存档的新闻
- 美国为新的互联网窃听规则辩护
- 美联社（05/05/06）Bridis，Ted
白宫正在为扩大1994年《通信协助执法法案》（CALEA）适用范围以包括互联网电话和宽带服务的新联邦法规辩护。根据FCC授权的规则（将于明年5月生效），此类服务的提供商必须为法庭命令的窃听提供设备；这些规则最初只要求启用无线电话。哥伦比亚特区巡回法院的一个由三名法官组成的小组将于周五审议一个案件，该案件由反对新规则的人提出，即美国以不适当的方式将电话时代的规定应用于新一代互联网服务。司法部在法庭文件中表示，将互联网电话行业置于CALEA之下是必要的，否则该行业“可以有效地为使用新通信服务的罪犯和恐怖分子提供监视安全避难所”包括公民自由和教育团体在内的FCC新规则的批评者声称，这些规则过于宽泛，不符合国会批准CALEA时的目标，CALEA为定义为信息服务的公司提供了豁免。民主与技术中心律师约翰·莫里斯（John Morris）表示：“我们主要担心的是，如果联邦通信委员会（FCC）基本上被允许推翻国会的排除，那么就没有任何限制。”。
- 单击此处查看全文
- Linux桌面增长可能引发新的恶意软件活动
- 《计算机世界》（2006年4月20日）赖，埃里克
随着包括印第安纳州教育部在内的越来越多的组织和机构将Linux作为桌面操作系统实施，专家表示，该平台可能越来越成为恶意软件的目标。现在，Linux的一个主要吸引力是与Windows相比，它对恶意软件的相对免疫力。然而，跨平台概念验证病毒的出现。Linux。Bi.a/病毒。Win32.Bi.a担心实际的恶意软件将不可避免地被启动。SANS研究所的约翰·乌尔里奇（Johannes Ulrich）表示：“我认为，随着Linux变得更加主流，病毒活动将会增加。”。即将推出的Windows Vista中新增的访问控制也可能促使一些病毒创造者瞄准其他操作系统平台，尽管Red Hat和Novell表示，他们在各自的产品中增强了自己的访问控制Security enhanced Linux和AppArmor。
- 单击此处查看全文
- 一种基于视觉相似性评估的反钓鱼策略
- 互联网计算（04/06）第10卷，第2期，第58页；刘文银；邓晓铁；黄光林
- 香港城市大学（City University of Hong Kong）的研究人员提出了一种反钓鱼策略，该策略可以识别潜在的钓鱼网站，并通过视觉线索评估可疑页面与系统注册的实际网站的相似性。SiteWatcher系统采用两个连续的过程：第一个过程在本地电子邮件服务器上运行，监视特定关键字和可疑URL的电子邮件，然后第二个过程将潜在的钓鱼页面与实际页面进行匹配，并通过关注关键区域、页面布局和总体样式来确定视觉相似性。如果网页之间的视觉相似性超过相应的阈值，SiteWatcher会向客户发送钓鱼报告。该系统将块级相似性表示为两个页面之间所有匹配块对的视觉相似性的加权平均值。布局相似度定义为匹配块的加权数占真实页面中总块数的比例，该相似度通过识别几个内容相同的块，然后通过邻域关系模型基于页面上所有块的空间关系匹配其他块来衡量；如果两个块具有高度的视觉相似性，并且与相应的已匹配块满足相同的位置约束，则认为这两个块是匹配的。两个页面之间整体风格的相似性被定义为风格特征值的页面直方图的相关系数。研究人员构建了一个原型SiteWatcher系统，其结果显示前景光明，目前他们正致力于提高系统的效率，并权衡部署商业应用程序的可能性。研究人员认为，SiteWatcher策略可能是大型企业反钓鱼解决方案的一个组成部分。
- 单击此处查看全文
- 宾厄姆顿大学研究链接数字图像和相机
- Eurek警报（04/18/06）
- 纽约州立大学宾厄姆顿大学（Binghamton University）的研究人员开发了一种新技术，可以将数字图像与用于拍摄的相机连接起来，并检测伪造图像。这项技术的工作原理与法医检查人员使用电视抓痕将子弹与发射子弹的枪连接起来的方式类似。电气与计算机工程副教授杰西卡·弗里德里奇（Jessica Fridrich）表示，这项技术将使儿童色情爱好者更难避免被起诉。Fridrich说：“在这些类型或案例中，通常的辩护理由是这些图像不是由此人的相机拍摄的，或者这些图像不是真实的孩子。”。“有时，儿童色情摄影师甚至会在儿童图像上剪下并粘贴成人头部的图像，以避免被起诉。”在发现原始数字图像包含像素到像素不一致的微弱噪声模式后，弗里德里奇、扬·卢卡斯、，米罗斯拉夫·戈尔扬（Miroslav Goljan）开发了一种算法来提取和定义相机的唯一指纹，以便收集有关单个图像的来源和真实性的信息。在一项涉及2700张个人图像和9台数码相机的测试中，他们将图片链接到拍摄照片的相机上，实现了100%的准确性。
- 单击此处查看全文
- 小心智能病毒
- 字节和开关（04/07/06）James Rogers
- 本周“存储网络世界”会议的与会者警告说，一种基于先进数学理论的新型智能病毒可能会破坏存储网络和服务器。Interval International首席信息官萨桑·哈米迪（Sasan Hamidi）表示：“这不是千篇一律的。”他指出，研究人员已经能够“创建一个有生命的计算机程序，并让它具有智能。”有了这种能力，智能病毒可以自我变异，绕过补丁和其他安全措施。哈米迪声称，黑客可以基于细胞自动化或博弈论等科学基础来创作病毒。进化计算可能会导致一种与传统蠕虫和病毒不同的威胁，即一旦检测到，它可以改变自己的代码，并将攻击重定向到网络的另一部分。哈米迪说：“代码会适应环境。”。这可能是一种从环境中学习并变得更智能的蠕虫。“由于存储和许多其他计算机资源现在都是基于IP的，进化计算病毒在通过系统的TCP数据包进入组织后可能会对组织造成严重破坏。会议上的IT管理人员一致认为，很少有人具备遗传算法的专业知识来实现进化计算攻击，尽管他们确定了e以1988年大蠕虫攻击为例，该攻击摧毁了大部分互联网。然而，哈米迪辩称，该行业目前对此类袭击缺乏准备，令人担忧。尽管目前大多数黑客缺乏先进科学理论知识来执行此类攻击，但与会者勉强承认，进化计算攻击的理论可能性成为现实只是时间问题。
- 单击此处查看全文
- 阻挠国家安全局的一个很好的方法
- 《连线新闻》（04/03/06）Singel，Ryan
- Phil Zimmerman是PGP电子邮件加密程序的作者，他开发了一个开源软件应用程序来保护互联网电话的安全。Zfone目前仅适用于OSX和Linux，不过预计本月将推出Windows版本。当流量进出计算机时，该程序对语音呼叫进行加密和解密，并且不需要用户预先确定加密密钥或输入冗长的密码。Zfone已经通过了X-lite、Free World Dialup和Gizmo Project的测试，旨在与使用标准工业SIP协议的任何VoIP客户端兼容。在通话过程中，该软件会为每个呼叫者显示一个三字符的代码，以便大声朗读，以抵御无人攻击，窃听者会截获两个呼叫者之间的密码密钥。如果有人试图拦截通信，语音代码将与呼叫者屏幕上显示的代码不匹配，他们将知道有人试图监听。Zfone基于SRTP系统，该系统在256位AES密码中添加了一个3000位的密钥交换，以生成用户相互朗读的三字符代码。该协议已提交给IETF进行标准化。Zfone的主要目的是与Skype的专有加密系统竞争，该系统不可用于同行审查，据称包含已证实的漏洞。
- 单击此处查看全文
- 如果你认为你理解，那么你就不理解
- 《麦吉尔日报》（2006年3月27日）第95卷第45期，约翰·沃茨；Jeff Wachsmuth
- 伊利诺伊大学的研究人员开发出一种量子计算机，能够在不启动反事实询问技术的情况下解决问题。由Paul Kwiat领导的研究人员通过一系列干涉仪发送光子，这些干涉仪包含带有算法的计算机，基本上是一组逻辑门，通过不透明或保持透明来传递答案的真实性。到目前为止，量子计算的主要应用是数据挖掘和加密。量子计算的强大功能可以简化破解现有RSA加密的过程。麦吉尔计算机科学教授克劳德·克雷珀（Claude Crepeau）表示：“从理论上讲，解决RSA加密的速度比创建RSA加密更快。”。在他的实验中，Kwiat在一个数据库中搜索了一个始终在1到4之间的算法的答案，而没有实际运行该算法。Kwiat认为研究生Onur Hosten在描述量子zeno效应时取得了重大突破，这是一种在进行量子测量时将光子投射到给定状态的现象。叠加会周期性地塌陷光子，尽管该算法已预先编程，基本上永远不会运行。穿过镜子使光子处于叠加状态，在那里光子被反射而不被复制。最后，量子zeno效应使研究人员无需运行算法就能产生准确的结果。
- 单击此处查看全文
- DNS服务器做黑客的肮脏工作
- CNet（2006年3月24日）Joris Evers
- 黑客已经开始使用DNS服务器来扩大互联网攻击的范围，并破坏在线商务，这与传统的分布式拒绝服务（DDOS）攻击不同。VeriSign持续的攻击规模比去年任何时候都要大。VeriSign不是典型的机器人攻击，而是域名系统服务器的目标。安全研究员丹·卡明斯基（Dan Kaminsky）表示：“DNS现在是DDOS的主要载体。”。“门槛已经降低。资源较少的人现在可以发起潜在的破坏性攻击。”基于DNS的DDOS攻击遵循常见的模式，即用流量淹没系统，以使其停止，不过，与单纯的恶作剧相比，黑客更可能是寻求敲诈勒索的专业罪犯。在基于DNS的DDOS攻击中，用户可能会派遣僵尸网络，用伪造的查询淹没打开的DNS服务器。DNS服务器之所以吸引黑客，是因为它们隐藏了自己的系统，同时也是因为通过DNS服务器转发攻击会将效果放大73倍。DNS发明家保罗·莫卡佩特里斯（Paul Mockapetris）将DNS反射器和放大攻击比作堵塞某人的邮箱。给此人写信和邮寄信件将具有可追踪性和耗时性，而在杂志的众多回复请求卡上填写此人的地址将导致大量邮件迅速堆积，而不会泄露责任方的身份。在僵尸发送攻击中，用户可以通过识别攻击机器来阻止流量，尽管阻止DNS服务器可能会中断大量用户的在线活动。允许来自互联网上任何人的查询的DNS服务器，即递归名称服务器，是问题的核心。Mockapetris称这些开放服务器的运营商为“互联网上的伤寒玛丽”，并表示“他们需要清理自己的行为。”
- 单击此处查看全文
- 研究表明ID标签中的芯片容易感染病毒
- 《纽约时报》（2006年3月15日）P.C3；约翰·马尔科夫
- 一组欧洲安全研究人员表明，射频识别（RFID）标签包含一个漏洞，黑客可以利用该漏洞通过感染芯片内存的一小部分来传播软件病毒。研究人员与阿姆斯特丹Vrije Universiteit的计算机科学部门合作，警告说，除了广泛使用RFID标签引起的大量隐私问题外，新发现的漏洞还可能使恐怖分子或走私者通过机场的RFID行李扫描系统。研究人员测试了用于在RFID标签中复制商业软件的软件，并指出，虽然他们没有具体的缺陷要报告，但他们认为商业RFID软件包含的潜在漏洞与计算机行业的其他软件相同。该组织的领导人、美国计算机科学家安德鲁·塔南鲍姆（Andrew Tanenbaum）特别警告缓冲区溢出的危险，这是整个软件行业中常见的编程错误，开发人员无法验证所有输入数据。SRI International的彼得·诺伊曼（Peter Neumann）是《ACM通讯》（Communications of The ACM）5月刊即将发表的一篇文章的合著者，他表示，RFID标签的低成本也是一个安全问题，这是RFID标签广泛应用于跟踪货物、商品甚至牲畜和宠物的关键功能。诺伊曼说：“一个设计成尽可能廉价制造的系统在设计时没有任何安全限制，这并不让你感到惊讶，尽管他之前没有考虑过病毒或恶意软件的可能性。
- 单击此处查看全文
- 在线业余爱好者破解纳粹密码
- BBC新闻（03/02/06）Adam Blenford
- 由网格计算支持的软件破解了二战期间的一个德国密码，该密码曾在战争期间困扰盟军的密码破坏者，自1995年密码问世以来，密码爱好者也一直为之苦恼。1942年，一台更新的德国Enigma机器对德国密码进行了编码，加密后的德国密码导致盟军在北大西洋遭受重大损失。德国小提琴家斯特凡·克拉赫（Stefan Krah）热衷于开源软件和密码技术，他出于“人类基本的好奇心”，开始了破解德国密码的新探索，尽管这些密码相对缺乏历史意义。利用资深业余密码学家多年的工作经验，Krah编写了一个代码破解程序，并在互联网上发布，吸引了约45名自愿使用机器参与该项目的用户的兴趣。该项目现在在2500台独立机器上运行。只花了一个多月的时间就破译了三个密码中的第一个密码，其中一艘德国潜艇报告说，它正在潜入水中，并转播了最后记录的敌方阵地。Enigma机器使用了一系列转子和电气元件来对信息进行独特编码，这让英国布莱奇利公园著名的盟军密码学家们感到困惑。在对信息进行编码时，由于插接板交换了成对的字母，因此传输过程更加混乱。Krah的软件将算法与原始计算能力相结合，再现了插板交换的可能性，同时系统地涉猎转子设置组合。
- 单击此处查看全文
- 密码学家表示，手机可能会破解RFID标签
- EE时报（02/14/06）Merritt，Rick
- 魏茨曼研究所计算机科学教授阿迪·沙米尔表示，手机可以用来破坏最流行的RFID标签品牌。这位密码学专家最近监测了RFID标签在使用定向天线和数字示波器读取时的功率使用情况。沙米尔在圣何塞RSA会议的小组讨论中补充说，可以确定标签是否收到正确的密码位。Shamir指出：“我们可以看到，如果发送了错误的位，芯片会不高兴，并且会从环境中消耗更多的能量？？向RAM写入一条通知，说明它接收到了错误的比特，并忽略字符串的其余部分。”。测试是在最大品牌的RFID标签上进行的，结果表明标签没有受到保护。沙米尔说：“手机拥有进行攻击和破坏附近所有RFID标签所需的所有成分。”。他指出，由于需要将标签的成本降低到每个5美分，设计师们已经削减了安全功能，但他警告说，下一代标签将不得不解决安全问题。
- 单击此处查看全文
- 调用加密程序
技术评论（02/16/06）Greene，Kate
微软董事长比尔·盖茨在本周圣何塞RSA大会上的主题演讲中概述了信息安全的整体愿景，包括一个“真正的生态系统”，计算行业的所有成员都可以在这里共同打击网络攻击。盖茨和其他会议发言人主张采用多层安全方法，虽然不是万无一失，但可以支撑硬件、软件和网络。盖茨声称，网络钓鱼和其他基本方案很容易破坏密码保护，他将微软的InfoCard数字身份系统作为一个值得替代的系统，尽管盖茨承认，由于需要合作的供应商众多，取消密码至少需要四年时间才能完成。RSA Security首席执行官Art Coviello概述了其公司的社区警务计划，该计划将在全球范围内解决安全问题。RSA的系统可以立即标记与欺诈交易相关的IP地址，并通知银行和其他相关机构。Sun首席执行官Scott McNealy谈到了他的公司为提高服务器硬件和数据中心的安全性所采取的步骤，并描述了Sun处理器中内置的椭圆曲线加密（ECC）。国家安全局批准的安全标准使用了比传统密码应用更小的密钥，因此适用于手机和审查员等更小的设备。一组杰出的密码学家重申了创建和传播新方法的呼吁，因为除了Sun开发的ECC外，该行业目前仅使用RSA和Diffie-Hellman加密标准，在一种技术失败的情况下几乎没有追索权。
- 单击此处查看全文
- 高科技，皮下
- 《纽约时报》（02/02/06）P.E1；安娜·巴恩尼
- 人与机器的融合向前迈出了大胆的一步，人们将RFID设备植入皮肤下，登录电脑，解锁汽车，挥手开门。一些狂热者认为，手机本质上已成为人体的附属物，植入芯片只是我们与科技相互交织关系的逻辑延伸。多年来，RFID标签已经植入家畜体内，使家畜主人能够从2到4英寸远的地方对家畜进行扫描，以确定家畜是否属于他们。虽然人与计算机的融合长期以来一直是科幻幻想家们的反乌托邦幻想，但越来越多的亲融合技术专家看到了现实，他们重新设计了相机、MP3播放器和存储设备，使其看起来像珠宝，并融入用户的衣柜，以及现在带有蓝牙功能的夹克和太阳镜，使其能够作为数字设备使用。未来研究所（Institute For the Future）的Alex Soojun-Kim Pang表示，对于许多将手机视为自己的延伸、在钥匙链上携带闪存驱动器、在整个音乐库中携带iPod的人来说，植入RFID芯片与植入填充物没什么不同。RFID标签只需2美元就可以在互联网上获得，电脑和车门等设备也可以通过线扫描仪进行修改，以与芯片连接。植入RFID芯片并不是一种新的做法，因为自2004年以来，佛罗里达州的Verichip公司已经为2000多人植入了芯片，以连接他们的病历。这种做法受到了隐私倡导者的批评，他们声称，虽然这项技术今天可能是一项吸引人的新奇技术，但未来可能会带来一种依赖RFID的气候，人们将被要求植入芯片。由于许多人将芯片植入非医疗环境中，这一过程也引起了健康方面的担忧。
- 单击此处查看全文
- 蒙着眼睛的老大哥，有点像
- 技术审查（01/30/06）；凯特·格林
- 在最近的一次采访中，IBM的Jeff Jonas讨论了他备受争议的Anonymous Resolution软件，这是一种可以在不同数据库之间匹配个人的交叉引用技术。虽然银行或其他机构通常会将加密的客户数据发送给数据库营销公司进行分析，但Jonas的方法超越了加密和匿名化数据的范畴，为每一条个人信息指定了一个不可逆的数值，而这些信息是无法通过反向运行数学计算的。传统上，数据库营销人员必须解密信息以进行分析，然后再次加密以将其传输回原始实体，但如果数据库公司是内部腐败或安全漏洞的受害者，则数据会受到威胁。匿名解析系统使原始实体能够与数据库营销人员共享信息，只需将他们的两个数据库与公共标识符链接起来，这样信息就永远不会被解密。目前，该系统主要由寻求促进内部沟通的政府使用，例如执法机构内的各个部门试图确定其调查是否重叠。该软件使用的特殊加密方法（称为单向散列）非常敏感，Jonas很难克服身份表示方式中的细微差异，例如大小写和中间缩写。Jonas报告称，他花费了大约40%的时间来解决与政府观察名单内容相关的隐私和公民自由问题，以及创建不可变的审计日志，这将有助于确保有权访问这些名单的人不会操纵这些名单，将其用于个人或琐碎的应用程序。
- 单击此处查看完整文章
上次修改时间5/20/2006