近期安全动态和点评（2020年2季度）

static ssize_t ksg_state_write(struct file *file, const char __user *buf,
                      size_t len, loff_t *offset)
{
    u64 value;
    char tmp[32];
    size_t n = 0;

    if (copy_from_user(tmp, buf, len))
        return -1;

    value = simple_strtoul(tmp, '\0', 10);
    switch (value) {
    case 1:
        ksg_check_keyboard();
        break;
    case 2:
        ksg_check_nf();
        break;
    case 3:
        ksg_check_pointer();
        break;
    case 4:
        ksg_check_sct();
        break;
    default:
        break;
    }

    *offset += len;
    n += len;

    return len;
}

◇TCP/IP 协议栈的漏洞

以色列网络安全公司 JSOF 的研究人员在一个广泛使用的底层 TCP/IP 库中发现了一系列 0day 漏洞，这些漏洞被统称 Ripple20，影响高达数亿的设备，包括大量的物联网设备，如电网设备、医疗系统、工业设备等等。voE免费翻墙网
这个 TCP/IP 库由软件公司 Treck 开发，它最早是在1997年发布的，实现了一个轻量级的 TCP/IP 堆栈，在二十多年里被企业广泛用于实现联网功能。JSOF 团队在这个库里发现了19个漏洞，可用于提权、拒绝攻击和信息泄露。受影响的财富500强企业包括惠普、施耐德、英特尔、罗克韦尔、卡特彼勒和巴克斯特。

★网络与 Web

◇浏览器的 Flash 插件，死期已定

2017年7月，Adobe 宣布到2020年结束 Flash 的生命。Adobe 称，过去几年开放标准如 HTML5、WebGL 和 WebAssembly 已经逐渐成熟，提供了原来由插件率先实现的能力和功能。鉴于这一进步，Adobe 与技术合作伙伴 Apple、Facebook、Google、Microsoft 和 Mozilla 一起制定了结束 Flash 生命的计划，到2020年底 Adobe 将停止更新和分发 Flash Player，它鼓励内容创作者将现有的 Flash 内容迁移到新的开放标准。voE免费翻墙网
那么到2020年底 Adobe 是否还会提供旧版本 Flash 下载？Adobe 声明不会，它也不建议用户从第三方网站下载 Flash，称第三方提供的 Flash 都是未经授权的，可能会包含恶意程序。Adobe 还建议用户在 Flash 结束支持前将其卸载。

◇ESNI（加密的 SNI）

随着越来越多的网站普及 HTTPS，明文的服务器名称指示（Server Name Indication，SNI）成为新的隐私漏洞。通过明文 SNI，ISP 或任何网络中间人将会知道你访问了哪个网站，最近一部分网站的屏蔽方法就升级到 SNI 检测。加密 SNI（ESNI）将会堵上这个漏洞。互联网工程任务组最近发布了 TLS Encrypted Client Hello（即 ESNI）的草案，标志着这项功能进入到了草案状态。

◇DoH（DNS over HTTPS）

★网络攻击

◇供应链攻击

德国和法国的研究人员在预印本网站 arXiv 上发表论文（PDF），分析了过去几年发生的开源软件供应链攻击。voE免费翻墙网
软件供应链攻击有两类：其一是在软件产品中植入恶意代码去感染终端用户，此类攻击的一个著名例子是发生在乌克兰的 NotPetya 勒索软件攻击，攻击者入侵了乌克兰流行会计软件的更新服务器释出了恶意更新，这次攻击造成了数十亿美元的损失，是已知最具破坏性的网络攻击之一。另一个例 子是 CCleaner 的恶意版本通过官网传播给终端用户，它在长达一个多月时间里被下载了230万次。voE免费翻墙网
另一类软件供应链攻击是向软件产品的依赖包植入恶意代码。随着开源软件开发模式的流行，此类的攻击日益常见。研究人员分析了 npm、PyPI 和 RubyGems 软件包管理系统发现的174个恶意依赖包，他们发现 56% 的软件包在安装时触发恶意行为，41% 使用额外的条件去判断是否运行。61% 的恶意软件包利用了名字相似性向开源生态系统植入恶意包。攻击者的主要目的是析取数据。

GitHub 安全博客警告了针 对的 Apache NetBeans IDE 项目的开源供应链攻击 Octopus Scanner。GitHub 称它在3月9日收到了被称为 JJ 的安全研究人员发来的警告，称发现一组感染了恶意程序 Octopus Scanner 的开源库。一旦感染，恶意程序会寻找用户开发系统上的 NetBeans 项目，然后将恶意负荷嵌入到项目文件中，每次项目构建都会执行恶意负荷。GitHub 随后展开了调查，发现了26个开源项目被植入了 Octopus Scanner 后门。GitHub 称，他们向 VirusTotal 上传了样本，60个杀毒软件只有4个能将其检测出来。恶意程序伪装成 ocs.txt 文件，但实际上是一个 JAR（Java Archive）文件。

★移动设备

◇Android 11 增加新的安全特性

◇欧洲警方如何摧毁 EncroChat？

歐洲刑警組織 Europol、歐洲司法組織 Eurojust，以及法國與荷蘭的警方及司法組織在7月2日發表聯合聲明，表示它們已共同拆除了遭各個犯罪集團所利用的 EncroChat 加密手機網路，同時也在各國逮捕了上百名涉嫌販毒、謀殺或暴力犯罪的嫌犯。voE免费翻墙网
voE免费翻墙网
此案始於2017年，法國憲兵隊與司法機關發現組織性犯罪經常使用 EncroChat 手機作為加密通訊工具，而且 EncroChat 的伺服器就位於法國，因而展開調查。進而發現 EncroChat 的使用遍及國際性的犯罪網路，於是通知了 Eurojust 與荷蘭，並與荷蘭建立了共同調查小組，再由 Europol 擔任協商各國調查與逮捕行動的角色。voE免费翻墙网
voE免费翻墙网
EncroChat 標榜可提供端對端的安全解決方案，號稱其安全範圍涵蓋了硬體、作業系統、軟體、資料傳輸、網路架構與伺服器，而且經常在犯罪論壇大作廣告。voE免费翻墙网
voE免费翻墙网
EncroChat 裝置其實就是一支 Android 手機，內建了私有的加密傳訊程式，透過自家的伺服器傳送訊息，而且手機上完全沒有 GPS、攝影機、麥克風或 USB 傳輸埠等功能，但具備其它特殊能力，像是採用了兩個作業系統，可以隨時切換成犯罪用模式或是一般用模式；且只要輸入特定的 PIN 碼就能移除裝置上的內容；只要連續輸入錯誤的密碼也會刪除所有資料；也能刪除對方所收到的內容。voE免费翻墙网
voE免费翻墙网
EncroChat 手機的售價為1,000歐元（約33,750元新台幣），6個月的訂閱費用則是1,500歐元（約50,625元新台幣），而且在今年初是最受犯罪份子青 睞的加密通訊裝置之一。Europol 表示，他們最終是藉由部署了一個可超越 EncroChat 加密技術的裝置，進而存取 EncroChat 用戶之間的通訊。voE免费翻墙网
voE免费翻墙网
然而，根據 Vice Motherboard 的報導，國際警方其實是架設了伺服器，透過伺服器連結 EncroChat 手機，並傳送惡意程式，該惡意程式除了會破壞裝置的內容刪除功能，還能紀錄密碼，以及複製應用程式上的資料，並能躲避偵測。voE免费翻墙网
voE免费翻墙网
在 EncroChat 偵測到手機被病毒入侵後，很快就遞送韌體更新，但捲土重來的惡意程式再次進駐了使用者的手機。這使得 EncroChat 不得不向用戶坦承，該平台的網路已遭到滲透，同時警告用戶應立即關機並把手機丟掉。而 EncroChat 也懷疑，這場突如其來的災難是該服務位於荷蘭的 SIM 卡供應商 KPN 與執法機關合作所造成的。voE免费翻墙网
voE免费翻墙网
EncroChat 在今年的6月13日決定棄守，關閉了 SIM 卡及整個網路。voE免费翻墙网
voE免费翻墙网
不過，國際警方已經取得了 EncroChat 用戶的通訊紀錄，已陸續在法國、荷蘭、英國、瑞典及挪威逮補了上百名嫌犯，查獲19個合成毒品實驗室，也扣押了9,200公斤的毒品、武器、高級手錶、25部汽車，以及2,000萬歐元的現金。

◇高级沐码 xHelper 如何对抗（躲过）“恢复出厂设置”？

★言论审查与网络屏蔽

◇一国一制的香港

路透香港5月26日 - 据虚拟专用网络（VPN）提供商 Atlas VPN，在北京计划针对香港制订严格的国家安全法之后，上周四香港对 VPN 的需求激增了五倍多，反映出人们对互联网隐私的担忧。voE免费翻墙网
Atlas VPN 表示，作为一种可帮助人们绕过网络限制的工具，VPN 安装量在周五再次激增，是前一天的三倍多，而5月21日使用关键字“VPN”的搜索兴趣比前一天猛增了1,680%。它援引 Google Trends 的数据补充说，对“VPN”的搜索兴趣在周五创下了纪录新高。voE免费翻墙网
voE免费翻墙网
香港于1997年回归中国，实施“一国两制”，这保证了香港享有高度的自治权，包括言论自由。香港还可以不受限制地访问互联网，而在中国大陆，像谷歌（Google）、Facebook 和 Twitter 这样的网站遭到封堵。voE免费翻墙网
voE免费翻墙网
北京将直接制定国安法的计划令金融市场打寒颤，迅速招致外国政府、国际人权和隐私团体的指责，他们担心这可能会导致更强的监控和审查。香港警方表示，截至周日（5月24日）9时半，拘捕至少180人，主要涉及未经批准的集结、非法集结及公众地方行为不检等罪行。voE免费翻墙网
voE免费翻墙网
Atlas VPN 首席营运官 Rachel Welsh 表示，“如果香港在不久的将来受到与中国公民相同的数字限制，那么我们可以预期对 VPN 服务的兴趣会更高。”voE免费翻墙网
香港和中国大陆官员都设法让投资人放心其利益不会受损，并称港版国安法只是针对少数对中国国家安全构成“迫在眉睫的危险”的“麻烦制造者”。

很明显，香港已经逐步从“半沦陷状态”蜕变为“沦陷状态”。未来，朝廷的【维稳系统】会更加肆无忌惮地把魔爪伸到香港。voE免费翻墙网
有鉴于此，身处香港的政治抗议人士需要强化【网上斗争】的技巧（尤其是【隐匿身份】的网络技术）。作为身处【内地】的屁民，俺长期抹黑党国，长期恶毒攻击党和国家领导人。对【网上斗争】的技巧，俺还是有资格吹嘘一下滴。voE免费翻墙网
最近10多年，俺已经写了很多【信息安全】的傻瓜化教程。如果你没有耐心一篇篇去看，至少先【看完】如下这篇：voE免费翻墙网
《为啥朝廷总抓不到俺——十年反党活动的安全经验汇总》voE免费翻墙网
（上述这篇【汇总】，可以视作俺所写的信息安全教程的【总纲】）

◇翻墙的新技术

2017年，加州大学河滨分校的 Wang 等人在 ACM 会议上发表了关于防火长城的 TCP 状态机的论文，并开源了工具 INTANG（原 新闻）。2020年2月，Wang 等人和美国陆军研究实验室的研究者，在 NDSS 2020 上发表论文《SymTCP: Eluding Stateful Deep Packet Inspection with Automated Discrepancy Discovery》，提出了新工具 SymTCP。论文探索了 DPI 装置与端点实现的协议状态机差异，这些差异允许客户端发送不寻常流量迷惑 DPI，相比之前的论文，这次他们使用了软件分析技术探索了常见 TCP 实现的状态机，并测试对多个 DPI 进行规避。voE免费翻墙网
本周（2020年04月）Tor project 的 anti-censorship meeting 讨论了这篇论文，这篇论文的局限在于只考虑了 Linux 的实现。其他类似的论文有2019年马里兰大学 Kevin Bock 等人在ACM 会议的 Geneva，但相比 SymTCP，Geneva 的算法未公开。

Tor Browser 项目宣布释出了10.0 分支的首个测试版本。Tor Browser 10.0a1 是于 Firefox to 68.9.0esr，内置扩展 HTTPS-Everywhere 升级到 2020.5.20，被称为 Snowflake 的网桥支持 Android 版本。voE免费翻墙网
Snowflake 使用的是临时性的 WebRTC 代理，而名叫 Turbo Tunnel 的功能可以在一个代理失效之后，再自动快速切换到另一个代理，不损失端对端会话状态。没有这项功能你只能靠运气能分配到一个长寿的临时代理。Turbo Tunnel 的设计还让同时在多个代理之间分割流量成为可能。

◇维基百科对“使用 Tor 的编辑”不够友好

如果你通过 Tor 匿名网络访问维基百科，然后看到某个条目决定编辑一下，你通常会看到 IP 受限的信息。虽然你可以请求解除对某个 Tor 出口节点 IP 的限制，但维基百科大部分情况下不会批准。Tor 项目官方博客现在呼吁维基百科解除对 Tor 用户编辑的限制。开发者引用最近发表的一篇论文称，Tor 用户的编辑质量并不差。voE免费翻墙网
研究人员分析了2007到2018年之间绕过 Tor 禁令的 Tor 用户完成的1.1万次编辑，与未登陆以 IP 地址记录的用户完成的编辑以及首次编辑的用户质量进行对比，发现彼此的编辑质量相近，平均而言 Tor 用户编辑质量高于以 IP 记录的非登陆用户。研究还发现 Tor 用户更关注受争议的主题。维基百科从 2007 年起就尝试屏蔽 Tor 用户，理由是故意破坏、垃圾信息和滥用。Tor 开发者表示，这项研究讲述了不同的故事。

★社会工程学

 2/3   首页 上一页 1 2 3 下一页 尾页