第一美国金融公司数据记录泄漏

安全问题是报告房地产产权保险公司First American Financial Corp.的大量数据泄露。

“产权保险机构从买卖双方收集各种文件,包括社会保险号码,驾驶执照,对账单,即使是内部公司文件,如果你是一个小企业。你给他们各种各样的私人信息,你希望他们保持秘密。”

肖瓦尔分享了一个文件链接,他是第一个美国人从最近的交易中得到的,它引用了一个9位数长的记录编号,日期为2019年4月。在同一日期和时间之前或之后,通过两个方向的编号修改其链接中的文档编号,生成其他人的记录,表明文件编号可能是按顺序发布的。

网站上最早的文件编号——000000075——引用了2003年的房地产交易。从那里,随着记录号的每次向前增加,文档上的日期越来越接近实时。

这不是一个常见的漏洞:没有安全性的文档,只是“受保护”通过一个唯一的序列号,结果很容易猜测。

克雷布斯没有证据表明有人收集了所有这些数据,但这不是重点。该公司在一份声明中说:“首先是美国人,安全性,隐私和保密是最优先考虑的问题,我们致力于保护客户的信息。”这显然不是真的;对于公司来说,安全和隐私可能是非常低的优先级。这是基本的东西,像第一美国公司这样的公司。应该为他们糟糕的安全措施负责。

5月28日发布,2019年上午9:59·15评论

夏威夷国家安全局

最近,我听爱德华·斯诺登说他在夏威夷的国家安全局工作时“在菠萝地里”。哥伦比亚广播公司最近的新闻跑一段在国家安全局在瓦胡岛的监听站。

实际信息不多。“我们在办公楼,在菠萝田里,关于瓦胡岛……”它的一部分在地下——我们看到一条隧道。我们没有看到任何菠萝,不过。

5月24日发布,2019年下午2:14·13评论

德国谈论禁止端到端加密

明镜周刊报告德国内政部计划要求所有互联网信息服务按需提供纯文本信息,基本上禁止强端到端加密。任何不遵守的人都将被阻止,尽管这篇文章没有说明怎么做。(科里·多克托罗先前解释过为什么这是不可能的。)

这篇文章是德语的,我希望能从能说这种语言的人那里得到更多的信息。

5月24日发布,2019年上午8:39·41评论

Thangrycat:严重的Cisco漏洞

总结

Thangrycat是由Cisco信任锚模块中的一系列硬件设计缺陷引起的。2013年首次商业化引进,Cisco Trust Anchor Module(TAM)是一种专用的硬件安全模块,广泛用于Cisco产品。包括企业路由器,交换机和防火墙。TAM是支持这些设备中所有其他Cisco安全和值得信赖的计算机制的信任的根源。thangrycat允许攻击者通过fpga位流修改对信任锚模块进行持久修改,因此,破坏了安全引导过程,并在其根源上使Cisco的信任链失效。虽然缺陷是基于硬件的,可以远程利用thangrycat,而无需物理访问。由于缺陷存在于硬件设计中,任何软件安全补丁都不太可能完全解决基本安全漏洞。

从A新闻文章

打黑猫可怕有两个原因。第一,如果黑客利用这个弱点,他们可以对你的路由器做任何他们想做的事情。第二,攻击可以远程发生——这是一个软件漏洞。但修复只能在硬件级别应用。像,物理路由器。亲自。耶西。

这就是说,只有当您对设备具有管理访问权限时,Thrangerycat才能工作。你需要两步攻击才能让Thrangrycat工作。攻击1使您可以远程管理访问,攻击2是鞭打猫。攻击2没有攻击不可能发生1。Cisco可以通过发送软件更新来保护您免受攻击。如果你的身份证明人们已经很好地保护了您的系统,并且一直在应用更新和补丁,您不是国家行为体的常规目标,你相对安全,不受攻击1,因此,很安全,不会被毒打。

不幸的是,攻击1是一个花园类型的漏洞。许多系统甚至没有正确配置管理访问。有机会利用鞭打黑猫。

波音波音

Thangrycat依赖于攻击者能够以系统管理员身份运行进程,还有红气球,披露漏洞的安全公司,还发现了一个允许攻击者以管理员身份运行代码的缺陷。

人们很容易忽略对可信计算模块的攻击,认为这是一种胡闹式的繁荣:毕竟,一旦攻击者在您的系统上有根目录,所有赌注都取消了。但是,可信计算的承诺是计算机能够检测并撤销这种妥协,通过使用单独的,独立计算机调查和报告主系统的状态(黄和斯诺登称之为反省引擎)一旦这个系统被破坏,它可以被强制提供关于系统状态的错误报告:例如,它可能会报告说,它的操作系统已经成功更新,以便在更新被丢弃时修补漏洞。

查理·沃泽尔和莎拉·琼在纽约时报上讨论,这是一种可以远程执行的攻击,但只有在受影响的系统存在的情况下(并且只有在经过非常仔细的检查之后,而且,除了更换系统或至少更换受损的组件之外,可能仍然没有办法对此采取任何措施。

发表于5月23日,2019年上午11:52·27评论

访问国家安全局

昨天,我去了国家安全局。今天是网络司令部的生日,但这不是我去的原因。我是作为Berklett网络安全项目的一部分访问的,走出伯克曼克莱因中心,由休利特基金会资助。(伯克曼·休利特——明白了吗?我们有一个网页,但它已经过时了。)

这是一整天的会议,除了查塔姆家族的规定外,其他都是未分类的。创。纳卡森欢迎我们,一开始就提问。各位高级官员就各种议题与我们进行了交谈,但主要集中在三个方面:

  • 俄罗斯影响行动,国家安全局和美国网络司令部在2018年选举中的所作所为,以及他们未来的所作所为;

  • 中国以及不受信任的计算机硬件对关键基础设施的威胁,5G网络和更广泛的网络;

  • 机器学习,如何确保ML系统符合所有法律,以及ML如何帮助完成其他合规性任务。

一切都很有趣。前两个主题是我思考和写作的主题,很高兴听到他们的观点。我发现我在网络安全问题上比在隐私问题上与国家安全局更紧密地联系在一起,这使得会议比我们讨论《金融情报机构修正法案》第702条时要轻松得多,第215节美国自由法更新明年)或任何违反第四修正案的行为。我不认为我们通过了这些问题,但他们弥补了我工作的不足。

发表于5月22日,2019年下午2:11·57评论

指纹iPhone

这个巧妙的进攻允许某人在您访问网站时唯一标识电话,根据加速度计的数据,陀螺仪,以及磁强计传感器。

我们开发了一种新型的指纹攻击,校准指纹攻击。我们的攻击使用加速度计收集的数据,智能手机中的陀螺仪和磁强计传感器可以构建全球独一无二的指纹。总体而言,我们的攻击具有以下优势:

  • 攻击可以通过您访问的任何网站或您在易受攻击的设备上使用的任何应用程序发起,无需您明确确认或同意。
  • 攻击需要不到一秒钟的时间来生成指纹。
  • 这种攻击可以为iOS设备生成全球唯一的指纹。
  • 校准指纹永远不会改变,即使在工厂重置之后。
  • 当你浏览网页并在手机上的应用程序之间移动时,这种攻击提供了一种有效的方法来跟踪你。

*在我们披露之后,苹果已经在iOS 12.2中修复了这个漏洞。

研究.

发表于5月22日,2019年上午6:24·23评论

科技和政治如何改变间谍活动

有趣文章传统的国家间谍活动正在发生怎样的变化。基本上,互联网使得制作一个好的封面故事变得越来越可能;手机和其他电子监控技术使跟踪人员更加容易;机器学习将使这一切自动化。与此同时,西方国家有新的法律和规范,使它们比其他国家处于劣势。最后,这其中大部分都是企业化的。

发表于5月21日,2019年上午6:19·21评论

乔·麦金尼斯的布鲁斯·施耐尔侧边栏照片。

betway88必威官网备用施耐尔的安全是一个个人网站。表达的意见不一定是IBM弹性.