标记为“control”的条目

第1页,共8页

远程控制触摸屏

这更多的是一个演示,而不是真实世界中的漏洞,但研究人员可以使用电磁干扰远程控制触摸屏.

来自新闻文章:

值得注意的是,该攻击有几个关键限制。首先,黑客需要知道目标的手机密码,或者在手机解锁时发起攻击。其次,受害者需要将手机正面朝下,否则电池和主板会阻挡电磁信号。第三,天线阵列的距离不得超过4厘米(约1.5英寸)。由于所有这些原因,研究人员自己承认,“隐形手指”技术是一种概念证明,在这一点上,它远远不是大学实验室以外的威胁。

编辑添加(9/12):该项目具有网站.

发布于2022年8月16日上午6:59查看评论

包括北约作战游戏中的黑客

这个散文指出实际的计算机黑客将成为北约作战游戏的有用补充:

国际信息安全界到处都是不在军事结构中的聪明人,他们中的许多人都很乐意在任何即将到来的战争游戏中扮演独立的角色。包括它们将增加游戏的真实性以及士兵在这些网络上构建和训练的技能。黑客和网络战专家将演示工业控制系统,例如疫苗生产设施中的制冷电源和温度监测是如何成为关键基础设施的;它们很容易成为目标,应该是北约目前的优先事项之一。

思想的多样性会带来更好的解决方案。我们信息安全界强烈支持公认的非军事专家参与未来网络战争场景的开发和测试。我们相信,许多将分享技能视为公共服务的独立专家会将参与这些网络游戏视为一种挑战和荣誉。

发布于2021年1月29日12:03 PM查看评论

Maciej Cegłowski谈信息时代的隐私

Maciej Cegłowski有一个非常好的文章解释今天如何考虑隐私:

在本文中,我将其称为“环境隐私”,即了解让我们的日常互动保持在监控范围之外是有价值的,我们日常生活中的小细节应该被忘却。我们在家、工作、教堂、学校或休闲时间所做的事情不属于永久记录。不是每一次谈话都需要证词。

直到最近,环境隐私还是一个简单的事实。为后代记录一些东西需要做出特殊安排,而我们过去的大部分共同经历都是通过人类记忆中逐渐消逝的薄雾过滤掉的。即使是像东德这样的警察国家,七分之一的公民是告密者,也无法监视其全部人口。今天,计算机给了我们这种力量。中国和沙特阿拉伯等威权国家正在利用这种新发现的能力作为社会控制的工具。在美国这里,我们用它来显示广告。但全方位监控的基础设施到处都是一样的,到处都在大规模部署。

环境隐私不是人们的财产,也不是他们的数据,而是我们周围世界的财产。就像你不能通过拒绝开车而退出石油经济一样,你也不能通过放弃技术而退出监视经济(对许多人来说,这种选择不是一种选择)。虽然可能有充分的理由让你的生活脱离电网,但无论你使用与否,基础设施都会在你周围建立起来。

因为我们的法律将隐私视为一项个人权利,所以我们没有一个机制来决定我们是否想生活在监视中社会国会对此事保持沉默,两党都愿意看着硅谷制定自己的规则。大型科技公司指出,我们愿意使用他们的服务,证明人们并不真正关心他们的隐私。但这就像是在争论囚犯很乐意呆在监狱里,因为他们使用监狱图书馆。面对这个被监控的世界的现实,人们做出了充分利用这个世界的理性决定。

这不是同意。

当环境隐私延伸到隐私法无法触及的社会和公共空间时,环境隐私尤其难以保护。如果我在机场受到面部识别,或者在小联盟比赛中被社交媒体标记,或者我的公共图书馆安装了Alexa麦克风上的always,那么没有人侵犯我的合法权利。但我生命的一部分被置于软件的放大镜下。即使从我那里收集到的数据严格按照最流行的数据保护法进行匿名化,但由于受到监控,我还是损失了一些东西。

他并不是第一个将隐私作为社会财产或使用污染隐喻的人。但他的观点确实令人信服。“环境隐私”是一个新的、很好的措辞。

发布于2019年6月19日上午5:21查看评论

Alex Stamos谈内容管理和安全

前Facebook CISO Alex Stamos争论社交媒体平台面临越来越大的政治压力,要求其缓和内容,这将给他们提供一个借口,让他们关闭所有端到端加密,这将对他们更有利,对社会更不利。

如果我们要求科技公司修复现在网络上反映出来的古老社会弊病,那么我们最终将看到巨大的、民主的、不可计数的组织以我们从未想过的方式控制着我们的生活。而这些弊病仍将存在于表面之下。

发布于2019年1月15日上午5:55查看评论

美国武器系统的安全漏洞

美国政府会计局刚刚出版一份新报告:“武器系统网络安全:国防部刚刚开始应对漏洞规模“(摘要在这里). 结果不会让我的任何一位老读者感到惊讶:他们很脆弱。

根据总结:

自动化和连接性是国防部现代军事能力的基本促成因素。然而,它们使武器系统更容易受到网络攻击。尽管美国政府问责局和其他机构几十年来一直在警告网络风险,但直到最近,国防部才将武器系统网络安全列为优先事项。最后,国防部仍在确定如何最好地解决武器系统网络安全问题。

在作战测试中,国防部经常在正在开发的系统中发现任务关键型网络漏洞,但GAO会见的项目官员相信他们的系统是安全的,并认为某些测试结果不太现实。使用相对简单的工具和技术,测试人员能够控制系统,并且在很大程度上操作时未被检测到,部分原因是密码管理不佳和通信未加密等基本问题。此外,由于测试限制,国防部知道的漏洞可能只占总漏洞的一小部分。例如,并非所有程序都经过了测试,测试也没有反映出所有威胁。

忽略这个问题或假装它不是什么大问题,无疑更容易,也更便宜。但从长远来看,这可能是一个错误。

发布于2018年10月10日上午6:21查看评论

澳大利亚秘密文件内阁

这个故事泄露的澳大利亚政府机密与我所听到的任何其他机密都不同:

它始于堪培拉的一家二手店,在那里前政府家具被廉价出售。

如果有问题的物品是两个沉重的档案柜,没有人能找到钥匙,那么交易可能会更便宜。

这些锁是用零钱买来的,几个月来一直没有打开,直到锁被钻破。

里面是现在被称为“内阁档案”的文件宝藏。

数千页揭示了五个独立政府的内部运作,跨越近十年。

几乎所有的文件都是机密文件,有些是“绝密”或“AUSTEO”,这意味着它们只能被澳大利亚人看到。

是的,这真的发生了。购买并打开文件柜的人联系了澳大利亚广播公司,该公司目前正在发布一系列文件。

有很多有趣的(和禁运)文件中的内容,尽管大部分是地方政治。我更感兴趣的是政府对事件的反应:他们推动法律使新闻界发布通过非官方渠道获得的政府机密成为非法行为。

他说:“关于这项立法,我想指出的一点是,机密信息是犯罪的一个要素。”。

“也就是说,如果你有一个文件柜,里面装满了机密信息……这意味着如果他们起诉你,王室只需证明这是机密信息,其他什么都不需要。

“他们不需要证明你知道它是机密的,所以知识是无关紧要的。”

[…]

许多团体提出了担忧,包括媒体组织表示,他们不公平地针对试图完成工作的记者。

但实际上,任何人都可能仅仅因为拥有机密信息而被起诉,无论他们是否知道。

例如,这可能包括,如果你在回家的路上无意中在一个普通的垃圾桶里发现了一个秘密文件文件夹,并将其交给了一名记者。

这说明了对威胁的根本误解。澳大利亚广播公司(Australian Broadcasting Corp)从政府那里获得资金,并且对其发布的内容非常克制。他们等待了几个月在出版之前,他们与澳大利亚政府进行了协调。他们允许政府保护文件,然后返回他们从政府的角度来看,他们是接收这一信息的最佳媒体渠道。如果政府规定澳大利亚媒体发布此类材料是非法的,那么下一次它将被发送给英国广播公司(BBC)、《卫报》(Guardian)、《纽约时报》(New York Times)或维基解密(Wikileaks)。由于人们不再从商店里出售的报纸上阅读新闻,而是在互联网上阅读,因此,结果将是许多人阅读的故事很少有校订。

拟议中的法律比这一漏洞更古老,但漏洞给它注入了新的活力。澳大利亚反对党对是否支持这项法律持谨慎态度。他们不想在国家安全问题上显得软弱,所以我并不乐观。

编辑添加(2/8):澳大利亚政府后退新的安全法。

编辑添加(2/13):优秀政治漫画.

发布于2018年2月7日上午6:19查看评论

WhatsApp漏洞

WhatsApp中的一个新漏洞已被发现:

……研究人员在WhatsApp的安全性方面发现了更大的差距:他们说,任何控制WhatsApp服务器的人都可以毫不费力地将新用户插入到一个其他的私人组中,即使没有表面上控制该对话访问权限的管理员的许可。

马修·格林有一个很好的描述:

如果你想要的是TL;DR,这是一个标题发现:由于Signal和WhatsApp中的缺陷(我之所以选择它们是因为我使用了它们),理论上陌生人可以加入加密的群聊。然而,需要注意的是,这些攻击在实践中极难成功,因此没有人需要恐慌。但这两个问题都是可以避免的,而且往往会首先破坏端到端加密协议的逻辑。

这里是研究论文.

编辑添加(2/12):评论来自协议开发人员莫西·马林斯派克。

发布于2018年1月25日上午6:47查看评论

关于Chris Roberts和航空电子安全的更多信息

上个月,我写了一篇关于安全研究员克里斯·罗伯茨(Chris Roberts)在联合航空公司航班上发布关于航空电子设备安全的推特后被FBI拘留:

但对我来说,这个故事最吸引人的部分是,一台电脑正在监控推特信息,并理解了这些模糊的参考信息,提醒了一位找出这些信息作者的人,调查了他乘坐的航班,并在几个小时内派了一支FBI小组前往锡拉丘兹机场。正在进行一些严肃的监视。

我们从联邦调查局那里了解到更多的幕后故事认股权证申请他之前曾多次接受美国联邦调查局的采访,并在飞行中控制了至少部分飞机的控制。

今年2月和3月,罗伯茨在接受联邦调查局特工的两次采访时表示,2011年至2014年期间,他在飞行中黑客攻击了波音和空客飞机的飞行娱乐系统约15至20次。根据搜查令申请书所附的宣誓书,有一次,罗伯茨告诉联邦特工,他侵入了一架飞机的推力管理计算机,并暂时控制了一台发动机。

联邦调查局特工迈克·赫利签署的宣誓书说:“他说,他成功地控制了他使用的系统,以发出‘爬升’或爬升命令。他说,因此他导致其中一个飞机引擎爬升,导致飞机在其中一次飞行中发生横向或侧向移动。”。

罗伯茨还告诉特工,他侵入了飞机网络,能够“从驾驶舱系统监控交通”

根据搜查令申请,罗伯茨说,他使用笔记本电脑和以太网电缆访问机上娱乐系统,从而侵入了系统。

Wired有更多.

这使得联邦调查局的行为更加合理。他们没有在推特上搜索随机关键词;他们在监视他的账目。

不过,我们不知道联邦调查局的说法是否属实。但是,如果罗伯茨坐在乘客座位上时正在攻击一架飞机……哇,这样做很愚蠢吗。

来自基督教科学箴言报:

但罗伯茨的声明和联邦调查局的行动提出的问题与他们回答的问题一样多。对于罗伯茨来说,问题是为什么联邦调查局突然将注意力集中在多年来一直是公共记录一部分的研究上。

罗伯茨说:“四五年来,这一直是一个众所周知的问题,我们中的一些人站起来捶胸顿足,说‘这个问题必须解决’。”。他说:“有可信的威胁吗?有什么事情发生吗?如果有,他们不会告诉我们。”。

罗伯茨并不是唯一一个被四月份有关他被拘留的一系列事件以及有关他与联邦特工面谈的披露搞糊涂的人。

一位不愿透露姓名的前联邦计算机犯罪检察官说:“我想看一份采访记录。”。“如果他做了他说的事,为什么他没有入狱?如果他没有做,为什么FBI说他做了?”

这个实际问题航空电子设备和娱乐系统在同一个网络上。这样做更愚蠢。上个月,我写了关于他说我并不担心飞机被黑客攻击的风险。现在我更担心了。

发布于2015年5月19日上午8:00查看评论

Joe MacInnis拍摄的Bruce Schneier的侧栏照片。