ZKIZ Archives


帶原者一個小謊言 攻破美國重重防疫網 伊波拉疫情升溫 台灣準備好了嗎?

2014-10-13  TWM
 
 

 

繼美國境內出現第一起伊波拉案例後,西班牙也傳出護士因照顧伊波拉患者染病的消息,美國總統歐巴馬更宣示加強機場警戒。種種情勢令疫情霎時升溫,而一旦伊波拉來襲,台灣的防疫體系將如何因應?

撰文‧ 蔡曜蓮、張佳婷

在西非延燒八個月之久的伊波拉(Ebola)疫情,九月底發生首起非洲外的案例,而且還是發生在世界經貿中心的美國,令人憂心會不會是山雨欲來的前兆——世界其他地區將淪陷?

相隔不到一周,歐巴馬宣示加強美國機場檢疫,十月七日西班牙就傳出護士因照顧伊波拉患者遭感染。死亡率約七成的伊波拉病毒,如果逼近亞洲、甚至台灣,我們的防疫體系有能力應付嗎?

就像災難片的開頭,都是一連串漫不經心的小事端,四十二歲的賴比瑞亞籍男子鄧肯,九月二十日前往美國德州探親,從賴比瑞亞機場離境時,在機場問卷上的「是否照顧過伊波拉患者」,他撒了小謊,勾選「否」,上飛機前一路通關量了三次體溫,都沒有測出異狀。鄧肯入境美國五天後,因發燒嘔吐前往就醫。護士知道他剛由非洲回來,做了初步抽血檢測,卻沒有針對伊波拉做任何篩檢,院方給了抗生素與止痛藥就讓他離開。直到美國疾病控制與預防中心介入時,已經是六天之後的事情。

一個謊言與醫護人員的缺乏警覺心,導致與鄧肯接觸的百餘人暴露在染病風險中。由於伊波拉病毒潛伏期為二到二十一日,其間沒有任何症狀,也不具傳染性,所以鄧肯能夠通過機場檢驗,同時不需要擔心病毒會因此散播出去。但伊波拉發病後,患者的體液即具感染力,舉凡性行為或病患的口水、汗水、排泄物及嘔吐物等直接或間接碰觸到他人的傷口、黏膜,都可能導致傳染;間接接觸病人用過的床單、衣物等,也可能成為感染原。

染病關鍵

間接接觸,摸水杯也中招其中,間接接觸是導致許多前往西非進行人道救援的醫護人員染病的關鍵。從電視上看到醫護人員都全身防護戒備,為何他們的感染率還是很高?

衛福部疾病管制署防疫醫師羅一鈞曾於非洲奈及利亞協助伊波拉防疫工作,他表示,當地醫護人手不足,工作量超載,加上天氣炎熱,醫護人員穿著防護衣一整天後,於脫衣過程疏於防範,因沾染到衣服上的病毒而遭受感染,「即使自己處處防範,也可能因為同事的不小心而染病;假使同事手上沾有防護衣上的病菌,你摸到他握過的水杯後進食或揉眼睛,都可能導致感染。」但對照非洲的醫療資源,美國防疫做得比較徹底。美國當局在鄧肯發病之後,立即展開追蹤工作,遭認定的可疑案例,包含鄧肯家屬與鄰居,大約五十人都已遭到居家隔離的禁令,直到十月十九日前,不得離開家門半步;鄧肯的公寓除全面消毒外,甚至有武警駐守,嚴防任何人靠近。

據︽新英格蘭醫學雜誌︾統計,伊波拉死亡率高達七成,而十年前SARS(嚴重急性呼吸道症候群)的死亡率也不過一成。雖然,依波拉要從美國擴散的機率不高,但是疾病管制署新興傳染病整備組組長楊靖慧表示,「相較美國的案例是由境外移入,西班牙受感染的護士是首位在戒護完善的院區內受到感染,其感染原因仍然不明,值得高度注意。」羅一鈞認同伊波拉病毒由美國傳播至台灣的機會不大,因為鄧肯病發後的追蹤隔離,已能有效阻止疫情擴散。只是任何災難疏失被稱為「疏失」,都是災難發生後的後見之明。

美國再怎麼應變迅速,都已經是鄧肯病發後一周的事,即使布下天羅地網,只要有漏網之魚,就可能使疫情加劇。假使台灣不幸發生首起病例,我們能像美國一樣應變嗎?

防疫難題

社會汙名化,病人不敢坦承對此,楊靖慧表示,「如果台灣像美國一樣有境外移入案例,只要及早發現,徹底隔離,就能有效控制疫情。」她進一步強調,「台灣醫界經歷過SARS洗禮後,已經訓練有素,發展出有效的應對方案。更何況和SARS透過飛沫、空氣傳染幾乎防不勝防相比,伊波拉病毒必須透過體液直接或間接接觸傳染,只要徹底做好隔離措施,疫情控制相對容易。」即使出現首例病患,防疫機制也能立即啟動,以台北為例,若有案例發生,可送往聯醫和平院區,其完備的醫療戒護,不會讓病患淪為人球。

不過,羅一鈞特別指出,目前防疫的困難點,「只要發現病人加以隔離,就不會有後續的傳播,但是現在的難題,是怎麼早期偵測到病人?」他觀察,「為什麼病人要害怕?因為人心和社會汙名,不知道坦白之後會受到什麼樣的對待,害怕拖累家人朋友,因此第一時間試圖隱瞞。」此外,研發疫苗也是防堵疫情的一道重要關卡,目前有數款疫苗在研發,臨床實驗尚未完成。治療伊波拉病毒的藥物中,進展最快的有兩款,分別為美國Mapp生技藥廠開發出的ZMapp,以及日本富士軟片的抗流感藥物,兩者皆於動物實驗有效,人體效力仍未明。

雖然伊波拉的傳染力不如SARS,但其高度死亡率引起全球矚目,民眾前往疫區旅遊,還是小心為上。

你一定要懂的

伊波拉病毒

起源

1976年在非洲薩伊北方城鎮爆發,目前病毒有五種類型,此次非洲流行的是薩伊型。

潛伏期

從2至21天不定。潛伏期期間不會傳染,病發後才有傳染力,疾病後期體內病毒量最高,傳染力最強。

症狀

嘔吐、腹瀉、休克等,五成以下的病人有出血症狀,目前死亡率七成。

傳染途徑

體液接觸傳染,病人的口水、汗水、血液、排泄物等都是感染原,一旦病人體液直接或間接接觸他人的傷口、黏膜等,都可能導致傳染。

醫療進展

目前有七款研發中的疫苗,進度最快者屬世界衛生組織旗下的兩款;相關治療藥物進展最快的也有兩款。

PermaLink: https://articles.zkiz.com/?id=115183

iOS淪陷!居然也被病毒攻破

來源: http://wallstreetcn.com/node/210362

20141106iphone-6-77

中國驚現針對蘋果手機和電腦的病毒,目前已有數十萬臺設備受到感染。

據《紐約時報》,加州的網絡安全軟件商Palo Alto Networks近日發現了一個名為“WireLurker”的針對蘋果產品的惡意軟件。搭載OS X系統的Mac筆記本電腦和iOS系統的iPhone手機和iPad平板電腦都是其攻擊對象。

該公司表示,這個惡意軟件主要針對中國大陸用戶,是目前為止發現的最大規模的惡意軟件

WireLurker是通過USB從Mac感染iOS的,表現類似於傳統的電腦病毒,而且是第一個,能在未越獄iOS設備上安裝第三方軟件的惡意軟件

目前為止,WireLurker主要來源是某App Store,這是中國大陸的一個第三方軟件商店。已經400多個Mac電腦的APP被感染,有35.6萬次的軟件下載量,意味著有數十萬名用戶被感染。

安全研究人員表示,只要蘋果筆記本電腦被感染,那麽連接到該設備的所有iOS手機和平板電腦都可能被感染。WireLurker會搜索通過USB連接到Mac的iOS設備,然後下載惡意軟件,或者自動生成惡意軟件,並且將其安裝到iOS設備上,無論iOS設備是否越獄。

該病毒可以不經過官方的APP Store就實現對APP的安裝。這涉及到一個名為“企業部署”(enterprise provisioning)的技術,該技術原本是為了讓企業為員工統一安裝內部軟件之用。

以前也有研究人員通過“企業部署”方式攻擊設備,不過這次的WireLurker有一些新技術,複雜的編碼結構,多個組件版本,隱藏文件,編碼模糊化,自定義加密以阻止逆編譯,因此可以說是對iOS設備的全新威脅。

被安裝到iOS設備上以後,WireLurker會收集各種用戶信息,包括聯絡人和iMessages,並且能向黑客發送升級請求,安全人員表示WireLurker無疑還在繼續開發更新中,其最終目標不明確

安全人員已經向蘋果通報WireLurker,不過蘋果謝絕回應媒體采訪。安全人員建議用戶使用蘋果Mac App Store里的一款殺毒軟件,在Mac OS X上不要安裝未知第三方軟件,不要下載和運行第三方App Store,網站等未知來源的軟件、遊戲。

如今,蘋果在中國正面臨著越來越多的安全挑戰。上個月,蘋果CEO蒂姆庫克在北京拜訪了中國官員,討論數據安全問題。

上個月,蘋果公司向消費者發出警告稱,發現了“有組織的網絡攻擊”,企圖竊取iCloud用戶的個人資料,並重申將“堅定不移地致力於保護客戶的隱私和安全”。

(更多精彩財經資訊,點擊這里下載華爾街見聞App)

PermaLink: https://articles.zkiz.com/?id=118045

飛不進奧運的無人機 如何攻破拉美市場

當四年一度的奧運會拉開帷幕之時,在北半球的這一頭,大疆公關總監王帆卻為無法用無人機直播聖火傳遞而惋惜不已,“我努力半年還是失之交臂。”他對《第一財經日報》記者說道。

盡管這樣的結果是巴西當地政局所致而與無人機安全關系不大,但無可否認,巴西當局對於無人機可能會對比賽安全構成的潛在影響還是有所顧慮。

2015年巴西國內對是否應該在比賽場館附近禁止無人機飛行展開激烈討論。下半年,巴西民航局對小型飛行器的管理規定征求意見稿。在奧運會開幕前,大疆表示應巴西空域監管機構要求,已經升級了軟件系統在場館附近設置了臨時禁飛區。

細心的觀眾會發現,今年奧運有不少中國元素,從奧運服裝、國旗到通信設備都有中國企業的身影。

據《第一財經日報》記者了解,本來無人機制造商大疆創新也能搭上奧運列車,協助今年5月到8月巴西境內的聖火傳遞,最後卻因為當地動蕩政局而失利。

作為該項目牽頭人,王帆親自聯系了巴西體育局,商量聖火傳遞的事情,然而,今年4月,巴西總統羅塞夫遭彈劾下臺,隨即巴西體育部部長辭職,影響到本來已經談好的航拍計劃。“當時我們的合同都擬好了,但只能無疾而終。”談及此事,王帆不無惋惜。

官方拍攝途徑無法進行,而想體驗奧運臨場感的個人愛好者也會被拒之門外。

根據2016年2月1日最新規定,在巴西境內飛行無人機必須遵守多項規定,其中包括,飛行過程中遠離人群最少30米、不能使用FPV(第一人稱視角)並且無人機必須保持在操縱者可視範圍之內、無人機飛行高度郊區不得高於400英尺(約122米)、城市不得高於200英尺(約61米)。

雖然有法規護航,但是執行起來還是存在一定難度。據外媒報道,在開幕式當天,3臺無人機盤旋在馬拉卡納體育館上空,雖然後來無人機並沒有產生任何不良影響,但其背後折射出目前對於行進中的無人機還存在監管的難度。“將已經在天上的物理設備弄下來,在執行操作上存在一定困難,每個國家都有其不同的辦法。”王帆說道。

對於大部分雜牌無人機,巴西軍方在此前向一家名為IACIT的英國公司購入了8臺專門用於幹擾無人機的設備。這些設備主要通過釋放信號沖擊波幹擾無人機的控制。今年2月1日,巴西國家電信局正式授權武裝部隊在奧運會期間幹擾無線電信號。

同時,監管層面需要無人機企業在技術上提供支援,開幕式不久前,大疆就表示將配合巴西民航局要求,更新軟件系統在奧運場館附近設置禁飛區。比賽時段巴西當地對於無人機使用將會受到限制。

據了解,禁飛區的概念一般是針對民用機場、敏感地區進行設置,大疆是全球唯一使用geofencing地理圍欄系統的無人機企業,對其所有無人機產品都能設置禁飛區域。

而這項功能主要依賴GPS技術實現,當開機後GPS會啟動自檢,判斷機器所處位置,當發現身處禁飛區時就會啟動相應限制功能。如果從外部逐漸靠近禁飛區,則會在“緩沖區”內飛行時提示用戶正在接近禁飛區,會主動下降高度直至在禁飛區邊緣落地。

王帆表示,禁飛時間根據比賽時間從幾小時到全天不等,對一直舉行比賽並且賽程間隔較短的場館會實行24小時禁飛。

目前,大疆是巴西地區主要的無人機品牌,王帆向《第一財經日報》記者表示,拉美地區的無人機市場還處於挖掘初期。一方面,由於本地經濟打擊,從事無人機等硬件研發的創業團隊並不多導致國內缺乏自主創新品牌,其次拉美地區的高關稅讓大部分無人機品牌望而卻步。

據了解,由於稅負和物流成本的原因,一臺精靈4在拉美的售價比中國售價貴了將近一倍。“拉美的價格可以在中國買1.8到1.9臺,當地貧富差距比較大,消費能力無法支撐,富的人無所謂,窮的人想都不敢想。”王帆補充道。

事實上,在經濟發展較好的“金磚四國”中,巴西缺少嚴厲法規控制無人機使用,而被看作無人機的潛力市場,其曾經是拉美第一個出口國產無人機的國家。對於國產無人機品牌而言,拉美市場潛力巨大。目前,大疆在拉美地區的品牌代理商將近100個,據王帆介紹,主要客戶來自航拍團隊以及影像制作團隊,而個人消費者還是少數。“無人機用途和運用場景在巴西還處於萌芽階段,包括消費者認知、品牌建立等方面還有很長路要走。”王帆補充道。

PermaLink: https://articles.zkiz.com/?id=209351

“維基解密成員”講述如何攻破民主黨的郵箱?

來源: http://www.iheima.com/top/2016/0809/158029.shtml

“維基解密成員”講述如何攻破民主黨的郵箱?
深藍DeeperBlue深藍DeeperBlue

“維基解密成員”講述如何攻破民主黨的郵箱?

2016 年 7 月 22 日,我們公開了民主黨全國委員會(以下簡稱 DNC )內部時間跨度長達 16 個月的 19252 封郵件,里面的內容足以讓世界上所有的電視頻道在當天只能播報這一件事。

本文授權轉載自深藍DeeperBlue公眾號(ID:深藍DeeperBlue)

(註:本文是一篇虛擬口吻的改編,希望你喜歡)

姓名不重要,我是維基解密成員。我們今天聊一聊信息安全。

2016 年 7 月 22 日,我們公開了民主黨全國委員會(以下簡稱 DNC )內部時間跨度長達 16 個月的 19252 封郵件,里面的內容足以讓世界上所有的電視頻道在當天只能播報這一件事。

這些郵件清楚地顯示了,民主黨內做了如下幾件事,保送希拉里勝選:

1

民主黨高層助攻希拉里打擊黨內、黨外對手的一系列行為可能觸及了道德、法律的雙重底線。(深藍制圖)

同時,希拉里團隊號稱為民主黨募集的 6100 萬美金中,只有 1% 留在了黨內金庫,剩下的絕大部分都由希拉里團隊派發和使用——主要用途是用來打擊桑德斯。

我們在民主黨內放了一顆原子彈。如果這些事情能夠在法律層面上坐實,有些大人物就要坐上聯邦法院的被告席。

第二天,一路高歌的希拉里女士遭遇滑鐵盧,民調指數被特朗普以 3% 的優勢反超。

2

郵件泄露後後,民主黨高層地震,主席黛比 · 沃瑟曼 · 舒爾茲(Debbie Wasserman Schultz), 首席執行長艾米 · 達西(Amy Dacey)和公共主管路易斯 · 米蘭達(Luis Miranda)相繼引咎辭職。(深藍制圖)

之後的 27 號,我們又公布了 29 段民主黨內部的錄音文件。Google, Facebook,所有叫得出來叫不出來的名字,都將我們列為危險網站。媒體們則說我們可能受雇於普京——這實在是太好笑了。

然而,這一切,並不是一個意外事件。接下來的篇幅,我想從信息安全的角度說明兩個問題:

第一,為什麽 DNC 高層郵箱地址百分之百會被攻破。

第二,DNC 應該怎樣加強他們的信息安全防禦體系。

為什麽DNC 高層的郵箱 100% 會被攻破?

我們先說幾個前提設定:

信息安全的戰場上,永遠是兩撥人在對抗:進攻方不停嘗試新的攻擊手段,防守方對應采取新的防護措施。

3

信息系統中的安全攻防戰:一守一盜。

防守方想要保證信息資源只被經授權的合法用戶使用。而進攻方則要繞開防守方設置的重重障礙,不經授權就獲取信息資源。

雖然這聽上去都是一些顯而易見的 “廢話”,但這正是為什麽 DNC 高層的郵箱一定會被我們攻破。我用如下四點來說清楚:

第一,信息安全的本質是 “驗證”。而驗證需要在每一個環節中進行。

驗證一共需要在四個環節中進行:驗證信息使用者是否合法是否可信任;如果是可以被信任的的,那麽還需要規定他的權限;規定好權限後,要驗證他每一步的行動;最後還需要驗證他的行動能夠調動多少資源。

4

驗證信息系統是否安全的四大環節。(深藍制圖)

這其中的每一個環節都會成為是黑客的攻擊點。而愚蠢的防禦方一般都會忽略 “每一個環節” 這五個字。

比如一個最常見的錯誤,就是防禦方往往設定只要信息使用者是值得信任的,那其他元素就不用再去判斷。

其實最大的安全謬誤就是假定在系統內部一切都是安全的。

就好像機場的安檢一樣,安檢之前的水是無法通過檢查的,但過了閘機後,每個人都可以隨意喝水買水,至於水是不是偷帶的、水有沒有問題,都沒有人再檢查。因為機場安檢這套系統認定——能通過安檢的人都是安全的。這顯然存在安全漏洞。

再比如,黑客也可以從使用者行動中盜取信息。舉個例子,大家常見的無線鍵盤就是一個安全隱患。

5

敲擊鍵盤這一行為本身,也是黑客攻擊的火力點。

無線鍵盤會定期發送無線信號。用戶擊鍵時,黑客可以從 250 英尺的範圍內監聽鍵入的內容,從而可以盜取口令、銀行卡信息或其他敏感數據。

一些硬件大廠商都忽略了這些漏洞。2016 年 7 月,一家叫 Bastille 的無線安全廠商就爆出包括惠普、東芝在內的至少 8 個品牌的無線鍵盤都存在安全漏洞,非常可能已被監聽。

第二,信息安全的本質—— “驗證”,註定是不完善的。

信息系統非常複雜,內部有很多分支,每個用戶行動都不只用到一個分支的資源。如此複合的步驟中,總有系統漏洞可以供黑客去攻擊。

美國花費數十年和數十億美元打造的愛國者導彈防禦系統理論上可以攔截絕大多數導彈。然而飛毛腿導彈卻輕易地突破了它的防線,它的造價僅為愛國者導彈的 1/100。

驗證系統只能無限接近完善,但世界上沒有最完善的系統可以信任。

第三,攻防雙方在成本和效率上是不對稱的,防守方處於絕對劣勢。

一個悲催的真理:信息防守方在效率和成本上處於絕對劣勢,就像病毒感染的成本永遠低於疫苗研發成本。

6

在黑客與防禦方的攻防戰役中,攻擊的成本遠低於防守的支出。

破壞總是比建設容易,感染一定比免疫輕松。沒有戰無不勝的系統,只有防不勝防的黑客。

所謂木桶定律,即一只水桶能裝多少水取決於它最短的那塊木板。一個信息系統的安全程度也取決於它最薄弱的環節。

2014 年索尼公司的 PS 網絡系統被黑客攻擊,大量個人資料被竊,損失達到 1.7 億美元。而對黑客來說,成本只是一臺電腦和一根網線。在網上,一些用來盜取別人賬戶的軟件只需要幾十美元就可獲得。

第四,在信息安全的戰場上,人是最大的不確定因素,而傻子總是比較多。

除了系統原因之外,人是最大的不確定因素。由人的疏忽、被欺詐所導致的信息安全事故約占到了總數的 85% 。

全球首屈一指的網絡安全解決方案供應商 Check Point 曾就 700 多名 IT 專業人士進行調查。結果顯示如下:

7

人的疏忽大意,而非技術漏洞,是安全事故頻發的主要原因。(深藍制圖)

87% 的受訪者認為,最大的威脅來自公司內部粗心員工;近三分之二的受訪者認為,客戶數據頻繁泄漏極有可能是由於內部員工的疏忽。

其實早在 2015 年秋,DNC 內部的信息安全專家就其脆弱的內部網絡警告過黨內高層,而這些建議均被置之不理。這批專家們經過兩個月的調查,在一份報告中建議:DNC 應該雇傭專業人士,升級系統,並設置可追蹤侵入者的防禦機制。

FBI 同樣也多次對 DNC 的網絡安全系統發出警告:“可能存在問題”。2015 年,FBI 曾敦促一些 DNC 的人員檢查內部系統是否有不尋常活動的跡象,但 DNC 什麽都沒能發現。

直到 2016 年 4 月 DNC 高層才開始重視這些警告,雇傭了私人安全公司 CrowdStrike 對系統進行整頓。然而,我們在內網中已經潛伏了超過一年。

正如我們的一位同僚,羅馬尼亞黑客 Guccifer 2.0 形容的——希拉里的郵件服務器像 “一朵開放的蘭花,對於任何人而言都很容易攻破。”

你們可能要問我:為什麽選擇攻擊 DNC 高層?

當然不必再說我們的立場就是反對 DNC。DNC 代表了矽谷大財團的利益,而我們是海盜。我們會盡力破壞希拉里當選的機會—— “選擇她就是選擇無休止的戰爭”。但我們今天不談政治。

信息安全如同安保服務一樣,保鏢的價格取決於被保護的人/財產的價值。信息安全也一樣。

黑客們最喜歡攻擊的行業是價值密集的領域,比如金融、比如政府。當然這些領域也最願意為信息安全買單——只有大家夥最願意為恐懼買單。

8

與早年的單純破壞性行為不同,如今的黑客攻擊更多帶有牟利色彩。

2016 年 6 月 IBM 聯合 Ponemon Institute 發布報告《2016 年數據泄露成本研究:全球分析》,對 383 家遭遇過數據泄露事件的企業進行了調研。報告顯示:從行業的角度來看,公共部門和教育機構的信息安全問題信息非正常流失率最少,而金融和醫療機構則是信息安全的重災區。

價值越高,我們就更願意去鋌而走險。DNC 高層的郵箱,關系到整個國家的政治格局,尤其在大選關頭,於是成為我們一直以來的目標。

DNC實在太蠢了,如果是我......

我們能輕易攻破 DNC 高層的郵箱,與其說我們厲害,不如說他們太蠢了。

DNC的 IT 系統安全防護手段極其落後。2016 年 5 月,我們曾經多次成功入侵 DNC 的網絡系統,曝出了 DNC 主要捐款人信息等一系列文件(包括捐款人姓名、職業、地理位置與金額)。然而他們的系統仍然沒有更新加密方式。

IT 系統與技術的演變導致了對安全需求的變化:邊界消失、滲透成為常態。

9

過去只要把守住 IT 系統的 “城門”,就能確保系統萬無一失。

過去 IT 系統像是古老的城堡,系統和外界只能通過有限的 “城門” 交流。而現在系統向外聯通度越來越高,城堡的 “城墻” 消失,發展成向外不斷擴張、內部四通八達的現代化城市。人們無法在不影響信息系統正常工作的情況下,繼續用建高墻的方式處理信息安全問題。

邊界的消失讓攻擊模式發生變化。之前對信息系統的破壞像軍隊攻城,直接從外部擊破,講究一擊斃命。當邊界消失後,攻擊手段演化成了間諜慣用的 “滲透” 手段,長期潛伏在信息系統內部,伺機而動。

如果我來負責 DNC 的信息安全,如下四件事情是我會在第一時間做的:

第一,建議搭設零信任網絡模型,淡化安全假設。

DNC 的安全系統是非常傳統的。訪問 DNC 成員們的郵箱,系統會區分內、外網絡,如果地址是從內網訪問,使用者將被賦予更高的信任級別,有更多權限讀取系統信息。

這種區分內外網的做法默認存在 “守門人”,而 “城內一定安全” 。就像我們剛才提到的機場安檢的例子——機場安檢系統默認安檢門內的候機廳絕對安全。對於這種傳統的邊界安全模型,黑客們只要能混入系統內部,就很容易訪問到內部應用。

只有搭建一套 “零信任” 架構,才能打破內外網之別。

對於系統而言,不應該存在絕對安全的區域或元素。實際上,現在越來越多的訪問發生在移動端和雲端,邊界愈發模糊,所以不妨一視同仁。

無論希拉里以及其他 DNC 高層身在何方,在競選辦公室、集會現場,還是在家,都必須用一樣的訪問方式:所有到郵箱的連接都要進行加密;所有聯網設備,包括筆記本電腦和手機,都要保留信任信息和設備號在服務器中。

“零信任” 的模式下,過去那些能夠滲透進內部的攻擊,不可能再進入內網如入無人之境。Google 在五年前就開始應用這一思路,改進安全模型,他們稱其為 BeyondCorp。

10

BeyondCorp 的安全架構示意圖。(深藍制圖)

2014 年開始,谷歌逐步將自己的全部應用組件遷移至 BeyondCorp,並公布了文檔《BeyondCorp: 谷歌的設計到部署》,其他有計劃部署 “零信任” 架構的公司可以根據文檔跟進部署。目前可口可樂、威瑞森通信、馬自達汽車公司都在做類似的改造。

經過實證,“零信任” 系統在取消內網的 “信任特權” 後,並不會影響用戶的使用便捷性。唯一的壞處是,信息安全團隊的工作量可能會大大增加。

第二,引入機器學習和人工智能工具。

不要老想著只用機器學習和人工智能幹點下象棋的事情。它們更是抵擋黑客攻擊的利器,能夠搭建更為智能的 “免疫系統”。

計算機最能做的事情是什麽?是做重複的事情。簡單來說,機器學習能通過分析海量的數據,比人類能更快、更精準地監測出系統風險。我在前面說過了,不要忘了,在信息安全的戰場上,人是最大的不確定因素,而傻子總是比較多。計算機有時候比人類靠譜。

11

機器學習技術的應用拓展了安全工具,並且 “機器學習本身就是黑客技術,數學和統計學知識的加和” ——德魯 · 康威(Drew Conway),美國數據科學家 。(深藍制圖)

Cylance 是值得一提的信息安全初創公司,它由全球最大的專業安全技術公司邁克菲(McAfee) 的前 CTO 創立。他們開發了一套基於機器學習的檢測系統危險的方法,宣稱能檢測出 99% 的入侵惡意軟件,而傳統方法的識別率只有 40%。

如果說機器學習可以更精準地發現風險,人工智能工具則可以更智能地提出解決方案:代替人類,對系統發現的漏洞進行研究,發開補丁程序,最後完成部署,實現系統安全自動化。

在這方面走得比較前沿的是美國初創企業 PatternEX ,他們推出了一個 “虛擬安全分析師”的智能平臺,能夠實時追查並理解系統運行數據,最終模擬人類分析師的直覺,形成威脅預測模型。另外,隸屬美國國防部的研究部門 DARPA,也在著手打造 “自動檢測—自主修複” 一體的人工智能系統。

第三,搭建安全感知預測系統。

面對安全威脅,報警系統和修複工具還遠遠不夠。因此除了升級防護工具,還需要搭建一個並行的安全風險提前感知系統。

簡而言之,安全風險提前感知系統就像精準的天氣預報系統。氣象專家通過讀取雷達、衛星等收集的數據,了解當前的大氣狀況,並在此基礎上給出天氣預測。

在安全感知系統中,防火墻、防病毒軟件和入侵檢測系統(IDS)等安全工具就是雷達,它們檢測到的數據能反映當前系統狀態,也是感知系統做短期預測的基礎。

安全感知系統的工作原理和人腦理解外界信息的認知過程是類似的,包括 “獲取信息—理解—未來預測” 三部分,如下圖顯示:

12

一套安全感知系統的構成:

數據來源:防火墻、防病毒軟件和入侵檢測系統(IDS)等安全工具檢測到的數據;現狀理解:形成分析報告,包括各種網絡設備運行狀況、網絡行為以及用戶行為等,提供輔助決策信息;短期預測:將當前態勢映射到未來,預測使用者行為,並對結果進行評估。

安全感知系統和人腦一樣,複雜而耗費資源眾多。在數據端需要強大的數據挖掘和處理能力。系統運行產生的海量數據中,僅有 20% 是可以直接利用的。而能否將剩下 80% 數據結構化並加以利用,決定了信息安全團隊在面對安全威脅時的響應速度。

提升系統的理解能力和推理能力,則需要依賴機器學習、人工智能等來模仿人腦的工作方式,理解當前系統狀態,並推演出短期內系統運行情況變化。

大廠商已經在嘗試了。2016 年 5 月,IBM 推出了 “認知安全” 工具 (IBM Watson for Cyber  Security),能夠對檢測到某個異常數據做快速關聯分析——比如異常行為發生次數,涉及的文件、和資產等,同時生成自己的 “判斷觀點” 以及支撐細節信息。這款 “認知安全” 工具在數據結構化上有很大優勢,每天能處理 20 萬條安全事件數據。

13

IBM 推出了 “認知安全” 工具 (IBM Watson for Cyber  Security)工作流程。(深藍制圖)

第四,覆蓋物聯網設備

如前面所說,黑客可以從使用者行動中盜取信息,比如大家常見的無線鍵盤就是一個安全隱患。

除了常用的電腦手機,DNC 團隊使用的各種聯網設備必須納入到搭建的安全系統中來。比如競選總部的智能電視機,工作人員和誌願者的 iWatch 和各種手環,就連希拉里家里的可以上傳運動數據的跑步機等等,都可能是隱患點。

14

DNC 內部使用的一切智能設備在網絡中暢聯無阻時,也讓黑客的突破變得簡單。(深藍制圖)

最安全的地方就是最危險的地方。百密一疏,容易釀成大禍。

黑客可以輕易地從智能設備入手,作為收集信息、捕獲安全信任憑證的跳板,發起後續攻擊。然而大多數人,不論是生產商還是使用者,完全沒有意識到這些聯網設備正是IT系統的薄弱環節。

雲服務可以解決這些智能設備的問題——將多種聯網設備都托管到雲,並對設備和雲端的所有數據傳輸進行加密。

比如美國的一家提供物聯網雲安全基礎設施的初創公司 Afero,智能設備可以通過他們提供的嵌入式藍牙模塊(ASR-1),實現所有設備間的安全連接。

15

Afero 的雲平臺是整套系統的核心所在。(深藍制圖)

以上便是我作為一個良心黑客從信息安全角度對 DNC 做的一點良心建議。

人們願意花越來越多的錢在信息安全這件事上——人們為恐懼買單。2015年,全球信息安全的開支 750 億美元,美國政府花銷 86 億美元。摩根大通(JP Morgan)每年的信息安全開支是 5 億美元,美國銀行(Bank of Ameirca)的信息安全預算則是 “沒有上限”。

希望大家都能覺得物有所值。

1947567081_副本

維基郵箱
贊(...)
文章評論
匿名用戶
發布
PermaLink: https://articles.zkiz.com/?id=209455

人工智能酷炫拽 黑客分分鐘攻破安全漏洞

“過去一年我找遍了做IOT(物聯網)、無人機、自動駕駛的國內外廠商,幾乎沒人和我討論安全問題。”國內知名白帽黑客團隊Keen創始人兼CEO王琦對《第一財經日報》記者感慨。他在白帽黑客江湖中的綽號叫“大牛蛙”,技術上的大牛,同時長著一雙大眼睛。

與全球那些靠黑客技術違法牟利的神秘勢力不同,白帽黑客是這個領域里的“清道夫”,憑借技術和直覺找到網絡生活中的後臺風險,攻破並協助軟硬件廠商及時堵住安全漏洞。但在現實中,白帽黑客在財大氣粗的廠商面前並沒有得到應有的重視,除非他們闖入了產品的安全後門,讓廠商感到緊張和不快。

24日上午,NickStephens在上海虹口區一個由當年的屠宰場改造的創意園中展示了如何通過代碼攻擊,破解一部新拆封的華為手機指紋密碼。他來自加利福尼亞大學聖塔芭芭拉分校,還是一名學生。現場觀眾在這部新手機上錄入了指紋,手機的TrustZone區域被攻破後,手機後臺可以讓任何指紋通過驗證,攻擊者甚至可以用鼻子代替手指,解鎖了手機。現場掌聲雷動。Nick在接受記者采訪時稱,目前還不能遠程用這種方法去攻破一部手機的指紋,只能在本地完成。

華為方面隨即表態稱,對主辦方提供的漏洞進行了慎重仔細的分析及修複工作,以保證華為手機系統的安全性進一步提升,“對於十分重視用戶安全的華為手機來說,安全極客的攻破演示無疑成為一次提高產品安全性的重要機會。”

華為提到的主辦方是在24日全天舉行GeekPwn2016嘉年華的白帽黑客團隊Keen。Pwn是個黑客俚語,形容成功實施了黑客攻擊的聲音。在去年一場以攻破金融支付領域漏洞為主題的視覺盛宴後,GeekPwn今年將主題設定在眼下火熱的人工智能與物聯網上,並同步在上海與矽谷兩地進行攻破演示競賽。它想提醒人們:別光顧著人工智能的酷炫,背後的安全隱患更值得重視。

“通常攻破一個漏洞後,漏洞在(白帽)黑客手中停留的時間是很短的,他們隨即會把漏洞交給相應的廠商,協助堵住它。”王琦說。事實上,在黑客眼中,任何智能手機都存在一定的未知安全漏洞,但能像華為這樣正視並積極堵住漏洞的廠商並不多,更多硬件廠商將白帽黑客定義為不受歡迎的找茬者。

“人家是做人工智能、無人駕駛的,高大上,瞧不上我們,認為黑客是小兒科,那我們就伸手去夠一夠,看看能做些什麽事情。”在王琦看來,人工智能領域的安全問題被表面的繁榮掩蓋了,對於系統漏洞,廠商方面應該主動肩負起更大的責任。GeekPwn秉承著這樣的理念應運而生。

24日的GeekPwn2016現場,十幾場攻破秀看得人眼花繚亂,又心生忐忑。一個由東南大學與澳門大學師生組成的PhenixCode團隊將攻擊對象瞄準了生活中並不起眼的智能插座,攻破後,他們竟然讓這個智能插座發布了一條微博。這個意想不到的攻擊創意讓在場嘉賓感到震驚,一位白帽黑客稱,黑客技術上的突破是比拼的焦點,但有時能從生活中想到可以攻破的點,更加難得。

既然一個小小的智能插座能成為黑客遠程控制用戶社交媒體的載體,那黑客就可以通過這個硬件做更多破壞事情。這說明,當人們在朝著智能生活的方向邁進過程中,的確有太多安全漏洞赤裸地呈現在黑客眼前。在黑客的潛在攻擊下,物聯網、人工智能、智慧城市、智能硬件等這些只要能聯網的領域顯得黯然失色。拿人工智能舉例,不管是AlphaGo還是自動駕駛,都是通過長期對大量數據的機器學習去實現接近人腦的水平。但同步在矽谷演示的攻破秀上,已經有白帽黑客實現了欺騙機器的深度學習。特斯拉創始人馬斯克甚至認為,發展人工智能實則是在“召喚惡魔”。機器變得越聰明,安全風險也就越大。

面對智能生活領域潛在的安全風險,作為消費者層面看似只能提高自身的安全意識,比如設置複雜密碼並不定期更換,盡量不在公共WiFi環境下使用手機進行資金交易,不連接不熟悉的公共WiFi等,而更應當去自查改進的是軟硬件生產廠商。像微軟對後臺漏洞的長年修複,蘋果“懸賞”獎勵發現手機漏洞的研究人員等行為,至少表明了廠商對安全的態度。

PermaLink: https://articles.zkiz.com/?id=220156

綠營攻破藍營北部票倉

1 : GS(14)@2016-01-18 01:08:14

【本報訊】國民黨在今次選舉前所未有慘敗,就連以往「南綠北藍」的局面亦遭打破,藍營傳統票倉台灣北部,包括新北及台北等地方得票比綠營還要少。當中台北市藍營上一屆仍能得到超過90萬票,壓倒民進黨,但是今屆的朱立倫就大幅減少至只得54萬票,少於蔡英文的75萬票。綜觀台灣版圖,幾乎形成「一片綠」,國民黨能夠在總統投票領先的只有東部兩個縣及外島兩個縣,藍營潰敗!



朱立倫於新北市慘敗


以往合稱「雙北」的台北市、新北市,以及桃園市和新竹市等大台北地區都是藍營票倉,但對於馬英九的施政失誤、加上周子瑜事件等議題發酵下,藍營票倉亦失守了。今年蔡英文在總統選舉成功突破台北鐵門,取得超過五成選票,而藍營則只有37%的選票。而在朱立倫自己當市長的新北市,他就更是慘淡,他只得70萬票,比上屆馬英九得到的少近50萬票,全市29區僅永和區與新店區贏過蔡英文,就連藍營鐵票票倉中和區亦失守,反觀蔡英文今屆則於新北取得116萬票。國民黨能夠領先的只有金門縣、連江縣這兩個外島以及花蓮、台東兩個東部的縣,但是藍營能得到的票數已是從過去慣性的七成,跌破五成。立委議席方面,國民黨在新北市的立委席次從10席大幅減為只取得2席。國民黨新北市黨部主任委員林新欽指,大環境對國民黨執政8年還沒有原諒。■記者黃兆康





來源: http://hk.apple.nextmedia.com/news/art/20160117/19455678
PermaLink: https://articles.zkiz.com/?id=294371

遭黑客攻破iCloud賬戶凱蒂妹3,000私照外洩

1 : GS(14)@2016-09-25 10:28:15

繼兩年前荷李活艷照門事件後,蘋果iCloud保安再受質疑。有匿名黑客聲稱成功入侵英國劍橋公爵夫人凱蒂妹妹皮帕(Pippa Middleton)的iCloud賬戶,向傳媒兜售3,000張私密照片,包括其未婚夫裸照,索價至少5萬英鎊(50萬港元)。



自稱「狡猾倫敦佬」的賣家,先後透過電郵與Whatsapp聯絡多間傳媒,聲稱從皮帕的iCloud賬戶盜取該批照片,要求有興趣的英國或美國買家在48小時內,即當地今日下午4時前「投標」,價高者得。該賣家揚言會優先售予美國買家,不受英國私隱法限制;若交易不成,賣家會將照片賣回皮帕。


涉皇室成員生活照

該賣家聲稱,盜取的資料包括皮帕出席私人派對、試穿婚紗、觀看婚禮場地,以及其未婚夫馬修斯裸照等私密照片,亦有凱蒂的家庭生活照,可見佐治王子及夏洛特公主。33歲的皮帕今年7月宣佈已與40歲金融才俊馬修斯訂婚,明年舉行婚禮。皮帕發言人感謝英媒報道提醒了他們,稱已將事件交由律師及警方處理。蘇格蘭場發言人則表示收到很多私人iCloud賬戶被入侵的報告,已交由相關專家展開調查,暫未有任何拘捕行動。兩年前,逾100名荷李活女星或女模,包括巨星珍妮花羅倫絲及名模Kate Upton等的裸照經iCloud外洩。當時專家相信,黑客是利用iCloud的重置密碼功能,只要輸入賬戶名稱、出生日期及安全提問就能取得新密碼,最終侵入受害人賬戶兩小時之久。《每日郵報》/英國天空新聞




來源: http://hk.apple.nextmedia.com/international/art/20160925/19780964
PermaLink: https://articles.zkiz.com/?id=309971

首置1張合約2,930萬掃4單位 炒家攻破新辣招 蠱惑慳稅243萬

1 : GS(14)@2016-11-08 05:48:47

【本報訊】政府上周五突擊出招為樓市加辣,以為可令投資者卻步,不過有個別未有物業的首置人士卻突破盲點,以同一份買賣合約方式大手掃新盤單位,只需繳付最低印花稅稅率。市場過去兩日最少錄得7宗上述的首置客掃貨個案,最多慳稅逾240萬元,兩日來稅局合共少收逾750萬元稅款。本報向政府查詢上述做法會否影響新辣招成效,以及會否推出措施防範有關行徑,政府發言人昨晚回覆稱有關提問正在處理中。記者:程俊華



政府日前將雙倍印花稅新稅率劃一提升至15%,港人首置或換樓才可豁免,旨在加重投資者入市成本,遏抑投資需求。近年已有不少投資者,利用未擁有物業的親友名義入市避稅,自加辣後,投資者更將避稅方法「昇華」。由於稅局訂明,一份買賣協議中同時購入多個住宅單位,被視為單一的住宅物業,只須付較低稅率的印花稅,所以近日市場湧現以「一份買賣協議形式」買入多個住宅的成交。綜合市場資訊,過去周六、日,即辣招生效首兩天,新盤市場便錄得最少7宗投資者以一張買賣合約掃貨。單計昨日已有5宗,涉及樓盤由上車盤馬鞍山薈晴、屯門Napa,至到豪宅盤何文田皓畋都有,合共掃貨金額高達1.429億元,買家從而慳稅逾756萬元。當中尤其以上車盤慳稅慳最多。市場消息指,屯門Napa有買家一口氣連掃4伙三房戶,成交價由620萬至近850萬元,總金額約2,930萬元,因買家為首次置業,以一張合約形式購買多單位,亦只須付舊稅率4.25%,即稅款約124.5萬元。若投資者拆開單位獨立購入,其中三伙便須支付最新15%的印花稅,總稅款開支將會急增66%至367.33萬元,意味該買家以一張合約購買方法,可慳近243萬稅款。



馬鞍山薈晴

屯門Napa



「上車客」銀聯卡付款


至於馬鞍山劏房盤薈晴更誇張,一名持有本港永久居民身份證、但用銀聯卡付款的「上車客」大手掃入4間一房單位,涉資1,993萬元,每間樓價不足500萬元。今次大手掃貨亦用一份買賣合約簽署,故只需繳付3.75%最低稅率,即約74.74萬元。若4伙分開購入,則合共要向稅局繳付239.39萬元。故新買家合法地慳稅逾164.6萬元,勁慳69%。而豪宅皓畋,昨日亦有3宗首置客大手入市個案,各買兩間,節省逾一半成本。由於政府向不同樓價物業一刀切徵收同一稅率,當中細價樓加稅幅度至高,故樓價越低的單位,用這種「一份買賣合約」方式入市,可節省稅款水位越高。但值得留意的是,如買家購入樓價500萬元以下單位,一般可獲銀行承造六成按揭,惟一次過將一批單位打入同一份買賣協議,樓價總額過高,按揭成數將會降為五成或以下。故此避稅方法相信只適合具實力的買家採用。雖然政府加辣,惟無礙新盤銷情,周末兩天仍共錄逾120宗一手新盤成交。有一本地換樓客斥3,388.77萬元購入堅尼地城浚峯43樓A室特色戶,呎價34,721元,為項目呎價及樓價新高。新買家要先付508.3萬元的新印花稅,須於半年內售出自住單位後,才可退回多付的364.2萬元稅款。




來源: http://hk.apple.nextmedia.com/news/art/20161107/19825451
PermaLink: https://articles.zkiz.com/?id=314506

Next Page

ZKIZ Archives @ 2019