最新
游戏玩家
企业
热门文章

eSIM卡:到底有何好处?

三星推出了Gear S2 Classic 3G智能手表,是有史以来首款支持eSIM卡的智能设备。尽管这只是一次尝试,但该项新技术势必将在不久后引起广泛的关注。即将推出的iPhone 7手机很有可能也将支持eSim技术,因为苹果公司在移动科技领域新技术和标准的运用和商业化方面始终走在行业最前沿。

特斯拉Model S惨遭远程入侵

中国安全公司科恩实验室的研究人员们宣称,他们已成功利用最新安装的固件远程入侵了一辆未改型的特斯拉Model S。司机与互联网交互后—在下方视频中,Model S搜寻最近的充电站时—研究人员成功感染了Model S的计算机系统并向其CAN总线发送部分命令。

谷歌以用户隐私及安全性作为筹码,推行”视频群聊”服务

针对谷歌在圣弗朗西斯科召开的I/O会议上,针对明显缺乏隐私保护问题的讨论事项,我们近期已撰文予以列述。尽管在该会议上,并未讨论过多隐私保护事项,但谷歌公司所采取的行动却比任何言语更有说服力。当谷歌公司计划推出新即时消息平台以取代其长期使用的”聊天”应用程序时,有关用户隐私保护的问题更加明显。   正如我们积极倡导保护用户隐私性的朋友——”电子前沿基金会”所强调的内容,谷歌所采取的行动可以让人理解,该公司使用新”视频群聊”服务平台,取代有些过时的”聊天”服务平台可能产生两种后果:一种是谷歌为推行其新颖的消息通信服务,将大幅缩减对可扩展式即时消息及出席协议(XMPP)的技术支持。对于XMPP这一开源性通讯工具来说,曾因受益于谷歌公司提供的技术支持,而得以广泛应用。 使用XMPP意味着,用户可以使用”谷歌聊天”工具向AOL即时通讯及其他若干聊天服务供应商的用户,实现跨平台的即时通讯。使用XMPP还意味着可使用”离线记录”(OTR)加密程序为”谷歌聊天”的开源式框架提供支持。请不要混淆谷歌的”离线记录”功能及”离线记录”加密程序,稍后我会对两者之间的区域稍加解释。而”视频聊天”却不支持上述两种功能。 第二中且似乎更具相关性(但实际影响力更低)的后果是,在新推出的”视频群聊”平台中,用户将不再可以针对所有聊天内容,采用”删除记录”选项。”删除记录”选项的功能如其字面意义所示:在打开该功能的条件下,谷歌公司无法将您通信中的聊天历史记录归档。尽管如此,用户仍可完成记录删除进程,但仅可基于联系人至联系人的方式删除记录。 谷歌公司对此解释称: “我们已对谷歌聊天及谷歌语音聊天的历史记录设置项做出变更。您可以关闭个人聊天记录,但您将不再可以使用关闭所有聊天历史记录的选项.” 谷歌公司正在以开源式聊天软件平台的用户安全性及隐私作为筹码,推行新视频群聊平台。对于谷歌公司来说,可通过更华丽、更复杂及无缝连接的方式,使谷歌自身和先前不一致的应用程序更好的融合在一起。 谷歌公司正在以开源式聊天软件平台的用户安全性及隐私作为筹码,推行新视频群聊平台。对于谷歌公司来说,可通过更华丽、更复杂及无缝连接的方式,使谷歌自身和先前不一致的应用程序更好的融合在一起。 什么,是这样吗?上述聊天平台的改变,不仅表示用户使用的不便利性稍微增加,而且我们的反应还可以体现对虚假在线表示愤怒的集体倾向,不是吗?除上述不满之外,经仔细思考后,我们可以发现停止XMPP将可能产生更为严重的后果。 正如EEF的帕克 希金斯(Parker Higgins)所 述,对于希望使用OTP加密功能且隐私意识较强的用户来说,将无法继续使用该加密功能。略具讽刺性的是OTR加密的本质是加密通信协议,而谷歌公司已过渡滥用该数据。对于谷歌公司来说,关闭记录仅意味着无法归档即时通信消息,和加密功能的使用时间无任何相关性。事实上,OTR是”确保在线通信安全的关键组件。”当两名用户使用OTR时,除这两名用户之外,其他人(包括服务提供商)全都无法访问两人之间的通信内容。使用原有的XMPP框架,可使得用户掌控自己的聊天服务器,并可使得其他非谷歌用户在和谷歌用户通信时,使用OTR加密程序。而这一切都将发生改变。 希金斯撰文声称:”有鉴于此,用户仅可选择使用谷歌聊天服务器,或删除未使用谷歌聊天服务器的聊天对象。更糟糕的是,谷歌用户不会注意到下述变化:谷歌用户将无法再次和使用jabber.org的聊天对象、fsf.org的成员或任何其他使用XMPP服务器的聊天对象正常聊天。 本文所要指出的重点是,尽管无任何谷歌官方应用程序支持OTR,但用户应可绕过该壁垒使用OTR,其原因在于XMPP具有开放型框架。换句话说,谷歌公司正在以开源式聊天软件平台的用户安全性及隐私作为筹码,推行新视频群聊平台。对于谷歌公司来说,可通过更华丽、更复杂及无缝连接的方式,使谷歌自身和先前不一致的应用程序更好的融合在一起。此类不一致的应用程序诸如:谷歌聊天、谷歌语音聊天、谷歌+视频群聊等(请不要将谷歌+视频群聊和相同名字的新聊天平台相混淆)。 我们绝大多数人或许会对谷歌感到失望。谷歌公司层在用户数据隐私保护及安全性方面功勋卓著,但最终我们将需使用已用户隐私安全为筹码的新服务平台。对于真正需要使用安全保护聊天应用程序的用户来说,我们已编辑出一份安全保护性良好的媒体列表。在该列表中排行首位的是Skype,但是我们也已给出相关提示:即便是列表中的媒体,也可能会受到政府监视。 平心而论,”谷歌聊天”应用程序在八年前,计算机至计算机间即时通信刚开始兴起时,是一款极为伟大的应用程序,该应用程序行业也使用”聊天”应用行业予以命名。事实上,谷歌聊天也曾经过不断进化的演变进程,使用户可以实现跨平台之间的即时通信。但是,永久连接式设备和不同独立设备及操作系统(如,What’s App网站、黑莓、Facebook聊天服务)社交信息通信的发展,致使用户产生新需求,并最终致使基于SMS的文本信息服务及原有的聊天服务最终被新聊天服务所取代。 Verge网站发布了一遍有关此方面的绝佳综述性文章。该文章不但详细介绍了视频群聊服务平台,并准确阐述了使用视频群聊服务对谷歌公司的意义。鉴于即时通信服务的发展已远远落后于移动信息服务的发展,因此视频群聊服务似乎已成为谷歌公司必须实施的服务方式。该文章绝对值得一读。    

在线支付:威胁及电子支付保护

在线购物、在线转账及在线银行服务可为我们节省大量时间并使得我们的生活更轻松。但是,可使生活变得轻松的同一技术,也为罪犯偷窃财务提供了新颖且更便捷的方法。使用偷窃的支付数据,是黑客快速获利的一种有效且流行的方法。尽管银行试图保护其用户,以使得个人用户可受到抵御普通攻击的保护。对银行发动黑客攻击更为费时、成本更为昂贵且被抓住的风险更大。与此相反,许多个人用户所使用的电脑却带有诸多漏洞,因此也更容易攻击。针对每个已被劫持的在线银行客户,尽管偷窃的款项金额数量较小,但网络罪犯不被发现的机会却更佳。值得注意的是,针对银行个人客户的攻击,在很大程度上属于自动攻击,并且几乎不需要操作员的参与。   大量感染的网络武器 自若干年前,银行木马就已流行于网络犯罪市场中。当前,存在大量潜在的受害者,此类潜在受害者并未确保其计算机中的应用程序获得及时更新,进而为网络犯罪提供了诸多机会。木马程序可以感染计算机工作站,并独立收集支付信息;有些木马甚至具有代表用户,实施金融交易的能力。 举例来说,ZeuS在线银行木马可向网页中添加木马自身包含的数据输入形式,从而获得有关用户支付的详情信息(银行卡卡号,CVC2/CVV2,完整姓名,账单地址等)。 广泛分布于俄罗斯网络空间中的恶意程序——Carberp,可向网页中添加其自身代码,使用户网页保存在线银行系统中的银行卡数据(银行卡卡号),然后促使用户输入其他银行信息(CVV2,个人数据等)。 对银行发动黑客攻击更为费时、成本更为昂贵且被抓住的风险更大。与此相反,许多个人用户所使用的电脑却带有诸多漏洞,因此也更容易攻击。 对银行发动黑客攻击更为费时、成本更为昂贵且被抓住的风险更大。与此相反,许多个人用户所使用的电脑却带有诸多漏洞,因此也更容易攻击。 除了可向用户网页中添加程序代码之外,木马程序还可使用其他技术获取用户支付信息。举例来说,对于上文中提到的Carberp恶意软件所产生的变种,可以飞速修改iBank 2(流行的在线银行系统)代码,进而可以拦截用户支付细节信息。 克服第二个障碍 一些银行试图通过引入各种复杂的额外身份验证因素的变体,使网络罪犯难以得手。此类身份验证因素的变体诸如令牌(包含单一用户密钥的小型USB装置)等。银行要求用户在每次实施支付交易时,都需要使用该令牌。潜伏木马程序的开发者已发现可绕过令牌保护,并获得交易授权的巧妙方法: 1. 用户使用在线银行系统,启动支付交易并输入相关用户细节信息。 2. 木马程序可以拦截用户的支付细节信息,并等待系统提供令牌提示。 3 .在线银行系统将提示用户提供令牌。用户通过向适当的硬件端口中插入USB令牌完成这一进程。 4. 木马程序可实施拦截,并使用户计算机工作站显示”死机蓝屏”。该蓝屏将告知用户,为实施接下来的分析进程需创建内存转储,并要求用户在操作完成之前,不可关闭计算机工作站。 5 .在用户等待操作完成期间(此时令牌仍插在USB端口后),网络罪犯可以访问用户账户、完成支付交易并向黑客账户中转账用户中的款项。 金融交易的安全系统 当在线银行恶意软件可在计算机上运行时,需要找到拦截支付数据的方式。木马程序可通过下述技术,完成上述目标: 网页添加(在网页向用户显示网页内容之前,修改网页内容) 劫持HTTP/HTTPS会话(”中间人”攻击的经典实例) 欺骗认证程序,或重新将页面导航至目标钓鱼网页 创建桌面截图 记录键盘击键 理解威胁列表,并利用威胁列表创建安全支付方案:

如何通过新版本的Google Chrome使用Kaspersky Protection

互联网公司正不遗余力地为用户提供保护,并推出更为出色的安全解决方案。Google作为一家领先的互联网公司同样有所动作,并于近期宣布其Chrome浏览器智能安装从Chrome官方应用商店下载的扩展程序。根据Google去年在其官方博客发布的文章(http://blog.chromium.org/2013/11/protecting-windows-users-from-malicious.html),这一安全解决方案旨在保护用户免受漏洞和恶意软件的侵袭,并解决令人烦恼不堪的扩展程序、插件和其它附件问题,这些问题能够跨过用户的设置和/或为用户造成不愉快的上网体验。尽管这对用户来说是一件好事,但安全开发者却为此而苦恼,因为这将导致安全软件被迫与浏览器合作。 因此作为安全产品的开发者,我们面临着这样一个问题:如何为我们的客户提供保护,使他们免受充满整个互联网的网络钓鱼、恶意网站、键盘跟踪器以及其他威胁。通常我们通过特殊插件对计算机进行保护,您对此应已再熟悉不过了,在这里就无需一一列举。但所有这些扩展程序都已从新的Chrome政策中去除:从33版本浏览器开始将无法再使用我们的旧版扩展程序。 当然,卡巴斯基实验室随即对此做出了反应,现已推出了全新Google Chrome插件— Kaspersky Protection。 我们现在推出了全新Google Chrome插件— Kaspersky Protection。 该扩展程序与近期发布的F补丁捆绑,由虚拟键盘、安全支付和阻止危险网站的模块三部分组成。无需特别操作:安装补丁后重启Windows,Chrome将向您询问新的插件: 点击’启用扩展程序’按钮并重启浏览器。在这一系列操作之后,所有旧版插件将被禁用: 现在您可以手动删除这些旧版插件,并在一个安全的环境下浏览互联网。 正如你从截图上所看到的,广告去除和卡巴斯基URL Advisor插件依然开启。它们将一直有效直到软件转移完成为止,而这些都由Google Chrome开发人员所设置的。全部转移完毕后,这些插件将再也无法在Chrome浏览器上使用。 如果你想重装Chrome浏览器和反病毒软件,根本无需任何担忧:只需重装扩展程序即可,且次数不受限。更多信息,请在访问我们知识库中的专文。 我们希望全新的Chrome政策和卡巴斯基保护插件能为您的互联网浏览提供更加安全的环境。

4月主要网络犯罪起诉案

本文将为您带来警察部门和安全专家在寻找黑客和网络罪犯方面的进展。呈上4月所发生的几起重大网络犯罪起诉案件。 俄罗斯黑客遭美国引渡 俄罗斯黑客Vladimir Drinkman涉嫌参与网络犯罪集团,他于两年前在荷兰被捕,面临着美国和俄罗斯的引渡要求。将由荷兰当地司法部决定由哪国处置,但Drinkman依旧抱有上诉权利。无论如何,Vladimir Drinkman似乎都将面临数年的牢狱之灾。Drinkman被控入侵数十家零售商、支付处理商和金融公司,窃取1.6亿多张信用卡和借记卡的信息。此案被认为是迄今为止美国境内最大的金融黑客攻击案件。调查人员表示,自2007年以来,该团伙长期从事网络犯罪活动,并导致受害公司遭受3亿多美元的损失。除Drinkman以外,另外4名犯罪成员被控合谋计算机攻击:其中3人来自俄罗斯,另一人为乌克兰人。 因使用木马获刑8年 一家莫斯科法院对两名年轻男子作出宣判,起因是这两人使用令人厌恶的Carberp木马从银行帐户中窃取钱款。该两名男子不断传播恶意软件并越权访问用户计算机和网上银行账户。在完全控制受害者的计算机后,将用户帐户上的资金转到一个虚拟帐户,随后通过普通的自动柜员机提款。经过半年时间的”不断努力”,两名男子在短短3个月时间里完成了至少90笔交易,窃取受害人钱款累计达360万美元左右直至被捕。但显然他们已无从挥霍这笔巨款了:两兄弟中,1人将面临5年监禁,另1人则将度过8年的铁窗生涯。有趣的是,据报道两兄弟中的弟弟有重大犯罪背景,甚至还在被控房地产欺诈后遭到全球通缉。此次调查是由俄罗斯一家最大的银行发起,俄罗斯网络警察在荷兰和加拿大专家的帮助下也参与其中。 网络罪犯继续从事违法勾当,执法机构成功将其绳之以法。此类案件每月频繁上演,以下是4月以来最有趣的案例。 Carder.su协调人出庭 Carder.su作为最臭名昭著的犯罪团伙之一,其成员在过去几年间遭到执法部门的严令通缉,目前已失去一名主要协调人。四月上旬,来自格鲁吉亚的Cameron Harrison(又被叫做”Kilobit”)格鲁吉亚同意认罪。据检查官称,Harrison大约于6年前加入Carder.su犯罪团伙并且扮演了关键角色:窃取信用卡卡号随即将这些信息转售给其他犯罪分子。所有这些犯罪活动在全球造成约5000万美元的损失,当局于2012年打垮了Carder.su犯罪团伙,以非法交易和制造被窃信用卡及冒牌信用卡为名起诉了该团伙的55名成员。现在,Harrison可能将面临长达20年的监禁生活。他还可能不得不支付巨额赔偿金,以补偿他对众多支付系统(例如Visa和MasterCard)客户所造成的损失。 使用ZeuS可能会造成损失 9名涉嫌敲诈勒索团伙成员因使用ZeuS恶意软件使数千台企业计算机受感染,而遭到美国内布拉斯加州林肯市的地方法院起诉。其中31岁的乌克兰人Yuriy Konovalenko和36岁的Yevhen Kulibaba被控合谋实施计算机诈骗和身份盗窃、恶性身份盗窃以及多起银行诈骗案,最近已从英国被引渡到美国。此次调查是在美国、英国、荷兰和乌克兰警察联合协助下进行的。据报道,两人都负责所谓”钱骡”的环节。这些人扮演中间人的角色,他们从受害人的银行账户窃取钱款,然后转移至他处取款。Konovalenko和Kulibaba可能将面临长达40年的监禁。其他7名成员仍然逍遥法外,但显然不会逍遥太久。 因使用KVM设备而被判入狱8年 一个犯罪团伙的9名成员被判处监禁,罪名是使用特殊KVM设备从巴克莱银行窃取210万美元。只需通过一套鼠标、键盘和显示器,即可使用该种硬件访问大量远程计算机。据检察官称,一名作为受邀计算机技术员在银行工作的诈骗分子将一个KVM切换器和一个调制解调器安装到银行的计算机系统中。其结果是,该团伙不仅能够访问在银行内使用的计算机,还能访问整个内部网络以及其中存储的所有信息。所有非法交易都是在银行附近的一家酒店进行。此后,该团伙将所有的非法所得都都花在了定制珠宝、劳力士手表等贵重物品上。但现在,他们只能在牢狱中苟且度日了:团伙的每一名成员的刑期从6个月到8年不等。

苹果iOS 8安全性

上周,苹果依照惯例在全球开发者大会上发布了最新版手机操作系统。总部位于加州库比蒂诺的苹果公司此次推出的iOS 8号称是”全球最先进的手机操作系统”。这一说法显然颇有争议,但新平台确实有一些设计周密的安全隐私功能,此外还对应用开发环境进行了重大改革。 新系统中对安全隐私的改进最大,即随机生成介质访问控制(MAC)地址,但很可能这也是用户最容易忽视的。MAC地址是一种唯一标识,广泛用于跟踪Wi-Fi网络上的设备和用户行为。据称,用户连到公用Wi-Fi网络并与其进行交互时,零售商和其他各方可通过跟踪MAC地址来更多地了解用户的行为。 但问题是,很多用户对此跟踪完全不知情,这也意味着用户可能根本就不同意被跟踪,至少在传统意义上是这样。 在iOS 8中,无线网络扫描苹果的i系列设备时,这些设备将生成随机MAC地址。这样零售商就无法跟踪商店内客户的活动和其他行为。随机生成MAC地址对于许多根本没意识到被跟踪的苹果迷来说,是隐私保护方面的巨大进步。 随机生成MAC地址是对于许多根本没意识到被跟踪的#苹果迷来说,是#隐私保护方面的巨大进步。 另一个很不错的安全隐私改进是,支持用户将DuckDuckGo作为Safari浏览器中的默认搜索引擎。DuckDuckGo是一种替代搜索引擎,它不会根据搜索查询收集用户信息或其他任何相关信息。而且,DuckDuckGo会尽可能确保用户通过加密的HTTPS连接与网站进行交互。搜索DuckDuckGo从某种意义上来说系统性更强,因为查询不会根据感知到的用户关注内容进行定制,而这是其他引擎的通用做法。 当然,本发行版中还包罗了各种更华丽且实用的功能。照片将在所有连接设备上共享,用户能够轻松将语音添加为短信(我想这是电话应该具有的功能),此外,苹果还高调推出了更简洁的全新通知界面。显然,在各设备之间实现照片共享未来可能会出现各种隐私和安全问题,但就目前来看,还没有什么明显的安全问题。 然而,一些与家庭共享功能一并提供的新键盘功能,更深层次的iCloud集成,以及新平台明显的雄心壮志,要吸引更多的应用开发,这些都会对安全隐私产生重大影响。 苹果称,新的软件开发者工具包(SDK)是App Store发布以来最大的一个开发工具包,应用编程接口(API)超过4000个。如果我们对苹果的新闻稿解读无误的话,这些举措和新的应用编程语言很可能会使App Store更为开放,环境类似Google Play(但苹果的预审查政策仍生效)。一方面,这意味着会有更多应用发布到App Store;另一方面,这也意味着面临着更多威胁,当然这并不一定会对用户构成威胁,具体取决于苹果如何在已改变的环境中应对安全性。 新的开发者工具包中,我们将密切关注的一个工具包的”HeathKit”。此工具包支持开发人员构建运动健身应用,以更适合用于彼此交流,分享从健身计划到血压水平等各种用户信息。近年来,市面上运动健身类应用层出不穷,数量激增。但上个月,美国联邦贸易委员会发布的一份报告中警告说,运动健身类应用在获取和共享用户信息方面”胃口”过大,这引起了我们的关注。为不同应用提供彼此共享这些数据的能力(即便用户允许应用这样做,因为授予权限实际上被视为同意这样做)只会加剧这一问题。但平心而论,如果发布一些个人数据能促使用户加强锻炼,那么这可能是一种理智的取舍。 HomeKit是另一个相关API。它使开发人员有能力构建与现代化住宅不断增多的连接和”智能化”进行交互的应用。如果您定期阅读《卡巴斯基中文博客》,那么一定会知道住宅自动化系统安全性差强人意。苹果称,此工具包在安全性上已全部进行配对(这可能意味着通过某种方式使用了加密)和配置。但在打入开放市场之前,很难说安全性到底怎么样。 如果新的App Store像安卓一样对企业开放,那么我们可能会看到更多恶意应用纷涌而入。 总之,新版本看起来确实是对苹果现有开发环境的彻底革新,这着实让人兴奋不已。因为这意味着会有更新、更有创意的应用出现,包括第三方键盘、窗口小部件等等。但同时也让人略感担忧,因为与创新随之而来的是更多攻击接口和更棘手的攻击。如上所述,如果新的App Store像安卓一样对企业开放,那么我们可能会看到更多恶意应用纷涌而入。 如果要从本质上了解这种新的应用开发业务将以何种方式影响安全性,尤其是相对于安卓系统,请参阅Andrew Cunninghamrs在Ars Technica博客上发布的文章中的第二页,此文对此问题进行了详细阐述。 除了我们讨论过的内容外,使用新键盘时,”将根据过往的对话内容和书写风格,显示后续可能会输入的字词或短语供您选择。”此外,”iOS 8还考虑到了用户可能在短信中使用的书写网络较随意,而在邮件中则可能使用更正式的语言”,”还根据交流对象调整显示的预测内容,因为与伴侣对话时所选的字词肯定要比和老板对话中使用的更随意。”总之,这些功能意味着苹果将收集更多用户信息,这必然会影响到隐私性,不管这样做能带来多大程度的便利。iCloud提高了文件存储容量,用户可以在一个位置存储更多敏感信息,这也相应要求用户熟悉并启用该服务提供的安全功能。但同时,也意味着需要采取更多方法来备份和保护用户敏感数据。 通过新的”家庭共享”功能,用户有能力将自己的设备与设为其家庭成员的其他用户完全同步。此功能的优点是加强了家长控制,但风险也显而易见,它为新的潜在攻击开辟了一条新的途径 - 类似于最近报告中所报告的黑客利用iCloud访问锁定手机。我们将拭目以待黑客是否可能暗中将自己设为家庭成员,从而监视用户行为,窃取设备数据。

提示