密歇根大学的计算机科学家设计出一种新的处理器架构，能主动抵御未来威胁，事实上让现有的 bug 和补丁安全模式过时。被称为 MORPHEUS 的芯片通过每秒 20 次加密和随机重编关键数据比特来阻止潜在的攻击，远快于人类黑客能做出反应的速度，比最快的电子黑客技术快数千倍。

密歇根大学教授 Todd Austin 称，今天一个接一个消除 bug 的方法是一种失败的博弈，只要有新的代码，总会出现新的 bug 和安全漏洞。

通过使用 MORPHEUS，即使黑客发现了一个 bug，利用 bug 所需的信息会在 50 毫秒后消失，它可能是最接近不会被黑的安全系统。

来源：solidot.org

更多资讯

加拿大边境服务局因旅客拒绝披露密码而扣押其手机和笔记本电脑

加拿大边境服务局被指因律师拒绝披露密码而扣押其手机和笔记本电脑。这位叫 Nick Wright 的加拿大律师于 4 月 10 日乘飞机在多伦多的 Pearson 机场入境，他被要求接受额外的检查，边境服务局没有给出检查的理由。

来源： solidot.org
详情： http://t.cn/EoavJhT

黑客攻击 GitHub 仅获 2.95 美元 买咖啡都不够

据此前报道，日前有黑客攻击 Github，删除了 Git 代码库中一些用户的源代码以及近期的更新，并留下勒索留言，要求受害者支付 0.1 比特币的赎金。攻击者的确收到了赎金，然而收到的比特币甚至还不够在美国买一杯咖啡。

来源： 新浪财经

详情： http://t.cn/EoavSwv

网信办征求意见：App 这些行为属违法违规收集个人信息

各有关单位及专家：落实《关于开展 App 违法违规收集使用个人信息专项治理的公告》，App 专项治理工作组在中央网信办、工信部、公安部、市场监管总局指导下，开展了 App 违法违规收集使用个人信息安全评估，发现一些 App 存在强制授权、过度索权、超范围收集个人信息等问题。

来源： 网信中国

详情： http://t.cn/EoavCY0

网易邮箱回应大量账号被叫卖：仅涉及邮箱地址，已报案

7 日下午消息，针对媒体报道的“大量网易邮箱账号遭公开叫卖”，网易邮箱在其官方微博上发表声明称， 经查，报道中提及的违法行为，仅涉及邮箱地址，不涉及用户敏感信息，并已第一时间向公安机关报案。今日早些时候，人民创投报道称，在某交流平台，有人公开叫卖网易邮箱账号，百万邮箱售价仅 50 元。卖家自称可向这些邮箱发送营销信息，并展示了据说包含有百万个邮箱账号的文件。经测试，仅有 6 个邮箱发送失败。

来源： 新浪科技
详情： http://t.cn/EoavOso

（信息来源于网络，安华金和搜集整理）

红帽 今日宣布，其企业 Linux （RHEL）发布了最新版本 8.0。“对于在任何环境中运行的任何工作负载，红帽企业 Linux 8 提供一种企业级 Linux 的体验，以满足不断发展的企业的独特技术需求。”

红帽企业 Linux 总裁兼总经理 Stefanie Chiras 说：“跨越整个混合云，这个世界领先的企业 Linux 平台为 IT 组织提供了一剂催化剂，它不仅能够应对当今的挑战，还能做更多的事情。它为他们提供了创建自己未来的基础和工具，无论他们想要什么。”

红帽企业 Linux 8 是针对混合云时代重新设计的操作系统，旨在支持从企业数据中心到多个公共云的工作负载和操作。随着混合云和多云部署的重要性不断增长，操作系统也必须不断发展。根据 IDC 2018 年 9 月的一份报告，70％ 的客户已经部署了多云环境，当今典型 IT 产品组合中 64％ 的应用程序都基于云环境，无论是公有云还是私有云。

红帽企业 Linux 一直被认为是应用程序最稳定、最安全的基础设施。但是，在过去很难获得开发人员想要的最新语言和框架，而不会影响稳定性。红帽企业 Linux 8 引入了 应用程序流 （ Application Streams ） ——在此流中会经常更新快速变化的语言、框架和开发人员工具，而不会影响红帽企业 Linux 作为企业基准的核心资源。这样可以在单一的企业级操作系统中实现更快的开发人员创新和生产稳定性。

红帽企业 Linux 8 抽象出了红帽企业 Linux Web 控制台背后的粒度系统管理员任务的许多深层复杂性。该控制台提供直观、一致的图形界面，用于管理和监控红帽企业 Linux 系统，从虚拟机的运行状况到整体系统性能。为了进一步提高易用性，红帽企业 Linux 支持就地升级，为用户将红帽企业 Linux 7 实例转换为红帽企业 Linux 8 系统提供了更加简化、高效和及时的途径。

红帽企业 Linux 8 还包括了红帽企业 Linux 系统角色 （ System Role ） ，它可以自动完成许多关于在生产中管理和配置 Linux 的更复杂任务。系统角色由 Red Hat Ansible Automation 提供支持，它是预先配置的 Ansible 模块，支持现成的自动化工作流程，用于处理常见的复杂系统管理员任务。这种自动化使新系统管理员更容易采用 Linux，并有助于消除导致常见配置问题的人为错误。

为了增强安全性，红帽企业 Linux 8 支持 OpenSSL 1.1.1 和 TLS 1.3 加密标准。这提供了对加密保护中最强大的最新标准的访问，这些标准可以通过单个命令在系统范围内实现，从而限制了对特定于应用程序的策略和调优的需求。

从红帽 OpenShift 4 和即将推出的红帽 OpenStack Platform 15，红帽企业 Linux 8 构成了红帽整个混合云产品组合的基础。同样基于红帽企业 Linux 8 构建的是即将推出的红帽企业 Linux CoreOS 系统旨在托管 Red Hat OpenShift 部署。

红帽企业 Linux 8 的推出也与 红帽通用基础映像 （ Red Hat Universal Base Image ） 的普遍可用性相吻合，红帽通用基础映像是一个源自红帽企业 Linux 的用户空间映像，用于构建经过红帽认证的 Linux 容器。使用它构建的应用程序可以在任何地方运行。

网络犯罪组织会为了争夺客户而相互竞争，会花重金招募最优秀的项目经理，甚至会寻找合适的人才来担任类似于首席执行官的角色，在规范管理人员配置和攻击事务之外负责如何帮助牟取更多的资金。来自IBM和谷歌的安全研究人员描述了网络犯罪组织内部是如何运作的，并且称它们经常会公司化运作。

IBM Security 威胁情报主管 Caleb Barlow 表示：“我们观察到他们也有比较严明的纪律，在办公时间里很活跃，他们也会在周末休息，他们也会定时工作，他们也会休假。它们会以公司化进行运作，会有一个老板全权管理所有攻击行为。它们就像是你雇佣装修公司一样，它们有着很多的分包商，就像是水电工、木工和油漆工一样，它们也和你一样正常上下班。”

Barlow 表示了解恶意黑客如何构建和运营其业务非常重要，而公司化可以更好地掌握他们正在攻击的任务。虽然并非所有网络犯罪组织都完全相同，但大体结构应该是这样的：领导者，例如 CEO，会监督整个组织的更广泛目标。而他或者她会雇佣和领导诸多“项目经理”，而每个项目经理负责每次网络攻击的不同部分。

恶意软件的攻击者可能首先购买或创建有针对性的攻击工具，以窃取集团所需的确切信息。另一位攻击者可能会发送欺诈性电子邮件，将恶意软件发送给目标公司。一旦软件成功交付，第三位攻击者可能会努力扩大集团在目标公司内的访问权限，并寻求可以在暗网上进行销售的相关信息。

IBM 还提供了一张信息图，展示了从犯罪集团的角度，如何发起为期 120 天针对一家财富 500 强公司的真实案例。负责 IBM X-Force 业务安全事件响应的 Christopher Scott 表示称在这种情况下，对财富 500 强企业的攻击意味着窃取和破坏数据，不同的颜色大致代表不同的工作职能。

在图形的左侧，专门破坏公司网络的攻击者以自己的方式进入业务以获得立足点。其他“项目经理”通过窃取他们的凭证来破坏各种员工帐户，并使用这些帐户执行该计划中的不同任务，从访问敏感区域或收集信息。时间线上的差距代表了黑客停止进行某些活动的时期，因此他们不会将公司用来检测犯罪活动的传感器干扰。

在 120 天周期尾声的时候，以鲜红色为代表的黑客专家最终画上句号，使用不同的恶意代码来破坏公司的各种数据。隶属于 Alphabet 集团“Other Bet”下方，专门从事网络安全的 Chronicle 公司研究主任 Juan Andres Guerrero-Saade 解释称：“如果我是一名优秀的开发人员，那么我会选择创建勒索软件并将其出售，或者将其像那些提供 software-as-a-service 的公司一样作为服务出售。然后我会不断维护这款恶意软件，如果你找到受害者并让他们受到感染支付赎金，那么我将收取 10％ 或 20％ 的分成。”

来源：cnBeta.COM

更多资讯

Mozilla 修复附加组件问题 同时警告用户不要尝试“可疑的解决方法”

Mozilla 今天推出了 Firefox 66.0.4，解决了因为证书问题导致的附加组件无法在 Firefox 浏览器中工作的问题。周五，过期的安全证书令全球的 Firefox 用户感到困惑，因为扩展被禁用并变得无法使用。Mozilla 现在发布了一个浏览器更新，并且“正在积极努力解决剩下的问题”。

来源： cnBeta.COM

详情： http://t.cn/EotsFEc

爱彼迎民宿路由器暗藏摄像头：官方回应已移除房源

5 月 5 日下午，有媒体报道称，在山东青岛一家爱彼迎（Airbnb）的民宿中，住客在无线路由器内发现了隐藏的摄像头和存储卡，拍摄方向正对卧室。5 日晚间，爱彼迎公关人员对此正式回应称，爱彼迎十分重视隐私保护，对任何侵犯隐私的行为都秉持零容忍态度，目前平台方已经永久性移除涉事房源。

来源： 快科技

详情： http://t.cn/Eocv7vE

来电显示暗藏黑色利益链 你的号码被“标注”了吗？

2015 年 8 月的一天，刘子倩用打车软件叫了一辆车，刚刚上车，他就被司机识破了身份。原来，司机手机上的一款来电号码识别软件，把刘子倩的身份信息标注为“记者”。当刘子倩拨通司机电话时，他的身份信息就已经泄露了。

来源： 法制日报
详情： http://t.cn/Eocvwx0

北京将实现水电气热大数据共享，严防数据丢失、泄露

《北京市公共数据管理办法》日前面向公众开征意见。记者获悉，北京将建设市、区两级大数据管理平台，目前已有11.5亿条数据在市级大数据管理平台汇聚。未来，对于无条件共享的数据，数据需求单位可通过市区两级大数据平台直接获取；对于有条件共享的数据，数据需求单位应根据提供单位的授权获取共享数据。

来源： 北京日报

详情： http://t.cn/EocvLOR

（信息来源于网络，安华金和搜集整理）

从国家互联网应急中心获悉，为了有效控制 WannaCry 勒索病毒的传播感染，国家互联网应急中心近日开通了该病毒感染数据免费查询服务。2017 年 5 月 12 日，WannaCry 勒索病毒利用 Windows SMB（“永恒之蓝”）漏洞在全球快速传播，造成全球计算机大范围感染。

国家互联网应急中心介绍说，为实时掌握 WannaCry 勒索病毒及其变种在我国的传播感染情况，国家互联网应急中心持续开展针对该病毒的监测工作。根据分析，WannaCry 勒索病毒成功感染计算机并运行后，首先会主动连接一个开关域名。如果与开关域名通信成功，该病毒将不运行勒索行为，但病毒文件仍驻留在被感染计算机中；如果通信失败，该病毒将运行勒索行为加密计算机中的文件，并继续向局域网或互联网上的其他计算机传播。

据悉，截至 2019 年 4 月 9 日，国家互联网应急中心监测发现我国境内疑似感染 WannaCry 勒索病毒的计算机数量超过 30 万台，仍有大量的计算机未安装“永恒之蓝”漏洞补丁和杀毒软件。我国计算机感染 WannaCry 勒索病毒疫情依然比较严峻。

为了有效控制 WannaCry 勒索病毒的传播感染，国家互联网应急中心开通了该病毒感染数据免费查询服务。查询说明如下：

1、WannaCry 勒索病毒暂只能感染 Windows 操作系统，请用户在 Windows 操作系统上的浏览器中输入查询地址打开查询页面进行查询，查询地址为：h ttp://wanna-check.cert.org.cn。

2、若提示 IP 地址承载的计算机受到感染，建议使用 WannaCry 勒索病毒专杀工具进行查杀，并及时修复相关漏洞。

3、如果使用宽带拨号上网或手机上网，由于 IP 地址经常变化，会导致查询结果不准确，仅供参考。

来源：快科技

更多资讯

中消协等发智能锁试验报告：半数存指纹识别安全风险

中国消费者协会、四川省保护消费者权益委员会、 深圳市消费者委员会、佛山市消费者委会今天联合发布智能门锁比较试验报告，29 款样品中，48.3% 的样品密码开启安全存在风险，50% 的样品指纹识别开启安全存在风险，85.7% 的样品信息识别卡开启安存在风险。

来源： 央视新闻客户端

详情： http://t.cn/EoLwr4r

如何让过期证书事故不再发生

证书过期是一种常见的问题，但其影响面却可能极其广泛。此类事故频繁发生是因为安装和更新证书是一个乏味的手动过程。证书过期的现象已经有了改善，Let’s Encrypt 和 SSLMate 等 CA 开始提供证书自动更新的方法。

来源： solidot.org

详情： http://t.cn/EoLwsEt

男子购买“教程”掌握点餐软件漏洞 边消费边退代金券大肆实施盗窃

如今，各大餐饮行业手机自助点餐软件兴起，特别是在快餐行业中，大大缓解了排队点餐的尴尬。但是由于软件程序中难免存在漏洞，也成为滋生犯罪的土壤。近日，徐汇区检察院对一起利用手机自助点餐软件漏洞，盗窃某知名快餐公司钱款的被告人钟某某提起公诉。

来源： 新民晚报

详情： http://t.cn/EoLAw0A

中国一智能城市监控系统数据库被发现没有密码保护

智能城市设计旨在让居民生活更轻松，但如果它的监控系统数据泄露？John Wethington 报告一个智能城市数据库没有密码保护可以直接通过浏览器访问。

来源：solidot.org

详情： http://t.cn/EoLAb4Q

（信息来源于网络，安华金和搜集整理）

数百名开发人员的 Git 仓库被黑客删除，取而代之的是赎金要求。攻击于 5 月 3 日开始，包括 GitHub、Bitbucket 和 GitLab在内的代码托管平台都受到了影响。 目前已知的情况是，黑客从受害者的 Git 仓库中删除了所有源代码和最近提交的 Repo，只留下了 0.1 比特币（约 ¥3850）的赎金票据。

黑客声称所有源码都已经下载并存储在他们的一台服务器上，并且给受害者十天时间支付赎金，否则，他们会公开代码。

想要恢复丢失的代码并避免泄露：请将 0.1 比特币（BTC）发送至我们的比特币地址 1ES14c7qLb5CYhLMUekctxLgc1FV2Ti9DA，并将您的 Git 登录信息和付款证明发送至 [email protected]。如果您不确定我们是否有您的数据，请与我们联系，我们将向您发送证明，您的代码已下载并备份在我们的服务器上。如果我们在接下来的 10 天内没有收到付款，我们将公开代码或以其他方式使用。

在 GitHub 上搜索可发现已有 391 个仓库受影响，这些仓库的代码和提交信息均被一个名为 “gitbackup” 的账号删除。

尽管如此，BitcoinAbuse 平台显示，该比特币地址目前还未收到赎金。

一名用户指出 GitHub 在发现攻击后暂停帐户并进行调查：“GitHub 昨晚在他们调查时暂停了我的帐户，希望今天能听到他们的消息，我可能很幸运。”

据 ZDNet 的报道，好消息是，在深入挖掘受害者的案例后，StackExchange 安全论坛的成员发现黑客实际上没有删除，仅仅是改变了 Git 提交标头，这意味着在某些情况下可以恢复代码提交。

最新消息，GitLab 的安全总监 Kathy Wang 告诉 BleepingComputer：

我们根据 Stefan Gabos 昨天提交的赎金票据确定了消息来源，并立即开始调查此问题。我们已确定受影响的用户帐户，并且已通知所有这些用户。根据调查结果，我们有充分证据表明，受损帐户的帐户密码以明文形式存储在相关存储库的部署中。我们强烈建议使用密码管理工具以更安全的方式存储密码，并尽可能启用双因素身份验证，这两种方法都可以防止出现此问题。

目前，平台和用户都在努力解决问题，此处正在持续讨论可能的解决方案。

来源：开源中国

更多资讯

黑客轻松接管 29 个僵尸网络 只因运营者太菜

ZDNet 网站报导，安全专家一次性接管了 29 个僵尸网络，原理十分简单，利用了运营者技术“太菜”的方法。在采访中，安全专家 Subby 介绍了他接管的这 29 个僵尸网络，他指出其实这些僵尸网络都比较小，最初的机器人数量显示总计将近 40000，但在删除重复数据后，实际数量仅为 25000，这样的数据对于一个单独的 IoT 僵尸网络来说都是很小的，更不用说是 29 个的总和了。

来源： 开源中国

详情： http://t.cn/EoPirDH

德国警方查封全球第二大暗网黑市 Wall Street Market

据外媒 Techspot 报道，近日警方已查封全球第二大暗网黑市。德国当局领导的这项努力导致三名嫌疑人被捕，这是近两年调查的结果。警方还没收了超过 55 万欧元现金以及多辆车、电脑，数据存储和“ 6 位数的加密货币比特币和门罗币”。另外两名嫌疑人在美国被捕，被描述为“销售致幻毒品最多的供应商”。

来源： cnBeta.COM
详情： http://t.cn/EoPiF9c

何时能不被黑客鱼肉？D-Link 智能摄像头又出事了

近些年来各家厂商把“智能”摄像头市场做的是风生水起，许多消费者也想靠这些大眼睛来守护一方平安。对普通人来说，这些智能化的摄像头确实相当方便，只需连上网络，你就能在千里之外获取自己需要的画面。不过，在你享受方便之余又很容易掉入陷阱，因为安全漏洞背后藏着的坏人太可怕了。

来源： 雷锋网
详情： http://t.cn/EoP67yZ

Mozilla 曝出大乌龙 证书过期导致全球 Firefox 用户无法使用扩展

今天早上 Mozilla 和全球的 Firefox 用户开了个不大不小的玩笑，许多人一大早起来打开浏览器发现所有的扩展都无法使用，就连手机版也是如此。重装 Firefox 或者重装所有的插件都无济于事，在 Bugzilla 上提交的报告中我们了解到，这是由于 Mozilla 的官方证书没有及时续期所致。

来源： cnBeta.COM
详情： http://t.cn/EoP6b8B

（信息来源于网络，安华金和搜集整理）

2017 年的 NotPetya 网络攻击给 亿滋国际 （ Mondelez International ） （前身卡夫食品，奥利奥饼干制造商）造成了超过 1 亿美元经济损失。该公司的高管以为保险公司会帮他们承担损失，然而亿滋的承保人 苏黎世保险 （ Zurich Insurance ） 以保险合同中“战争除外”条款拒绝报销费用。

2018 年，美国政府认定俄罗斯是 NotPetya 网络攻击幕后主使，当政府官员放肆地点名羞辱网络攻击的国家级支持者，却白送给保险公司一个拒绝的理由——“网络战”。亿滋于去年起诉了苏黎世保险。于此同时 默沙东制药 （ Merck ） 起诉了 20 多家拒绝理赔的保险公司，NotPetya 攻击给默沙东造成 7 亿美元损失。

这两个案件可能数年后才得以解决，卡内基国际和平基金会高级研究员 Ariel Levite 认为，“我们所面临的风险是，未来的网络保险可能一文不值。”这不是第一次保险公司使用战时条款免责，1970 年解放巴勒斯坦人民阵线劫持泛美航空 93 号班机，并致坠毁，法庭驳回了 安泰人寿 （ Aetna ） 的企图：这是犯罪，而不是战争行为。

在亿滋和默沙东的案件中，核心问题是 NotPetya 攻击是否符合“战争例外”条款，而我们至今不清楚网络战到底是什么样，事实上也没有人与亿滋“交战”，前保险巨头美国国际集团（AIG）首席运营官 Ty Sagalow 认为这是一个灰色地带。

网络攻击带来的连带损害越来越普遍，“这就是今天的网络，如果你不喜欢它，你就不应该经商。”

来源：solidot.org

更多资讯

17 岁安全研究人员发现戴尔电脑的 SupportAssist 存在严重缺陷

如果您使用戴尔 Windows PC，那么肯定了解该公司的 SupportAssist 应用程序，该应用程序预先安装在几乎所有戴尔品牌的 Windows PC，旨在帮助用户处理各种事务，从下载驱动程序到硬件检查。简而言之，SupportAssist 应用程序可以处理您电脑的健康状况。但是，一位 17 岁的安全研究人员在 SupportAssist 应用程序中发现了远程代码执行（RCE）漏洞。

来源： cnBeta.COM

详情： http://t.cn/ESdKQes

Windows 10 将保护用户在 Google Chrome 隐身模式中输入的文字

微软已经提出了在私有模式下运行 Chromium 浏览器（如 Google Chrome）时改善用户隐私的计划，从而解决了当前操作系统中最大的问题之一。微软表示，在 Windows 10 上，每当用户以隐身模式启动 Google Chrome 时，其键入的数据都应该受到保护，不应留下任何浏览痕迹。

来源： cnBeta.COM

详情： http://t.cn/ESdKezQ

Mozilla 更新扩展政策 宣布禁止混淆代码

Mozilla 更新了它的扩展政策，明确禁止含有混淆代码的扩展。这一政策将于 6 月 10 日生效，扩展开发者需要在一个月内更新扩展以避免违反扩展政策。Mozilla 表示此举有助于更好的处理恶意扩展。混淆代码通常被黑客用于隐藏程序的真正用途。

来源： solidot.org

详情： http://t.cn/ESd97T3

2019 年第 1 季度网络钓鱼报告：微软是攻击者最爱模仿的服务品牌

最新报告显示 2019 年第 1 季度，通过社交媒体开展的网络钓鱼行为数量同比增长了 74.7%。根据电子邮件预防公司 Vade Secure 近期公布的网络钓鱼报告显示，由于可以通过 Office 365 中获取丰厚的数据，因此微软已经连续 4 个季度成为黑客重点攻击的目标。

来源： cnBeta.COM

详情： http://t.cn/ESd9y2X

（信息来源于网络，安华金和搜集整理）