- 資訊安全：
1.GCHQ被控“持续”非法入侵 by Freebuf
在Privacy International（隐私国际）和ISP的诉讼案面前，英国间谍机构政府通信总部GCHQ首次承认入侵了电脑。 GCHQ对全世界的手机、电脑和网络进行了“持续的”非法入侵，他们无视了公民隐私。
GCHQ可以在机主不知情的情况下远程激活电子设备中的麦克风和摄像头，复制照片和个人文档，或者进行定位，调查权力法庭 (Investigatory Powers Tribunal, IPT)得知。
坐落于切尔滕纳姆的政府监控站GCHQ在一起诉讼案中首次承认它在英国本土和海外实施了计算机网络刺探(computer network exploitation, CNE)，也就是俗称的黑客攻击。
2.漏洞之王：Flash将灭亡？Adobe推出Animate CC为其延续 by Freebuf
Flash并没有灭亡，只是重命名而已。这就显示出来一个弊端：Flash中存在的安全问题在Animate CC中将仍然存在。这一问题的根源在于即使Animate CC中添加了许多新功能，开发人员仍然使用Flash的工具进行开发。例如，针对最近发现的安全漏洞，解决的唯一方法就是完全卸载Flash Player。所以Adobe解决Flash中的安全问题将仍然是一条漫长之路。
3.3G/4G调制解调器中的安全漏洞：可致设备被完全控制 by Freebuf
近日，安全专家在调查中发现，来自四个厂商的蜂窝调制解调器中存在跨站脚本漏洞、跨站请求伪造漏洞和远程代码执行漏洞，并可能遭受完整性攻击。
主要涉及华为（Huawei）、正文科技（Gemtek）、广达科技（Quanta）和中兴通讯（ZTE）的调制解调器产品。该调查主要针对众多厂商中存在的一个普遍问题：多数厂商习惯以硬件供应商的代码为基础设计产品，而且往往不做任何更改。
（1）远程代码执行漏洞：
导致该漏洞主要有三个原因：这些产品的Web服务器都是基于简单的为适当过滤的CGI脚本；调制解调器需要使用文件系统发送AT命令、读取和写入SMS消息和配置防火墙规则等；这些产品都没有CSRF保护，以至于攻击者可借助社会工程学和恶意网站的请求执行远程代码。
（2）完整性漏洞：
在这些产品中，有三款是配置了防固件篡改保护的，其中有两款使用了相同的完整性检测算法，在这种算法中攻击者可通过注入代码修改固件；其中一款仅仅使用RC4算法进行固件加密，攻击者可提取加密密钥并确定加密算法，进而更改固件。
其中有三款没有任何完整性保护机制，并且固件升级需要本地访问COM接口。最后两款则必须通过运营商的网络、借助FOTA（移动终端的空中下载软件升级）技术进行升级。
（3）跨站请求伪造漏洞：主要用于远程上传修改的固件，并完成代码注入。对每个请求使用唯一的令牌是阻止此类攻击的有效方法。
（4）跨站脚本漏洞：利用跨站脚本漏洞的攻击影响范围十分广泛，此次调查主要针对让AntiCSRF检查和同源策略的固件上传。
在Privacy International（隐私国际）和ISP的诉讼案面前，英国间谍机构政府通信总部GCHQ首次承认入侵了电脑。 GCHQ对全世界的手机、电脑和网络进行了“持续的”非法入侵，他们无视了公民隐私。
GCHQ可以在机主不知情的情况下远程激活电子设备中的麦克风和摄像头，复制照片和个人文档，或者进行定位，调查权力法庭 (Investigatory Powers Tribunal, IPT)得知。
坐落于切尔滕纳姆的政府监控站GCHQ在一起诉讼案中首次承认它在英国本土和海外实施了计算机网络刺探(computer network exploitation, CNE)，也就是俗称的黑客攻击。
2.漏洞之王：Flash将灭亡？Adobe推出Animate CC为其延续 by Freebuf
Flash并没有灭亡，只是重命名而已。这就显示出来一个弊端：Flash中存在的安全问题在Animate CC中将仍然存在。这一问题的根源在于即使Animate CC中添加了许多新功能，开发人员仍然使用Flash的工具进行开发。例如，针对最近发现的安全漏洞，解决的唯一方法就是完全卸载Flash Player。所以Adobe解决Flash中的安全问题将仍然是一条漫长之路。
3.3G/4G调制解调器中的安全漏洞：可致设备被完全控制 by Freebuf
近日，安全专家在调查中发现，来自四个厂商的蜂窝调制解调器中存在跨站脚本漏洞、跨站请求伪造漏洞和远程代码执行漏洞，并可能遭受完整性攻击。
主要涉及华为（Huawei）、正文科技（Gemtek）、广达科技（Quanta）和中兴通讯（ZTE）的调制解调器产品。该调查主要针对众多厂商中存在的一个普遍问题：多数厂商习惯以硬件供应商的代码为基础设计产品，而且往往不做任何更改。
（1）远程代码执行漏洞：
导致该漏洞主要有三个原因：这些产品的Web服务器都是基于简单的为适当过滤的CGI脚本；调制解调器需要使用文件系统发送AT命令、读取和写入SMS消息和配置防火墙规则等；这些产品都没有CSRF保护，以至于攻击者可借助社会工程学和恶意网站的请求执行远程代码。
（2）完整性漏洞：
在这些产品中，有三款是配置了防固件篡改保护的，其中有两款使用了相同的完整性检测算法，在这种算法中攻击者可通过注入代码修改固件；其中一款仅仅使用RC4算法进行固件加密，攻击者可提取加密密钥并确定加密算法，进而更改固件。
其中有三款没有任何完整性保护机制，并且固件升级需要本地访问COM接口。最后两款则必须通过运营商的网络、借助FOTA（移动终端的空中下载软件升级）技术进行升级。
（3）跨站请求伪造漏洞：主要用于远程上传修改的固件，并完成代码注入。对每个请求使用唯一的令牌是阻止此类攻击的有效方法。
（4）跨站脚本漏洞：利用跨站脚本漏洞的攻击影响范围十分广泛，此次调查主要针对让AntiCSRF检查和同源策略的固件上传。
- 自我成長：
1.把專業打造成個人品牌 by Dorie Clark
首先要明白一點：你不必在一夜之間成為全球知名的專家。就算你不是莎士比亞，一樣可以指導他人改進商業書信寫作技巧。你要清楚自己嫻熟與不熟的領域。
一定要讓你的公司了解你成為公眾品牌的價值，尤其在你的專業並非工作核心責任時，你必須向主管證明，自己的能見度增加，對公司大有助益。
最後，別忘了有技巧地拓展自己的強項。強調自己具備多項才能，你習得的新專業才不會把你定型為只精通某項技能的人。
2.學習從領導人的角度思考 by Robert Steven Kaplan
領導人必須有更高的角度，得從各層面來思考問題，衡量各種利害關係人的需求。設想假如自己是主管，或甚至是公司的老闆，你會需要考量哪些問題與機會？你會詢問誰的意見？
從領導人的角度思考，不代表你對所有的問題都有答案，但確實能讓你思考時不忘顧及大局。
3.經理人也該學習分析數據 by Rebecca Knight
（1）多方學習
（2）和團隊的分析師建立關係
（3）建立開放的溝通
（4）重視數據資料
首先要明白一點：你不必在一夜之間成為全球知名的專家。就算你不是莎士比亞，一樣可以指導他人改進商業書信寫作技巧。你要清楚自己嫻熟與不熟的領域。
一定要讓你的公司了解你成為公眾品牌的價值，尤其在你的專業並非工作核心責任時，你必須向主管證明，自己的能見度增加，對公司大有助益。
最後，別忘了有技巧地拓展自己的強項。強調自己具備多項才能，你習得的新專業才不會把你定型為只精通某項技能的人。
2.學習從領導人的角度思考 by Robert Steven Kaplan
領導人必須有更高的角度，得從各層面來思考問題，衡量各種利害關係人的需求。設想假如自己是主管，或甚至是公司的老闆，你會需要考量哪些問題與機會？你會詢問誰的意見？
從領導人的角度思考，不代表你對所有的問題都有答案，但確實能讓你思考時不忘顧及大局。
3.經理人也該學習分析數據 by Rebecca Knight
（1）多方學習
（2）和團隊的分析師建立關係
（3）建立開放的溝通
（4）重視數據資料
如欲閱讀更多文章摘要，請見 每日晨摘
沒有留言:
張貼留言