网络空间安全:行业资讯、技术分享、法规研讨、趋势分析……

“游侠安全网”创建了网络安全从业者QQ大群(群号:1255197) ,欢迎各位同仁加入!有其它问题如合作等,请联系站长“网路游侠”,QQ:55984512


【安全帮】高通芯片曝出漏洞,可让黑客窃取Android设备中的敏感数据

2019-11-16 08:11 推荐: 浏览: 36 views 字号:

摘要: 黑客冒充政府机构交付恶意软件 一种新的威胁行为者正在使用电子邮件冒充美国、德国和意大利的政府机构,通过恶意附件交付勒索软件、后门和银行特洛伊木马。自10月底以来,Proofpoint研究人员检测到一个新的威胁行为者,他一直在恶意垃圾邮件活动中冒充美国邮政服务(...

黑客冒充政府机构交付恶意软件

一种新的威胁行为者正在使用电子邮件冒充美国、德国和意大利的政府机构,通过恶意附件交付勒索软件、后门和银行特洛伊木马。自10月底以来,Proofpoint研究人员检测到一个新的威胁行为者,他一直在恶意垃圾邮件活动中冒充美国邮政服务(United States Postal Service)、德国联邦财政部(German Federal Ministry Of Finance)和意大利税务局(Revenue Agency),传播各种恶意软件。

参考来源:

https:// solidot.org/story?sid=62238

 

密码管理器1Password 得到两亿美元风投

流行的密码管理器 1Password 宣布得到了风投公司 Accel 两亿美元的投资。Accel 将获得少数股权,双方将展开合作。公司创始人 Dave Teare 称每天有数百万用户使用 1Password,他们拥有超过 5 万付费企业用户,其中包括 BasecampSlack IBMTeare 表示有 Accel 的帮助他们将能更快的开发 1Password,实现他们在隐私、安全方面的愿景,为用户提供最佳的使用体验。但很多人并不信任风投。

参考来源:

https://www.solidot.org/story?sid=62623

 

为防止Zombieload v2攻击 WindowsLinux引入选项关闭英特尔TSX

本周披露的 Zombieload V2 漏洞能影响最近发布的英特尔处理器。英特尔释出了微码更新去修正最新的漏洞,但补丁会对性能产生严重影响。为了避免影响性能,许多企业可能会选择不更新微码,或者宁愿选择禁用漏洞相关的技术。微软Windows和 Linux 内核团队先后发布了方法去关闭 TSX。。Zombieload 漏洞与 TSX 有关,它与之前披露的 Meltdown、Spectre 和 Foreshadow 漏洞类似,都是利用预测执行去实现跨线程、权限边界和超线程的数据泄露。

参考来源:

https://www.cnbeta.com/articles/tech/911109.htm

 

美两党议员力推《面部识别技术授权法案》限制联邦机构滥用

本周四,两名参议员提出了一项法案,以限制美国联邦政府对面部识别技术的使用。作为两党关注的一个重要议题,其已引发了民众对于面部识别相关的监视和隐私自由等问题的舆论。由特拉华州民主党参议员 Chris Coons 与犹他州共和党参议员 Mike Lee 提出的《面部识别技术授权法案》,旨在限制联邦调查局、移民与海关执法局等机构通过面部识别技术展开的持续监视。比如在未申得逮捕令的前提下,针对个人的追踪不得超过 72 小时。

参考来源:

http://hackernews.cc/archives/28304

 

字节码联盟成立,WebAssembly 生态将完善网络安全性

近日 Mozilla、Fastly、Intel 与 Red Hat 宣布成立联合组织 Bytecode Alliance(字节码联盟),该联盟旨在通过协作实施标准和提出新标准,以完善 WebAssembly 在浏览器之外的生态。WebAssembly 也叫 Wasm,它是为基于栈的虚拟机设计的二进制指令格式,Wasm 作为可移植目标,用于编译高级语言(如 C/C++/Rust),从而可以在 Web 上部署客户端和服务器应用。WebAssembly 描述了一种内存安全的沙箱执行环境,该环境甚至可以在现有 JavaScript 虚拟机内部实现。当嵌入到 Web 中时,WebAssembly 将强制执行浏览器的同源和权限安全策略。目前 1.0 版本的 Wasm 已经支持 Chrome、Firefox、Safari 与 Edge 浏览器。

参考来源:

http://hackernews.cc/archives/28300

 

安全人员在“渗透测试”过程中被逮捕

一家知名网络安全公司的两名安全工作人员与美国衣阿华州(Iowa)签约,在9月份对某些市政大楼(尤其是多幢法院大楼)进行“渗透测试”。他们在工作过程中被捕。尽管衣阿华州承认与县当局沟通不畅,但指控仍未撤销。这起事件引发了整个网络安全行业的担忧,包括有人担心:2020年总统大选前夕加大测试投票设施的力度可能会使安全专业人员面临险境。

参考来源:

https://nosec.org/home/detail/3048.html

 

高通芯片曝出漏洞,可让黑客窃取Android设备中的敏感数据

海量智能设备,尤其是使用高通芯片组的Android智能手机和平板电脑,或遭受一系列潜在漏洞的影响。根据网络安全公司CheckPoint发布的安全报告的内容,这些芯片漏洞可能会让攻击者窃取存储在安全区域的敏感数据,而这些安全区域本应该是智能设备中最安全的部分。这些漏洞存在于高通芯片的Secure Execution EnvironmentQSEE)中,这是一种基于ARM TrustZone技术的Trusted Execution EnvironmentTEE安全执行环境)的具体实现。QSEE也被称为高通芯片的Secure World,是主处理器上一个硬件隔离的安全区域,旨在保护敏感信息以及为执行可信应用提供一个独立的安全环境(REE)。除了个人信息,QSEE通常还有加密私钥、密码、身份凭证和银行卡信息等。

参考来源:

https://nosec.org/home/detail/3175.html

联系站长租广告位!

中国首席信息安全官


关闭


关闭