近期安全动态和点评（2020年2季度）

★隐私保护

◇微信

加拿大多伦多大学公民实验室发表报告称，微信监视所有用户的内容，无论是中国用户还是非中国用户，他们发送的内容都受到监视。微信是中国最流行的社交媒体平台，截至2019年底有11.5亿月活用户。
微信曾被认为主要审查中国用户的账号，但公民实验室发现非中国国籍或者使用非中国手机注册的账号同样受到监视，这些用户发送的文件和图像都面临内容监视和审查。

《中国科学报》报道了某社交 App（aka 微信）被曝监听用户聊天记录。腾讯微信回应称，“聊天内容属于用户的通信秘密和个人隐私，微信不会监测用户的聊天记录，腾讯更不会通过监测用户聊天记录来推送广告。”微信上的广告投放基于用户的合法授权和腾讯的数据技术支持诞生的，可以保护用户隐私的安全。
但据《消费者报道》统计，要想关闭朋友圈的个性化广告，至少需要经过13个步骤、点击16次，并且只能关闭六个月的时间，不少用户甚至根本不知道可以自由选择关闭朋友圈广告。
对于个性化广告，中科院自动所模式识别国家重点实验室研究员宗成庆称，“这些个性化广告通常基于推荐算法，其目的是满足用户的个性化需求，实现信息精准服务，极具商业价值。目前，几乎所有 App、网站等都嵌入了该技术。”推荐算法就是对网络用户所积累的数据进行挖掘、归类，刻画用户的行为特征和倾向。一般只需三次人与物的关联，就能完成兴趣发现，实现个性化推荐。
宗成庆表示，推荐算法的最初目的是为了通过数据分析，优化用户体验，方便用户使用 App 等，但也有不少数据被用作商业用途。这一过程中，用户并不了解个人信息的去向，进而引发用户“我是不是被窃听了”的恐慌。

用户群很大的那几个 App，都很流氓
这个道理，俺也聊过多次了。像“微信/支付宝/百度/京东”这些 App，装机量都是以【亿】计。这么大的安装量，朝廷的有关部门，难道会不动心吗？假如有关部门找到这几家公司的老板，要他们稍微配合一下，在 app 里面玩点猫腻，像"菊花疼、马淫、李阉红、刘强奸"这些老板，他们有胆量拒绝朝廷提的要求吗？答案显然是【否定】滴！

◇小米

安全研究员 Gabi Cirlig 半开玩笑的说小米手机是带手机功能的后门。他发现小米公司在该公司生产的手机上收集了惊人的数据，这些数据被发送到小米在世界各地租用的服务器上。小米手机默认的小米浏览器会记录用户访问的所有网站，通过 Google 或 DuckDuckGo 的所有搜索查询词，在新闻源浏览的所有条目，即使使用隐身模式小米仍然会跟踪用户。手机还会记录用户打开的文件夹，切换的屏幕，包括状态栏和设置页。
另一位网络安全专家 Andrew Tierney 展开了更进一步的调查，发现小米通过 Google 官方应用商店发布的浏览器 Mi Browser Pro 和 Mint Browser 会收集相同的数据。Cirlig 认为这是一起严重的隐私事件，有数以百万计的用户受到影响。小米的设备以低价但高配置著称，但用户付出的代价是隐私。对于这一发现，小米公司回应声称不真实。该公司发言人承认浏览器会收集数据，但表示数据是匿名收集的。

◇TikTok（字节跳动）

今年3月，研究员 Talal Haj Bakry 和 Tommy Mysk 发现，数十个 iOS 应用存在获取用户隐私数据的严重问题，其中之一就是大受欢迎的短视频应用 TikTok。虽然遭到曝光，但至今这些应用都没有改变其做法。
苹果刚释出了 iOS 14 Beta 版本，其中一项功能是每次有应用读取剪贴板内容它会警告用户，TikTok 等应用监视剪贴板的做法被发现并引发了广泛关注（YouTube 视频）。通过持续监视剪贴板，应用可以获得非常敏感的用户信息如密码、数字钱包地址、账号重置链接，以及私密信息。苹果系统的剪贴板内容会在关联设备之间共享，这项功能被称为通用剪贴板，允许一台设备复制的内容可以在另一台设备上使用。剪贴板很有可能会分享非常敏感的数据，如密码、比特币地址等。

◇Edge 浏览器

微软正通过 Windows Update 将它基于 Chromium 的新 Microsoft Edge 浏览器推送给 Windows 10 用户。部分 Firefox 用户报告 Microsoft Edge 未经允许就导入了 Firefox 数据。部分 Firefox 用户报告他们尝试杀死新 Microsoft Edge 的初始设置进程，结果虽然安装向导关闭，但 Firefox 数据仍然被拷贝了。部分用户在 reddit 上报告同样的行为也在他们的计算机上发生了。微软尚未就此发表评论。

★新冷战与网络战

“新冷战”这个概念是有争议滴。有些人认为目前的中美对抗还没到这种地步，也有一些人认为目前的对抗已经达到“新冷战”的程度。俺的观点倾向于【后者】。

◇中国 VS 美国

美国联邦通讯委员会周五表示，它可能会吊销中国四家国有电信运营商在美国的运营许可证。该机构提供的原因是国家安全风险。
联邦通讯委员会（FCC）已经向中国电信美国、中国联通美国、太平洋网络公司和 ComNet（USA）下达了命令，要求它们就对 FCC 提出的问题做出回应。
太平洋网络公司和 ComNet（USA）都是中国政府的投资公司中信集团的全资控股公司。
......

据路透社周三（6月24号）根据看到的一份文件独家报道，特朗普政府已经决定将包括电信设备巨头华为和视频监控公司海康威视在内的20家中国顶尖企业列为中国军方拥有或控制的名单。白宫未说明是否会制裁名单上的企业，但评论认为这为美国实施新的金融制裁奠定了基础。
除了华为，海康，美国政府声称得到中国人民解放军支持的20家公司包括中国移动通信集团、中国电信集团以及飞机制造商中国航空工业集团公司等，从名单上看，20家企业涵盖通讯移动，航天，船舶重工，电子科技，核工业等多个领域。报道称，名单是由美国国防部起草，一位不愿透露姓名的美国国防部官员证实了这份文件的真实性，并表示文件已经递交给国会。
......

当地时间6月30日，美国联邦通信委员会（FCC）发布官方声明，正式将我国电信设备制造商华为和中兴通讯认定为“国家安全威胁”。
FCC 主席阿吉特·帕伊声称，他们综合考虑了来自国会、行政部门、情报机构、通讯商和盟友们的意见，有“压倒性的证据”显示，华为和中兴对美国的5G未来构成了威胁。
......

美国高科技巨头谷歌前总裁、现任五角大楼国防创新委员会主任的埃里克·施密特（Eric Schmidt）在接受BBC广播四台专题节目《新科技冷战》访问时指称，华为从事了“令人无法接受的行为”，对西方国家构成“国家安全挑战”。
不过，施密特在作出以上表述同时也明确指出，西方国家应该与中国在科技领域展开竞争，而不是简单化地脱钩或脱离关系。
......
施密特告诉 BBC 说：“华为毫无疑问从事了一些在（西方）国家安全方面令人无法接受的行为。”他认为可以把华为与英国的 GCHQ 和美国的 NSA 等“讯息情报部门”等同看待。
施密特还指称：“毫无疑问流经华为路由器的数据最终被显然是（中国）国家的部门所掌握。”“不管这种情况是如何发生的，我们确认它发生了。”
......

◇中国 VS 欧盟

据英国媒体报道，英国首相约翰逊计划在今年内将华为设备从英国的5G建设计划中淘汰。英国《每日电讯报》7月4日报道称，目前英国正在拟定计划，在六个月内停止在英国5G系统中安装华为技术，并且加速移除已经安装的华为设备。据报道，英国政府通信总部（GCHQ）对使用华为技术的安全性表达了疑虑。
......
今年一月，约翰逊决定允许华为“有限”参与5G网络建设，该决定使得英美关系一度陷入紧绷。
《每日电讯报》指出，英国正在草拟将华为排除在其5G建设外的计划，这意味着英国首相约翰逊的政策将出现大转弯。
......

法国国家资讯系统安全局7月5日宣布将限制电信业者使用华为的授权许可。中国外交部7月6日呼吁法国提供各国企业公平且非歧视的环境，对此法国回覆，“这是风险管理，问题在于主权”。
法国国家资讯系统安全局（ANSSI）局长普帕尔（Guillaume Poupard）5日接受法国《回声报》（Les Echos）访问时宣布，将限制采用中国华为的法国电信业者的授权许可年限，以作为让华为进入法国市场的交换条件。
......
这个决定不仅来自于产业考量，更受到华盛顿与北京长期外交紧张关係的影响。美国向其盟友施压， 希望他们以安全为由禁止疑似与中国政府关系密切的华为。
......

◇中国 VS 印度

（编程随想注：被印度查禁的天朝 app 清单）

印度周一（6月29日）以“威胁主权和完整为由”宣布封杀59个中国应用，周二公布了具体的封锁措施，命令 ISP 屏蔽这些应用的访问。其方法应该与中国对外国社交服务和应用的封锁类似。
据报道，印度电信部表示，互联网运营商应“立即阻止”访问这些应用程序及其网站，并警告称，如果不这样做，将采取法律行动。两位消息人士称，印度政府已分别与谷歌和苹果进行了接触，正式要求他们从应用程序商店中删除这些应用程序，以阻止新的下载。
三位业内人士称，对于已经下载到印度手机上的应用程序，未来几天电信公司将设法使其无法使用。在被禁的应用中，最受欢迎的是字节跳动的视频应用 TikTok，印度是其最大的增长市场，在其全球20亿下载量中占 30%。
......

从突然终止商业合作到设置通关壁垒，再到抵制中国商品、封禁中国公司研发的手机应用程序，印度针对中国的“全方位报复”行动还在继续。据路透社3日消息，印度电力部今天出台新规，要求印度企业从中国进口电力设备和部件将需要得到政府许可。
......
不仅出台针对中企的新规，印度电力部长辛格3日在会见各邦的能源官员时还更为强硬地宣称，“我们已经决定不允许从中国和巴基斯坦进口任何（电力）设备。”
“其中（电力设备）可能存在恶意软件或特洛伊木马，它们可以被远程激活（瘫痪我们的电力系统）。我们将不允许你们（各邦）从中国及巴基斯坦进口任何东西（电力设备）。”辛格还如此宣称道。
......

◇Zoom 视频软件

......
中国背景

可能很多人都是在肺炎疫情爆发封城隔离之后才开始听到 Zoom 这个远程会议软件，但事实上 Zoom 已经发展成长了好几年，去年其股票首次公开上市时市值达到150亿美元，现在更上涨到385亿美元。

Zoom是由移民到美国的中国软件工程师袁征在2011年创办的，袁征出生于山东，在中国完成硕士学位后于1997年到美国就职于 WebEx 公司，期间发展视频会议软件，后来该公司被思科（Cisco）收购。

袁征2011年创办了 Zoom 远程会议软件公司，因为 Zoom 的一些简单容易使用的功能，包括变换会议背景的设置，其市场逐渐超越对手 Skype 和 Microsoft Teams。

使用 Zoom 不需付费，但基本款限制三人以上参加的会议最长只能有40分钟，但现在在肺炎疫情下，该公司已经暂时取消这个时间限制，好让学校能够让在家学习的学生进行线上教学。

隐私隐忧？

Zoom 远程会议软件收集大量资料用于分析其服务，并提供企业可用参考。

电子前线基金（Electronic Frontier Foundation）对其安全问题进行研究，得出以下几点结论：
1. 在屏幕分享情况下，会议的主持人能够监看参与者的活动，能够得知 Zoom 视窗是否活跃或待机中。
2. 管理员能够掌握使用者的详细活动资料，包括会议时间的排名顺序。
3. 如果有使用者录音或录影会议过程，管理员也能读取其会议内容。
4. 在会议进行期间，管理员能够看到每个会议参与者的操作系统，IP地址，关于地点的信息和装置的信息。
......

◇国内银行要求外企安装的财务软件，内置了安全后门

两家最近在中国开设办事处的英国公司被当地银行要求安装了航天信息股份有限公司的智慧税务软件，安全公司 Trustwave 称该税务软件包含了恶意程序。Trustwave 为英国公司提供了网络安全服务，它观察到客户网络的可疑请求，它随后对税务软件进行了分析，发现它除了提供纳税功能外还包含了一个隐藏的后门，该后门被称为 GoldenSpy，具有系统级运行权限，允许远程攻击者连上被感染的系统，执行命令或上传和安装其它软件。
很多此类的软件都有远程访问功能以调试服务，但 Trustwave 称它发现的功能在恶意程序中更常见。GoldenSpy 安装了两个相同的版本作为持久性的自启服务；税务软件的卸载功能不卸载 GoldenSpy；GoldenSpy 是在税务软件安装两个小时后下载安装的，之后会悄悄运行；GoldenSpy 不连税务软件的网络基础设施，而是访问域名 ningzhidata.com

★高危漏洞

◇Windows 漏洞

在本周二（4月14日）释出的例行更新中，微软修补了三个正被利用执行恶意代码或提权的 0day 漏洞。其中两个 CVE-2020-1020 和 CVE-2020-0938 存在于 Adobe Type Manager Library 中，在非 Windows 10 系统中，成功利用漏洞的攻击者能远程执行代码；在 Windows 10 中，攻击者能在 AppContainer 沙盒中运行代码，虽然权限有限制，但仍然能创建账号，使用完整的用户权限安装程序，浏览、修改或删除数据。
另一个 0day 漏洞 CVE-2020-1027，利用了 Windows 内核处理内存对象的漏洞进行提权。微软未提供利用漏洞进行攻击的细节。

◇iOS 漏洞

......
"These vulnerabilities," ZecOps researchers wrote in a report they published Wednesday, "are widely exploited in the wild in targeted attacks by an advanced threat operator(s) to target VIPs, executive management across multiple industries, individuals from Fortune 2000 companies, as well as smaller organizations such as MSSPs." One of the two vulnerabilities, according to Avraham, is what's known as a remote zero-click. This kind of attack is dangerous because it can be used by an attacker against anyone on the internet, and the target gets infected without any interaction -- hence the zero-click definition.
......

近日（4月下旬），网络安全公司 ZecOps 发布了一份研究报告，报告称，ZecOps 公司在调查一起客户网络攻击事件中发现 iPhone 和 iPad 存在两个零日漏洞，其中，漏洞可能影响全球超5亿部苹果手机，危害极大。

据悉，这两个零日漏洞主要与 iPhone 和 iPad 中内置的苹果官方邮件应用 Mail App 有关。利用上述漏洞，攻击者可以通过发送空白电子邮件的方式，强制在目标手机上执行任意代码，从而为攻击者窃取设备上的数据打开“方便之门”，比如偷取照片和获取联系方式等。

ZecOps 还表示，即使运行着最近的 iOS 版本（编程随想注：iOS 6 至 iOS 13.4.1），漏洞仍然允许攻击者远程窃取 iPhone 数据。“只要是 Mail App 可以访问的，漏洞都能访问，包括设备中的机密信息”。

加拿大学术安全研究组织 Citizen Lab 的安全研究者 Bill Marczak 形容上述漏洞“很可怕”。

据路透社报道，一名苹果公司发言人承认 iPhone 和 iPad 中默认的邮件应用程序 Apple Mail 存在漏洞。苹果公司计划开发一个修复程序，并将很快准备发布一个安全更新。

◇macOS 上的 Adobe 产品漏洞

macOS 版本的 Adobe Acrobat Reader 释出了补丁，修复了三个高危漏洞（CVE-2020-9615，CVE-2020-9614 和 CVE-2020-9613）。这些漏洞是腾讯安全玄武实验室的研究人员发现和报告的，漏洞允许普通用户从本地进行提权，在不被注意的情况下获得 root 权限。腾讯安全研究人员通过 GitHub 博客披露了漏洞细节。
com.adobe.ARMDC.SMJobBlessHelper 是 Adobe Acrobat Reader 负责更新的一个组件，它运行在 root 权限下，没有应用沙盒，三个漏洞 Bad Checking，绕过临时文件夹 root 保护，竞争条件与之相关。

◇华为陷“HKSP 门”丑闻——其“Linux 内核补丁”包含高危漏洞

static ssize_t ksg_state_write(struct file *file, const char __user *buf,
                      size_t len, loff_t *offset)
{
    u64 value;
    char tmp[32];
    size_t n = 0;

    if (copy_from_user(tmp, buf, len))
        return -1;

    value = simple_strtoul(tmp, '\0', 10);
    switch (value) {
    case 1:
        ksg_check_keyboard();
        break;
    case 2:
        ksg_check_nf();
        break;
    case 3:
        ksg_check_pointer();
        break;
    case 4:
        ksg_check_sct();
        break;
    default:
        break;
    }

    *offset += len;
    n += len;

    return len;
}

◇TCP/IP 协议栈的漏洞

以色列网络安全公司 JSOF 的研究人员在一个广泛使用的底层 TCP/IP 库中发现了一系列 0day 漏洞，这些漏洞被统称 Ripple20，影响高达数亿的设备，包括大量的物联网设备，如电网设备、医疗系统、工业设备等等。
这个 TCP/IP 库由软件公司 Treck 开发，它最早是在1997年发布的，实现了一个轻量级的 TCP/IP 堆栈，在二十多年里被企业广泛用于实现联网功能。JSOF 团队在这个库里发现了19个漏洞，可用于提权、拒绝攻击和信息泄露。受影响的财富500强企业包括惠普、施耐德、英特尔、罗克韦尔、卡特彼勒和巴克斯特。

★网络与 Web

◇浏览器的 Flash 插件，死期已定

2017年7月，Adobe 宣布到2020年结束 Flash 的生命。Adobe 称，过去几年开放标准如 HTML5、WebGL 和 WebAssembly 已经逐渐成熟，提供了原来由插件率先实现的能力和功能。鉴于这一进步，Adobe 与技术合作伙伴 Apple、Facebook、Google、Microsoft 和 Mozilla 一起制定了结束 Flash 生命的计划，到2020年底 Adobe 将停止更新和分发 Flash Player，它鼓励内容创作者将现有的 Flash 内容迁移到新的开放标准。
那么到2020年底 Adobe 是否还会提供旧版本 Flash 下载？Adobe 声明不会，它也不建议用户从第三方网站下载 Flash，称第三方提供的 Flash 都是未经授权的，可能会包含恶意程序。Adobe 还建议用户在 Flash 结束支持前将其卸载。

◇ESNI（加密的 SNI）

随着越来越多的网站普及 HTTPS，明文的服务器名称指示（Server Name Indication，SNI）成为新的隐私漏洞。通过明文 SNI，ISP 或任何网络中间人将会知道你访问了哪个网站，最近一部分网站的屏蔽方法就升级到 SNI 检测。加密 SNI（ESNI）将会堵上这个漏洞。互联网工程任务组最近发布了 TLS Encrypted Client Hello（即 ESNI）的草案，标志着这项功能进入到了草案状态。

◇DoH（DNS over HTTPS）

★网络攻击

◇供应链攻击

德国和法国的研究人员在预印本网站 arXiv 上发表论文（PDF），分析了过去几年发生的开源软件供应链攻击。
软件供应链攻击有两类：其一是在软件产品中植入恶意代码去感染终端用户，此类攻击的一个著名例子是发生在乌克兰的 NotPetya 勒索软件攻击，攻击者入侵了乌克兰流行会计软件的更新服务器释出了恶意更新，这次攻击造成了数十亿美元的损失，是已知最具破坏性的网络攻击之一。另一个例子是 CCleaner 的恶意版本通过官网传播给终端用户，它在长达一个多月时间里被下载了230万次。
另一类软件供应链攻击是向软件产品的依赖包植入恶意代码。随着开源软件开发模式的流行，此类的攻击日益常见。研究人员分析了 npm、PyPI 和 RubyGems 软件包管理系统发现的174个恶意依赖包，他们发现 56% 的软件包在安装时触发恶意行为，41% 使用额外的条件去判断是否运行。61% 的恶意软件包利用了名字相似性向开源生态系统植入恶意包。攻击者的主要目的是析取数据。

GitHub 安全博客警告了针对的 Apache NetBeans IDE 项目的开源供应链攻击 Octopus Scanner。GitHub 称它在3月9日收到了被称为 JJ 的安全研究人员发来的警告，称发现一组感染了恶意程序 Octopus Scanner 的开源库。一旦感染，恶意程序会寻找用户开发系统上的 NetBeans 项目，然后将恶意负荷嵌入到项目文件中，每次项目构建都会执行恶意负荷。GitHub 随后展开了调查，发现了26个开源项目被植入了 Octopus Scanner 后门。GitHub 称，他们向 VirusTotal 上传了样本，60个杀毒软件只有4个能将其检测出来。恶意程序伪装成 ocs.txt 文件，但实际上是一个 JAR（Java Archive）文件。

★移动设备

◇Android 11 增加新的安全特性

◇欧洲警方如何摧毁 EncroChat？

歐洲刑警組織 Europol、歐洲司法組織 Eurojust，以及法國與荷蘭的警方及司法組織在7月2日發表聯合聲明，表示它們已共同拆除了遭各個犯罪集團所利用的 EncroChat 加密手機網路，同時也在各國逮捕了上百名涉嫌販毒、謀殺或暴力犯罪的嫌犯。

此案始於2017年，法國憲兵隊與司法機關發現組織性犯罪經常使用 EncroChat 手機作為加密通訊工具，而且 EncroChat 的伺服器就位於法國，因而展開調查。進而發現 EncroChat 的使用遍及國際性的犯罪網路，於是通知了 Eurojust 與荷蘭，並與荷蘭建立了共同調查小組，再由 Europol 擔任協商各國調查與逮捕行動的角色。

EncroChat 標榜可提供端對端的安全解決方案，號稱其安全範圍涵蓋了硬體、作業系統、軟體、資料傳輸、網路架構與伺服器，而且經常在犯罪論壇大作廣告。

EncroChat 裝置其實就是一支 Android 手機，內建了私有的加密傳訊程式，透過自家的伺服器傳送訊息，而且手機上完全沒有 GPS、攝影機、麥克風或 USB 傳輸埠等功能，但具備其它特殊能力，像是採用了兩個作業系統，可以隨時切換成犯罪用模式或是一般用模式；且只要輸入特定的 PIN 碼就能移除裝置上的內容；只要連續輸入錯誤的密碼也會刪除所有資料；也能刪除對方所收到的內容。

EncroChat 手機的售價為1,000歐元（約33,750元新台幣），6個月的訂閱費用則是1,500歐元（約50,625元新台幣），而且在今年初是最受犯罪份子青睞的加密通訊裝置之一。Europol 表示，他們最終是藉由部署了一個可超越 EncroChat 加密技術的裝置，進而存取 EncroChat 用戶之間的通訊。

然而，根據 Vice Motherboard 的報導，國際警方其實是架設了伺服器，透過伺服器連結 EncroChat 手機，並傳送惡意程式，該惡意程式除了會破壞裝置的內容刪除功能，還能紀錄密碼，以及複製應用程式上的資料，並能躲避偵測。

在 EncroChat 偵測到手機被病毒入侵後，很快就遞送韌體更新，但捲土重來的惡意程式再次進駐了使用者的手機。這使得 EncroChat 不得不向用戶坦承，該平台的網路已遭到滲透，同時警告用戶應立即關機並把手機丟掉。而 EncroChat 也懷疑，這場突如其來的災難是該服務位於荷蘭的 SIM 卡供應商 KPN 與執法機關合作所造成的。

EncroChat 在今年的6月13日決定棄守，關閉了 SIM 卡及整個網路。

不過，國際警方已經取得了 EncroChat 用戶的通訊紀錄，已陸續在法國、荷蘭、英國、瑞典及挪威逮補了上百名嫌犯，查獲19個合成毒品實驗室，也扣押了9,200公斤的毒品、武器、高級手錶、25部汽車，以及2,000萬歐元的現金。

◇高级木马 xHelper 如何对抗（躲过）“恢复出厂设置”？

★言论审查与网络屏蔽

◇《国安法》之下，一国一制的香港

路透香港5月26日 - 据虚拟专用网络（VPN）提供商 Atlas VPN，在北京计划针对香港制订严格的国家安全法之后，上周四香港对 VPN 的需求激增了五倍多，反映出人们对互联网隐私的担忧。
Atlas VPN 表示，作为一种可帮助人们绕过网络限制的工具，VPN 安装量在周五再次激增，是前一天的三倍多，而5月21日使用关键字“VPN”的搜索兴趣比前一天猛增了1,680%。它援引 Google Trends 的数据补充说，对“VPN”的搜索兴趣在周五创下了纪录新高。

香港于1997年回归中国，实施“一国两制”，这保证了香港享有高度的自治权，包括言论自由。香港还可以不受限制地访问互联网，而在中国大陆，像谷歌（Google）、Facebook 和 Twitter 这样的网站遭到封堵。

北京将直接制定国安法的计划令金融市场打寒颤，迅速招致外国政府、国际人权和隐私团体的指责，他们担心这可能会导致更强的监控和审查。香港警方表示，截至周日（5月24日）9时半，拘捕至少180人，主要涉及未经批准的集结、非法集结及公众地方行为不检等罪行。

Atlas VPN 首席营运官 Rachel Welsh 表示，“如果香港在不久的将来受到与中国公民相同的数字限制，那么我们可以预期对 VPN 服务的兴趣会更高。”
香港和中国大陆官员都设法让投资人放心其利益不会受损，并称港版国安法只是针对少数对中国国家安全构成“迫在眉睫的危险”的“麻烦制造者”。

很明显，香港已经逐步从“半沦陷状态”蜕变为“沦陷状态”。未来，朝廷的【维稳系统】会更加肆无忌惮地把魔爪伸到香港。
有鉴于此，身处香港的政治抗议人士需要强化【网上斗争】的技巧（尤其是【隐匿身份】的网络技术）。作为身处【内地】的屁民，俺长期抹黑党国，长期恶毒攻击党和国家领导人。对【网上斗争】的技巧，俺还是有资格吹嘘一下滴。
最近10多年，俺已经写了很多【信息安全】的傻瓜化教程。如果你没有耐心一篇篇去看，至少先【看完】如下这篇：
《为啥朝廷总抓不到俺——十年反党活动的安全经验汇总》
（上述这篇【汇总】，可以视作俺所写的信息安全教程的【总纲】）

◇翻墙的新技术

2017年，加州大学河滨分校的 Wang 等人在 ACM 会议上发表了关于防火长城的 TCP 状态机的论文，并开源了工具 INTANG（原新闻）。2020年2月，Wang 等人和美国陆军研究实验室的研究者，在 NDSS 2020 上发表论文《SymTCP: Eluding Stateful Deep Packet Inspection with Automated Discrepancy Discovery》，提出了新工具 SymTCP。论文探索了 DPI 装置与端点实现的协议状态机差异，这些差异允许客户端发送不寻常流量迷惑 DPI，相比之前的论文，这次他们使用了软件分析技术探索了常见 TCP 实现的状态机，并测试对多个 DPI 进行规避。
本周（2020年04月）Tor project 的 anti-censorship meeting 讨论了这篇论文，这篇论文的局限在于只考虑了 Linux 的实现。其他类似的论文有2019年马里兰大学 Kevin Bock 等人在ACM 会议的 Geneva，但相比 SymTCP，Geneva 的算法未公开。

Tor Browser 项目宣布释出了10.0分支的首个测试版本。Tor Browser 10.0a1 是于 Firefox to 68.9.0esr，内置扩展 HTTPS-Everywhere 升级到 v2020.5.20，被称为 Snowflake 的网桥支持 Android 版本。
Snowflake 使用的是临时性的 WebRTC 代理，而名叫 Turbo Tunnel 的功能可以在一个代理失效之后，再自动快速切换到另一个代理，不损失端对端会话状态。没有这项功能你只能靠运气能分配到一个长寿的临时代理。Turbo Tunnel 的设计还让同时在多个代理之间分割流量成为可能。

◇维基百科对“使用 Tor 的编辑”不够友好

如果你通过 Tor 匿名网络访问维基百科，然后看到某个条目决定编辑一下，你通常会看到 IP 受限的信息。虽然你可以请求解除对某个 Tor 出口节点 IP 的限制，但维基百科大部分情况下不会批准。Tor 项目官方博客现在呼吁维基百科解除对 Tor 用户编辑的限制。开发者引用最近发表的一篇论文称，Tor 用户的编辑质量并不差。
研究人员分析了2007到2018年之间绕过 Tor 禁令的 Tor 用户完成的1.1万次编辑，与未登陆以 IP 地址记录的用户完成的编辑以及首次编辑的用户质量进行对比，发现彼此的编辑质量相近，平均而言 Tor 用户编辑质量高于以 IP 记录的非登陆用户。研究还发现 Tor 用户更关注受争议的主题。维基百科从2007年起就尝试屏蔽 Tor 用户，理由是故意破坏、垃圾信息和滥用。Tor 开发者表示，这项研究讲述了不同的故事。

★社会工程学

每个网民在某种程度上都会留下数字痕迹。在费城最近发生的一次抗议活动中，一位没有露面的女子纵火烧毁了一辆警车。而 FBI 识别出这位纵火犯就是利用了她在网上留下的各种蛛丝马迹。
她所穿的 T 恤是非常独特的，在 Etsy 上出售，因此 FBI 的调查人员查看了 Etsy 上的留言，寻找是否有费城的人发帖，他们发现一位化名为 alleycatlore 的费城居民给了五星好评，称发货很快。FBI 探员在网上搜索了 alleycatlore，结果在时尚网站 Poshmark 上找到了一位名叫 lore-elisabeth 的用户。在费城搜索 Lore Elisabeth，找到了她在 LinkedIn 的资料。她手臂上的纹身出现在了 Lore Elisabeth 做按摩的一个旧视频中。美国司法部的新闻稿称她面临最高80年的监禁，当地新闻网站则表示她面临的最高刑期为10年和最高50万美元罚款。她目前已被关押并且无法得到保释。

★硬件与物理安全

◇Intel 的 CPU【又】曝光硬件漏洞

来自美国密歇根、荷兰阿姆斯特丹、以及澳大利亚阿德莱德三所大学的研究人员披露——攻击者可利用多核体系架构的工作方式，来获得对受感染系统上敏感数据的访问权限。其已经为两个漏洞开发了对应的攻击方法，并给出了 SGAxe 和 CrossTalk 的概念证明。

前者似乎是今年早些时候曝光的 CacheOut 攻击的高级版本，黑客可从 CPU 的 L1 缓存中提取内容。研究人员解释称，SGAxe 是英特尔减轻针对软件防护扩展（SGX）的旁路攻击的一个失败尝试。作为 CPU 上的一个专属区域，SGX 原意是确保正在处理的代码和数据的完整与机密性。
借助瞬态执行攻击，黑客可从实质上恢复存储在 SGX 区域中的加密密钥，并将之用于解密长存储区，以获得机器的 EPID 密钥。后者被用于确保事务的安全性，比如金融交易和受 DRM 保护的内容。

至于第二个 CrossTalk 漏洞，其属于微体系架构数据采样（MDS）的一个衍生，能够针对 CPU 的行填充缓冲区（LBF）处理的数据发起攻击。
其原本希望提供 CPU 内核访问的“登台缓冲区”，但黑客却能够利用在一个单独核心上运行的特制软件，来破坏保护其运行的软件代码和数据私钥。

据悉，新漏洞影响2015~2019年发布的多款英特尔处理器，包括部分至强 E3 SKU（E5 和 E7 系列已被证明可抵御此类新型攻击）。
英特尔在6月份的安全公告中称，只有极少数的人能够在实验室环境中发起这些攻击，目前尚无漏洞在野外被利用的报告。即便如此，该公司仍将尽快发布微码更新，同时让之前签发的证明密钥失效。

新的 CPU 漏洞又来了，又是与预测执行机制有关，又是主要影响英特尔处理器。Linux 内核主线刚刚合并了补丁或微码去缓解“特定寄存器缓冲器数据采样（Special Register Buffer Data Sampling或 SRBDS）”漏洞影响。
Spectre、Meltdown 等预测执行攻击的补丁主要是应用于核心内部，新的漏洞允许攻击者跨核心泄露敏感信息。被称为 CrossTalk 的攻击允许攻击者控制一个 CPU 核心的代码执行，去泄露不同核心上的软件执行敏感数据。Phoronix 测试了微码对 RdRand 性能的影响，结果显示性能下跌达到了惊人的 97%，打了微码之后的 RdRand 得分只有原来的 3%

◇基于 Thunderbolt 接口的漏洞

安全专家 Björn Ruytenberg 日前在研究后发现，骇客只需利用一套被称作「Thunderspy」的技术，就可以轻松地在配有 Thunderbolt 连接口的 PC 或 Linux 电脑上窃取用户的加密数据。按照他的说法，在骇客能够亲手接触到设备的前提下，其实只需要螺丝刀、「简易的便携硬件」以及区区五分钟时间就能得手了。

Thunderbolt 是依靠直接让外部设备接入 PC 内存的方式来实现超高速的数据传输，而这就造成了一些潜在的漏洞。过去研究员认为这些隐患（常被称作 Thunderclap）可以通过禁止非信任设备权限，或者限制 Thunderbolt 仅提供 DisplayPort、USB-C 功能的做法来规避，但这似乎并没法对「Thunderspy」起到效果。

据 Ruytenberg 介绍，他发现的这种攻击办法能直接改写固件掌控 Thunderbolt 连接口。因而相关限制会被绕过，外部设备就能直接接入电脑。值得一提的是，这种攻击也不会留下丝毫痕迹，用户很难发现自己的 PC 其实已经不再安全。在接受 Wired 采访时，Ruytenberg 提到这种手段其实属于「邪恶女佣攻击」。「『女佣』要做的就是用螺丝刀拆下电脑的后盖，然后马上接入自己的设备修改固件，接着在装回后盖之后，『女佣』就能（通过 Thunderbolt）掌控电脑了」Ruytenberg 说道，「整个过程在五分钟内就能搞定」。
......

★安全编程

◇大部分 Chromium/Chrome 安全漏洞源于 C++ 代码的内存 bug

......
The percentage was compiled after Google engineers analyzed 912 security bugs fixed in the Chrome stable branch since 2015, bugs that had a "high" or "critical" severity rating. The number is identical to stats shared by Microsoft. Speaking at a security conference in February 2019, Microsoft engineers said that for the past 12 years, around 70% of all security updates for Microsoft products addressed memory safety vulnerabilities. Both companies are basically dealing with the same problem, namely that C and C++, the two predominant programming languages in their codebases, are "unsafe" languages....

Google says that since March 2019, 125 of the 130 Chrome vulnerabilities with a "critical" severity rating were memory corruption-related issues, showing that despite advances in fixing other bug classes, memory management is still a problem... Half of the 70% are use-after-free vulnerabilities, a type of security issue that arises from incorrect management of memory pointers (addresses), leaving doors open for attackers to attack Chrome's inner components...

Chromium 项目报告，它七成的严重安全 bug 属于内存安全问题，因此它的下一个项目将是在源头阻止此类 bug。对2015年之后发现的912个高危级安全 bug 的分析发现，七成为“内存不安全”的问题，如 C/C++ 指针错误，其中一半是使用后释放 bug。这些 bug 遍及整个代码库，非安全性的 bug 很大一部分其根源也是内存安全问题。Chromium 项目称它的沙盒机制在设计时就考虑了此类 Bug 的存在，但现在沙盒和网站隔离机制已经达到其能力的极限。他们现在考虑的一个方案是使用现有的更安全的语言如 Rust 和 Swift 等。

◇再谈 Rust

微软云计算开发大使 Ryan Levick 在 AllThingsOpen 虚拟会议上称，就其核心而言，C++ 不是一种安全的语言。他解释了为什么微软正逐渐转移到 Rust 去构建基础设施软件，远离 C/C++，微软也鼓励软件行业的其它巨头考虑这么做。
他说，我们正在使用的语言来自于一个不同的时代，C++ 不是一种内存安全的语言，对此人人都心知肚明。微软现在认定将 C++ 用于开发关键任务软件不再是可以接受的。行业需要转移到一种高性能、内存安全的语言去开发底层软件，而 Rust 语言是软件行业的最佳机会。