移动端 | 加入收藏 | 设为首页 | 最新ss | 赞助本站 | RSS
 

freefq.comfree——免费、自由fq——翻墙

困在墙内,请发邮件到freefqcom#gmail.com获得最新免费翻墙方法!
您当前的位置:首页 > 网络安全

近期安全动态和点评(2019年3季度)

时间:2019-10-07  来源:编程随想的博客  作者: 条评论
xuz免费翻墙网
研究人员 2 月 1 日通知了苹果,给了苹果 7 天的时间修复。苹果在 2 月 7 日释出了 iOS 12.1.4 修复了漏洞。
xuz免费翻墙网
Apple's AWDL protocol plagued by flaws that enable tracking and MitM attacks @ ZDNetxuz免费翻墙网
xuz免费翻墙网
  编程随想注:xuz免费翻墙网
  “AWDL 协议”是洋文“Apple Wireless Direct Link”的缩写,诞生于2014年。如今,很多苹果的产品都支持“AirPlay”与“AirDrop”。而 AWDL 就是这两者的底层协议。xuz免费翻墙网
  AWDL 诞生5年来,苹果公司【从未】公布过详细的技术规范(看情形,将来也不会公布)。于是,某些安全研究人员开始用【逆向工程】的招数分析该协议的实现,并找到诸多漏洞。xuz免费翻墙网
  其中一个比较严重的漏洞,可被用来进行【中间人攻击】(MitM attack)。由于 AirDrop 用来传输文件,攻击者可以利用该漏洞【篡改】文件内容,(在某些情况下)攻击者可用来【植入木马】。

◇网络协议的漏洞

xuz免费翻墙网
  编程随想注:xuz免费翻墙网
  除了刚才提到的——苹果公司的 AWDL 协议的漏洞,接下来提到的几个漏洞也来自【无线网络】。xuz免费翻墙网
  俺已经多次在博客上警告了“无线网络的风险”。因为无线网络具有【更大的攻击面】。xuz免费翻墙网
  在今年初的“这篇博文”,俺还提到了:比如说:那些安全防范等级较高的公司或机构,其【核心网络】肯定是物理布线,而不会走 wifi 之类的无线网络。xuz免费翻墙网
xuz免费翻墙网
New Dragonblood vulnerabilities found in WiFi WPA3 standard @ ZDNetxuz免费翻墙网
xuz免费翻墙网
  编程随想注:xuz免费翻墙网
  这篇提及了 WPA3 的漏洞。WPA 是洋文“Wi-Fi Protected Access”的缩写。WPA3 发布于去年(2018),以替代有设计缺陷的 WPA2。但是 WPA3 才发布一年,其协议设计就被找到严重的漏洞。为啥捏?因为无线网络的协议,设计很复杂(相比【有线】网络的协议而言)。xuz免费翻墙网
  这再次说明了俺前面提到的——无线网络具有更大的攻击面。其“攻击面”来自很多维度,协议的“复杂性”只是其中之一。xuz免费翻墙网
  找到 WPA3 漏洞的研究人员在今年4月份已经曝光了5个 WPA3 的漏洞(在前一期的《近期安全动态和点评》提到过);8月初又曝光了两个。这一系列漏洞被称作“Dragonblood”,其名称源自:WPA3 的【密钥交换机制】洋文叫做“Dragonfly”(蜻蜓)。xuz免费翻墙网
  4月份曝光的 Dragonblood 漏洞,可以针对 WPA3 进行“降级攻击”;8月初曝光的漏洞,可以用来进行“边信道攻击”。xuz免费翻墙网
xuz免费翻墙网
New Bluetooth KNOB Attack Lets Attackers Manipulate Traffic @ Bleeping Computerxuz免费翻墙网
xuz免费翻墙网
  编程随想注:xuz免费翻墙网
  这篇提到了蓝牙协议的“KNOB 漏洞”,可以让攻击者更快地破解“蓝牙配对的密钥”。

◇安全工具的漏洞

xuz免费翻墙网
LastPass bug leaks credentials from previous site @ ZDNetxuz免费翻墙网
xuz免费翻墙网
  编程随想注:xuz免费翻墙网
  LastPass 是最流行的密码管理器之一。漏洞出现在它的浏览器扩展,会导致你——泄漏【上一次】登录的密码。xuz免费翻墙网
  大致意思是:xuz免费翻墙网
  假如某个【恶意网站】专门设计用来利用此漏洞。一旦你访问了这个恶意网站(陷阱),架设该网站的攻击者可以拿到你【前一次】用 LastPass 登录的密码。xuz免费翻墙网
  LastPass 的用户要升级到 4.33.0 以修复此问题。

◇高危漏洞值多少钱?

xuz免费翻墙网
苹果漏洞赏金开价百万美元,这是迄今为止科技公司提供的最高数额 @ InfoQxuz免费翻墙网
xuz免费翻墙网
  编程随想注:xuz免费翻墙网
  【百万美金】看上去好像很多的样子。但是,请看俺引用的第3篇(洋文那篇)。那些(对攻击者而言)特别好用的漏洞,有可能在【公开市场】卖到【更高】的价格。而“黑市价格”很可能比“公开市场”还要高!xuz免费翻墙网
xuz免费翻墙网
Google 的 Bug 悬赏项目涵盖了所有安装量超过一亿的应用 @ cnBetaxuz免费翻墙网
xuz免费翻墙网
Android exploits are now worth more than iOS exploits for the first time @ ZDNet
Zerodium, a company which claims it buys and then resells software exploits to government and law enforcement agencies, has updated its price list today, and Android exploits are worth more than iOS exploits for the first time ever.xuz免费翻墙网
xuz免费翻墙网
According to the company, starting today, a zero-click (no user interaction) exploit chain for Android can get hackers and security researchers up to $2.5 million in rewards. A similar exploit chain impacting iOS is worth only $2 million.
xuz免费翻墙网
xuz免费翻墙网

★网络与 Web

 

◇面对 Tor 网络,俄罗斯正在研究【去匿名化】(Deanonymize)的技术

自称 0v1ru$ 的黑客组织入侵了俄罗斯情报机构的一家承包商,发现该承包商从事的一个项目是尝试去匿名 Tor 流量xuz免费翻墙网
入侵发生在7月13日,被攻击的公司叫 SyTech,该公司被认为从2009年起就在多个项目上与政府进行合作,黑客通过入侵 SyTech 的 Active Directory 服务器访问了整个 IT 网络,窃取了 7.5TB 数据,并纂改了公司的网页。xuz免费翻墙网
泄露的俄罗斯情报机构秘密项目包括:xuz免费翻墙网
Nautilus-S,在恶意 Tor 节点帮助下去匿名 Tor 流量;xuz免费翻墙网
Nautilus,收集社交媒体用户的数据;xuz免费翻墙网
Reward,秘密渗透 P2P 网络;xuz免费翻墙网
Mentor,在俄罗斯公司服务器上监视和搜索电子邮件通信;xuz免费翻墙网
Tax-3,创建一个封闭的内联网去储存高度敏感的政府高管、法官和地方政府官员的信息,与其它 IT 网络分离开来。xuz免费翻墙网
去匿名 Tor 流量项目始于2012年,进行过真实世界的测试。2014年曾有报告在俄罗斯发现18个恶意 Tor 出口节点,都运行相同的版本 Tor v0.2.2.37。
xuz免费翻墙网
  编程随想注:xuz免费翻墙网
  大约10天前,俺在博客评论区与读者交流时,刚好也聊到这个话题。xuz免费翻墙网
  很多小心谨慎的 Tor 用户会在 Tor 的配置文件(torrc)中排除掉某些【危险国家】——比如咱们天朝,比如俄罗斯......xuz免费翻墙网
  俺想补充几点:xuz免费翻墙网
  1. 关于【势力范围】xuz免费翻墙网
  比如说,“白俄罗斯”基本上算是“俄罗斯”的【附庸】。如果你要排除掉俄罗斯(ru)的 Tor 节点,那么你顺便也要把白俄(by)的节点排除掉。(注:俺只是举例,“俄罗斯”的“附庸国”肯定不止这一个)xuz免费翻墙网
  同样的道理——本文前面章节提到的“五眼联盟”可以视作美国的势力范围。xuz免费翻墙网
  2. 关于【白名单】xuz免费翻墙网
  如果你嫌【黑名单】的方式逐个排除,太麻烦了 :(xuz免费翻墙网
  还可以改用【白名单】的方式——限定你的 Tor 客户端【只用】某些靠谱的国家的节点。xuz免费翻墙网
  3. 关于【隔离性】xuz免费翻墙网
  为了进一步增加【逆向追溯】的难度,你还可以让 Tor 的“入口节点”与“出口节点”处于【不同】的势力范围。xuz免费翻墙网
  由于天朝的 Tor 用户通常都需要依赖【前置代理】,以便让 Tor 客户端接入到全球的 Tor 网络。因此,你也可以考虑——让“前置代理”、“入口节点”、“出口节点”这三者位于【不同】的势力范围。xuz免费翻墙网
xuz免费翻墙网
  引申阅读:xuz免费翻墙网
  如何定制 Tor 的配置文件,参见《“如何翻墙”系列:关于 Tor 的常见问题解答

◇哈萨克斯坦政府对【全国的】互联网流量进行【中间人攻击】

xuz免费翻墙网
Kazakhstan Government is Now Intercepting All HTTPS Traffic @ Slashdotxuz免费翻墙网
哈萨克斯坦对所有 HTTPS 流量发动中间人攻击 @ Solidotxuz免费翻墙网
xuz免费翻墙网
  编程随想注:xuz免费翻墙网
  这个事件很典型,俺稍微费点口水聊一聊。xuz免费翻墙网
  咱们天朝的共产党政权已经很厚颜无耻了,没想到还有脸皮更厚的流氓,那就是【哈萨克斯坦政府】。该政府堂而皇之地宣布,国内所有网民的浏览器都要强制安装政府提供的一个 CA 证书(具体报道参见上述两篇)xuz免费翻墙网
xuz免费翻墙网
  这么干是啥意思捏?xuz免费翻墙网
  大伙儿上网的时候,如果网站采用的是加密的 HTTPS(技术上称作“SSL/TLS”协议),其传输流量本身是【强加密】滴,即使是政府也难以破解。xuz免费翻墙网
  通过强制安装某个 CA 证书,“哈萨克斯坦政府”就可以对国内所有网民的 HTTPS 流量进行【中间人攻击】,从而实现【解密】的目的。只要能解密,就可以监控网民的上网行为。xuz免费翻墙网
  关于这方面的技术,俺写过几篇扫盲教程,链接如下:xuz免费翻墙网
数字证书及 CA 的扫盲介绍xuz免费翻墙网
扫盲 HTTPS 和 SSL/TLS 协议》(系列)xuz免费翻墙网
CNNIC 证书的危害及各种清除方法xuz免费翻墙网
老流氓 CNNIC 的接班人——聊聊“沃通/WoSign”的那些破事儿xuz免费翻墙网
xuz免费翻墙网
  当年俺为啥要强烈建议大伙儿移除“CNNIC & 沃通”这两个老流氓的 CA 证书?xuz免费翻墙网
  因为这两个老流氓,都有【朝廷背景】。移除它们的证书,就是为了规避这种【国家级】的中间人攻击。xuz免费翻墙网
xuz免费翻墙网
  关于此事的后续发展——xuz免费翻墙网
  既然“哈萨克斯坦政府”如此下流,几大浏览器厂商(Google、Mozilla、Apple)当然也不客气啦,直接把哈萨克斯坦政府的 CA 证书加入黑名单(彻底封杀)。

◇流行的 VPN 服务,约三分之一是【天朝公司】运营

xuz免费翻墙网
  VPNpro 网站发了一份报道(链接如下),汇总了【97个】流行的 VPN 服务,发现它们来自23家商业公司。其中的6家【中国公司】运营了【29个】VPN 服务(接近 1/3)。xuz免费翻墙网
Hidden VPN owners unveiled——99 VPN products run by just 23 companies @ VPNproxuz免费翻墙网
xuz免费翻墙网
  编程随想注:xuz免费翻墙网
  如果你是【高风险人士】,并且还涉及到政治方面的风险(类似俺这种),那你【一定】要养成【戴套】的好习惯。xuz免费翻墙网
  就算你是个普通人,也【不要】太相信你所使用的 VPN 的提供商。哪怕你已经验证了 VPN 背后的公司是一家外国公司,你依然不要太相信它。xuz免费翻墙网
  通过“戴套”(Tor over VPN),可以让 VPN 服务器的管理员【无法】看到你的真实上网流量。

◇Chrome 浏览器开始启用【备受争议】的“Manifest V3”扩展系统

xuz免费翻墙网
  大名鼎鼎的 EFF(电子前线)对此事的吐槽:xuz免费翻墙网
Google's Plans for Chrome Extensions Won't Really Help Security @ EFFxuz免费翻墙网
  其它浏览器厂商对此事的表态:xuz免费翻墙网
Mozilla's Manifest v3 FAQ @ Mozillaxuz免费翻墙网
Opera, Brave, Vivaldi to ignore Chrome's anti-ad-blocker changes, despite shared codebase @ ZDNetxuz免费翻墙网
xuz免费翻墙网
  编程随想注:xuz免费翻墙网
  对那些不想看洋文的同学,俺简单点评几句。xuz免费翻墙网
  “Manifest V3”是指 Chrome【新版的】扩展系统及其 API。xuz免费翻墙网
  Google 官方的说法是:升级扩展系统是为了:提升性能、提升安全性......(总之,听上去很美)xuz免费翻墙网
  但是,(俺要开始说“但是”了)xuz免费翻墙网
  技术懂行的人纷纷指出——新的 API 实质上【削弱】了“广告拦截扩展”的能力和效率(这才是 Google 的潜台词)xuz免费翻墙网
  那 Google 为啥要打压“广告拦截扩展”捏?xuz免费翻墙网
  俺在博客上已经唠叨过很多次了——xuz免费翻墙网
Google 的绝大部分利润来自【在线广告】的收入。当“广告拦截器”与“广告商”对抗的时候,(很显然)Google 管理层的屁股是坐在【广告商】那边滴!xuz免费翻墙网
  引申阅读:xuz免费翻墙网
弃用 Chrome 改用 Firefox 的几点理由——关于 Chrome 69 隐私丑闻的随想

◇浏览器开始普及【DoH】(DNS-over-HTTPS)

xuz免费翻墙网
  不了解 DoH 的同学,先看下面这篇。xuz免费翻墙网
对比4种强化域名安全的协议——DNSSEC,DNSCrypt,DNS over TLS,DNS over HTTPSxuz免费翻墙网
xuz免费翻墙网
  最近一年,DoH 在主流的浏览器上开始普及。Firefox 从去年的 62 版本开始支持该功能。当时是【默认禁用】(需要“手动开启”)。如今 Mozilla 已经(在9月初)宣布,未来版本会【默认启用】该功能。xuz免费翻墙网
  俺想提醒一下那些使用 Firefox 的同学:xuz免费翻墙网
“DoH 功能”需要设定“DNS 服务器”,你最好【别用】Google 的 DNS(具体理由参见前一个小节)。

◇浏览器开始普及【密码泄漏】的警告功能

xuz免费翻墙网
  最近这个季度,两大浏览器(Chrome & Firefox)都开始支持“密码泄漏警告”。xuz免费翻墙网
  原理其实很简单——xuz免费翻墙网
Mozilla 与“Have I Been Pwned 网站”合作,查询你的密码是否已经泄漏。xuz免费翻墙网
Google 紧跟其后,在 Chrome 中增加了“Password Leak Detection”功能。

◇“Tor 社区”与“政府审查”的军备竞赛

xuz免费翻墙网
Tor 审查军备竞赛 @ Solidot
在上周举行的 Def Con 安全会议上,Tor 项目联合创始人 Roger Dingledine 回顾了 Tor 与政府之间的屏蔽和反屏蔽军备竞赛,谈论了未来反屏蔽的计划(幻灯片 PDF)。xuz免费翻墙网
Dingledine 称,泰国在2006年屏蔽了 Tor 的域名、伊朗和沙特等国在2007年利用 websense/smartfilter 屏蔽了 Tor 的 HTTP 目录,Tor 随后采用 TLS 反击了屏蔽。xuz免费翻墙网
但从2009年6月起伊朗利用 DPI(深度包检测)去识别 Tor。中国在2009年9月抓取和屏蔽了公开的中继节点,利用枚举屏蔽了三个私有中继网桥段之一,但漏掉了其它网桥段。
来顶一下
返回首页
返回首页
欢迎评论:免登录,输入验证码即可匿名评论 共有条评论
用户名: 密码:
验证码: 匿名发表

推荐资讯

Octohide VPN:快如闪电的免费VPN
Octohide VPN:快如闪
原子网络加速器 - 免费高速VPN 一键链接 方便快捷
原子网络加速器 - 免费
foxovpn绿狐VPN——即连即用、快速、安全
foxovpn绿狐VPN——即
Dubai VPN - Free, Fast & Secure VPN下载
Dubai VPN - Free, Fa
相关文章
栏目更新
栏目热门
墙外新闻
读者文摘

你可以访问真正的互联网了。You can access the real Internet.

管理员精中特别提醒:本网站域名、主机和管理员都在美国,且本站内容仅为非中国大陆网友服务。禁止中国大陆网友浏览本站!若中国大陆网友因错误操作打开本站网页,请立即关闭!中国大陆网友浏览本站存在法律风险,恳请立即关闭本站所有页面!对于您因浏览本站所遭遇的法律问题、安全问题和其他所有问题,本站均无法负责也概不负责。

特别警告:本站推荐各种免费科学上网软件、app和方法,不建议各位网友购买收费账号或服务。若您因付费购买而遭遇骗局,没有得到想要的服务,请把苦水往自己肚子里咽,本站无法承担也概不承担任何责任!

本站严正声明:各位翻墙的网友切勿将本站介绍的翻墙方法运用于违反当地法律法规的活动,本站对网友的遵纪守法行为表示支持,对网友的违法犯罪行为表示反对!

网站管理员定居美国,因此本站所推荐的翻墙软件及翻墙方法都未经测试,发布仅供网友测试和参考,但你懂的——翻墙软件或方法随时有可能失效,因此本站信息具有极强时效性,想要更多有效免费翻墙方法敬请阅读本站最新信息,建议收藏本站!本站为纯粹技术网站,支持科学与民主,支持宗教信仰自由,反对恐怖主义、邪教、伪科学与专制,不支持或反对任何极端主义的政治观点或宗教信仰。有注明出处的信息均为转载文章,转载信息仅供参考,并不表明本站支持其观点或行为。未注明出处的信息为本站原创,转载时也请注明来自本站。

鉴于各种免费翻墙软件甚至是收费翻墙软件可能存在的安全风险及个人隐私泄漏可能,本站提醒各位网友做好各方面的安全防护措施!本站无法对推荐的翻墙软件、应用或服务等进行全面而严格的安全测试,因此无法对其安全性做保证,无法对您因为安全问题或隐私泄漏等问题造成的任何损失承担任何责任!

S. Grand Ave.,Suite 3910,Los Angeles,CA 90071

知识共享许可协议
本作品采用知识共享署名-非商业性使用 4.0 国际许可协议进行许可。