- 資訊安全:
1.OpenSSLX509Certificate反序列化漏洞(CVE-2015-3825)成因分析 by 没羽
Android有许多场景使用序列化进行数据传递,如App间/内的对象传递、Binder通信的数据传递等等,一般涉及跨进程、跨权限。
序列化/反序列也是程序/接口的一个输入,存储区的内容或序列是可被随机填充,如果使用时验证不完整,也会导致安全漏洞。在Android系统中,可通过序列化/反序列化漏洞实现App拒绝服务、提升权限等攻击。
在对象序列化时,指针成员的序列化较易存在安全风险,如CVE-2014-7911中的mOrgue,CVE-2015-3825中的mContext。
本漏洞(CVE-2015-3825)中由于mContext是可序列化的,而它指向的又是X509结构的指针,当传入的序列化对象在反序列化产生异常时,系统调用GC回收资源,即mContext->references减1,这里mContext是可控制的,便可导致有限制的内存任意写(多次减1)漏洞。
2.下一代安全工具:SHA-3 by TechTarget中国
美国国家标准与技术研究(NIST)所在今年8月公布了安全哈希算法3(Secure Hash Algorithm-3,SHA-3),并称其为保护电子信息完整性的下一代安全工具。
SHA-3系列由四个加密哈希函数(SHA3-224、SHA3-256、SHA3-384以及SHA3-512),两个可扩展输出函数(SHAKE128和SHAKE256)组成。
可扩展输出函数不同于哈希函数,因为其可以扩展至任意需要的长度,这对于全域散列、随机散列、流加密以及生成消息身份验证代码是非常理想的。
实际上,广泛采用SHA-3可能还需要五年时间。大多数企业正在从SHA-1过渡至SHA-2。使用SSL连接的遗留系统,包括软件和硬件(如游戏机、手机和嵌入式设备),这些依靠硬编码的证书都需要迁移到SHA-2证书上去。如果软件不支持SHA-2加密,也要对软件进行更新升级。
3.APT防御归因很有趣,但攻击动机更重要 by 童宁
了解你的网络中什么是正常而什么是不正常,让你可以快速找到不正常的地方,也就有是说可能是恶意的活动。你不能再假设外围防御能够阻止一切到达你组织的攻击;相反地,你必须假设某种入侵事件最终将会发生,尽可能的去准备好侦测这样的入侵外泄行为。
想要做到这一点,就必须准备好事件回应计划。特别是针对严重而大规模的入侵外泄行为,重要的是要知道该怎么办,获取必要的工具,有合适的人员并提供相应的训练。这样,当重大事件发生时,人们可以根据经过深思熟虑过的计划来作出回应,而非匆忙而慌张地反应。
简言之:归因很有趣,但从防御的角度来看,动机更加重要。这决定了攻击者一旦进入你的网络内部后会做什么,这也相对地影响了你该如何建立自己的防御能力。
因此,组织最好的防御思路莫过于确认攻击者的动机,然后根据此动机判断入侵最有可能发生的节点以及方式,并拟定针对性的入侵防御方案,对目标进行重点防御。
Android有许多场景使用序列化进行数据传递,如App间/内的对象传递、Binder通信的数据传递等等,一般涉及跨进程、跨权限。
序列化/反序列也是程序/接口的一个输入,存储区的内容或序列是可被随机填充,如果使用时验证不完整,也会导致安全漏洞。在Android系统中,可通过序列化/反序列化漏洞实现App拒绝服务、提升权限等攻击。
在对象序列化时,指针成员的序列化较易存在安全风险,如CVE-2014-7911中的mOrgue,CVE-2015-3825中的mContext。
本漏洞(CVE-2015-3825)中由于mContext是可序列化的,而它指向的又是X509结构的指针,当传入的序列化对象在反序列化产生异常时,系统调用GC回收资源,即mContext->references减1,这里mContext是可控制的,便可导致有限制的内存任意写(多次减1)漏洞。
2.下一代安全工具:SHA-3 by TechTarget中国
美国国家标准与技术研究(NIST)所在今年8月公布了安全哈希算法3(Secure Hash Algorithm-3,SHA-3),并称其为保护电子信息完整性的下一代安全工具。
SHA-3系列由四个加密哈希函数(SHA3-224、SHA3-256、SHA3-384以及SHA3-512),两个可扩展输出函数(SHAKE128和SHAKE256)组成。
可扩展输出函数不同于哈希函数,因为其可以扩展至任意需要的长度,这对于全域散列、随机散列、流加密以及生成消息身份验证代码是非常理想的。
实际上,广泛采用SHA-3可能还需要五年时间。大多数企业正在从SHA-1过渡至SHA-2。使用SSL连接的遗留系统,包括软件和硬件(如游戏机、手机和嵌入式设备),这些依靠硬编码的证书都需要迁移到SHA-2证书上去。如果软件不支持SHA-2加密,也要对软件进行更新升级。
3.APT防御归因很有趣,但攻击动机更重要 by 童宁
了解你的网络中什么是正常而什么是不正常,让你可以快速找到不正常的地方,也就有是说可能是恶意的活动。你不能再假设外围防御能够阻止一切到达你组织的攻击;相反地,你必须假设某种入侵事件最终将会发生,尽可能的去准备好侦测这样的入侵外泄行为。
想要做到这一点,就必须准备好事件回应计划。特别是针对严重而大规模的入侵外泄行为,重要的是要知道该怎么办,获取必要的工具,有合适的人员并提供相应的训练。这样,当重大事件发生时,人们可以根据经过深思熟虑过的计划来作出回应,而非匆忙而慌张地反应。
简言之:归因很有趣,但从防御的角度来看,动机更加重要。这决定了攻击者一旦进入你的网络内部后会做什么,这也相对地影响了你该如何建立自己的防御能力。
因此,组织最好的防御思路莫过于确认攻击者的动机,然后根据此动机判断入侵最有可能发生的节点以及方式,并拟定针对性的入侵防御方案,对目标进行重点防御。
- 自我成長:
1.走出工作的瓶頸 by Carolyn O’Hara
首先,別只是空等瓶頸時期過去。即使只是在每天的工作上做點小改變,都可能有脫胎換骨的作用。把你每天完成的事情列張清單,看哪種工作讓你精神大振;哪種工作讓你身心俱疲。
其次,思考如何重新設計自己的角色,把你感興趣的工作當成重心。和主管談談,表示你願意接受符合你才能與目標的新挑戰,或自願加入其他部門的專案。
2.得到答案就好了嗎? by 魏美棻
我們追求的往往不是那個答案,而是那個問題形成的背後,跟面對這個問題的感受與體悟。原來,得到答案永遠都不夠。
越是執著於答案,越容易落入被牽著鼻子走的被動。僅僅安於所得到的答案,也讓自己容易落入眼界的侷限。那個答案永遠不是重點,也不一定適合自己。
解決學生遇到的問題?給予答案?不,應該是幫他體認到問題的所在。換個新角度來看,應該是創造新的思維想法,讓學生可以用心去看待他所接觸的材料。
3.你也可以教出榜首小孩 by 今周刊
在大學的這條路上,不管是學測或指考,幫助孩子洞悉自己的人格特質、了解各系所的學習內容,並協助指引方向。
此外,不管孩子在學測或指考的路上遭遇到挫折、失敗,父母親都要陪在孩子身旁,給他最大的鼓勵與支持,讓他盡快脫離沮喪,快速回復正常狀態,並擬定短期讀書計畫,確實執行,才能幫助他在求學路上走得更順遂。
首先,別只是空等瓶頸時期過去。即使只是在每天的工作上做點小改變,都可能有脫胎換骨的作用。把你每天完成的事情列張清單,看哪種工作讓你精神大振;哪種工作讓你身心俱疲。
其次,思考如何重新設計自己的角色,把你感興趣的工作當成重心。和主管談談,表示你願意接受符合你才能與目標的新挑戰,或自願加入其他部門的專案。
2.得到答案就好了嗎? by 魏美棻
我們追求的往往不是那個答案,而是那個問題形成的背後,跟面對這個問題的感受與體悟。原來,得到答案永遠都不夠。
越是執著於答案,越容易落入被牽著鼻子走的被動。僅僅安於所得到的答案,也讓自己容易落入眼界的侷限。那個答案永遠不是重點,也不一定適合自己。
解決學生遇到的問題?給予答案?不,應該是幫他體認到問題的所在。換個新角度來看,應該是創造新的思維想法,讓學生可以用心去看待他所接觸的材料。
3.你也可以教出榜首小孩 by 今周刊
在大學的這條路上,不管是學測或指考,幫助孩子洞悉自己的人格特質、了解各系所的學習內容,並協助指引方向。
此外,不管孩子在學測或指考的路上遭遇到挫折、失敗,父母親都要陪在孩子身旁,給他最大的鼓勵與支持,讓他盡快脫離沮喪,快速回復正常狀態,並擬定短期讀書計畫,確實執行,才能幫助他在求學路上走得更順遂。
如欲閱讀更多文章摘要,請見 每日晨摘
沒有留言:
張貼留言