比真相还要快，随着假新闻生成器变得越来越先进，区分真假新闻变得比以往任何时候都更加困难。据英国《新科学家》周刊网站6月8日报道，可以根据简单的提示快速生成令人信服的文本段落的人工智能已经存在，并可炮制出令人信服但并不真实的故事，以影响公众舆论。不过，对于出现的问题人工智能也可以提供解决方案。
华盛顿大学的罗恩·泽勒斯及其同事开发出了既能编写，又能识别假新闻的人工智能。
报道称，他们用新闻网站上数以百万计的文章——数据总量为120GB——来训练一个名叫“格罗弗”的人工智能。格罗弗学会了写文章，并调整其风格去模仿在特定时间段内发表的文章，或者某一特定新闻网站，比如《新科学家》周刊网站上的文章。
报道称，在“没有关于气候变化的实质性证据”，或者“新研究表明疫苗会引发自闭症”这样的假标题下，只需几秒钟时间，它就能生成一篇有编造的统计数字和假引文的文章，并且这些引文通常来自真实存在的专家或政客。
然后，研究人员对包括格罗弗在内的4个人工智能就其区别人类记者写的5000篇真新闻和格罗弗编造的5000篇假新闻的能力进行了测试。
报道称，每个人工智能需要完成两项校验任务：第一项，对于一篇新闻稿，确定它是人类写的还是机器生成的；第二项，面对两篇文章，一篇真新闻，一篇假新闻，鉴定出哪篇是真的哪篇是假的。
报道还称，为了避免格罗弗新闻生成器和判别器模型一样的情况，该团队使得生成器变得更加先进。
报道指出，在确定格罗弗假新闻稿方面表现最好的人工智能是格罗弗本身的判别器，准确率可达92%。
不过，该团队没有测试格罗弗对其他人工智能生成的文本的识别能力。
报道称，对格罗弗最好的防御就是格罗弗本身是从威胁建模这一计算机安全概念中汲取的灵感。泽勒斯说：“这一想法是，为了抵御攻击，你真的需要了解对手要做什么。”
来源：参考消息网
2019年6月5日 星期三
1、PYPL 6月编程语言排行：Kotlin与PHP亮了
PYPL 发布了 6 月份编程语言排行榜，榜单如下：PYPL 是非常流行的参考指标，其榜单数据的排名均是根据榜单对象在 Google 上相关的搜索频率进行统计排名，原始数据来自 Google Trends，也就是说某项语言或者某款 IDE 在 Google 上搜索频率越高，表示它越受欢迎。开发者可以将 PYPL 作为一个参考，决定学习何种语言或 IDE，或者在新的软件项目中使用何种语言或数据库。
6 月的榜单中，排在前五的分别是：Python、Java、Javascript、C# 和 PHP。相比去年 6 月，Python 份额还是保持了较大幅度的增长，而 Java 与 PHP 分别有 1.8 与 1.2 的百分比下降。
另一个值得关注的语言是 Kotlin，本月榜单中，Kotlin 的变化情况是三个上升的绿箭头，在前 23 名的排行中最为抢眼，其上个月份额为 0.94% ，本月达到了 1.4%。这可能与谷歌宣布 Kotlin 之后将作为安卓开发的首选语言有关。
再来看看本月最突出的趋势，全球范围内，Python 目前还是最流行的语言，它在过去 5 年中采用率增长最多，达到了 17.6%。另一边，我们之前编译转载过一篇关于 PHP 现状的文章，作者从开发进度、性能提升与生态建设等方面分析，认为当前 PHP 还是 Web 开发的绝佳选择。但是 PYPL 编程语言排行榜似乎不这么认为，数据显示，在过去 5 年中，PHP 失去了最多的采用率（-6.2%），目前仅有 7%。
榜单详情查看：
http://pypl.github.io/PYPL.html
来源：开源中国
2、Google 解释周日宕机事故原因
来源：solidot.org
3、苹果保护隐私出大招：虚拟邮箱帮用户登录第三方
WWDC 2019大会上，苹果宣布了一种新的登陆机制Sign in with Apple，让第三方应用程序通过用户的苹果ID进行身份验证。苹果声称，这种登陆机制将有效保护用户隐私，杜绝用户被跟踪。这一名为Sign in with Apple的新身份验证机制与Facebook和谷歌提供的其他类似登录系统的工作方式相同，但增强了用户隐私保护。
苹果软件工程主管克雷格·费德里吉(Craig Federighi)表示:“Sign in with Apple是一种快速、简便的登陆方式，用户不会被跟踪。”
费德里吉说：“一个简单的API允许开发者在他们的应用程序中添加一个Sign in with Apple按钮。用户只需点击它，就可以在设备上用FaceID进行身份验证，然后苹果会帮助用户随机生成新账户进行登录，无需透露任何新的个人信息。”
“有些应用程序可能想要一个名字，甚至可能想要一封电子邮件，以便在你不在应用程序中时向用户发送信息。
“我们确实允许他们请求这些信息……但你可以选择分享你的真实电子邮件地址，也可以选择隐藏它。”
据苹果高管称，这项新功能将生成一个由苹果托管的随机电子邮件地址，该地址能够接收来自该应用程序的所有通信和通知，并将电子邮件转发到用户的合法电子邮件地址。
费德里吉说：“这是个好消息，因为我们为每个应用程序都提供了一个独特的电子邮件地址。”他强调，应用程序将不再能够根据用户的电子邮件地址跟踪用户。
这位苹果高管强调，“当你厌倦来自某个应用程序的消息时，你可以在任何时候禁用相应的电子邮件地址。”他说，“这真是很棒！”
的确如此。通过为每个应用程序生成独特的电子邮件地址，苹果不仅可以防止用户被跟踪，还可以阻止垃圾邮件。
可疑的应用程序开发人员通常会将用户数据转卖给数据分析服务提供商或垃圾邮件运营商。此外，即使应用程序开发人员并不打算共享用户的电子邮件，数据泄露也会将用户的电子邮件地址暴露给黑客。
在苹果新的登陆机制下， 如果任何这些随机生成的电子邮件泄漏或落入垃圾邮件发送者之手，用户可以随时停用该电子邮件，并停止任何传入的不需要电邮信息。
此外，由于每个应用程序的电子邮件都是独一无二的，在数据泄露的情况下，黑客无法使用电子邮件地址将其与用户的真实身份关联起来。
这进而保护用户免受针对其苹果帐户或其他服务帐户的登陆攻击。
另一个好消息是，根据苹果的一份设计文件，Sign in with Apple也将适用于网络和其他平台，而不仅仅是iOS应用程序。
来源：网易科技
2019年6月4日 星期二
1、在俄罗斯通过暗网黑市购买个人数据已变得非常容易
据BBC Russian 报道，与俄罗斯黑客相关的数据泄露事件现在已引起全球关注，但BBC Russian发现在俄罗斯国内购买护照和银行账户信息等个人数据是一件非常容易的事情。根据网络安全专家的说法，大量所谓的私人数据每天都在暗网黑市被出售。
俄罗斯男子Roman Ryabov曾在Beeline工作，这是俄罗斯最大的手机运营商之一。他曾与一位他以前从未见过的男子Andrei Bogodyuk接触过。Bogodyuk提出了一份商业提案。他希望Ryabov能够访问他认识的人的电话记录。当天晚些时候，Ryabov通过电子邮件向Bogoduk发送了一长串电话号码和日期，他因此获得了1000卢布。
Ryabov还向Ryabov提供了另外两个手机号码的数据。但到那时Beeline已经发现了数据泄露并且已经联系了警方。两人被审判并被判处社区服务：Bogodyuk被判处340小时，Ryabov被判处320个小时。
蓬勃发展的非法贸易
不过这种在俄罗斯获取个人数据的方法已经过时了。如今，私人侦探、诈骗者等人可以在网上搜索非法论坛，并要求黑客提供几乎无限量的个人数据。
在俄罗斯购买个人数据的市场正在增长。只需支付适当的费用，人们就能获得电话记录，地址、护照详细信息甚至银行安全码。非法论坛还有用于访问国家组织数据的部分，包括联邦税务局。
网络安全公司Digital Shadows的研究分析师Harrison Van Riper表示，“如果需求存在并且有资金可用，那么就会有人填补这一空白。”
官方信息泄漏发生在所有国家。其中一个最著名的案例是美国国家安全局（NSA）承包商爱德华·斯诺登，他在2013年发布了大量关于美国间谍活动的数据。
但BBC Russian表示，现在俄罗斯普通人可以轻松获得国家机构持有的秘密数据。“这是腐败的经典问题和对数据访问缺乏控制程度的结合，”皇家联合服务研究所的高级助理研究员Mark Galeotti告诉BBC Russian 。
执法不严
俄罗斯很少因出售机密数据而起诉人，但是当这些案件进入审判时，他们就可以看到这种交易的运作方式 - 以及为什么它仍然存在。
2016年，在莫斯科Vidnoye郊区，联邦税务局当地分支机构的现场检查副主管在出售价值7000卢布的几个俄罗斯人的收入和资产信息后被判有罪。他收到了罚款和判刑，但最终被赦免。
去年，荷兰当局公布了几名据称参与间谍活动的人的名字。在俄罗斯汽车注册数据库中搜索这些名字时（这应该是由内政部秘密控制，但已泄露给私营运营商） - 揭示了这些人的地址。这随后被追溯到俄罗斯军事情报部门格勒乌（GRU）使用的一座莫斯科建筑物。
但俄罗斯的安全机构正在抵御强大的市场力量。官员可以通过在黑市上销售数据来补充他们微薄的工资收入。为了了解获得个人数据的容易程度，BBC联系了一个在线论坛，并要求其提供一位记者的个人数据。
在一天之内，以不到2000卢布获得了一份文件。该文件通过一封电子邮件发送，其中不仅包括记者目前的护照，还包括自14岁以来他持有的每本护照。
记者随后透露他是来自BBC Russian ，并要求卖方回答一些问题。卖家告诉BBC Russian，他认为自己是一名“侦探特工”。他表示，在泄漏的信息暴露了俄罗斯情报人员的身份后，俄罗斯执法部门对此次交易进行了镇压。
然而外界不仅可以购买道俄罗斯公民的数据：BBC Russian订购了有关这名记者的妻子（一位欧盟公民）的信息，并获得了包括电话记录、出生日期和护照信息在内的数据。
一名因出售机密数据而被定罪的人同意与BBC Russian交谈。现年28岁的Anatoly Panishev是移动电话公司Tele2的前雇员，他出售了公司客户的个人数据。
“我在考虑辞掉工作时进入这个行列，”他说。“然后提出了一个命题。所以是的，我决定从中赚钱。”Panishev在2018年因非法活动获得超过40000卢布，之后被定罪并被判处18个月的缓刑。
“许多其他国家，尤其是西欧和北美国家，对数据非常谨慎，因为他们需要担心诉讼和通用数据保护法规[GDPR]，”Mark Galeotti说道。“但俄罗斯似乎没有像保护这样数据的法规。”
来源：cnBeta.COM
2、黑客盗取《剑网3》虚拟货币60亿？西山居：bug已修复
6月3日，珠海市公安局官网发布了“飓风2019”十大案例。
其中，珠海市公安机关成功打掉一个特大黑客团伙，该团伙利用黑客技术侵入该公司研发的游戏后台系统，盗取游戏虚拟货币60亿金，折合人民币价值约880万元。
在该消息发布以后，有网友根据披露的相关细节以及照片，猜测该款游戏为《剑网3》（全称为“剑侠情缘网络版叁”）。
6月3日，红星新闻记者就此致电游戏运营商西山居，相关负责人向我们证实了该事。同时，对方还表示，只是游戏中的一个小bug，目前已经修复。
资深游戏玩家带领
犯罪嫌疑人多为90后
据珠海市公安局官网披露，2019年3月1日，珠海市高新区某知名游戏企业向公安机关报案称，有不法分子利用黑客技术侵入该公司研发的一款热门游戏后台系统，盗取游戏虚拟货币60亿金，折合人民币价值约880万元。
公安机关成立专案组立案侦查后发现，该团伙以唐某为首，在安徽合肥注册一家网络科技工作室作掩饰，雇佣20名员工专门在下半夜时段实施黑客攻击盗取不法行为，并采取网络技术方法逃避警方侦查追踪。
3月12日，珠海警方远赴安徽合肥开展抓捕行动，抓获犯罪嫌疑人21名，冻结涉案资金300余万元。
据新华社报道，唐某为资深游戏玩家，通过在网站论坛跟黑客接触，让其帮忙制作黑客程序。其团伙成员则通宵开工，使用黑客软件攻击入侵游戏后台系统，并用一些技术修改地址来逃避打击。
该团伙的犯罪嫌疑人多为90后，学历文化程度较高。 他们利用该游戏的竞争漏洞，通过黑客软件进行入侵，比如在游戏发放红包时，复制一份“红包”到自己账户，从而盗取游戏中的虚拟货币。
6月3日，红星新闻记者就此致电珠海市公安局，但对方表示其他细节不方便透露。
游戏运营商西山居
“bug已经修复”
在该消息发布以后，有网友根据披露的相关细节以及照片，猜测该款游戏为《剑网3》（全称为“剑侠情缘网络版叁”）。
当天，红星新闻记者联系了游戏运营商西山居，相关负责人向我们证实了该事。同时，对方还表示，只是游戏中的一个小bug，目前已经修复。
“网上的言论有些夸张，因为这只是我们游戏里面一个非常简单的bug，就是程序上的一个bug，不存在黑客攻击的问题。”该人士向红星新闻表示。
而对于更多的细节，包括西山居相关团队是如何发现该黑客团伙并主动报案的、所被盗取的游戏虚拟货币等相关情况，对方都称不了解、不方便透露。
6月3日，有西山居所属的金山软件相关人士向红星新闻记者透露，毕竟是有人恶意用技术攻击公司产品，虽然最终破案了，但不做更多细节披露。
《剑网3》
2017年累计用户过亿
《剑网3》自2009年推出以来，一直广受游戏玩家的好评，甚至在海外市场也取得了胜利。西山居CEO郭炜炜曾于2017年年底透露，《剑网3》的累计用户已达1.07亿。
西山居是金山软件的附属公司。
红星新闻记者翻阅金山软件2017年财报得知，《剑网3》连续8年保持快速增长，2017年收入同比增长32%。
金山软件于2017年的网络游戏业务收益为31.20亿元人民币，较上年增长23%。其中，年度强劲增长主要由于《剑网3》的强劲及持续增长、《剑侠情缘1》手游的全年收入贡献等所致。
而在其2018年年度报告中，金山软件称“由于中国不断变化的市场及监管环境，网络游戏业务于2018年的表现承受压力。”同时，金山软件在财报中称：“尽管如此，《剑网3》于本季度推出新赛季，深受玩家喜爱。”
财报披露的相关数据显示，由其主办的《剑网3》竞技大师赛，其全平台观看峰值达到1123万。不过，该财报并未披露2018年度《剑网3》的玩家以及收益等相关数据。
红星新闻记者 杨佩雯
3、被云服务商误封账户的初创公司：不要把鸡蛋都放在一个篮子里
近日，一则主题为 “DigitalOcean 是如何杀死了我们公司”的帖子在社交媒体引发轩然大波。发帖人 Nicolas Beauvais 所在的 Raisup 是一家仅有两人的初创 AI 公司。而他所控诉的 DigitalOcean 是一家大型云服务提供商。
Nicolas 连续发布多条帖子表明了事情经过。他的公司每 2-3 个月会定期执行一个 python 脚本以更快地处理数据，但就在两天前，DigitalOcean 认定该脚本是恶意的，并封锁了他们的账户。这意味着他们的基础设施——用于其 Web 应用程序、worker 节点、缓存和数据库的五个 droplet（简单可扩展的虚拟机）均无法再使用。
向 DigitalOcean 发送多封电子邮件和 Twitter 私信后，Raisup 的帐户被解封。Nicolas 表示，因为所有 droplet 被关闭，用于跟踪进展的 Redits 存储内容也被擦除，他们不得不重新启动数据管道。但好景不长，仅 4 个小时之后，该公司账户被再次锁定，“很可能是通过同一个自动脚本封的”。
Nicolas 在接下来的 30 个小时内又向云服务商的支持人员发送了 4 条信息，最后只收到一条简短的自动回复，DigitalOcean 拒绝了他们重新激活账户的请求。
“我们失去了一切，服务器，还有一整年的数据库备份，全都没了。现在我们必须向客户解释为什么无法恢复他们的账户”。
“我是这间两人公司唯一的开发者，今天是我休假第一天，却听到这样的消息，真是令人受伤，好无能为力……” Nicolas 开始在 Twitter 哭诉。
接下来的事态发展却远超他的预期。这一事件在 Twitter 和 Hacker News 等社交平台引发热烈讨论，不少人前来分享自己的类似遭遇，或是给出建议，也有不少人甚至表示考虑不再选择 DO 提供的服务，并推荐了其他的云供应商。
大概是感受到了公关危机，Nicolas 的原帖发布小一时后，DigitalOcean 的创始人 Moisey Uretsky 就在 Twitter 回复：“该账户应当被重新激活，处理方式还需要深入研究一下。不应该花费这么长时间来恢复账户，更不应该进行二次封锁”。
随后，DigitalOcean 官方账号发表声明，先是表示了歉意，称账户已恢复，接着说明事情正在调查中，承诺会公布调查结果，力求将服务透明化。
DO 公司首席技术官 Barry Cooks 也站出来致歉，承认这是自己内部系统引发的误报，同时检讨了团队“反应慢”、“在处理误报时发生了失误”等等。
不过网友们好似并不买账，他们在评论中质疑：“发生这种错误时你会建议客户怎么做呢？难道在 Twitter 骂街是唯一的出路吗？”“其他成千上万被搞砸的人，没有在社交网站发声，就要默默吞下不公正吗？”
Nicolas 最终发帖感谢众人，也提醒大家：不要把所有鸡蛋都放在同一个篮子里。确实，无论是对于这样的初创小公司还是其他公司来说，完全依赖于某个云服务提供商还是存在很大风险的。
来源：开源中国
2019年6月3日 星期一
1、微软Azure云服务被用于托管恶意软件 可控制多达90台电脑
AppRiver安全公司发现，从网络钓鱼模板到恶意软件以及命令和控制服务，Azure云服务依然存在安全问题，研究发现其根源问题存在于微软的Azure基础设施中。BleepingComputer称，在早期报道中，5月份陆续出现了两起与Azure相关的恶意软件攻击事件：
1>自5月10日以来，Azure App Services平台上托管的近200个网站被用于部署廉价的虚拟主机托管以此维持网络诈骗活动；
2>5月28日，一种新形式的钓鱼活动出现在网络中，攻击者会将钓鱼内容伪装成Office 365警告邮件，声称用户已触发中级威胁警报，并使用虚假登陆界面将用户信息发送到指定网站。
安全研究人员MalwareHunterTeam和JayTHL最新发现表明，上述事件并非独立的攻击行为，在经过样本分析后，恶意软件以及稍后上传的其他样本仍然存在于微软的Azure基础设施中。
“很明显，Azure目前还没有检测到驻留在微软服务器上的恶意软件。”
AppRiver的David Pickett 称，在研究攻击样本时，其中一个示例'searchfile.exe'在4月26日被VirusTotal扫描服务编入索引，当用户尝试在计算机上下载恶意文件时，Windows Defender会检测到它并阻止恶意文件的进一步动作。
“一旦运行，这个恶意代理每2分钟生成一次XML SOAP请求，以检入并从恶意行为者Azure命令和控制站点接收命令：systemservicex [。] azurewebsites [。] net / data [。] asmx。”
研究员JayTHL称，被抓取的样本似乎是一个简单的代理程序，它运行从命令和控制服务器接收的任何命令。如果攻击者的ID号按顺序生成，确定可以控制多达90台电脑。
据悉，Microsoft Azure不是第一个被滥用存储恶意信息的平台，Google云端硬盘、Dropbox和亚马逊的网络服务也都出现类似情况。
通常情况下，网络犯罪分子会破坏合法网站并使用它们来托管恶意内容，在风险和成本都很小的情况下，攻击者很有可以就此展开新一轮行动。
来源：雷锋网
2、苹果开发商店无线安全系统：未付款设备离店后不能使用
据外媒报道，为了加强开放式商店设计的安全性，苹果似乎想到了新的办法--设计一套全新的无线安全系统。美国专利商标局USPTO于日前公布的一份专利申请文件介绍了这套系统。
获悉，在这套系统下，当无线设备安全系统确定的一个库存电子设备正在被移到安全区域的边界或已经穿过该边界，无线设备保障系统就会向管理员的电子设备上发出警报系统。如果无线设备安全系统确定的库存电子设备离开安全区域的时间超过阈值，那么系统就会阻止该设备访问服务器端的服务如激动服务并一直持续到设备返回到安全区域内为止。
另外，个别库存电子设备还可以监测其本身的位置并确定何时将其移向安全区域边界或何时转移到另外一个区域。当库存电子设备确定它正被移到安全区域的边界时，库存电子设备可以提供警报输出并通知携带库存电子设备的人他们正在接近安全区域边界。如果库存电子设备确定已经在被未经授权的情况下被带离安全区域，那么它可能会提供一个告知附近所有人该设备会在未经授权的情况下被带离零售店的警报。
当在安全区域之外，库存电子设备可能会忽略所有或部分用户输入，例如禁用硬件按钮、禁用触摸输入等。如果库存电子设备在一段阈值时间内没有返回到安全区域，那么它可能会尝试发送带有其位置的遇险信息，如通过开放的Wi-Fi网络、蜂窝连接、蓝牙发送消息。
3、想去美国，先要被美国政府审查QQ和微博账号？
近日，一则“办理去美国的签证时，居然要上报自己的QQ和微博账号给美国政府审查”的消息在网络上热传，并引起了一些中国网民的担心，是不是以后不能随便批评美国了。所以，事实到底是怎样的呢？申请美国签证时确实需要填写个人社交账号了。
首先，在申请前往美国的非移民类签证时，申请人需要在网上填写的“DS160”申请表中确实多了一个询问个人社交账号的栏目，补充在了以往填写住址和电话等联系信息的页面下面。
而可以选择的社交平台不仅包括境外流行的推特（Twitter）、脸书（Facebook）、油管（Youtube）等网站，也包括中国的QQ空间、豆瓣、新浪微博、腾讯微博、以及优酷这5个网站，但并不包括微信和抖音等其他中国最流行社交平台。
而在选择了一个社交平台后，申请表则会要求申请人给出在相应平台上的个人账号名称，但没有索要密码。
当然，申请人也可以选择自己“没有”(None)社交账号的选项，但如果被美国政府发现撒谎，则可能会影响签证通过的几率。
该政策去年就已被美国媒体报道过
不过，这个新出现在美国签证申请表中的变化，其实并不是一个新鲜事了。
就在去年3月的时候，美国《纽约时报》就报道说特朗普政府为了加大对进入美国的外国人的审查力度，早在2017年9月就宣布想收集申请人的社交网站信息进行审查。而2018年3月时，美国国务院则进一步开始筹划这个计划，准备要求申请人上报自己过去5年来所使用的社交账号名称，并把范围从原本的移民签证范围扩大到了几乎所有美国签证上，导致大约每年会有1400万来美访客受到影响。
但与美国免签的国家和地区，以及持有外交/公务签证的人不会受到影响。当时，美国政府还给出了一个为期60天的时间征求公众意见。
所以，这两天被人们发现的美国签证申请中要求填写个人社交账号的改变，便是特朗普政府这个加强对来美外国人审查的计划得到了最终的落实。去年《纽约时报》在报道中提到涉及的5家中国的社交平台QQ空间、豆瓣、新浪微博、腾讯微博和优酷，也与今天我们在美国政府官网的签证申请表中所看到的内容相吻合，进一步证明这其实不是一个突然冒出来的政策，而是去年提出的政策得到了执行。
侵犯“言论自由”
值得注意的，早在去年美国政府宣布要制定这个政策时，美国国内以及中国等国的网络空间也都传出了反对的声音。
根据《纽约时报》的报道，这些反对的声音大多是认为美国政府的这一签证新举措会侵犯言论自由，搞得人人自危，有美国学者更认为此举过于荒谬了。
▲图自《纽约时报》
但美国国务院表示此举是为了消除对美国的威胁。《纽约时报》的报道则提到近些年美国官方对于恐怖分子等威胁的关注正越来越向社交网站倾斜，美国政府内部还有人甚至提出要让美国签证申请人把个人社交账号的密码也上报出来，否则就不允许进入美国。
不过，美国政府最终放弃了向申请人索要账号密码的打算。但根据《纽约时报》的说法，有前往美国的访客表示美国政府人员会在机场等入境处随机叫人提供社交账号密码供他们审查。
▲图自《纽约时报》
而结合最近美国政府对于中国访美学者的持续打压、以及美国媒体表现出的动不动就将中国游客和学生说成是“渗透美国的中国间谍”的妄想症来看，美国政府的这一签证新举措也确实有可能会对中国的申请者带来“言论自由”层面的冲击。
但另一方面，鉴于美国驻华大使馆对中国申请人“拒签”的一个更主要原因是担心“移民倾向”，所以在社交账号上发表“吹捧和向往美国、鄙视和唾弃中国”的言论会不会被视为有这一倾向，也是后续值得观察的一个点。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
看着消息 ,只能膜拜这些大神,
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
