腾讯 WeChat 现已支持通行密钥登录
腾讯 WeChat iOS 平台迎来了 8.0.54 正式版更新。有网友发现这个最新版本带来了通行密钥登录支持。首先用户需要使用达到 iOS 16，iPadOS 16 以上的设备，开启 iCloud 钥匙串功能，并开启Apple ID的二次验证。用户可以通过以下步骤完成「通行密钥」的设置：打开 WeChat > 点击“设置” > 选择账号与安全 > 然后选择“通行密钥” > 创建「通行密钥」。按照提示，完成生物识别信息的验证，创建密钥。下次通过 Apple 设备登录 WeChat时，选择“用通行密钥登录”选项，或根据提示直接选择要登录的账户，通过生物识别进行身份验证即可使用「通行密钥」登录。
美国联邦调查局查获 LockBit 密钥，敦促勒索软件受害者寻求帮助
美国联邦调查局透露，已获得超过 7,000 个 LockBit 解密密钥，敦促过去遭受 LockBit 勒索攻击的受害者前来寻求帮助，他们可以利用这些密钥免费恢复被加密的数据。美国联邦调查局网络部门助理主任布莱恩·沃恩德兰于周三在2024年波士顿网络安全会议上宣布了该消息。执法部门在今年二月的国际行动中摧毁了 LockBit 的基础设施。当时警方查获了34台服务器，其中包含解密密钥。
—— bleepingcomputer
谷歌推出的新款 Titan 安全密钥，USB-C 版本 35 美元
谷歌现推出了最新款 Google Titan 安全密钥，可以与苹果、微软、谷歌和其他公司的无密码技术搭配使用。
有两个不同的型号可供选择，都带有 NFC 功能，一种是 USB-C 接口，一种是 USB-A 接口，分别为 35 美元和 30 美元，其他方面与之前的 2021 的版本几乎一样。
Titan 安全密钥包含由谷歌设计的特殊固件，可用于验证密钥的完整性，基于 FIDO 开放标准，与所有支持 FIDO 的（第三方）服务一起使用，它还可以保存多达 250 个账户的密钥。
—— Google 商店
Mac 版 Chrome 很快将允许你访问 iCloud Keychain Passkey
目前， Mac 上的 Chrome 浏览器可以通过浏览器扩展访问 iCloud Keychain 密码，但 Chrome 118 版本还将允许访问存储在 iCloud Keychain 中的 Passkey。
Mac 版 Chrome 浏览器当前仅允许访问存储在 Google 密码管理器中的第三方账号 Passkey，但在 Beta 版 Chrome 118 中，用户可以使用存储并同步到 iCloud Keychain 中的任意 Passkey 来登录网站。
在最新的 Chrome Beta 中，打开 chrome://password-manager/settings 时，会看到“在您的 Apple 设备上使用密钥”选项。
打开后，将在 iCloud Keychain 中创建 Passkey，并可以在你的 Apple 设备上使用。如果关闭，将在当前设备 Chrome 账号下创建的 Passkey。
用户使用 iCloud Keychain 中创建的 Passkey 登录网页，会出现提示，要求使用 Touch ID 进行确认。
—— Helentech
微软调查发现入侵美国政府官员电子邮箱的黑客是从一台崩溃计算机的内存快照中提取到了密钥
微软7月份时披露的这起网络间谍攻击引发了美国国会的调查，在这一攻击中，几名美国国务院官员对中国进行国事访问前，他们的非机密电邮系统被侵入。
中国此前否认了关于其刺探美国高层官员的电子邮件的指控。
微软表示，其调查发现，黑客首先获得了一个加密密钥以访问电子邮件账户。加密密钥是一长串数字字符。该公司有防止密钥被盗的内部系统，但两年多前发生的一连串事件使这次攻击成为可能。
事情的起源是微软云服务使用的一台计算机在2021年4月崩溃。电脑崩溃时保存了内存快照，这被称为内存转储，以便微软工程师检查并找出问题的原因。
微软表示，其控制措施通常会通过编辑来防止内存转储中包含密钥等敏感信息，但在本例中，编辑系统失灵了。
从2021年一直到今年6月上述攻击被发现，该加密密钥一直留在微软的网络上。
在该密钥埋藏在微软的网络期间，一些有中国背景的黑客侵入了该公司一位工程师的工作账户，该账户可以访问内存转储。微软表示，该公司不知道这是什么时候发生的，但这些黑客从2023年5月15日开始访问受害者的电子邮件账户，直到一个月后入侵行为被发现，然后微软关闭了该账户。
不过据安全专家称，尽管微软发布了博客文章，但关于上述攻击仍有一些未解之谜。
—— 华尔街日报
流行的Python和PHP库被劫持用以窃取AWS密钥
每周被下载超过20,000次的PyPI模块 “ctx “在一次软件供应链攻击中被破坏，恶意版本窃取了开发者的环境变量。
攻击者甚至用渗入开发者环境变量的代码替换了旧的安全版本的’ctx’，以收集亚马逊AWS密钥和凭证等秘密。
此外，发布在PHP/Composer软件包库Packagist上的’phpass’分叉版本也被篡改，以类似的方式窃取机密。
PHPass框架在其生命周期内已经在Packagist仓库中产生了超过250万次的下载–尽管恶意版本的下载量被认为要小得多。
—— bleepingcomputer