- 資訊安全：
1.HackPwn 2015：SmartCare破解细节分析 by 安全盒子
对于这类设备主动反连云端的通信模型，要实施较大范围的攻击的主要手段就是从云端和通信协议入手。通过对APP逆向分析，我们能确定APP使用用户名和一个token（由用户名和密码通过http获取）作为登陆凭证登陆进入MQTT。
分析发现，APP使用了SSL之上的MQTT，并加载了服务器证书和客户端私钥做双向认证，不过扫描服务器断开发现，服务器出了开启了APP中用到的1884端口以外，还开启了MQTT的默认端口1883，一试之下是没有SSL的，连证书转换的步凑都省了。
进一步测试之下发现，在登陆上MQTT之后，即使手机APP再次登陆，已经连接的会话也不会被强制下线，也就是说同一时间可能存在多个相同用户名的用户注册在MQTT服务器上，此处云端的消息派发便会面临挑战：云端如何确定消息被派发给了正确的用户呢？
事实证明，此服务器并不能做到，此攻击的意义在于，我们能很方便的得到APP与设备间的MQTT消息镜像，对于进一步分析大有脾益。
有了这，再结合对APP和对固件的逆向，就不难分析出网关设备上线的流程，APP进入配置阶段后，会在局域网内寻找设备，并建立通信，然后APP会使用发现设备的Mac地址向云端申请Token(dev_token)，并把该token发送给设备，设备登陆MQTT服务器，并发送一个带dev_token确认包，确认上线，服务端就完成设备与APP之间的绑定，一方发出的消息才会被服务端转发给另一方。
2.攻击者入侵Mozilla Bug系统,窃取私密数据 by 360安全播报
Mozilla公司已经承认该公司Bugzilla漏洞跟踪系统的数据被一名黑客泄漏了出来，而且这名攻击者还获得了大量还未被修复的0 day漏洞的详细信息。
攻击者也许已经弄清楚了目标用户的身份了，因为攻击目标是一个拥有特殊权限的用户，这名用户可以访问Mozilla公司的产品安全漏洞的敏感信息。
根据Mozilla公司目前已经确认了的数据，这名攻击者得到了大约185个未被公布出来的0 day漏洞的详细信息。Mozilla公司认为，在这些泄漏出来的漏洞中，有53个漏洞是高危漏洞。
但是Mozilla公司声称，在那名攻击者得到了这些漏洞信息的时候，公司已经将火狐浏览器中的43个高危漏洞成功修复了。
这也就意味着，还有十个高危漏洞没有被修复，攻击者仍然可以利用这十个高危漏洞，所以使用火狐浏览器的用户们仍然有可能受到攻击。
3.黑掉无人驾驶汽车：60美元装置即可做到 by 新浪网
佩蒂特(Jonathan Petit)表示，大部分无人驾驶汽车探测障碍物的激光雷达系统只需一个成本不到60美元的装置即可破解。通过这一装置，黑客可以在任何位置设置实际并不存在的汽车、行人，或是墙壁，导致无人驾驶汽车的行驶速度放慢，甚至寸步难行。
无人驾驶汽车使用的多种短距离雷达都采用了需要授权的频谱，而激光雷达系统则使用了激光脉冲，去绘制汽车周围环境的3D图像。这样的激光脉冲很容易伪造。 在研究中，佩蒂特首先录制了IBEO Lux激光雷达设备发出的脉冲。
这样的脉冲并未经过编码或加密，因此可以很简单地实现重播。唯一麻烦之处在于同步，即在正确的时间将信号反馈给雷达。只要能做到这一点，黑客就能欺骗雷达周围存在障碍物。
对于这类设备主动反连云端的通信模型，要实施较大范围的攻击的主要手段就是从云端和通信协议入手。通过对APP逆向分析，我们能确定APP使用用户名和一个token（由用户名和密码通过http获取）作为登陆凭证登陆进入MQTT。
分析发现，APP使用了SSL之上的MQTT，并加载了服务器证书和客户端私钥做双向认证，不过扫描服务器断开发现，服务器出了开启了APP中用到的1884端口以外，还开启了MQTT的默认端口1883，一试之下是没有SSL的，连证书转换的步凑都省了。
进一步测试之下发现，在登陆上MQTT之后，即使手机APP再次登陆，已经连接的会话也不会被强制下线，也就是说同一时间可能存在多个相同用户名的用户注册在MQTT服务器上，此处云端的消息派发便会面临挑战：云端如何确定消息被派发给了正确的用户呢？
事实证明，此服务器并不能做到，此攻击的意义在于，我们能很方便的得到APP与设备间的MQTT消息镜像，对于进一步分析大有脾益。
有了这，再结合对APP和对固件的逆向，就不难分析出网关设备上线的流程，APP进入配置阶段后，会在局域网内寻找设备，并建立通信，然后APP会使用发现设备的Mac地址向云端申请Token(dev_token)，并把该token发送给设备，设备登陆MQTT服务器，并发送一个带dev_token确认包，确认上线，服务端就完成设备与APP之间的绑定，一方发出的消息才会被服务端转发给另一方。
2.攻击者入侵Mozilla Bug系统,窃取私密数据 by 360安全播报
Mozilla公司已经承认该公司Bugzilla漏洞跟踪系统的数据被一名黑客泄漏了出来，而且这名攻击者还获得了大量还未被修复的0 day漏洞的详细信息。
攻击者也许已经弄清楚了目标用户的身份了，因为攻击目标是一个拥有特殊权限的用户，这名用户可以访问Mozilla公司的产品安全漏洞的敏感信息。
根据Mozilla公司目前已经确认了的数据，这名攻击者得到了大约185个未被公布出来的0 day漏洞的详细信息。Mozilla公司认为，在这些泄漏出来的漏洞中，有53个漏洞是高危漏洞。
但是Mozilla公司声称，在那名攻击者得到了这些漏洞信息的时候，公司已经将火狐浏览器中的43个高危漏洞成功修复了。
这也就意味着，还有十个高危漏洞没有被修复，攻击者仍然可以利用这十个高危漏洞，所以使用火狐浏览器的用户们仍然有可能受到攻击。
3.黑掉无人驾驶汽车：60美元装置即可做到 by 新浪网
佩蒂特(Jonathan Petit)表示，大部分无人驾驶汽车探测障碍物的激光雷达系统只需一个成本不到60美元的装置即可破解。通过这一装置，黑客可以在任何位置设置实际并不存在的汽车、行人，或是墙壁，导致无人驾驶汽车的行驶速度放慢，甚至寸步难行。
无人驾驶汽车使用的多种短距离雷达都采用了需要授权的频谱，而激光雷达系统则使用了激光脉冲，去绘制汽车周围环境的3D图像。这样的激光脉冲很容易伪造。 在研究中，佩蒂特首先录制了IBEO Lux激光雷达设备发出的脉冲。
这样的脉冲并未经过编码或加密，因此可以很简单地实现重播。唯一麻烦之处在于同步，即在正确的时间将信号反馈给雷达。只要能做到这一点，黑客就能欺骗雷达周围存在障碍物。
- 自我成長：
1.名目所得與明星企業的迷思 by 彭明輝
一個國家的總體經濟成效是所有產業部門的集合表現，任何一個產業部門或企業若脫了隊，都有可能在未來變成經濟發展的絆腳石。而任何一種揠苗助長的經濟發展模式，都難免會使產業的發展失去均衡，政府刻意培養的明星產業更可能會讓社會付出慘痛的代價。
因此，我們對於過去偏重出口而抑制內需，偏重明星產業而漠視中小企業，過分看重製造業而輕忽服務業，這種發展模式是該認真檢討了。從購買力所得的角度來看，與其因為製造業出口成長10%而換來3%的GDP成長率和2%的物價上漲，還不如因為餐飲與休閒服務業的品質與效率提升而換來1.5%的GDP成長率，0%的物價上漲和更好的服務品質。
畢竟，名目所得的提升頂多只不過是個手段，實質生活品質的提升才是經濟發展的真正目的。
2.德國人為何歡迎難民 by 李京倫
德國政府暫時擱置「都柏林原則」，不把敘利亞難民遣返回他們首先抵達的歐盟國家，等於同意讓絕大多數成功到達德國的敘利亞難民留下。向德國申請庇護的敘利亞人，87%獲准。
華盛頓郵報訪問在慕尼黑車站迎接難民的民眾，為何熱情歡迎，多數人說想彌補德國以前暴行。69歲的大樓清潔工施里福說：「多年前我們在戰爭中造成非常多的傷痛，侵略別國，還做了很多可怕的事，該是我們療癒別人傷痛的時候了。」
商界領袖也呼籲政府，要善用難民填補技術勞工的缺口。德國人口快速老化，出生率又低，德國雇主協會總會估計，德國還缺十四萬名工程師、程式設計師與技術人員。德國工業聯合會會長葛里洛說：「如果政府能讓他們快速進入勞動力市場，我們會給他們工作，這對我們也有利。」
3.德國人的一天怎麼安排？ by 德國之聲
從整體來看，德國單身男性比單身女性工作的時間長。但是只要男人有了伴侶，下班後急着回家的心情比女性更迫切。在沒有孩子的家庭，男人辛苦工作一天回家之後，平均11小時零15分鐘的時間用於休息放鬆，在床上度過的時間為8小時零23分鐘。但家中有孩子便打破了安靜，他們的睡眠時間幾乎平均減少半小時。
孩子們的父親從每天早上出門上班到晚上下班回家，平均在外時間是8小時45分鐘。到家之後，平均每天12分鐘用於打掃整理房間、2分鐘用於居室和花園整修、2分鐘用於熨燙衣服，一天的工作到此結束。接下來便是45分鐘用來陪伴孩子，兩個半小時用來放鬆，看看電視，進行一些社會交往或者體育活動。
一個國家的總體經濟成效是所有產業部門的集合表現，任何一個產業部門或企業若脫了隊，都有可能在未來變成經濟發展的絆腳石。而任何一種揠苗助長的經濟發展模式，都難免會使產業的發展失去均衡，政府刻意培養的明星產業更可能會讓社會付出慘痛的代價。
因此，我們對於過去偏重出口而抑制內需，偏重明星產業而漠視中小企業，過分看重製造業而輕忽服務業，這種發展模式是該認真檢討了。從購買力所得的角度來看，與其因為製造業出口成長10%而換來3%的GDP成長率和2%的物價上漲，還不如因為餐飲與休閒服務業的品質與效率提升而換來1.5%的GDP成長率，0%的物價上漲和更好的服務品質。
畢竟，名目所得的提升頂多只不過是個手段，實質生活品質的提升才是經濟發展的真正目的。
2.德國人為何歡迎難民 by 李京倫
德國政府暫時擱置「都柏林原則」，不把敘利亞難民遣返回他們首先抵達的歐盟國家，等於同意讓絕大多數成功到達德國的敘利亞難民留下。向德國申請庇護的敘利亞人，87%獲准。
華盛頓郵報訪問在慕尼黑車站迎接難民的民眾，為何熱情歡迎，多數人說想彌補德國以前暴行。69歲的大樓清潔工施里福說：「多年前我們在戰爭中造成非常多的傷痛，侵略別國，還做了很多可怕的事，該是我們療癒別人傷痛的時候了。」
商界領袖也呼籲政府，要善用難民填補技術勞工的缺口。德國人口快速老化，出生率又低，德國雇主協會總會估計，德國還缺十四萬名工程師、程式設計師與技術人員。德國工業聯合會會長葛里洛說：「如果政府能讓他們快速進入勞動力市場，我們會給他們工作，這對我們也有利。」
3.德國人的一天怎麼安排？ by 德國之聲
從整體來看，德國單身男性比單身女性工作的時間長。但是只要男人有了伴侶，下班後急着回家的心情比女性更迫切。在沒有孩子的家庭，男人辛苦工作一天回家之後，平均11小時零15分鐘的時間用於休息放鬆，在床上度過的時間為8小時零23分鐘。但家中有孩子便打破了安靜，他們的睡眠時間幾乎平均減少半小時。
孩子們的父親從每天早上出門上班到晚上下班回家，平均在外時間是8小時45分鐘。到家之後，平均每天12分鐘用於打掃整理房間、2分鐘用於居室和花園整修、2分鐘用於熨燙衣服，一天的工作到此結束。接下來便是45分鐘用來陪伴孩子，兩個半小時用來放鬆，看看電視，進行一些社會交往或者體育活動。
如欲閱讀更多文章摘要，請見 每日晨摘
沒有留言:
張貼留言