标有“后门”的条目

第1页共14页

安卓固件内置后门

2017年,一些安卓手机有后门预安装以下内容:

2017年,罪犯在离开制造商工厂之前,成功地在安卓设备上预装了一个高级后门。谷歌研究人员周四证实。

Triada于2016年首次在卡巴斯基发表的文章中曝光。在这里在这里,请其中第一个说恶意软件是“最先进的移动木马之一”这家证券公司的分析师曾经遇到过。一旦安装,Triada的主要目的是安装可用于发送垃圾邮件和显示广告的应用程序。它使用了一套令人印象深刻的工具,包括根植漏洞,绕过安卓系统内置的安全保护,以及修改安卓操作系统功能强大的合子进程的方法。这意味着恶意软件可以直接篡改每个已安装的应用程序。Triada还连接到不少于17个命令和控制服务器。

2017年7月,安全公司Dr.据网络报道,其研究人员发现了Triada内置于多个Android设备的固件中,请包括Leagoo M5 Plus,利古奥M8,诺木S10,以及Nomu S20。攻击者利用后门秘密下载和安装模块。因为后门嵌入到一个操作系统库中,并且位于系统部分,无法使用标准方法删除,报告说。

星期四,谷歌证实了这一说法。Web报表,尽管它没有给制造商命名。周四的报告还说,供应链攻击是由一个或多个合作伙伴发起的,这些合作伙伴是制造商用来准备受影响设备的最终固件映像的。

这是一次供应链攻击。这似乎是罪犯的工作,但它也可以很容易地成为一个民族国家。

6月21日发布,2019年上午11:42查看评论

一对俄罗斯加密算法的密码分析

一对俄罗斯设计的密码算法——kuznyechik块密码和streebog散列函数——具有相同的特性。有缺陷的S盒几乎可以肯定的是有意的后门.这不是你偶然犯的那种错误,2014年不行。

5月10日发布,2019年上午6:30查看评论

为了公众利益的网络安全

加密战争已经持续了四分之一个世纪。一方面是执法,希望能够破坏加密,获取恐怖分子和罪犯的设备和通信。另一方面,几乎所有的密码学家和计算机安全专家,反复解释说,如果不削弱这些设备和通信系统的每个用户的安全性,就没有办法提供这种能力。

这是一场充满激情的辩论,有时刻薄,但是有一些真正的技术可以解决这个问题:关键的托管技术,代码模糊技术,以及具有不同特性的后门。无处不在的监视资本主义——就像那些已经在监视每个人的互联网公司的做法一样——很重要。社会的基本安全需求也是如此。提供执法机会有利于安全,即使它不可避免地也总是给别人这种机会。然而,让这些系统免受所有攻击者的攻击也有安全好处,包括执法。这些好处是相互排斥的。更重要的是,到了什么程度?

问题是,几乎没有决策者从技术上知情的角度讨论这一政策问题,很少有技术专家真正了解这场辩论的政策轮廓。结果是双方一直在互相交谈,政策建议——偶尔变成法律——是技术灾难。

这是不可持续的,无论是针对这个问题还是关于互联网安全的任何其他政策问题。我们需要了解技术的决策者,但我们也需要网络安全技术专家,他们了解并参与到网络安全政策中。我们需要公共利益技术专家。

我们到此为止。福特基金会将公益科技人员定义为“注重社会公正的技术从业者”。共同的利益,和/或公共利益。”最近,一组学者写道,公共利益技术人员是“研究技术专长的应用以促进公共利益的人,创造公共利益,或者促进公共利益。”TimBerners-Lee称他们为“哲学工程师”。我认为公共利益技术专家是将他们的技术专长与公共利益焦点相结合的人:通过研究技术政策,通过从事一个有公共利益的技术项目,或者作为一个传统的技术专家为一个有公共利益的组织工作。也许这不是最好的术语——我知道不是每个人都喜欢它——但它是一个很好的总括性术语,可以涵盖所有这些角色。

我们需要公众利益的技术专家参与政策讨论。我们需要国会工作人员的帮助,在联邦机构中,在非政府组织(NGO)在学术界,公司内部,作为媒体的一部分。在我们的领域,我们需要他们不仅参与加密战争,但是网络安全和政策之间的任何地方都是相互联系的:脆弱性股票辩论,选举安全,加密货币政策,物联网安全保障,大数据,算法公平性,对抗性机器学习,关键基础设施,以及国家安全。当你扩大互联网安全的定义时,许多其他领域属于网络安全和政策的交叉点。我们的专业知识和看待世界的方式对于理解许多技术问题至关重要,例如网络中立性和关键基础设施的监管。我不想在没有安全技术专家参与的情况下制定有关人工智能和机器人的公共政策。

公共利益技术并不新鲜。许多组织都在这方面工作,从像EFF和EPIC这样的老公司到像现在这样的经过验证的投票和访问的新公司。许多学术课和课程结合了技术和公共政策。我在哈佛大学肯尼迪学院的网络安全政策课就是一个例子。像Markup这样的媒体初创公司正在从事技术驱动的新闻业。甚至在营利性公司内部也有与公共利益技术相关的项目和倡议。

这看起来很像,但事实并非如此。没有足够的人去做,没有足够的人知道这需要做,而且没有足够的地方去做。我们需要建立一个为公众利益技术人员提供可行职业道路的世界。

有很多障碍。有一份题为关键时刻其中包括这句话:“虽然我们列举了一些有远见的领导和为公众利益成功部署技术技能的例子,大家一致认为,供应不足的顽固循环,需求错位,效率低下的市场阻碍了进步。”

这句话说明了这三个地方需要干预。一:供电侧。只是没有足够的人才来满足最终的需求。尤其是在网络安全方面,这在整个领域都存在人才问题。公共利益技术人员是一个多元化、多学科的群体。他们的背景来自技术,政策,和法律。我们还需要促进公共利益技术的多样性;使用该技术的人群必须以形成该技术的群体来代表。我们需要各种各样的方式让人们参与到这个领域中:人们可以从侧面做的方式,在传统技术工作之间的几年里,或者作为一个全职的有回报的职业。我们需要公共利益技术成为每门核心计算机科学课程的一部分,有“诊所”在大学里,学生们可以体验到公共利益工作。我们需要科技公司给人们提供休假来完成这项工作,然后重视他们所学和所做的。

第二:需求方。这是我们目前最大的问题;没有足够多的组织明白他们需要技术专家来从事公共利益工作。我们需要为各种非政府组织的工作提供资金。我们需要整个政府的工作人员:行政人员,立法的,以及司法部门。奥巴马总统的美国数字服务应该扩大和复制;美国的代码也应该如此。我们需要更多的新闻机构来完成这类工作。

三:市场。我们需要工作板,会议,以及技能交流——在那里,供应方的人们可以了解需求。

主要基金会开始在这个领域提供资金:特别是福特和麦克阿瑟基金会,但其他人也一样。

这一问题与公共利益法领域有着有趣的相似之处。20世纪60年代,没有公共利益法。这个领域是故意创造的,由福特基金会等组织资助。他们资助了大学的法律援助诊所,让学生们学习住房,歧视,或移民法。他们资助了ACLU和NAACP等组织的奖学金。他们创造了一个重视公共利益法的世界,主要律师事务所的所有合伙人都应该做一些公共利益工作。今天,当美国公民自由联盟(ACLU)为一名员工律师做广告时,支付三分之一到十分之一的正常工资,它有成百上千的申请者。今天,20%的哈佛法学院毕业生进入公共利益法,学校也有寻魂研讨会,因为这个比例很低。同时,计算机科学专业毕业生从事公益性工作的比例基本为零。

这比计算机安全更重要。技术现在以一种不只是几十年前的方式渗透社会,政府的行动太慢,没有考虑到这一点。这意味着现在的技术人员与他们没有传统联系的所有领域都有联系:气候变化,食品安全,未来的工作,公共卫生,生物工程。

一般来说,技术人员需要了解他们工作的政策后果。硅谷普遍存在这样一个神话:技术在政治上是中立的。不是,我希望今天读这篇文章的大多数人都知道这一点。我们建立了一个程序员认为他们有一个固有的权利来按照他们认为合适的方式对世界进行编码的世界。我们被允许这样做是因为,直到最近,没关系。现在,太多的问题是在一个不受管制的资本主义环境中决定的,在这种环境中,往往不考虑重大的社会成本。

这就是社会核心问题所在。20世纪的政治问题是:“什么应该由国家治理,市场应该控制什么?”这就决定了东西方的区别,以及国家内部政党之间的差异。21世纪上半叶的决定性政治问题是:“我们的生活有多少应该由技术来管理,在什么条件下?”上个世纪,经济学家推动公共政策。在本世纪,这将是技术专家。

未来的发展速度快于我们当前的一套政策工具所能应付的。解决这一问题的唯一方法是在技术人员的帮助下开发一套新的策略工具。我们需要在公共利益工作的各个方面,从通知政策到创建工具,所有这些都在构建未来。全世界都需要我们的帮助。

本文发表于2019年1月/2月IEEE安全与隐私.我维护一个公共利益技术资源页面在这里.

5月3日发布,2019年凌晨4:33查看评论

法国政府TCHAP聊天应用程序中的漏洞

研究员发现一个漏洞在法国政府的whatsapp替代应用程序:tchap。该漏洞允许任何人秘密加入任何对话。

当然,开发人员会修复这个漏洞。但有趣的是指出这正是后门GCHQ是提议.

编辑添加(5/13):一些澄清.

4月24日发布,2019年上午6:23查看评论

G7支持加密后门

本月在巴黎举行的七国集团内务部长会议上,一个”结果文档“:

鼓励互联网公司为其产品和服务建立合法的接入解决方案,包括加密的数据,为了让执法部门和主管当局获取数字证据,当它被删除或托管在位于国外或加密的IT服务器上时,在不采用任何特定技术的情况下,同时确保规则法和适当的流程保护支持互联网公司的援助。一些七国集团国家强调不禁止的重要性,限制,或者削弱加密;

政策制定者们有一种奇怪的看法,即黑客攻击加密系统的密钥管理系统与黑客攻击系统的加密算法有根本不同。区别只是技术上的;效果是一样的。两者都是削弱加密的方法。

4月23日发布,2019年上午9:14查看评论

中国监视海底网线

供应链安全是一个难以克服的难题。最近的重点是中国5G设备,但问题要广泛得多。这篇评论文章查看海底通信电缆:

但是现在中国的华为技术集团,致力于在全球提供5G电话网络的领先公司,已经出海了。在它下面华为海洋网络组件,它几乎正在建设或改进100海底电缆全世界。去年,它完成了一条从巴西到喀麦隆长达近4000英里的电缆。(有线电视部分归中国联通所有,一家国有电信运营商)竞争对手声称,中国公司能够降低投标价格,因为他们从北京获得补贴。

正如专家们有理由担心间谍活动“后门”的出现一样在华为的5G技术中,西方情报专业人士反对该公司参与海底版本,这为我们提供了一个更大的回报,因为如此多的数据依赖于如此少的电缆。

这不应该让任何人惊讶。多年来,美国和“五只眼”垄断了全球互联网的间谍活动。其他国家想加入。

和我一样反复说,请我们需要决定是否要建立我们未来的互联网系统,以实现安全或监控。要么每个人都去监视,或者没有人去监视。我相信我们必须选择安全而不是监视,实施国防主导战略。

4月15日发布,2019年上午6:30查看评论

华为笔记本电脑中存在NSA启发的漏洞

这是一个有趣的故事微软发现华为驱动程序存在严重漏洞。这一弱点在风格上类似于由影子经纪人(被认为是俄罗斯政府)泄露的国家安全局的双脉冲,很明显这次攻击复制了这一技术。

更不清楚的是,这个漏洞——已经被修复了——是意外地还是有意地被放进了华为的驱动程序中。

发表于3月29日,2019年上午6:11查看评论

瑞士互联网投票系统的严重缺陷

研究人员发现重大瑕疵瑞士互联网投票系统。我打算写一篇文章来说明这是如何证明互联网投票是一个愚蠢的想法,不应该尝试——尤其是这个系统不应该被部署,即使发现的缺陷已经修复——但科里·多克托罗打败我吧以下内容:

相信公司能被这种力量所信任,这是违反所有逻辑的,但它依然存在。有人发现《瑞士邮报》对这一想法的接受太可怕了,难以忍受,他们泄露了瑞士邮政在保密条款下共享的源代码,然后是由一些世界顶级安全专家组成的国际团队(包括我们最喜欢的一些,喜欢马修·格林)开始分析代码,而且(正如每一个没有在电子投票公司工作的安全专家从一开始就预测到的那样),他们发现了一个非常强大的漏洞,可以让瑞士邮报的一个不受信任的党派无法察觉地改变选举结果。

而且,正如从一开始就预测到的,所有主张安全研究人员有权在未经被评估产品的公司许可的情况下公开讲话的人,瑞士邮政和SCYTL非常客观地低估了这一点的重要性,非常,非常重要的错误。瑞士邮政的立场是,由于该漏洞只允许选举被瑞士邮政员工窃取,没什么大不了的,因为瑞士邮政员工不会窃取选举。

但当瑞士邮政同意竞选时,他们承诺建立一个基于“零知识”的电子投票系统。使选民相信选举结果的证据没有必须信任瑞士邮政。瑞士邮政现在正在移动球门柱,说如果你必须暗地信任瑞士邮政公司来信任选举结果,那就不会有什么大不了的了。

你可能在想,“嗯,什么有什么大不了的?如果你不信任管理选举的人,你不能相信选举结果,对吧?”不是这样的:我们设计选举系统,使不协调的人都是相互制衡的。为了促成一场运行良好的选举,需要在许多投票点和点票点进行大规模协调,以及来自不同政党的独立监察员,以及外部观察员,等。

把整件事都读一遍。太棒了。

更多信息.

发表于3月15日,2019年上午9:44查看评论

日本政府将对公民的物联网设备进行黑客攻击

日本政府将运行渗透测试针对他们国家的所有物联网设备,为了(1)找出什么是不安全的,(2)帮助消费者保护他们:

调查定于下个月开始。当当局计划测试超过2亿个物联网设备的密码安全性时,从路由器和网络摄像头开始。人们家中的设备和企业网络上的设备都将受到相同的测试。

[…]

日本政府决定登录用户的物联网设备,在日本引发了愤怒。许多人认为这是不必要的步骤,同样的结果也可以通过向所有用户发送安全警报来实现,因为无法保证被发现使用默认或容易猜测的密码的用户在收到私人通知后会更改密码。

然而,政府的计划有其技术优点。今天的很多物联网和路由器僵尸网络都是由黑客构建的,他们使用默认或容易猜到的密码接管设备。

黑客也可以借助路由器固件中的漏洞和漏洞构建僵尸网络,但是组装僵尸网络最简单的方法是收集那些用户无法使用自定义密码进行安全保护的僵尸网络。

固定这些设备通常是一种痛苦,有些人在不知情的情况下在线公开telnet或ssh端口,很少有用户知道如何更改密码。此外,其他设备也有秘密的后门帐户,在某些情况下,没有固件更新就无法删除。

我对这次调查的结果很感兴趣。日本在这方面与其他工业化国家没有太大区别,所以他们的研究结果将是一般性的。我不太乐观中国有能力确保所有这些东西——尤其是在2020年夏季奥运会之前。

1月28日发布,2019年下午1:40查看评论

侵入GCHQ后门

上周,我评估了安全性最近的GCHQ后门通信系统提案。继续辩论,EFF的内特·卡多佐和塞思·肖恩解释如何检测这种后门:

事实上,我们认为,当ghost功能处于活动状态时——以GCHQ作者描述的方式将秘密窃听成员悄悄地插入到另一个端到端的加密对话中——至少可以用四种不同的技术(目标和某些第三方)检测到它。二元逆向工程,加密侧通道,网络流量分析,以及事故日志分析。此外,事故日志分析可能导致无关的第三方找到使用中的幽灵的证据,二元逆向工程甚至有可能导致研究人员找到在客户端禁用幽灵功能的方法。显然,这些可能性都不适合执法或整个社会。虽然我们已经从理论上推断出了一些缓解措施,这些缓解措施可能会使鬼魂无法被特定的技术察觉,它们还可能在必要的规模部署时给网络带来相当大的成本,以及创建新的潜在安全风险或检测方法。

对该体系的其他评论是由苏珊·兰多马修·格林.

编辑添加(1/26):好评论如何击败后门检测。

编辑添加(3/1):又一篇好文章关于后门的安全风险。

1月25日发布,2019年上午6:08查看评论

乔·麦金尼斯的布鲁斯·施耐尔侧边栏照片。