美国政府敦促联邦承包商加强加密
与美国政府合作的公司可能会被要求最早在七月份开始保护其数据和技术免受量子计算机的攻击。美国商务部下属的国家标准与技术研究院(NIST)将于七月规定该机构认为足以保护量子计算机数据的三种加密算法，制定国际公认的标准，旨在帮助企业管理不断变化的网络安全威胁。白宫副国家安全顾问安妮·纽伯格周二在英国剑桥告诉记者，这些标准的推出将开启“向下一代密码学的过渡”。她补充说，破解加密不仅威胁到“国家安全机密”，还威胁到我们保护互联网、在线支付和银行交易的方式。
—— 彭博社
标签： 信息安全
-
戴尔披露数据泄露事件
戴尔披露客户实际地址数据泄露
戴尔周四通知客户，其遭遇了涉及客户姓名和实际地址的数据泄露。通知邮件写到写道，该公司正在调查“涉及戴尔门户网站的事件，该门户包含一个数据库，其中包含与从戴尔购买相关的有限类型的客户信息。”在此次泄露的信息包括客户姓名、实际地址和“戴尔硬件和订单信息，包括服务标签、商品描述、订单日期和相关保修信息”。戴尔没有透露该事件是由外部恶意人员还是无意错误造成的。该公司表示，泄露的数据不包括电子邮件地址、电话号码、财务或付款信息，或“任何高度敏感的客户信息”。在黑客论坛上，有人声称窃取了大约4900万客户的信息，这些数据与戴尔披露的被盗数据相符。
—— Techcrunch
-
防火长城存在重大安全漏洞
防火长城存在泄漏跨国流量数据的漏洞
FOCI 2024 会议于上月举行，会议中发表的论文 “Bleeding Wall: A Hematologic Examination on the Great Firewall” 公开了防火长城于去年存在的内存越界读取漏洞。攻击者发送构造的 DNS 查询，存在漏洞的 DNS 污染服务器会在抢答的请求回复中包含缓冲区中的内容，多数时候是刚处理的上一个数据包。尽管泄漏量有限，每次只能泄漏 124 字节，但论文作者在三天之内收集了数百万条明文 HTTP 凭据等敏感信息，以及暗含防火墙进程特征的栈帧。
—— 奇客，论文
-
苹果公司承认 APNs 推送服务信息可被政府获取
苹果公司承认 APNs 推送服务信息可被政府获取
苹果公司更新了其法律程序指南，以反映公司遵守执法要求提供与其推送通知服务相关的 Apple ID 信息的法律义务。
在标题「苹果推送通知服务 (APN)」的部分中，苹果公司表示：
当用户允许他们安装的应用程序接收推送通知时，就会生成 Apple 推送通知服务 (APNs) 令牌并将其注册到该开发人员和设备上。某些应用程序可能在一台设备上为一个帐户设置多个 APNs 令牌，以区分消息和多媒体。与已注册的 APNs 令牌关联的 Apple ID 可以通过传票或更严格的法律程序获得。
美国参议员罗恩·怀登周三在给司法部的一封信中表示，国内外政府迫使苹果和谷歌提供与推送通知相关的元数据。苹果公司当时表示：“在这种情况下，美国联邦政府禁止我们分享任何信息，” “既然这种方法已经公开，我们正在更新我们的透明度报告，以详细说明此类请求。”
—— 苹果法律程序指南（感谢蓝点网站长帮忙取的标题）（昨日的报道）
-
中国网信办启动一月期的清朗行动
中国网信办为整治网络戾气，即日起在全国范围内启动为期一个月的清朗行动
据“网信中国”微信公众号消息，按照 2023 年“清朗”系列专项行动总体安排，中国中央网信办决定即日起在全国范围内启动为期一个月的“清朗·网络戾气整治”专项行动。
专项行动围绕社交、短视频、直播等重点平台类型，坚决打击以下7方面问题：“网络厕所”“开盒挂人”行为；借社会热点事件恶意诋毁、造谣攻击；污名化特定群体、煽动地域对立；斗狠PK等低俗不良直播行为；有组织地恶意辱骂举报他人；编造网络黑话、恶意造梗；煽动网上极端情绪。
—— 网信中国
-
网络攻击原因揭露
OPENAI 称网络攻击导致 ChatGPT 持续中断
OPENAI 正在努力应对 “异常流量”，这表明黑客正试图淹没其服务，这也首次揭示了本周困扰 ChatGPT 的故障的潜在原因。
这家由微软公司支持的初创公司帮助推动了全球生成式人工智能的发展，它表示发现了分布式拒绝服务攻击的迹象，在这种攻击中，外部攻击者试图通过反复发送数据包和大量虚假请求使目标平台超载。
“我们正在处理因反映 DDoS 攻击的异常流量模式而导致的周期性中断。我们正在继续努力缓解这一问题，”这家初创公司在其最新的系统状态更新中表示。该公司代表在下班后没有立即回复彭博社置评请求。
—— 彭博社
-
DDoS 攻击中发现 HTTP/2 漏洞
Cloudflare 谷歌等企业发现 HTTP/2 的一个零日漏洞可以放大DDoS攻击，每秒可达数亿次
互联网巨头表示，新发现的 HTTP/2 漏洞已被用来发起 DDoS 攻击，其规模远远超出了之前记录的任何一次。
Cloudflare、谷歌、微软和亚马逊均表示，他们成功缓解了其中两家公司在 8 月和 9 月记录的最大 DDoS 第 7 层攻击，但没有透露这些攻击是针对谁的。这些公司表示，这些攻击之所以可能发生，是因为 HTTP/2 协议中存在一个零日漏洞，他们将其命名为“HTTP/2 快速重置”。
HTTP/2 允许通过单个连接同时向网站发出多个请求，从而加快页面加载速度。Cloudflare 写道，这些攻击显然涉及到一个自动循环，即向使用 HTTP/2 的网站发送并立即取消“数十万个”请求，导致服务器不堪重负并使其脱机。
谷歌记录的最严重的攻击每秒超过 3.98 亿次请求，据称这是其之前记录的任何此类攻击的七倍多。Cloudflare 在峰值时每秒处理了 2.01 亿个请求，它也称其为破纪录，而亚马逊记录的请求最少，达到了极限。每秒 1.55 亿次。微软没有透露自己的数据。
—— TheVerge
-
钉钉用户个人数据疑似泄露
钉钉用户数据库疑似泄露
有黑客在论坛出售钉钉用户的数据，信息包含用户图片的链接以及联系人姓名、地址、电子邮件、电话和有关工作绩效的详细信息。
该包总大小为626mb，压缩后为2.1 mb。黑客称由于在导出过程中连接被切断，他没有获取到整个数据库。
-
TETRA 加密算法存在重大缺陷，可能有预留的后门
研究人员发现被全球军警广泛使用的无线电设备加密算法有重大缺陷，极有可能是一个预留的后门
25年来，一项用于全球关键数据和语音无线电通信的技术一直处于保密状态，以防止任何人仔细检查其安全属性是否存在漏洞。 但现在，由于荷兰的一小群研究人员深入了解了它的内部结构并发现了严重缺陷，包括故意的后门，它终于得以公开亮相。
TETRA 是由欧洲电信标准协会 (ETSI) 在 90 年代开发的。 该标准包括四种加密算法：TEA1、TEA2、TEA3 和 TEA4，无线电制造商可以根据其预期用途和客户在不同产品中使用这些算法。 TEA1用于商业用途； 不过，根据 ETSI 文件，对于欧洲和世界其他地区关键基础设施中使用的无线电，它也设计供公共安全机构和军队使用，研究人员发现警察机构也在使用它。
TEA2 在欧洲仅限警察、紧急服务部门、军队和情报机构使用。 TEA3 适用于欧洲以外的警察和紧急服务——在墨西哥和印度等被视为对欧盟“友好”的国家； 那些不被视为友好的国家（例如伊朗）只能选择使用 TEA1。 研究人员表示，另一种商业算法 TEA4 几乎没有被使用。
研究人员在进行开源研究后发现，除美国外，世界各地绝大多数警察部队都使用基于 TETRA 的无线电技术。
研究人员购买了现成的摩托罗拉 MTM5400 无线电，并花了四个月的时间从无线电固件的安全区域中定位并提取算法。 他们不得不使用一些零日漏洞来破坏摩托罗拉的保护措施，并报告给摩托罗拉进行修复。 一旦他们对算法进行逆向工程，他们发现的第一个漏洞就是 TEA1 中的后门。
研究人员表示，所有四种 TETRA 加密算法都使用 80 位密钥，即使在发布二十多年后，仍然提供足够的安全性来防止有人破解它们。 但 TEA1 有一个功能，可以将其密钥减少到只有 32 位，不到密钥长度的一半。 研究人员能够使用标准笔记本电脑和四个密文在不到一分钟的时间内破解它。
研究人员不知道他们发现的漏洞是否正在被积极利用。 但他们确实在爱德华·斯诺登泄密事件中发现了证据，表明美国国家安全局 (NSA) 和英国 GCHQ 情报机构过去曾针对 TETRA 进行过窃听。
—— 连线杂志
