- 資訊安全：
1.新型匿名通信系統誕生，或將替代Tor項目 by Freebuf
有消息稱“隱私完整”可提供完全私密的匿名通信，無論黑客還是情報機構都無法竊聽。Chaum推出隱私完整之後，希望能夠解決Tor面臨的問題。而隱私完整解決的不僅僅是技術問題，還可以解決法律問題的隱患。
“混合網絡”主要通過多層加密來實現消息匿名。就拿Tor來舉個例子，當你通過Tor發送郵件時， Tor會使用一種稱為“洋蔥路由”的加密技術通過網絡隨機生成的過程傳送郵件。這有點像在一疊信中放了一封密信。
網絡中的每個節點都會解密消息(打開的最外信封)，然後發送內部加密的內容(內密封的信封)至其下一個地址。這導致如果單看一個節點是看不了信的全部內容，並且該消息的傳送路徑難以追踪。但是，最終的消息已經傳送到達。如果它要一個直接連接到Tor網絡的服務器上“Tor隱藏服務”，沒有任何問題。
但是，如果你只是使用Tor作為代理來訪問你經常上的網絡，就有點複雜。因為在某些時候，你的流量需要經過一個Tor “出口節點”，該節點負責把你的數據包傳送到網絡上。而你的流量很容易在這些出口節點被窺探。
Chaum想引入一種被他稱之為cMix的全新混合網絡，其效率將遠超他幾十年前創造的分層加密體制。目前Chaum已經發表關於該內容的論文，標題為“ cMix ”。
2.趨勢科技殺毒軟件被曝嚴重漏洞，黑客能夠竊取你的所有密碼 by Freebuf
谷歌的Project Zero安全研究員Tavis Ormandy 發現，趨勢科技的殺毒軟件的密碼管理器組件中存在一個遠程代碼執行漏洞，允許黑客盜取用戶的密碼。簡而言之，一旦你的電腦被入侵，那麼你所有的賬戶密碼將一去不復返。
從技術上來講，通過在本地計算機上啟動一個Node.js服務器，殺毒軟件套件內的密碼管理器組件才開始工作，默認情況下是在每次殺毒軟件啟動時。Ormandy在分析這個密碼管理器組件時發現， Node.js服務器將大量用於處理API請求的HTTP RPC端口暴露到互聯網上。
在http://localhost:49155/api/處可以訪問，黑客可以精心製作惡意鏈接，當安裝了趨勢科技殺毒軟件的用戶單擊此鏈接時，就能在不與用戶進行任何交互的情況下在本地計算機上執行任意代碼。
3.通過瀏覽器遠程利用Microsoft Office DLL（MS15-132）劫持漏洞 by Freebuf
數週之前，安全研究員Parvez Anwar在其個人推特上貼出了大量的微軟Office DLL劫持漏洞。幾週後，微軟公佈了MS15-132補丁，修復了相關漏洞，同時處理了被谷歌安全研究以不同形式公佈出來的大量類似的bug。
當加載一個嵌入了OLE對象的文檔，其中OLE對像是被CLSID或者ProgID指定，Windows將會在自己的註冊表中搜索這些指定的ID，隨後嘗試加載與之先關的DLL，並調用相關代碼創建這個對象請求的實例。
一旦這個DLL被加載到Office的地址空間中，Office會判斷這個已加載的對像是否與該文檔適配（或者，實際上根本就不是一個OLE對象）。
如果在指定的地址需要的DLL不存在，Windows將會在預先指定的地址處“尋找DLL”[6]。這個包括當前的目錄。
在這個0day漏洞中，這些特定的CLSID（嵌入在Office文檔中），將會導致這些DLL“elsext.dll, api-ms-win-core-winrt-l1-1-0.dll, OCIW32.DLL or oci.dll”從當前目錄加載。如果攻擊者在相同的目錄下放置上述DLL其中之一，這樣嵌入對象的文檔也會從這個相同的目錄中加載這個DLL，那麼攻擊者構造的代碼將會被Office執行。
有消息稱“隱私完整”可提供完全私密的匿名通信，無論黑客還是情報機構都無法竊聽。Chaum推出隱私完整之後，希望能夠解決Tor面臨的問題。而隱私完整解決的不僅僅是技術問題，還可以解決法律問題的隱患。
“混合網絡”主要通過多層加密來實現消息匿名。就拿Tor來舉個例子，當你通過Tor發送郵件時， Tor會使用一種稱為“洋蔥路由”的加密技術通過網絡隨機生成的過程傳送郵件。這有點像在一疊信中放了一封密信。
網絡中的每個節點都會解密消息(打開的最外信封)，然後發送內部加密的內容(內密封的信封)至其下一個地址。這導致如果單看一個節點是看不了信的全部內容，並且該消息的傳送路徑難以追踪。但是，最終的消息已經傳送到達。如果它要一個直接連接到Tor網絡的服務器上“Tor隱藏服務”，沒有任何問題。
但是，如果你只是使用Tor作為代理來訪問你經常上的網絡，就有點複雜。因為在某些時候，你的流量需要經過一個Tor “出口節點”，該節點負責把你的數據包傳送到網絡上。而你的流量很容易在這些出口節點被窺探。
Chaum想引入一種被他稱之為cMix的全新混合網絡，其效率將遠超他幾十年前創造的分層加密體制。目前Chaum已經發表關於該內容的論文，標題為“ cMix ”。
2.趨勢科技殺毒軟件被曝嚴重漏洞，黑客能夠竊取你的所有密碼 by Freebuf
谷歌的Project Zero安全研究員Tavis Ormandy 發現，趨勢科技的殺毒軟件的密碼管理器組件中存在一個遠程代碼執行漏洞，允許黑客盜取用戶的密碼。簡而言之，一旦你的電腦被入侵，那麼你所有的賬戶密碼將一去不復返。
從技術上來講，通過在本地計算機上啟動一個Node.js服務器，殺毒軟件套件內的密碼管理器組件才開始工作，默認情況下是在每次殺毒軟件啟動時。Ormandy在分析這個密碼管理器組件時發現， Node.js服務器將大量用於處理API請求的HTTP RPC端口暴露到互聯網上。
在http://localhost:49155/api/處可以訪問，黑客可以精心製作惡意鏈接，當安裝了趨勢科技殺毒軟件的用戶單擊此鏈接時，就能在不與用戶進行任何交互的情況下在本地計算機上執行任意代碼。
3.通過瀏覽器遠程利用Microsoft Office DLL（MS15-132）劫持漏洞 by Freebuf
數週之前，安全研究員Parvez Anwar在其個人推特上貼出了大量的微軟Office DLL劫持漏洞。幾週後，微軟公佈了MS15-132補丁，修復了相關漏洞，同時處理了被谷歌安全研究以不同形式公佈出來的大量類似的bug。
當加載一個嵌入了OLE對象的文檔，其中OLE對像是被CLSID或者ProgID指定，Windows將會在自己的註冊表中搜索這些指定的ID，隨後嘗試加載與之先關的DLL，並調用相關代碼創建這個對象請求的實例。
一旦這個DLL被加載到Office的地址空間中，Office會判斷這個已加載的對像是否與該文檔適配（或者，實際上根本就不是一個OLE對象）。
如果在指定的地址需要的DLL不存在，Windows將會在預先指定的地址處“尋找DLL”[6]。這個包括當前的目錄。
在這個0day漏洞中，這些特定的CLSID（嵌入在Office文檔中），將會導致這些DLL“elsext.dll, api-ms-win-core-winrt-l1-1-0.dll, OCIW32.DLL or oci.dll”從當前目錄加載。如果攻擊者在相同的目錄下放置上述DLL其中之一，這樣嵌入對象的文檔也會從這個相同的目錄中加載這個DLL，那麼攻擊者構造的代碼將會被Office執行。
- 自我成長：
1.把時間花在應酬、手機，是對生命的一種浪費 by 黃曉明
我們每天每天，被工作束縛，應酬纏身，手機更是讓我們變了低頭族，我們拿著大把的時間用來應酬與交際。我時常在想，這是不是對生命的一種浪費？假如真的會有『十分鐘年華老去』，我們的人生會不會變得分秒必爭，再也不肯荒廢一點一滴？又假如時光倒流，我們還會不會做現在這樣的自己？
2.人生，取決於你如何決定優先順序 by 鍾子偉
當我們改變，聚焦在不同的優先順序上，通常如果我們不夠敏感或是謹慎，我們有可能會傷害周圍重要的人，認為我們不再是他們曾經認識的那個人了，不管是友誼或是職場。
人生中不同階段的每個重要體驗都只有一小扇窗，而當我們年紀越大，追尋或是放走他們的機會成本是會改變的。
3.無往無來，讓你更清楚地看世界 by 我讀網
無往無來不是要隔絕於這個世界；而是不時抽離一下，看這個世界會更清楚，愛這個世界會更深。
我們每天每天，被工作束縛，應酬纏身，手機更是讓我們變了低頭族，我們拿著大把的時間用來應酬與交際。我時常在想，這是不是對生命的一種浪費？假如真的會有『十分鐘年華老去』，我們的人生會不會變得分秒必爭，再也不肯荒廢一點一滴？又假如時光倒流，我們還會不會做現在這樣的自己？
2.人生，取決於你如何決定優先順序 by 鍾子偉
當我們改變，聚焦在不同的優先順序上，通常如果我們不夠敏感或是謹慎，我們有可能會傷害周圍重要的人，認為我們不再是他們曾經認識的那個人了，不管是友誼或是職場。
人生中不同階段的每個重要體驗都只有一小扇窗，而當我們年紀越大，追尋或是放走他們的機會成本是會改變的。
3.無往無來，讓你更清楚地看世界 by 我讀網
無往無來不是要隔絕於這個世界；而是不時抽離一下，看這個世界會更清楚，愛這個世界會更深。
如欲閱讀更多文章摘要，請見 每日晨摘
沒有留言:
張貼留言