- 資訊安全：
1.西部数据（WD）自加密硬盘被曝存在漏洞 by Freebuf
黑客利用西部数据My Passport和My Book版本硬盘的漏洞，可以在窃取一个存在漏洞的硬盘后，对其里面的内容进行解密，无论密码有多随机、冗长。而这系列硬盘产品的本意为通过自带加密硬盘上所有数据的功能，让用户不必费时费力去使用软件来加密硬盘。
许多硬盘都会使用USB接口连接到电脑SATA接口去解密加密数据，在用户输入正确的密码之前，接口应该是被锁住的。为了防止黑客至少每秒数十亿次的猜测尝试，最初的纯文本密码是加盐后并进行1000次SHA256 hash迭代加密的。
在某个案例中，底层的KEY是可以预测的，因为它是来自于当前计算机时间生成的的随机数。这个漏洞在去年被修复了，但市面上仍然存在大量硬盘还有漏洞。在某些情况下，黑客可以提取硬盘的hash到另一个计算机中，以便进行离线破解。
存在漏洞的每个硬盘都有一个默认密码，即使用户重置密码后，原默认密码的key仍然存储在设备上，黑客能借此轻松将硬盘解密。当然，也有解决的办法，用户两次重置密码后就能解决这个问题。
2.iOS软件被曝使用私有API：你的数据被偷了 by 51CTO
一系列采用第三方移动广告 SDK 进行开发的 iOS 软件会通过私人 API 擅自收集用户的个人信息，包括邮箱地址、设备序列号以及路由数据等等。然后，这些软件把用户数据传向一家名为有米的移动广告供应商所设的服务器，开发者所使用的 SDK 也是由这家供应商所开发的。
SourceDNA 在App Store 当中发现了至少256 款使用有米SDK来开发的软件，所收获的累计下载次数超过 100 百万次，这些软件将会被苹果一一下架，其开发者基本上也都来自于中国。一直以来，苹果都不允许第三方 SDK 带私有 API，但这一次有米明显是绕过了 App Store 的审核机制。
iOS 的二进制文件包括 ARM 机器代码，SourceDNA 会对这一些代码进行解析。调用一个 Objective-C 方案时，它是通过 objc_msgsend 来进行矢量导航的，而且它是以字符串的方式来接收类别及方案。一般情况下，在调用 objc_msgsend 之前这些字符串可以通过查看数据参考来完成静态解析。SourceDNA 会跟踪这些调用目标类别/方案的起源和目的，然后建立一个调用图，用来探测每个(受到影响的)应用程序是使用了哪种方案。
然而，在某些情况下，这些参数是不能被静态解析的。因为它们只是字符串，它们可以在运行时通过任何字符串操作例程来创建。所以，一些工具会利用这种特点来混淆类别和方案的名称，在调用 objc_msgsend 之前解扰字符串。
一款应用程序还可以通过调用 dlopen 来加载一个全新的资料库，然后通过调用 dlsym 在这个资料库里面访问相应的函数或数据。这样一来，动态链接器在指定的文件中就会进行勘查(首先检查它的代码签名)，然后查找给定的符号地址。由于资料库和符号名称都是字符串，因此也可以在运行时创建。
SourceDNA 对这一个在数以百万计应用程序当中存在的代码行为进行了解析，主要是确认运行时间里的资料库加载是否被拿来访问私有的 API接口，SourceDNA 对他们所收集到(应用程序)资料进行排查，如果符合以下条件就证明应用程序会收集用户的个人信息：
（1）调用dlopen、dlsym 或 nsclassfromstring / nsselectorfromstring
（2）通过各种字符串控制函数来生成参数
3.新型安卓病毒现身：自动下载安装APP 无法卸载 by IT专家网
一种新的感染安卓手机的病毒a.expense.GhostPush.a，是一款推送应用类病毒，开机自启动，自动下载其他应用，并静默安装成系统应用。经分析发现，在该病毒执行完安装后，会未经用户允许私自上传手机固件信息和手机已安装的应用到指定服务器。
在用户未知情的情况下，连接远程服务器获取推广应用信息，然后自动下载静默安装，创建快捷图标，并弹出通知栏框，消耗用户手机流量，用户无法正常卸载。
黑客利用西部数据My Passport和My Book版本硬盘的漏洞，可以在窃取一个存在漏洞的硬盘后，对其里面的内容进行解密，无论密码有多随机、冗长。而这系列硬盘产品的本意为通过自带加密硬盘上所有数据的功能，让用户不必费时费力去使用软件来加密硬盘。
许多硬盘都会使用USB接口连接到电脑SATA接口去解密加密数据，在用户输入正确的密码之前，接口应该是被锁住的。为了防止黑客至少每秒数十亿次的猜测尝试，最初的纯文本密码是加盐后并进行1000次SHA256 hash迭代加密的。
在某个案例中，底层的KEY是可以预测的，因为它是来自于当前计算机时间生成的的随机数。这个漏洞在去年被修复了，但市面上仍然存在大量硬盘还有漏洞。在某些情况下，黑客可以提取硬盘的hash到另一个计算机中，以便进行离线破解。
存在漏洞的每个硬盘都有一个默认密码，即使用户重置密码后，原默认密码的key仍然存储在设备上，黑客能借此轻松将硬盘解密。当然，也有解决的办法，用户两次重置密码后就能解决这个问题。
2.iOS软件被曝使用私有API：你的数据被偷了 by 51CTO
一系列采用第三方移动广告 SDK 进行开发的 iOS 软件会通过私人 API 擅自收集用户的个人信息，包括邮箱地址、设备序列号以及路由数据等等。然后，这些软件把用户数据传向一家名为有米的移动广告供应商所设的服务器，开发者所使用的 SDK 也是由这家供应商所开发的。
SourceDNA 在App Store 当中发现了至少256 款使用有米SDK来开发的软件，所收获的累计下载次数超过 100 百万次，这些软件将会被苹果一一下架，其开发者基本上也都来自于中国。一直以来，苹果都不允许第三方 SDK 带私有 API，但这一次有米明显是绕过了 App Store 的审核机制。
iOS 的二进制文件包括 ARM 机器代码，SourceDNA 会对这一些代码进行解析。调用一个 Objective-C 方案时，它是通过 objc_msgsend 来进行矢量导航的，而且它是以字符串的方式来接收类别及方案。一般情况下，在调用 objc_msgsend 之前这些字符串可以通过查看数据参考来完成静态解析。SourceDNA 会跟踪这些调用目标类别/方案的起源和目的，然后建立一个调用图，用来探测每个(受到影响的)应用程序是使用了哪种方案。
然而，在某些情况下，这些参数是不能被静态解析的。因为它们只是字符串，它们可以在运行时通过任何字符串操作例程来创建。所以，一些工具会利用这种特点来混淆类别和方案的名称，在调用 objc_msgsend 之前解扰字符串。
一款应用程序还可以通过调用 dlopen 来加载一个全新的资料库，然后通过调用 dlsym 在这个资料库里面访问相应的函数或数据。这样一来，动态链接器在指定的文件中就会进行勘查(首先检查它的代码签名)，然后查找给定的符号地址。由于资料库和符号名称都是字符串，因此也可以在运行时创建。
SourceDNA 对这一个在数以百万计应用程序当中存在的代码行为进行了解析，主要是确认运行时间里的资料库加载是否被拿来访问私有的 API接口，SourceDNA 对他们所收集到(应用程序)资料进行排查，如果符合以下条件就证明应用程序会收集用户的个人信息：
（1）调用dlopen、dlsym 或 nsclassfromstring / nsselectorfromstring
（2）通过各种字符串控制函数来生成参数
3.新型安卓病毒现身：自动下载安装APP 无法卸载 by IT专家网
一种新的感染安卓手机的病毒a.expense.GhostPush.a，是一款推送应用类病毒，开机自启动，自动下载其他应用，并静默安装成系统应用。经分析发现，在该病毒执行完安装后，会未经用户允许私自上传手机固件信息和手机已安装的应用到指定服务器。
在用户未知情的情况下，连接远程服务器获取推广应用信息，然后自动下载静默安装，创建快捷图标，并弹出通知栏框，消耗用户手机流量，用户无法正常卸载。
- 自我成長：
1.HTC，給你一個「惡劣發佈會」案例 by STONE IP
一個合理的發佈會應具備：
（1）正式的展示產品
（2）説明產品優點
（3）説明產品的差異性
（4）示範產品優點
（5）對產品的期許
2.設定一天的工作慣例 by Sarah Sparks
一天內要做的決定越多，就越容易感到身心俱疲。你可以為自己的一天，設定一個不斷重複的架構，讓注意力和精力都專注在重要的工作，例如早晨提前一小時左右起床。無論你選擇提前到多早，等你發現中午之前完成比以前更多的待辦事項，一定會覺得精神百倍。
等下班前電力快耗盡時，回顧一下你的待辦事項清單。清單上的每件事都完成了嗎？你原本的期望是否符合現實？每天這麼做，能幫你判斷分配時間與工作的方式是否恰當。
3.帶領B級團隊，達到A級成功 by Tomas Chamorro-Premuzic
成功領導人的共同特質：
讓團隊成效更高的四種技巧：
（1）強而有力的願景
（2）善用分析數據
（3）坦誠回饋意見
（4）培養士氣
一個合理的發佈會應具備：
（1）正式的展示產品
（2）説明產品優點
（3）説明產品的差異性
（4）示範產品優點
（5）對產品的期許
2.設定一天的工作慣例 by Sarah Sparks
一天內要做的決定越多，就越容易感到身心俱疲。你可以為自己的一天，設定一個不斷重複的架構，讓注意力和精力都專注在重要的工作，例如早晨提前一小時左右起床。無論你選擇提前到多早，等你發現中午之前完成比以前更多的待辦事項，一定會覺得精神百倍。
等下班前電力快耗盡時，回顧一下你的待辦事項清單。清單上的每件事都完成了嗎？你原本的期望是否符合現實？每天這麼做，能幫你判斷分配時間與工作的方式是否恰當。
3.帶領B級團隊，達到A級成功 by Tomas Chamorro-Premuzic
成功領導人的共同特質：
- 超凡的判斷力
- 高EQ
- 企圖心強
讓團隊成效更高的四種技巧：
（1）強而有力的願景
（2）善用分析數據
（3）坦誠回饋意見
（4）培養士氣
如欲閱讀更多文章摘要，請見 每日晨摘
沒有留言:
張貼留言