亚马逊开店参考

“间谍芯片”事件升级BUF早餐铺

-10月23日黑客攻击亚马逊 -亚马逊 -彭博社
“库克是对的,有关AWS间谍芯片的指控是错误的。”-AWS CEO

Lei Feng.com 10月23日报道说,今天,AWS和Super Micro的首席执行官共同呼吁撤回彭博本月初发布的间谍芯片报告。根据该报告,中国间谍将恶意微芯片走私到美国。这些芯片可能损害包括亚马逊和苹果在内的多达30家公司的计算机网络。

“间谍芯片”事件升级,AWS和超微CEO在愤怒中声援库克,开撕彭博社

上周,苹果首席执行官蒂姆·库克接受了BuzzFeed新闻的采访,呼吁彭博社撤回该报告。

他说:“这没有发生。根本没有事实。”

如今,AWS和Supermicro等公司已决定效仿苹果的脚步,这不仅是与Cook的最佳团结,而且是那些致力于尽快摆脱指控的公司。

AWS CEO Andy Jassy 说:

“蒂姆·库克(Tim Cook)是对的。彭博(Bloomberg)关于AWS的报告是错误的。他们没有提供证据,故事还在不断变化,除非我们能证实他们的理论,否则我们对我们的答案不感兴趣。收回了。”

“间谍芯片”事件升级,AWS和超微CEO在愤怒中声援库克,开撕彭博社

Supermicro表示,该公司将继续进行调查并提出索赔,还将对主板进行任何硬件操作问题的审查。

超微公司CEO Charles Liang 说:

“彭博社应该负责任地采取行动,撤回无根据的指控。”

“间谍芯片”事件升级,AWS和超微CEO在愤怒中声援库克,开撕彭博社 注:美超微首席执行官梁朝伟在致客户的信中表示了自己的立场(雷锋截图) 事件再还原

根据雷锋网先前获得的信息,彭博社10月4日发布的报告引用了17个未透露姓名的消息来源。包括苹果和亚马逊在内的许多科技巨头都被铅笔尖缩小了尺寸。中国芯片被植入后门。但是,一旦报告出炉,它几乎就吸引了网络安全专家的一致批评,这些专家对现有证据并不确信。

“间谍芯片”事件升级,AWS和超微CEO在愤怒中声援库克,开撕彭博社

根据本文的介绍,此硬件漏洞的问题出现在供应链的源头。乍看之下,这种由中国黑客设计的芯片是一种蓝牙信号过滤器,但实际上它具有足够的处理性能,内存和网络功能,黑客可以利用它发起攻击。

与其他芯片相比,这颗来自中国代工厂的芯片是全球最大的主板公司-超微的供应商。后者具有非常广泛的应用范围。它不仅会提供给亚马逊和苹果等技术巨头,而且还会被美国海军和中央情报局等政府机构使用。目前有问题的主板已经进入海军舰艇和中情局的人机界面。

彭博社在报告中还引用了许多内部人士的话。例如,这种大米大小的微芯片最初是由2015年春季由Amazon Web Services雇用的第三方公司在超微服务器的主板上发现的。该公司正在使用这些微芯片进行构建在CIA高度安全的云之前,需要进行后台硬件检查。

“间谍芯片”事件升级,AWS和超微CEO在愤怒中声援库克,开撕彭博社 三大巨头对彭博社的“爆炸性报道”做出了坚决的回应

彭博爆炸性报告发布后不久,事件漩涡中心的科技巨头首先跳出来反驳:

亚马逊:

恶意芯片报告不正确。 AWS知道中国数据中心的服务器中包含恶意芯片,或者AWS和FBI合作调查并提供有关恶意硬件的数据也是不正确的。


对于与超微有关的任何问题,我们重新审查了相关的收购记录,包括我们在2015年进行的第三方安全审核,这是我们在收购前进行尽职调查的一部分。我们找不到证据支持恶意芯片或硬件已被修改的事实。

超微:

尽管我们将配合任何政府调查,但我们不知道这个话题的真实性,也没有政府机构在这方面与我们联系。我们也没有找到任何放弃Supermicro作为供应商的客户。


此外,Supermicro不设计或制造网络芯片或相关固件,并且我们和其他领先的服务器/存储公司从同一领先的网络公司购买它们。

苹果 拒绝的用语显然更强:

在过去的一年中,彭博社曾多次与我们联系,声称苹果公司的安全事件有时涉及,有时含糊不清,有时甚至是精心设计的。每次,我们都会根据他们的询问进行严格的内部调查,并且每次找不到支持他们的证据。我们在记录中反复不断地提供事实答复,几乎驳斥了彭博(Bloomberg)相关的苹果故事的各个方面。


在这里我们可以很清楚地看到:Apple从未发现有意植入服务器的任何恶意芯片,“硬件操纵”或漏洞。 Apple从未就此类事件与FBI或任何其他机构进行任何联系。我们不知道联邦调查局的任何调查,也没有与执法机构联系。


为了回应彭博社的最新叙述,我们提出以下事实:Siri和Topsy从未共享服务器; Siri从未部署在Super Micro出售给我们的服务器上。 Topsy数据仅限于2,000台Super Micro服务器,而不是7,000台。这些服务器均未发现带有恶意芯片。


实际上,在Apple投入生产服务器之前,他们将检查安全漏洞并使用最新的保护措施更新所有固件和软件。当我们按照标准程序更新固件和软件时,在从Super Micro购买的服务器中未发现任何异常漏洞。


我们深感失望的是,在与我们打交道时,彭博社的记者并不愿意接受他们或他们的消息来源有误或误导的可能性。最好的猜测是,他们的故事与2016年以前报道的事件相混淆,我们在其中一个实验室的一台Super Micro服务器上发现了被感染的驱动程序。一次性事件被确定为意外事件,而不是针对Apple的针对性攻击。


尽管并未声称涉及客户数据,但我们会认真对待这些指控,希望用户知道我们会尽一切可能保护他们委托给我们的个人信息。我们也希望他们知道彭博社报道的有关Apple的内容不准确。


苹果一直坚信对我们处理和保护数据的方式保持透明。如果彭博社报告了此类事件,我们将提出这个问题,并将与执法部门密切合作。 Apple工程师定期进行严格的安全检查,以确保我们系统的安全。我们知道,安全是一场无休止的竞争,这就是为什么我们继续加强我们的系统,以应对想要窃取我们数据的日益成熟的黑客和网络犯罪分子的原因。

美国和英国安全部门“站在一起”技术巨头

美国国土安全部,国家安全局和英国最高的网络安全局的官员也站起来,说他们没有看到任何证据可以证实彭博社的说法。

美国国土安全部支持苹果和亚马逊对中国微芯片黑客的否认:“我们没有理由怀疑故事中提到的公司的事实。”

“间谍芯片”事件升级,AWS和超微CEO在愤怒中声援库克,开撕彭博社

图为:美国国土安全部声明(雷锋网截图)

《华盛顿邮报》的记者要求国家安全局进行验证,国家安全局网络安全策略高级顾问罗伯·乔伊斯回答说:我找不到与彭博社文章有关的任何证据……如果有人先举手取证,您可以给我们,我们想和他们谈谈。

“间谍芯片”事件升级,AWS和超微CEO在愤怒中声援库克,开撕彭博社

注意:图片中的Twitter主要是《华盛顿邮报》的记者(雷锋截图)

英国最大的国家网络安全机构GCHQ于10月19日披露:彭博社报道,中国间谍可以在服务器中放置微芯片,从而使中国政府能够访问一些世界上最大的云平台。但是在现阶段,GCHQ没有理由质疑苹果和亚马逊提供的详细评估。

有专家告诉雷锋网 (公众号:雷锋网) 尽管本文是假新闻,但它将对电子产业链产生深远影响。

彭博社尚未回应苹果,AWS和超微的集体声明,要求“退出”。雷锋网将继续关注。

由于这种“间谍芯片”,亚马逊,苹果和彭博社分崩离析

从安全角度看彭博间谍芯片报告的真实性

雷锋的原始文章禁止擅自转载。有关详细信息,请参见重印通知。

10月23日黑客攻击亚马逊

*本文涉及的相关漏洞已报告给制造商并已修复。本文仅限于技术研究和讨论,严禁将其用于非法用途,否则所有后果由您自行承担。 大家早上好,缓冲区。今天是农历的2018年10月23日星期二,9月15日。今天的早餐店包括: Amazon Smart Home的漏洞已修复; 接受信息泄露的教训:谣传Facebook打算收购网络安全公司; jQuery文件上传漏洞已经存在8年了,只有黑客知道。 “ Satan”勒索软件的新变种在该国传播,数量为一个比特币; HealthCare.gov注册系统被黑,75,000个人的数据被泄露。 微信图片_20181022170528.png 微信图片_20181022170528.png Amazon Smart Home中暴露的漏洞,现已修复

最近,亚马逊在物联网操作系统FreeRTOS和AWS连接模块中暴露了13个安全漏洞。现在,亚马逊正式表示这些问题已得到解决。

微信图片_20181022170828.png 微信图片_20181022170828.png

这些漏洞的存在可能导致入侵者破坏设备,泄漏内存内容并远程运行代码,从而使攻击者可以完全控制设备。如果未解决,则这些漏洞可能会造成严重影响。 FreeRTOS和类似的面向安全的产品SafeRTOS广泛用于家庭内外的各种设备,包括汽车,飞机和医疗设备。这种类型的漏洞披露并不少见,但对亚马逊而言却相对较新。一年前,即2017年11月,AWS接管了FreeRTOS的核心。这是对亚马逊解决问题能力的考验,目前,亚马逊似乎已经通过了考验。 [thehackernews]

接受信息泄漏的教训:有传言称Facebook打算收购网络安全公司

据美国科技媒体《信息报》援引内部人士的话说,Facebook已经与几家网络安全公司联系,希望在周日进行收购。收购目标尚未最终确定,但交易结果可能会在今年年底公布。

微信图片_20181022171513.png 微信图片_20181022171513.png

经历了历史上最严重的黑客事件之后, 推出了Facebook加强网络安全的最新措施, Facebook希望其数十亿用户知道该平台已准备好投资网络安全。

Facebook最初得出的结论是,冒充数字营销公司的垃圾邮件发送者已成为大规模安全漏洞的幕后黑手。它已经表明它正在与FBI合作,后者要求该公司不要公开讨论谁是攻击的幕后主力,或者是否专门针对任何人。当前没有理由相信这种黑客攻击与即将到来的美国中期选举有关。 [cnbeta]

jQuery文件上传漏洞存在8年,只有黑客知道

jQuery框架中有成千上万的插件。尽管有关于如何使用每个插件的清晰教程,但是许多年来,人们从未认真考虑过很多插件安全性问题。

jQueryFileUpload_exploited_headpic.jpg jQueryFileUpload_exploited_headpic.jpg

Akamai SIRT的安全研究员Larry Cashdollar发现,jQuery在分析其插件时存在八年的文件上传漏洞。开发人员表示,该漏洞是由Apache 2.3.9的更改引起的,该更改默认情况下会禁用与文件夹相关的.htaccess安全设置文件的存储,并且除非管理员启用该文件,否则它将被自动忽略,从而导致攻击您可以从外部获取Webshel​​l并运行命令。

漏洞编号为CVE-2018-9206,而最新版本的jQuery已解决此问题。 [哔哔电脑]

一种“撒旦”勒索软件的新变种,在全国范围内传播,金额仅为一个比特币

最近,互联网上出现了一种新型的勒索软件。据判断,该病毒是“撒旦”(Satan)勒索软件的最新变种,并且已经检测到它已开始在中国传播。

1533095512392770.png 1533095512392770.png

新版本的撒旦病毒已更新至4.2。攻击成功后,病毒将对文件进行加密并将后缀修改为“ sicck”,并同时向攻击目标勒索一个比特币。这是经过两个月的沉默之后,“撒旦”勒索软件第二次在互联网世界中活跃起来。 [bianews]

HealthCare.gov注册系统被黑,75,000人的数据被泄露

该注册系统称为联邦便利交易所,由医疗保险和医疗补助服务中心(CMS)共同管理。医疗保险代理商可以使用此系统将HealthCare.gov中的用户信息导入到奥巴马医改计划中。

healthcare-gov.jpg healthcare-gov.jpg

CMS表示,从上周(10月13日)开始,系统中发现了一些异常活动,并对其进行了调查,然后确认了黑客攻击,大约有75,000人被盗。该系统当前处于禁用状态。

目前,CMS已通知FBI和所有受影响的用户,以尽快解决该问题。 [zdnet]

今天是第307次,Echo毫无例外地通过语音询问了老王帐户密码。

老王的Kindle也很受欢迎。这本电子书每天会多次从输入框弹出,要求您输入帐户密码。

老王快疯了,这两种货是什么毒药?

比中毒更可怕的是,法老的两个设备被黑客重放了。毕竟,法老是拥有八位数银行卡的隔壁法老!

哈哈达,即使卡中没有几毛钱,这种奇怪的情况也可能受到更多Echo和Kindle用户的打击。

由于这些设备具有相同的漏洞:

2007年,两名比利时研究人员Mathy Vanhoef和Frank Piessens发表了令人惊讶的研究结果-他们发现WPA2标准存在严重缺陷(该协议当时保护了几乎所有现代Wi-Fi网络),称为KRACK。 (密钥重新安装攻击)漏洞。

两年后,许多启用Wi-Fi的设备仍然容易受到KRACK攻击。其中,亚马逊的第一部人工智能音频Echo和第八代Kindle电子书。

亚马逊的老产品“躺枪”

说谎的原因是因为KRACK漏洞是协议级别的问题,并且实现协议标准的所有软件和硬件都将受到影响。

仅在美国,亚马逊就售出了数千万个Echo设备和数千万个第八代Kindle,这些设备所携带的KRACK漏洞一直持续到今天。

使用此方法,攻击者可以读取以前被认为已安全加密的信息,从而窃取各种敏感信息,例如信用卡号,密码,聊天信息,电子邮件和照片。

作为研究的一部分,最早发现问题的研究人员使用Vanhoef团队提供的脚本来测试第一代Amazon硬件产品的恢复能力,重点是针对各种KRACK漏洞的设备。

“使用Vanhoef的脚本,我们能够在四次握手(CVE-2017-13077)中复制并重新安装配对的加密密钥(PTK-TK),并在四次握手(CVE-2017- 13077)密钥(GTK)CVE-2017-13078)。”研究人员发现,Alexa Echo和第8代Kindle电子书容易受到上述KRACK漏洞的攻击。

由于攻击主要针对四次握手,因此攻击的目标是客户端而不是接入点,因此,这种PoC(概念验证)攻击对于Linux和Android 6.0及更高版本的设备而言具有毁灭性。

研究人员声称这些漏洞非常严重,它们使攻击者能够:

重播旧数据包以执行DoS攻击,破坏网络通信或重播攻击

解密受害者传输的任何数据或信息

取决于网络配置:伪造数据包,导致设备关闭数据包甚至注入新数据包

拦截敏感信息,例如密码或会话cookie

从两年前Vanhoef的研究结论来看,避免KRACK漏洞的最有效方法是联系各种无线设备提供商,以查看是否需要更新协议,而最直接的方法是禁用WPA2。

在办公室,Vanhoef建议禁用路由器上的客户端功能,禁用访问点(AP)并禁用802.11r协议。

黑客把戏:重放攻击

这次发现的KRACK漏洞使黑客能够使用广播重播攻击来“欺骗”用户。

通常,攻击者将发送目的主机已收到的数据包,以达到欺骗系统的目的。此行为主要在身份认证过程中使用,并且破坏了认证的准确性。

重播攻击可由发起者或拦截并重新发送数据的敌人执行。攻击者使用网络监视或其他方法窃取身份验证凭据,然后将其重新发送到身份验证服务器。

对于Echo设备,攻击者可以滥用此低级攻击来发起拒绝服务(DoS)攻击,或收集数据包以用于将来的密码分析或蛮力攻击。

值得注意的是,KRACK漏洞需要关闭。因此,进行攻击的前提是攻击者和受害者的设备都必须位于同一Wi-Fi无线网络中。

因此,研究人员认为,针对亚马逊设备(可能还有其他设备)的攻击也不太可能显着影响通过网络发送的信息的安全性。

这是因为,除了标准WPA / WPA2加密(即使用TLS加密的HTTPS)之外,大多数敏感数据还受到其他安全措施的保护。

报告和修补

2018年10月23日,研究人员向亚马逊报告了所有发现的问题,并提醒他们尽快修复它们。

2019年1月8日,研究人员从亚马逊收到一封电子邮件,确认问题的内容已复制,已准备好补丁并将在接下来的几周内分发给用户。

到目前为止,亚马逊已经发布了该补丁程序以解决Echo和Kindle 8的问题,并且客户端设备上的软件应用程序已加入以对Wi-Fi网络进行身份验证。

研究人员建议所有Amazon用户升级到最新系统,并通过其Echo应用程序和Kindle设置确认他们正在使用最新的Echo和Kindle固件。

参考资料来源:

有关更多精彩内容,请继续关注Leifeng.com的网络安全部分或Leifeng.com的公共帐户内部频道。雷锋网

本文网址: http://www.amzkd.cn/p/2020529142648_549_2381387742/home