近期安全动态和点评（2020年2季度）

时间：2020-07-27 来源：作者：编程随想条评论

》

每个网民在某种程度上都会留下数字痕迹。在费城最近发生的一次抗议活动中，一位没有露面的女子纵火烧毁了一辆警车。而 FBI 识别出这位纵火犯就是利用了她在网上留下的各种蛛丝马迹。voE免费翻墙网
她所穿的 T 恤是非常独特的，在 Etsy 上出售，因此 FBI 的调查人员查看了 Etsy 上的留言，寻找是否有费城的人发帖，他们发现一位化名为 alleycatlore 的费城居民给了五星好评，称发货很快。FBI 探员在网上搜索了 alleycatlore，结果在时尚网站 Poshmark 上找到了一位名叫 lore-elisabeth 的用户。在费城搜索 Lore Elisabeth，找到了她在 LinkedIn 的资料。她手臂上的纹身出现在了 Lore Elisabeth 做按摩的一个旧视频中。美国司法部的新闻稿称她面临最高80年的监禁，当地新闻网站则表示她面临的最高刑期为10年和最高50万美元罚款。她目前已被关押并且无法得到保释。

　　编程随想注：
　　（没听说过“社会工程学”的读者，请先看《扫盲“社会工程学”》系列教程）
　　俺聊这个案例是想说明：视频的信息量非常大。一般来说，（在信息量方面）视频＞音频＞照片＞文本。具体到“身份隐匿”这个主题，不要在网上与任何人进行“视频聊天 or 音频聊天”（暴露的信息量太大）。
　　来个现身说法：当俺用这个身份上线，从【不】与读者进行“视频聊天 or 音频聊天”；甚至连“文字聊天”都【没有】。虽然“文字”本身的信息量已经比“视频/音频”低很多，但很多“聊天软件”会显示【在线状态的变化】。
　　“在线状态的变化”本质上反应了“时间信息”。对“隐匿性”的要求越高，就要让“暴露的时间信息”尽可能少。更详细讨论，参见《如何隐藏你的踪迹，避免跨省追捕[9]：从【时间角度】谈谈社会工程学的防范》。

★硬件与物理安全

◇Intel 的 CPU 又一次曝光硬件漏洞

《New CrossTalk Attack Impacts Intel's Mobile, Desktop, and Server CPUs @ Slashdot》

《英特尔处理器又曝两个 SGX 新漏洞，攻击者可轻松提取敏感数据 @ cnBeta》

来自美国密歇根、荷兰阿姆斯特丹、以及澳大利亚阿德莱德三所大学的研究人员披露——攻击者可利用多核体系架构的工作方式，来获得对受感染系统上敏感数据的访问权限。其已经为两个漏洞开发了对应的攻击方法，并给出了 SGAxe 和 CrossTalk 的概念证明。voE免费翻墙网
voE免费翻墙网
前者似乎是今年早些时候曝光的 CacheOut 攻击的高级版本，嘿喀可从 CPU 的 L1 缓存中提取内容。研究人员解释称，SGAxe 是英特尔减轻针对软件防护扩展（SGX）的旁路攻击的一个失败尝试。作为 CPU 上的一个专属区域，SGX 原意是确保正在处理的代码和数据的完整与机密性。voE免费翻墙网
借助瞬态执行攻击，嘿喀可从实质上恢复存储在 SGX 区域中的加密密钥，并将之用于解密长存储区，以获得机器的 EPID 密钥。后者被用于确保事务的安全性，比如金融交易和受 DRM 保护的内容。voE免费翻墙网
voE免费翻墙网
至于第二个 CrossTalk 漏洞，其属于微体系架构数据采样（MDS）的一个衍生，能够针对 CPU 的行填充缓冲区（LBF）处理的数据发起攻击。voE免费翻墙网
其原本希望提供 CPU 内核访问的“登台缓冲区”，但嘿喀却能够利用在一个单独核心上运行的特制软件，来破坏保护其运行的软件代码和数据私钥。voE免费翻墙网
voE免费翻墙网
据悉，新漏洞影响 2015~2019 年发布的多款英特尔处理器，包括部分至强 E3 SKU（E5 和 E7 系列已被证明可抵御此类新型攻击）。voE免费翻墙网
英特尔在6月份的安全公告中称，只有极少数的人能够在实验室环境中发起这些攻击，目前尚无漏洞在野外被利用的报告。即便如此，该公司仍将尽快发布微码更新，同时让之前签发的证明密钥失效。

《英特尔特定寄存器缓冲器数据采样 CPU 漏洞 @ Solidot》

新的 CPU 漏洞又来了，又是与预测执行机制有关，又是主要影响英特尔处理器。Linux 内核主线刚刚合并了补丁或微码去缓解“特定寄存器缓冲器数据采样（Special Register Buffer Data Sampling或 SRBDS）”漏洞影响。voE免费翻墙网
Spectre、Meltdown 等预测执行攻击的补丁主要是应用于核心内部，新的漏洞允许攻击者跨核心泄露敏感信息。被称为 CrossTalk 的攻击允许攻击者控制一个 CPU 核心的代码执行，去泄露不同核心上的软件执行敏感数据。Phoronix 测试了微码对 RdRand 性能的影响，结果显示性能下跌达到了惊人的 97%，打了微码之后的 RdRand 得分只有原来的 3%

◇基于 Thunderbolt 接口的漏洞

《Thunderbolt Flaws Expose Millions of PCs to Hands-On Hacking @ Wired/连线》

《「只要五分钟」骇客就能通过 Thunderbolt 漏洞窃取你的数据 @ Engadget》

安全专家 Björn Ruytenberg 日前在研究后发现，骇客只需利用一套被称作「Thunderspy」的技术，就可以轻松地在配有 Thunderbolt 连接口的 PC 或 Linux 电脑上窃取用户的加密数据。按照他的说法，在骇客能够亲手接触到设备的前提下，其实只需要螺丝刀、「简易的便携硬件」以及区区五分钟时间就能得手了。voE免费翻墙网
voE免费翻墙网
Thunderbolt 是依靠直接让外部设备接入 PC 内存的方式来实现超高速的数据传输，而这就造成了一些潜在的漏洞。过去研究员认为这些隐患（常被称作 Thunderclap）可以通过禁止非信任设备权限，或者限制 Thunderbolt 仅提供 DisplayPort、USB-C 功能的做法来规避，但这似乎并没法对「Thunderspy」起到效果。voE免费翻墙网
voE免费翻墙网
据 Ruytenberg 介绍，他发现的这种攻击办法能直接改写固件掌控 Thunderbolt 连接口。因而相关限制会被绕过，外部设备就能直接接入电脑。值得一提的是，这种攻击也不会留下丝毫痕迹，用户很难发现自己的 PC 其实已经不再安全。在接受 Wired 采访时，Ruytenberg 提到这种手段其实属于「邪恶女佣攻击」。「『女佣』要做的就是用螺丝刀拆下电脑的后盖，然后马上接入自己的设备修改固件，接着在装回后盖之后，『女佣』就能（通过 Thunderbolt）掌控电脑了」Ruytenberg 说道，「整个过程在五分钟内就能搞定」。voE免费翻墙网
......

　　编程随想注：
　　上述文章提及的“邪恶女佣攻击”，洋文叫做“evil maid attack”，它属于【物理安全】的概念，相关介绍参见维基百科的这个页面。
　　从硬件技术上讲，上述这个“Thunderbolt 硬件漏洞”，本质上属于“DMA 攻击”（DMA 是“Direct Memory Access”的简称）。对这类攻击的介绍参见维基百科的“这个链接”。

★安全编程

◇大部分 Chromium/Chrome 安全漏洞源于 C++ 代码的内存 bug

《Chromium Project Finds 70% of Its Serious Security Bugs Are Memory Safety Problems @ Slashdot》

......voE免费翻墙网
The percentage was compiled after Google engineers analyzed 912 security bugs fixed in the Chrome stable branch since 2015, bugs that had a "high" or "critical" severity rating. The number is identical to stats shared by Microsoft. Speaking at a security conference in February 2019, Microsoft engineers said that for the past 12 years, around 70% of all security updates for Microsoft products addressed memory safety vulnerabilities. Both companies are basically dealing with the same problem, namely that C and C++, the two predominant programming languages in their codebases, are "unsafe" languages....voE免费翻墙网
voE免费翻墙网
Google says that since March 2019, 125 of the 130 Chrome vulnerabilities with a "critical" severity rating were memory corruption-related issues, showing that despite advances in fixing other bug classes, memory management is still a problem... Half of the 70% are use-after-free vulnerabilities, a type of security issue that arises from incorrect management of memory pointers (addresses), leaving doors open for attackers to attack Chrome's inner components...

《Chromium 项目七成安全漏洞属于内存安全问题 @ Solidot》

Chromium 项目报告，它七成的严重安全 bug 属于内存安全问题，因此它的下一个项目将是在源头阻止此类 bug。对2015年之后发现的912个高危级安全 bug 的分析发现，七成为“内存不安全”的问题，如 C/C++ 指针错误，其中一半是使用后释放 bug。这些 bug 遍及整个代码库，非安全性的 bug 很大一部分其根源也是内存安全问题。Chromium 项目称它的沙盒机制在设计时就考虑了此类 Bug 的存在，但现在沙盒和网站隔离机制已经达到其能力的极限。他们现在考虑的一个方案是使用现有的更安全的语言如 Rust 和 Swift 等。

　　编程随想注：
　　虽然上述统计是针对 Chromium/Chrome，但俺可以很有把握地说——以 C/C++ 语言编写的软件，“内存相关的 bug”是安全漏洞的主要根源。
　　俺的网盘上分享了两本《C 语言安全编程规范》和《C++ 语言安全编程规范》，两本皆出自权威的 CERT，搞 C 或 C++ 开发的程序猿/程序媛可以参考。

◇再谈 Rust

《微软称 Rust 是行业安全系统编程的最佳机会 @ Solidot》

微软云计算开发大使 Ryan Levick 在 AllThingsOpen 虚拟会议上称，就其核心而言，C++ 不是一种安全的语言。他解释了为什么微软正逐渐转移到 Rust 去构建基础设施软件，远离 C/C++，微软也鼓励软件行业的其它巨头考虑这么做。voE免费翻墙网
他说，我们正在使用的语言来自于一个不同的时代，C++ 不是一种内存安全的语言，对此人人都心知肚明。微软现在认定将 C++ 用于开发关键任务软件不再是可以接受的。行业需要转移到一种高性能、内存安全的语言去开发底层软件，而 Rust 语言是软件行业的最佳机会。

　　编程随想注：
　　最近几年，Mozilla 已经逐步用 Rust 来重写 Firefox 的底层模块；看来微软也在准备这么干。
　　在《近期安全动态和点评（2019年3季度）》中已经简单聊过 Rust 相对于 C/C++ 的优势——同样都是【系统级】编程，Rust 在语言（语法）层面规避了 C/C++ 常见的“内存安全”问题。
　　另外，虽然 Go 语言也可以规避“内存安全”问题，但 Go 的层次不够低，只能完成【部分】“系统级编程”的场景；相比之下，【所有】使用 C 的场合都可以用 Rust 来代替。
　　那为啥 Rust 不如 Go 流行捏？如下这篇分析了 Rust 不够流行的若干原因：
《Why Aren't More Developers Using Rust? @ Slashdot》
　　俺个人认为：Rust 语法的【复杂度】是新手最大的障碍；相比 Rust 而言，Go 的语法要简单得多。

3/3 首页上一页 1 2 3