研究团队演示使用 MITM 绕过 FIDO2 网络垂纶防护
宣布时间 2024-05-075月6日 ，FIDO2 是无密码身份验证的现代身份验证组术语�？焖偕矸菰谙� (FIDO) 同盟开发它来取代古板已知密码的使用 ，并提供一种使用物理或嵌入式密钥举行身份验证的清静要领。众所周知 ，FIDO2 可以�；と嗣敲馐苤行娜� (MITM)、网络垂纶和会话挟制攻击。FIDO2 身份验证流程由用于客户端依赖方 (RP)（即云应用程序通讯）的 WebAuthn API 规范和用于硬件通讯的客户端到身份验证器 (CTAP) 协议组成。整个历程由浏览器治理 ，包括两个身份验证办法：装备注册和身份验证。之以是这样结构 ，是由于 FIDO2 基于公钥加密机制�？突Ф嗽诖舜μ焐皆亢凸� ，并将后者发送回 RP 以在登录时举行署名验证。FIDO 可以用作单个应用程序或团结应用程序的身份验证要领。关于那些不知道的人来说 ，团结是指由单个身份提供商 (IdP) 治理的多个不相关应用程序的单点登录 (SSO)。
https://securityboulevard.com/2024/05/using-mitm-to-bypass-fido2-phishing-resistant-protection/
2. 国际特赦组织将印度尼西亚列为特工软件中心
5月6日 ，国际特赦组织清静实验室的最新研究批注 ，印度尼西亚是监控工具和供应商的新兴中心。该组织发明了从 2017 年到去年从以色列、希腊、新加坡和马来西亚等国家向印度尼西亚销售和运输高度侵入性特工软件和其他监控手艺的证据。据报道 ，这些监控工具属于“Q Cyber Technologies（与 NSO Group 相关）、Intellexa 财团、Saito Tech（也称为 Candiru）、FinFisher 及其全资子公司 Raedarius M8 Sdn Bhd 和 Wintego Systems”等公司。国际特赦组织还详细先容了与针对印度尼西亚小我私家的特工软件平台相关的种种恶意域名和网络基础设施。国际特赦组织体现 ，虽然这些域名模拟了政党和媒体机构 ，但现在尚不清晰谁是真正的目的。国际特赦组织的报告称 ，特工软件向来被政府实体用来针对民间社会和记者 ，因此关于公民权力受到侵占的印度尼西亚来说 ，这是特殊令人担心的。
https://www.darkreading.com/cybersecurity-operations/amnesty-international-cites-indonesia-as-spyware-hub
3. 法官思量对谷歌破损内部谈天纪录举行制裁
5月4日 ，在谷歌垄断案审讯的第二天了案陈词即将竣事时 ，美国地区法官阿米特·梅塔 (Amit Mehta) 权衡了是否应该对美国司法部所说的谷歌“例行、按期和正常销毁”证据举行制裁。谷歌被指控制订了一项政策 ，指示员工在讨论敏感话题时默认关闭谈天纪录 ，包括谷歌的收入分享和移动应用程序分发协议。美国司法部和州总审查长以为 ，这些协议旨在维持谷歌在搜索领域的垄断职位。据美国司法部称 ，谷歌不但在视察时代并且在诉讼时代销毁了潜在的数十万个谈天会话。在美国司法部发明该政策后 ，谷歌才阻止了这种做法。司法部的状师肯尼思·丁泽 (Kenneth Dintzer) 周五告诉梅塔 ，司法部以为法院应该得出这样的结论：与历史举行交流批注晰隐藏信息的反竞争意图 ，由于他们知道自己违反了反垄断法。
https://arstechnica.com/tech-policy/2024/05/judge-mulls-sanctions-over-googles-shocking-destruction-of-internal-chats/
4. 2023年Google阻止228万个恶意app在Google Play宣布
4月29日 ， 2023 年 ，我们阻止了 228 万个违反政策的应用程序在 Google Play 上宣布 ，部分归功于我们对新的和刷新的清静功效、政策更新以及先进的机械学习和应用程序审核流程的投资。我们还增强了开发者入职和审核流程 ，在开发者首次建设其 Play 帐户时需要更多身份信息。加上对审查工具和流程的投资 ，我们更有用地识别了不良行为者和诓骗团伙 ，并榨取了 33.3 万个不良帐户进入 Play ，这些帐户已确以为恶意软件 ，并且一再严重违反政策。别的 ，近 20 万个应用程序提交被拒绝或修复 ，以确保准确使用后台位置或短信会见等敏感权限。为了资助大规模�；び没б� ，我们与 SDK 提供商相助 ，限制敏感数据会见和共享 ，从而增强影响 79 万多个应用程序的凌驾 31 个 SDK 的隐私状态。我们还显着扩展了Google Play SDK 索引 ，该索引现在涵盖了 Android 生态系统中近 600 万个应用程序所使用的 SDK。这一名贵的资源可资助开发职员做出更好的 SDK 选择、提高应用程序质量并最洪流平地降低集成危害。
https://security.googleblog.com/2024/04/how-we-fought-bad-apps-and-bad-actors-in-2023.html
5. 两个极右翼媒体网站遭到黑客攻击和破损
5月3日 ，两家极右翼媒体网站遭到黑客攻击和破损 ，订阅者和其内部网站数据被泄露 ，这是一次显着出于政治念头的攻击的一部分。现在尚未果真声称对此次攻击认真 ，但这至少是本周第二起看似出于政治念头的黑客攻击。已往曾发动过出于政治念头的攻击的网络犯法组织SiegedSec声称对污名昭著的 Westboro 浸信会教堂发动了攻击。没有迹象批注这两起事务有关联。Human Events 是一家建设于 1944 年的守旧派新闻机构 ，于 2022 年 5 月收购了Post Millennial。这两个组织的网站均指出 ，它们是由政治媒体公司 (Political Media, Inc. ) 设计和维护的 ，该公司是一家位于弗吉尼亚州的“中右翼新媒体咨询公司” ，提供的服务包括内容治理系统、网页设计、电子邮件服务和营销。
https://cyberscoop.com/far-right-websites-hacked-and-defaced/
6. 欧洲刑警组织关闭12个诈骗呼叫中心并拘捕多个嫌疑人
5月3日 ，欧洲刑警组织向导的一项名为“潘多拉”的行动已经关闭了十几个电话诈骗中心 ，并拘捕了 21 名嫌疑人。警方预计 ，这一行动阻止了犯法分子从受害者身上骗取凌驾 1000 万欧元。该犯法网络在阿尔巴尼亚、波斯尼亚和黑塞哥维那、科索沃和黎巴嫩运营呼叫中心 ，天天接到“数千个”诈骗电话 ，包括假警员电话、投资诈骗和浪漫诈骗。若是不是德国的一名银行出纳员 ，窃贼可能会骗走更多的受害者。潘多拉行动始于 2023 年 12 月 ，其时一名主顾要求弗莱堡的一名出纳员提取凌驾 100,000 欧元（107,247 美元）的现金。这一请求涉及到银行事情职员 ，他们很快就得知该客户落入了假警员的圈套。这种类型的诓骗涉及犯法分子自称是执法职员 ，迫使受害者支付一大笔钱——通常是谎称他们错过了虚伪的开庭日期 ，现在面临拘捕令 ，除非他们支付�？� ，或者其他一些编造的故事。
https://www.theregister.com/2024/05/03/operation_pandora_europol/
京公网安备11010802024551号