标签： 漏洞

斯巴鲁安全措施薄弱大量车辆数据易被窃取

斯巴鲁留下了一个巨大的安全漏洞，虽然已经修补，但仍暴露出现代汽车的无数隐私问题。两位安全研究人员报告了他们关于一个容易被黑客入侵的员工门户网站的发现。获得访问权限后，他们能够远程控制测试车辆并查看一年的位置数据。在安全分析师通知斯巴鲁后，该公司迅速修补了漏洞。被黑的管理门户是斯巴鲁STARLINK车联网功能套件的一部分。研究员在领英上找到斯巴鲁员工电邮地址，并在绕过两个必需的安全问题后重置了该员工密码，从而成功入侵。​该管理门户还允许研究员远程启动、停止、锁定和解锁任何与STARLINK连接的斯巴鲁汽车，还可以查询和检索任何客户的个人信息。

—— Engadget、《连线》杂志

黄仁勋被指利用美国税法漏洞合法避税

黄仁勋利用美国联邦遗产税和赠与税中的漏洞避税，金额或高达80亿美元。2012年，黄仁勋向SEC提交的文件显示，他们夫妻开设了一种名为“不可撤销信托”的资产类型，将58.4万股英伟达股票转入其中。当年这笔股票的价值现已达到30亿美元，而利用IDGT的避税方式，继承人在继承时仅需缴纳数十万美元的税款。而在2016年，黄仁勋和妻子成立了几家授予人保留年金信托，并在当年将300多万股英伟达股票投入了四个新的GRAT之中。这些股票价值现已超过150亿美元，作为一种不可撤销的信托，信托受益人也就不必为这些资产缴纳遗产税。从2007年起，黄仁勋还利用向慈善基金会捐款的方式避税，包括其与妻子设立的慈善基金会。

—— 澎湃新闻

微信开发人员在修改 TLS 时引入了安全漏洞

研究人员称，消息应用巨头微信使用了自定义修改版的 TLS 网络协议，因此引入了安全漏洞。微信使用 MMTLS，这是一种基于 TLS 1.3 的加密协议。开发人员基本上对标准 TLS 进行了调整，但应用程序的加密实现方式“与十亿用户使用的应用程序所期望的加密级别不一致，例如它使用确定性 IV 和缺乏前向保密性。”但更彻底的分析显示，它提供了两层加密，明文内容被包裹在“业务层加密”中，而得到的密文则被包裹在 MMTLS 加密中，密文将通过微信网络发送。这有效缓解了对 MMTLS 缺陷的可能的攻击，但这些缺陷在标准版 TLS 中并不存在。

研究人员表示，只有在中国，开发人员才会逆潮流而行，自行开发加密系统，而且一般来说，这些系统都不如标准 TLS 1.3 或 QUIC 实现有效。

—— The Register