UPnP協定漏洞波及數十億連網裝置,可造成DDoS攻擊

安全研究人員Yunus Çadirci發現IoT裝置仰賴的UPnP協定存在安全漏洞,可讓駭客用來掃瞄網路、竊密,或是以物聯網用來助長分散式阻斷服務攻擊(DDoS)。

安全研究人員發現IoT裝置仰賴的UPnP協定存在安全漏洞,可讓駭客用來掃瞄網路、竊密,或是以物聯網用來助長分散式阻斷服務攻擊(DDoS)。

編號CVE-2020-12695的漏洞是由土耳其研究人員 Yunus Çadirci發現,和UPnP協定有關。UPnP跑在UDP port 1900埠及TCP埠,用於物聯網裝置尋找與控制的區域網路(LAN)上其他鄰近裝置的網路協定。但是UPnP協定是為受信賴的LAN裝置而設計,因此缺少流量驗證機制,不良預設可能給遠端攻擊者下手的機會。

研究人員發現UPnP SUBSCRIBE功能中的Callback header值可能被攻擊者操控,而造成了類似伺服器端的請求偽造(Server-Side Request Forgery,SSRF)漏洞,又被稱為CallStranger。CallStranger可被用來造成多種攻擊,像是繞過資料洩露防護(DLP)及網路安全裝置,引發資訊外洩、從連上網際網路的UPnP裝置掃瞄LAN網路的傳輸埠,或是以這些UPnP裝置為基地造成進一步、規模更大的反射式TCP DDoS攻擊。講得明白點,就是這些家用或企業產品,可能被用來發動DDoS攻擊。

Çadirci指出,全球數十億連網產品,包括路由器、電腦、印表機、遊戲機、TV、IP攝影機甚至對講機等,都受CallStranger漏洞影響。

研究人員發現本漏洞後,於去年12月首度聯絡標準制訂組織開放連網協定(Open Connectivity Foundation,OCF),後者今年4月才釋出新版規格,而且由於這是存在於UPnP本身的漏洞,相關廠商也花了好一段時間來修補。

ISP和DSL/纜線路由器廠商應檢查其產品的UPnP協定,廠商應升級新版規格以修補SUBSCRIBE功能。ISP則可以關閉由外部網路的UPnP Control & Eventing傳輸埠。企業用戶應在裝置廠商升級前,實施網路深度防禦措施。至於一般家用戶,研究人員表示不需關閉UPnP,只是要確保UPnP裝置沒有曝露在網際網路上。

這不是UPnP第一次傳出漏洞問題。2018年安全廠商Imperva發現UPnP協定的UPnProxy漏洞,可能讓駭客用來發動進階持續性滲透(APT)攻擊或是分散式阻斷服務攻擊(DDoS)。

【漏洞】Cisco IOS路由器中存在严重漏洞,系统或遭完全控制

所有的经验告诉我们,没有完全没有漏洞的系统,唯一能让我们安全使用的方案是,不停的为之打补丁!

近日据外媒报道,思科宣布将修复Cisco IOS路由器中的许多漏洞,其中包括十多个漏洞,这些漏洞正在影响该公司的工业路由器和交换机服务。

据悉,此次修复行动作为IOS和IOS XE的一部分,总共消除了25个高级严重性级别的漏洞。此外,该公司还针对影响iOS和其他软件的高中级严重性问题发布了许多其他建议。

 

在此次修复中,最严重的关键问题之一是“CVE-2020-3205”漏洞,它是属于VM通道命令注入漏洞,存在于Cisco 809,Cisco 829和Cisco 1000系列路由器(CGR1000)的Cisco IOS软件VM间通道中。它允许未经身份验证的攻击者可在VDS的Linux shell上下文中以root用户的特权有效地执行任意命令。同时,攻击者可以通过简单地将特制数据包发送到受害者的设备来利用此安全漏洞,一旦攻击成功可能导致系统的完全破坏。

另一个严重漏洞已获得标识“CVE-2020-3198”,并且它的漏洞特点与第一个漏洞相似,属于思科工业路由器任意代码执行漏洞。由于它允许未经身份验证的攻击者在易受攻击的系统上远程执行任意代码以导致系统崩溃,然后再通过将恶意数据包发送到设备来重新启动设备。同时,这些问题也会影响Cisco ISR 809和829工业路由器以及1000系列的CGR设备。

除此之外,思科还确定了CVE-2020-3227是至关重要的漏洞,该漏洞问题出在Cisco IOS XE中针对Cisco IOx基础架构的授权控制。由于该错误允许没有凭据和授权的攻击者访问Cisco IOx API并远程执行命令。因此,事实证明IOx无法正确处理对授权令牌的请求,它使攻击者可以在受影响的设备上使用特殊的API命令、请求令牌并执行任意命令。此外,对于这个漏洞,思科已经澄清,因为没有可行的解决方法来解决此安全漏洞,因此他们已经发布了解决此漏洞的必要软件更新。

注:本文由E安全编译报道,原文地址 https://www.easyaq.com

【漏洞】黑客可通过iPhone的Mail应用获取你的数据

最近由于疫情,大家都在家,网络的使用量激增,促使黑客的活动频繁,在这场我们看不到的战争中,没有一个系统可以免疫!

不管是Windows系统、Android(安卓)系统(前一阵这两家系统问题频发),还是一向以安全著称的iOS系统,都不是绝对安全的系统。

即使iOS系统一直在修复中,但依然存在着各式各样的漏洞。

说实话,漏洞被披露是好事!

近日,又有一家安全公司发现了iOS系统上存在的一个漏洞,该漏洞可能导致超过5亿部的iPhone/iPad容易受黑客攻击。

据悉,该漏洞是由旧金山移动安全取证公司ZecOps CEO祖克·阿夫拉哈姆(Zuk Avraham)在2019年底对一名客户受到的复杂网络攻击进行调查时发现的。调查表明,至少有6次网络入侵都是利用这个漏洞来实现的。

该漏洞可以远程触发,而且已经被黑客用来攻击一些知名用户。案例中提到,黑客通过Mail应用向受害者发出一份空白电邮,导致后者的系统崩溃并重置,而系统崩溃令黑客得以窃取照片和联系人信息等其他数据。

阿夫拉哈姆还表示,即使在运行最新iOS系统版本的iPhone中,黑客也能利用这个漏洞远程窃取其数据。黑客可以利用这个漏洞获取邮件应用的所有访问权限,包括用户的私密信息。

阿夫拉哈姆强调称,邮件应用可能只是黑客利用这一漏洞的程序之一,其余的还没发现,利用这些程序,黑客可以远程获取iPhone/iPad的完全访问权限。

对此,苹果尚未置评。但苹果公司发言人已经承认,iPhone和iPad上的电子邮件软件(即Mail应用)确实存在漏洞,并表示该公司已经开发了一个修复程序,将在即将发布的软件更新中推出。

苹果前安全专家帕特里克·沃德尔表示,这个发现“证实了一直以来被严格保守的一个秘密:资源充足的黑客可以悄无声息地远程感染打好了所有补丁的iOS设备”。

由于苹果在近期才发现了这个漏洞。因此,在此之前,黑客们很有可能利用这个漏洞来给政府或者个人商家提供价格不菲的入侵服务。据悉,如果一个黑客可能对一部最新款iPhone发动攻击,且不会系统安全警告,入侵的价格可能会达到100万美元以上。

苹果iPhone是全球公认安全系数最高的手机品牌,因此iPhone所搭载的iOS系统也成为黑客的主要研究对象。

据此前苹果公司表示,在2019年里,活跃使用的iPhone约为9亿部。也就是说,任何一个iOS系统上的漏洞,都可能影响到数以百万计算的iPhone用户。

而苹果方面,为了鼓励开发者们发现更多系统漏洞,苹果公司在去年12月20日起就正式向所有iOS安全研究员开放了iOS漏洞赏金计划。任何在iOS,macOS,tvOS,watchOS或iCloud中发现错误的安全研究人员都可以通过向Apple披露漏洞来获得苹果公司高额的现金奖励。

据福布斯此前报道称,苹果向一名叫Ryan Pickren黑客支付了75000美元(约合人民币53万元)的奖励。原因是该黑客发现了该苹果相关系统中软件的多个零日漏洞。

目前,漏洞的【单项最高赏金】是100万美元。

P.S. 刚刚苹果官方发布了更新推送,大家及时更新全系列产品!切记!!!

【更新】微软安全更新解决113个漏洞

周二微软针对2020年4月发布的更新补丁解决了113个漏洞,包括3个野外的Windows漏洞,其中17个漏洞被评为严重,其余的被评为重要,这些漏洞在针对任意代码执行和权限升级攻击中被利用。

 

此次解决的漏洞影响了Windows,Edge,Internet Explorer,Office,Windows Defender,Dynamics,Android和Mac应用程序以及其他产品。同时,Microsoft还修复了Windows版OneDrive应用程序中一个公开披露的特权升级漏洞。根据总结,微软在2020年1月至2020年4月之间解决的CVE数量比去年同期增加了44%

首先,微软更新发布了3月22日临时安全公告的Windows Adobe PostScript字体(Type 1)解析时存在的远程代码执行漏洞补丁,该漏洞对应CVE编号CVE-2020-1020、CVE-2020-0938。微软公司表示,由于最新版本的操作系统包含安全机制,这些漏洞不太可能被用于Windows 10设备。根据公告,微软已经获悉利用这一0day漏洞的有针对性攻击(有高价值的目标),基于漏洞的严重性,此次对已经停服的Windows 7也提供了补丁,建议用户尽快安装安全更新补丁或采取临时缓解措施加固系统。

 

微软解决的另一个严重Windows漏洞称为CVE-2020-1027,该漏洞也是由Google报告。根据Microsoft的说法,该漏洞是Windows内核漏洞,而且在野外被黑客积极利用。同时,Google还因举报一个被积极利用的Windows内核漏洞CVE-2020-1027而受到微软的肯定。微软还表示,Windows内核处理内存中存在的这个特权提升漏洞非常危险,成功利用此漏洞的攻击者可以提高权限执行代码,运行特制应用程序。

 

同时,微软解决的另一个在野外攻击中被利用的漏洞是Internet Explorer中的远程代码问题,跟踪为CVE-2020-0968。该漏洞让攻击者可以通过在用户的系统中执行任意代码的方式来破坏内存,成功利用此漏洞的攻击者可以获得与用户相同的权限。而且,如果用户使用管理用户权限登录,攻击者则可以完全控制受影响的系统。

通过此次漏洞修补,微软已经获悉利用这一0day漏洞的有针对性攻击,目前漏洞细节和利用代码已经公开,建议及时测试安全更新补丁并应用安装,或采取临时缓解措施加固系统。

Zoom泄露门:可以任意观看会议视频

由于COVID-19新冠状病毒的大流行,越来越多的用户将工作和社交生活转移到线上,会议应用程序Zoom的用户数量在成倍增长。但是,随着这种线上工作热潮,安全和隐私研究人员也对该应用进行了越来越多的审查,事实证明Zoom不断被发现许多问题。近日据外媒报道,成千上万的Zoom云记录视频在网络上曝光,这也揭露了软件本身的隐私安全性问题。

据悉,由于Zoom对其会议记录的命名方式存在问题,大量的Zoom会议视频被会议发起者上传到了不同的视频网站和视频云。目前,许多视频都被发布在未受保护的亚马逊云计算平台上,使得通过在线搜索找到它们成为可能。而且这些泄露的视频,被其他用户扫描后上传到了YouTube、Google、Vimeo等各大视频门户网站上。人们通过这些泄露的视频可以看到治疗会议、商务会议、小学上课等记录。事件发生后,Zoom已经被告知这个问题,但不清楚该公司是否会改变其视频的命名方式,或者是否会保护亚马逊托管的视频。

对此,安全研究员肯恩·怀特表示, 此次事件表明Zoom从未具有最核心的安全和私有服务,而且Zoom的系统中肯定存在一些关键漏洞。但是在许多情况下,为了线上会议,大多数公司和个人没有很多其他选择。

根据研究,即使在COVID-19新冠状病毒大流行发生之前,Zoom应用的开发团队也是优先考虑易用性而不是安全性和隐私性问题的。早在去年夏天,一位研究人员就发现了Zoom的一个漏洞,该漏洞主要关于Zoom如何无缝地将用户加入呼叫链接并共享其相机内容,对此Zoom无需进行任何初步检查就可以让用户启动该功能。这是非常不安全的,因为这意味着攻击者可以通过精心设计该功能链接,从而使他们可以一键立即访问用户的相机。

对于Zoom此次的隐私安全问题,Zoom创始人兼首席执行官Eric Yuan在公开声明中写道,公司正在暂停功能开发,以便其工程师专注于安全性和隐私保护方面的技术改进。Yuan表示,在接下来的90天之内,Zoom还将进行第三方安全审核和渗透测试,扩大其大赏金计划,并在公司层面预计从政府和执法机构等组织收到一份透明报告。

此次事件提醒我们每一个开发者,在任何软件的设计之初都要考虑两方面问题,一是功能,二是安全;作为消费者更是要了解一个软件的安全情况后再使用这个软件,不要因为免费好用就肆无忌惮的使用!

记得在刚刚工作期间,项目方只知道要求进度实现功能,从不关心软件的安全测试工作,随着网络时代的来临,那些未经过严格安全测试的软件终将造成不可挽回的损失!

而这些损失又要由谁来负责呢?

微软收购史上最危险域名之一“corp.com” 为对抗Windows黑客攻击

请大家注意:下文提到的漏洞并没有得到修正!

近日据外媒报道,微软已同意以未公开的价格从私人所有者那里购买域名corp.com。根据新闻记者布莱恩·克雷布斯运营的博客KrebsOnSecurity所说,今年2月,corp.com的拥有者迈克·奥康纳决定以170万美元的起价公开拍卖该域名,随后微软已从该域名的所有者手中购买了该域名,具体的成交价格微软并没有透露。据了解,迈克早在26年前收购了corp.com域名,并希望微软有一天会购买它,因为数十万个混淆的Windows PC一直试图与corp.com共享敏感数据。 

据悉,corp.com域名也被认为是史上最危险的域名之一,因为犯罪分子可以由于所谓的“命名空间冲突”原因而滥用该域名。经过多年测试表明,控制该域名的任何人都可以从世界各地数十万台Windows PC中访问无尽的密码,电子邮件和其他敏感数据流。

更具体的说,这个问题来自于管理员在Windows早期版本中设置Active Directory时接受了“corp”作为内部域名,使用了不属于公司的域名是一个非常危险的做法。因为,一旦员工让“corp”作为一个活动目录路径,机密数据就可能发送到它不应该去的地方,比如“corp.com”。

收购成功后,微软在书面声明中对此事进行确认,表示收购corp.com是为了保护其客户的安全性,并表示为了帮助保护系统安全,微软鼓励客户在计划内部域和网络名称时遵循安全习惯。微软称:“因为我们在2009年6月发布了安全公告,并发布了有助于确保客户安全的安全更新,因此在对客户安全的持续承诺中,我们还收购了Corp.com域。”

 

其实,多年来微软公司已发布了多个软件更新,以减少名称空间冲突的可能性,但是这些冲突依旧会对依赖于Active Directory域的公司造成安全问题。但是,长期以来微软一直不鼓励用户使用微软公司并不拥有的域名,但任何负责维护旧版本的Active Directory设置人员都可以证明,清理几十年前留下的烂摊子并不是一件容易的事情。许多管理员可能已经预测到了,为了处理这个问题而关闭整个Active Directory所涉及的挑战可能会是他们难以应对的,因此在之前该问题并没有很好的解决。

 

如今,既然微软已经购买了该域,那么在“ corp”或“ corp.com”之上构建Active Directory基础结构的公司将会受到保护。此次,微软确保corp.com不落入不法之徒之手的举措是明智的,这为公司当前的安全研究员争取了更多的时间来研究这个问题。

勒索病毒(永恒之蓝)变种“WannaRen”大规模传播,目前多数杀毒软件暂时无法拦截

大家还记得“永恒之蓝”吗?(抽空写一篇永恒之蓝的专题如何?)

这次出现的是它的变种,基于数据了解,互联网上出现了一种新型的勒索软件“ WannaRen”病毒,它的攻击行为类似于此前臭名昭著的“ WannaCry”病毒。一旦被入侵它几乎可以加密Windows系统中的所有文件,这些加密文件的后缀是“ .WannaRen”。

据悉,目前“WannaRen”病毒存在两个变体,一个通过文字,另一个通过图片发送勒索信息,由于这次勒索比特币用的钱包地址与2017年的“ WannaCry”相同,基本可以确定这是同一黑客组织所为。在2017年,“ WannaCry”勒索软件至少感染了150个国家和地区的300000台计算机,造成80亿美元的经济损失,影响了当时金融,能源和医疗等多个行业,并严重威胁了社会和民生安全。

 

对此专家表示,目前此类勒索病毒非常普遍,每周都会造成成千上万用户无法访问其文件。像“WannaRen”这样的病毒,其目的很简单,攻击者试图使受害者的最重要文件无法访问,以便可以勒索用户以勒索赎金。

遭到攻击后,如果受害者付款,黑客将发送一个特殊的唯一密钥,使受害者能够从其文件中解除数据加密。由于勒索软件病毒通常不会对系统造成任何其他危害,因此黑客不会利用其他任何手段来勒索用户,所以如果黑客锁定的文件对于用户的价值不大,那么用户一般会选择忽视向攻击支付赎金。在此次病毒的大面积传播中,黑客要求受害者至少支付0.05比特币(约合2500元人民币)赎金以获取解密密钥。

目前,由于Windows 7具有免疫功能,因此弹出窗口没有受到损坏(请注意win7也是要打补丁的),但Windows 10的用户已经确认有受到损坏。还有一些用户报告表示,在系统安装了微软的“永恒之蓝”补丁后,系统仍然会被感染。该病毒的传播不是利用“永恒之蓝”弱点,目前大多数防病毒软件都无法拦截它。因此,建议用户近期不要随便下载运行BT下载器、Office激活工具,同时将系统打好补丁做好常规保护。

全球诈骗案件已屡次得逞之AI软件克隆你的声音

就在不久前于旧金山结束的RSA大会上,一家名为Pindrop的专门检测语音诈骗的初创公司再次向业内发出警告:网络诈骗份子已经开始借助AI软件克隆声音进行诈骗了!

科技从来都是具有两面性的,中国古代的智者早已阐述过。

知识说明:

AI是什么?

人工智能(英語:Artificial Intelligence,縮寫為AI)亦稱智械、機器智能,指由人製造出來的機器所表現出來的智能。通常人工智能是指透過普通電腦程式來呈現人類智能的技術。該詞也指出研究這樣的智能系統是否能夠實現,以及如何實現。同時,通過醫學、神經科學、機器人學及統計學等的進步,常態預測則認為人類的無數職業也逐漸被其取代。

(Pindrop的CEO(右)和CTO(左),图片来自网络)

Pindrop的CEO Vijay Balasubramaniyan表示:“Pindrop在过去一年中调查了大约十二起类似的案件,都是欺诈者使用AI软件“克隆”某人的声音以进行诈骗。同时,我们还看到了Deepfake音频作为针对公众人物的工具出现。如果你是家公司的CEO或者你在YouTube上有很多视频,骗子就极有可能用它来合成你的声音。”

并且,虽然Pindrop只看到了少数这样的案件,但涉案金额很高。Pindrop估算涉及的诈骗金额可能高达1700万美元。

(图片来自网络)

来自硅谷的警告消息又一次将AI的安全性问题带到了舆论的风口浪尖。毫无疑问,自从AI成为全球技术发展的主流以来,DeepFake的问题就一直是人们关心的重点。而今天我们要讨论的AI语音合成的问题,则可能比人脸识别更加危险。

AI声音合成,一面“天使”一面“魔鬼”

语音合成技术现在已经非常成熟了。例如高德导航里的各种明星语音包,“林志玲为您导航祝您好心情”、“郭德纲前方有落石车碎人心碎”、“你镇定一下罗永浩要开始导航了”,基本上能够达到以假乱真的效果。大部分时候用户也分不出来到底是明星自己录的,还是合成的语音。当然这种场景中,语音合成只是为了提升用户体验做的一个小功能。不仅没有对用户造成损失,反而让用户开车的时候拥有更好的体验。

(高德地图的明星导航语音包,图片来自网络)

但是下面这个故事就不是这样了。2018年Charlie Warzel,Buzzfeed的科技记者,受了前密西根大学社交媒体责任中心CTO Aviv Ovadya言论的影响,做了一件想想都非常后怕的事情。他使用AI合成软件模仿了自己的声音,然后打电话给他妈妈,结果他妈妈愣是没听出来。世界上最熟悉你自己声音的人是谁?可能不是你自己,因为你自己听到的声音和别人听到的是有区别的。最熟悉你声音肯定是你的母亲。

(图片来自网络)

既然身边最熟悉的人都被这样“伪装”骗了,那只要使用这种软件不就拥有了“变身”的超能力了吗?

事实上,利用AI语音合成冒充熟人进行电信诈骗的案例这几年时常发生,并且涉及金额都非常的巨大。

根据《华尔街日报》2019年报道,英国某能源公司高管在一个小时之内通过匈牙利供应商向一诈骗犯转账24万美元,约175万元人民币,仅仅是因为诈骗犯通过AI技术仿造了其母公司CEO的声音。该高管表示,在整个通话过程中,老板轻微的德国口音都展现得淋漓尽致,该高管完全没有任何的怀疑,直到被要求再次转账时才发觉了事件异常。

在报案调查后,警方只能发现该笔转账流动到了墨西哥等地区,但是具体嫌疑犯的身份始终无法确定。这个案件带来的损失目前只能由保险公司承担。这位受害者后来在一封电子邮件中写道,虽然“老板”的要求相当奇怪,但声音如此逼真,他觉得自己别无选择,只能服从。

美国网络安全公司Symantec的研究人员表示,他们发现至少有三起公司高管的声音被人模仿以用于电信诈骗。虽然Symantec拒绝透露这些受害公司的名称,也不愿透露上述英国能源公司是否是其中之一,但它指出,其中一起案件的损失总计达数百万美元。

(Symabtec公司大楼,图片来自网络)

虽然有种种风险,但技术的发展一点也没有慢下来。目前,许多硅谷巨头和人工智能初创企业都在开发这种语音合成软件,用以模仿人的声音节奏和语调,并被用来制作令人信服的演讲。

(Lyrebird 官网)

几个月前,Resemble团队发布了一个名为Resemblyzer的开源工具,该工具使用人工智能和机器学习来通过获取语音样本的高级表示并预测它们是真实的还是生成的来检测深度伪造。而在AI语音合成届早已成名已久的Lyrebird,其开发出的AI合成软件更是可以在合成语音中模拟出说话人的感情。

AI技术被滥用,它的工作原理是什么?

无数的研究表明,重现人们讲话的韵律只需要一个小的数据集。像Resemble和Lyrebird这样的商业系统仅需要几分钟的音频样本,而百度最新的Deep Voice实现等复杂的模型可以从3.7秒的样本中复制语音。

斯坦福大学网络政策中心研究员、曾任奥巴马和特朗普政府时期白宫网络安全政策高级主管的Andrew Grotto(安德鲁·格罗托)表示:“罪犯将使用任何能让他们以最低成本实现目标的工具。也许这是一项在10年前听起来很新奇的技术,但是现在任何有想法的非专业罪犯都可以使用。” 

(图片来自网络)

目前市面上的AI语音合成软件的工作原理是将一个人的声音分解成不同的组成部分,比如音轨或音节,然后将这些组成部分重新排列,形成具有相似语音模式、音调和音色的新语音。除了借助这种新技术,骗子们还依赖于最常见的诈骗技巧来提高他们的效率,利用时间压力,比如临近的截止日期,或者社会压力,比如安抚老板的愿望,来让受害人打消任何疑虑。在某些情况下,犯罪分子会瞄准公司会计或财务的负责人,因为他们知道这些人有能力立即汇款。

(Pindrop的CEO演示如何合成公众人物的视频截图)

视频链接https://www.youtube.com/watch?v=PDs8-Exx6kE&feature=youtu.be

除了进行诈骗,DeepFake音频还存在向公众传递负面信息的风险。RSA大会演讲现场,Pindrop的CEO向公众演示了一款合成公众人物声音的AI系统,这项技术通过在网上搜索特朗普之前的录音来模仿他的声音,耗时不到一分钟,并用美国总统特朗普的声音说了一些笑话。如果这项技术被用于仿造领导人物的声音,并用到犯罪事件中,无疑可能非常危险,甚至给国家安全带来危害。

AI声音合成如此猖獗,应该如何防范?

虽然风险重重,但语音模拟技术的发展势不可挡。例如,Google已经为自动识别DeepFake语音的研究项目提供了资金和资源的帮助。但Google也开发了一些世界上最具说服力的语音人工智能,包括它的Duplex服务,它可以用电脑生成的栩栩如生的声音,打电话给餐厅预定座位。

(Google语音助手,图片来自网络)

卡内基国际和平基金会(Carnegie Endowment for International Peace)硅谷办公室主任Charlotte Stanton则提醒业界:“在商业领域,人们有很强的的意愿想要制造出好的技术产品,但一定要平衡,避免它被用于非法途径。所以,研究人员在研发像AI语音合成技术这样强大的技术时需要更加谨慎,很明显,AI语音合成已经到了可以被滥用的地步。”

幸运的是,人工智能开发人员正在努力构建能够检测和打击Deepfake音频的解决方案。例如,Pindrop公司已经开发出一种人工智能算法,可以从DeepFake的音轨中辨别真实的语言。它是通过检查说话时单词的实际发音,以及这些发音是否与真实人类的说话模式相匹配,因为人类的声音无法像机器伪装那样标准和快速。

Pindrop还预测到,也许有一天音频安全服务会像数据安全服务一样有巨大的市场。该公司CEO表示:“会有一些公司建立检测这些安全漏洞的机制。如果网上出现了伪造的音频,那么这个机制就会开始保护你的声音数据。”

(Pindrop CEO Vijay Balasubramaniyan,图片来自网络)

除了Pindrop等小公司。硅谷科技巨头也积极的致力于寻找检测Deepfake音频的方案。例如,谷歌在去年年初与GNI合作,发布了一系列合成语音,其中包含由其深入学习的文本到语音(TTS)模型所说的数千个短语,来自英文报纸文章68种不同的合成语音,并涵盖了各种区域口音。该数据库提供给了2019 ASVspoof挑战的参与者使用,该竞赛旨在开发针对假语音的对策,特别是可以创建区分真实和计算机生成的语音的系统。

同时,DeepFake音频的潜在威胁也可能会改变用户的行为,使用户在向互联网上传声音时更加谨慎。Pindrop调查的诈骗案例中就有这样一位受害者,他几乎没有在任何社交平台上公开过自己的声音,仅仅是因为召集员工开会时的讲话被窃取,就成为了犯罪分子的目标。这样的案例不禁会让人联想:“既然这么谨慎的人都会存在被诈骗的风险,那么我们干脆就不要在公众平台上表露自己的任何生理特征,包括声音和长相。这实在太恐怖了!”

(图片来自网络)

不敢想象,如果我们的公众社交平台上面看不到任何超出文字以外的更生动的表达,那么几十年来的科技和信息发展不就白费了吗?这无疑是对多年来为人类科技文明进化做出贡献的科技工作者的侮辱。

参考链接:

https://www.pcmag.com/news/is-ai-enabled-voice-cloning-the-next-big-security-scam

Google releases synthetic speech database to help ‘deep fake’ audio detection research

https://www.washingtonpost.com/technology/2019/09/04/an-artificial-intelligence-first-voice-mimicking-software-reportedly-used-major-theft/

文章主要内容转自:硅谷洞察

VPN是安全网络的选择吗,全球大量黑客将VPN作为攻击入口

VPN在很多人眼里是翻墙的必备工具,在更专业的领域,VPN是安全通道,但它可未必安全!

自从冠状病毒(COVID-19)爆发以来,由于远程办公的必要需求,企业VPN使用量增加了33%,这也成为黑客发起攻击的一个突破口。据相关媒体报道,与韩国有联系的威胁组织利用零日漏洞攻击了某中国政府机构,该漏洞影响了境内VPN服务。数据显示,从3月开始,DarkHotel组织就已经锁定了许多中国机构。

据悉,攻击者利用深信服VPN服务中一个安全漏洞来传播后门恶意软件。对此,深信服表示,黑客利用VPN客户端更新过程中的漏洞,用后门取代了合法的更新,黑客大约攻击了200个VPN服务器并注入恶意软件。这些攻击主要针对的是中国的组织以及一些其他国家在中国设立的机构。事件发生后,深信服科技立刻发布了一则《关于境外非法组织利用深信服SSL VPN设备下发恶意文件并发起APT攻击活动的说明》,说明了境外APT组织通过深信服VPN设备漏洞拿到权限后,进一步利用SSL VPN设备Windows客户端升级模块签名验证机制的缺陷植入后门的APT攻击活动过程。

其实,在过去的2019年是许多企业VPN服务器,例如Pulse Secure、Palo Alto Networks、Fortinet、Cisco和Citrix等VPN服务器,被披露有严重安全漏洞的一年。

早在去年九月份,英国国家网络安全中心(NCSC)就发表报告称,他们正在研究有高级持久威胁(APT)参与者利用已知漏洞入侵供应商Pulse Secure、Fortinet、Palo Alto和Citrix的虚拟专用网VPN产品。当时该活动也被认为是由某国政府主导的,攻击是针对英国和国际组织发起的,受影响的部门包括政府,军事,学术,商业和医疗保健。事件发生后,这些VPN漏洞已在开放源代码中得到了充分记录,通过行业数据表明,数百名英国主机可能会受到攻击。 据悉,当时攻击影响了:

• Pulse Connect Secure VPN两个漏洞是CVE-2019-11510和CVE-2019-11539;

• Fortinet的Fortigate设备中的三个漏洞CVE-2018-13379,CVE-2018-13382和CVE-2018-13383; 

• Palo Alto的GlobalProtect门户和GlobalProtect网关接口产品CVE-2019-1579中的严重远程执行代码错误。

• Citrix“ ADC” VPN中披露的漏洞CVE-2019-19781

也是在去年九月份,SafeBreach Labs的研究人员在Forcepoint VPN客户端中发现了一处特权升级漏洞。受影响的产品为Forcepoint VPN Client for Windows软件的6.6.0及更低版。该漏洞不仅可用于提升攻击者的特权,还将允许攻击者长期访问受感染系统。据了解,该VPN程序的可执行程序的路径和命令行中的参数之间缺少引号字符串当黑客在C:\Program.exe和C: \Program Files(x86)\Forcepoint \ VPN.exe 中植入恶意程序时,该VPN程序将自动执行恶意程序,并将黑客权限提升至系统级。

2019年的四月份,美国政府网络安全和基础架构安全局(CISA)发出警报,由四个供应商Cisco, F5 Networks, Palo Alto Networks和 Pulse Secure 构建的VPN应用存在严重漏洞。通过该漏洞,攻击者可以通过访问身份验证或会话令牌,重播数据信息以欺骗用户的VPN会话,并以用户身份获得VPN访问权限对系统进行入侵。

同时,随着世界各地实行国家隔离,大多数用户被困在家里,越来越多的用户在家中浏览Internet时也会使用VPN应用程序绕过地理保护。这也就造成消费者级VPN的使用量也出现了快速激增,在这样的环境下黑客会花费更多的时间来研究对VPN的攻击。

对于预防黑客的VPN攻击,Ramakrishna与Gartner的技术研究人员一起建议政府和企业组织应该考虑向VPN 添加软件定义的外围安全系统(SDP),以便系统可以扩展其整体安全体系结构,以实现公司内部网络可以直接到应用程序的访问,以降低受到黑客攻击的可能性。

IoT安全之一|你的网络安全吗之路由器

 

随着IoT(物联网)的发展,我们已经不知不觉的享受到它的便利,这其中的核心设备就是路由器,尤其是在这个特殊的日子里,全世界都暴露在IoT的控制之下。

那么什么是IoT呢?

以下定义来自维基百科

物联网(英语:Internet of Things[1],缩写IoT),又称IoT技术,是互联网、传统电信网等的信息承载体,让所有能行使独立功能的普通物体实现互联互通的网络[2]。物联网一般为无线网,而由于每个人周围的设备可以达到一千至五千个,所以物联网可能要包含500兆至一千兆个物体。在物联网上,每个人都可以应用电子标签将真实的物体上网联结,在物联网上都可以查出它们的具体位置。通过物联网可以用中心计算机机器设备人员进行集中管理控制,也可以对家庭设备、汽车进行遥控,以及搜索位置、防止物品被盗等,类似自动化操控系统,同时透过收集这些小事物的数据,最后可以汇聚成大数据,包含重新设计道路以减少车祸、都市更新、灾害预测与犯罪防治、流行病控制等等社会的重大改变,实现物和物相联。

题外话:

很长时间以来,我一直在想,我所了解的知识很有限,但是很专业,而且很多知识是很少人知道的,作为少数派,本来就很难让你明白我所说的是什么?我又是一个能说善辩的我,当我用真心对待你,你却因为其它身为之物忽略的时候,我也选择忽略。

真心不会对我有什么损伤,只是时光白白流失了,我很难让一个陌生人,真正了解,我所提出的方案是经过多少心血才能够完成的,算了,言归正传

 

以下文章来源于物联网IoT安全 ,作者lmnn

该文章可以让我们了解路由器的一些基础知识,同时它不是安全的,注意:这里并没有讨论信号问题。

路由器漏洞分类

在过去的几年里,针对嵌入式设备的黑客攻击陆续进入人们的视线。2012年,黑客攻击了巴西的450万台DSL路由器,植入了恶意软件DNS Changer用以恶意劫持。2013年,安全网站也报道了一种针对嵌入式设备的新型蠕虫。此外,针对嵌入式设备攻击的黑客工具也逐步完善。

0x00 路由器密码破解漏洞

很多家用路由器都具有无线功能,开启Wi-Fi功能以后,电脑、手机等支持无线功能的设备可以通过密码认证的方式连接到路由器上网。据报告显示,99.2%的家用路由器用于给自己的路由器设置了Wi-Fi密码,没有设置密码的用户占比仅为0.8%。虽然大多数用户给路由器设置了密码,但他们仍有很多不良习惯。常见的Wi-Fi密码设置不良习惯包括:简单的数字组合;电话号码;生日等容易暴力破解或猜测的密码。

目前Wi-Fi最常见的加密认证方式有3中,分别是WPA、WPA2、WEP。当用户使用WPE一键加密功能时,攻击者最多只需实验11000次即可登录Wi-Fi。

密码被破解后,攻击者可以接入破解的网络上网,占用带宽,并可以继续进行路由器管理页面登录密码的破解,获取路由器最高管理权限等。

0x01 路由器web漏洞

家用路由器一般都带有web管理服务,使用者可以通过web管理界面进行路由器的管理和配置,如图所示:

SQL注入、命令执行、CSRF、XSS等针对web方面的攻击,不仅可以用在针对网站的攻击中,同样可以用在针对路由器的攻击中。

几乎所有的SOHO路由器都容易收到CSRF攻击。无线路由器有两个重要的密码:一个是Wi-Fi密码,主要是为了防止他人“蹭网”;另一个是路由器管理密码,主要是对路由器上网账号、Wi-Fi密码、DNS、联网设备进行管理设置。用户修改或重设路由器管理账号和密码的概率相当低,而CSRF漏洞正是利用这一点,通过认证绕过漏洞、弱密码、或者默认路由器管理密码登录,使攻击者可以像正常用户一样访问和修改路由器的任何设置。

控制路由器管理权限后,攻击者可以将用户访问正常网站的请求导向恶意站点、劫持用户流量、推送广告,甚至可以制作一个和被攻击网站一模一样的站点进行“钓鱼”,诱使用户输入支付密码,获取用户的网银账号、密码等信息。

0x02 路由器后门漏洞

根据CNCERT发布的《2013年我国互联网网络安全态势综述》显示,经CNVD分析验证,D-Link、Cisco、Linksys、Netgear、Tenda等多家厂商的路由器产品存在后门,黑客可由此直接控制路由器,进一步发起DNS劫持、窃取信息、网络钓鱼等攻击,直接威胁用户网上交易和数据存储的安全。

这里所谓的后门,并不是指黑客攻击路由器以后为了实现长久控制而留下的后门,而是指开发软件的程序员为了日后调试和检测方便,在软件中设置的一个超级管理权限。一般情况下,这个超级管理权限不容易被发现,而一旦被安全研究人员发现并公布,就意味着攻击者可以直接对路由器进行远程控制。

路由器是所有上网流量的管控设备,是网络的公共出口。路由器被黑客控制,意味着与网络有关的所有应用都可能被黑客控制。路由器带有后门,最主要的原因在于路由器厂商对安全问题重视不够。

0x03 路由器溢出漏洞

缓冲区溢出是一种高级攻击手段,也是一种常见且危险的漏洞,存在于各种操作系统和应用软件中。缓冲区溢出的利用攻击,常见表现为程序运行失败、系统假死、重新启动等。而更为严重的是,黑客可以利用它执行非授权指令,进而取得系统特权,从而进行各种非法操作。

路由器是一种嵌入式设备,可以看作一台小型计算机,在路由器上运行的程序会因为存在缓冲区溢出漏洞而遭到黑客攻击。黑客可以通过分析路由器系统及其允许的服务程序,进行大量的分析及模糊测试,发现缓冲区溢出漏洞,并利用其实现对路由器的远程控制。一旦得到路由器的控制权限,黑客可以修改路由器的任何配置信息,进行流量拦截和篡改,推送广告,甚至盗取用户重要信息等。

本文摘选自:《揭秘家用路由器0day漏洞挖掘技术》