Hasty Briefsbeta

全部标签

#security

共 683 篇

双语

Apple's biggest announcement today was Memory Integrity Enforcement
8 months ago
- 苹果在9月发布会上宣布推出内存完整性强制保护（MIE），这是iPhone 17和iPhone Air的重大安全升级
- MIE通过内存标记密文和访问验证机制，提供持续运行的内存安全防护，有效阻止内存破坏攻击
- 该系统通过为每个内存位置分配唯一标记，防范缓冲区溢出和释放后重用漏洞——这两类最常见的攻击载体
- 苹果采用软硬件协同设计，在A19和A19 Pro芯片中专门划分硅晶资源用于安全防护，且不影响性能表现
- 开发者可通过Xcode测试MIE功能，将安全优势延伸至风险更高的第三方应用程序
- 苹果攻防研究团队使用真实漏洞攻击测试表明，MIE能有效阻断既往成功的攻击链
- 该技术专门应对雇佣间谍软件等高级威胁，为用户提供静默持续的主动防护
- MIE重新定义了内存安全标准，可阻断过去25年的漏洞利用技术，树立行业新标杆
- 苹果这一方案实现了性能零妥协的全面安全防护，或将引领整个行业的安全范式变革
Contactless card payments could become unlimited
8 months ago
- 根据英国金融行为监管局（FCA）新提案，非接触式银行卡支付限额可能超过100英镑并取消上限
- 银行可自行设定支付限额，减少输入PIN码的需求
- 智能手机数字钱包支付原本就不设金额限制
- 非接触支付限额已从2007年的10英镑逐步提升至2021年的100英镑
- 尽管存在欺诈担忧，但多次交易需PIN验证等保护机制仍在
- 消费者可自行设定个人支付限额或关闭非接触功能
- 采用生物识别的智能手机支付更受年轻用户青睐
- 部分消费者出于安全和控制预算考虑倾向保留支付限额
- FCA此举旨在降低支付阻力并反映物价上涨趋势
- 该提案与政府刺激经济增长的政策方向一致
Tarsnap Is Cozy
8 months ago
- Tarsnap是一项以高安全性和隐私保护为核心的在线备份服务
- 由Colin Percival博士创建，以其极简设计和类Unix操作体验著称
- 采用预付费模式，用户可通过让余额过期的方式保持匿名性
- 该服务在用户体验和产品设计层面均获得高度评价
- 定价机制独特，微量资金即可为极小数据提供超长期备份
- 用户提出增加硬件密钥支持的期待，但现有密钥文件系统已被证实非常安全
- 文章将Tarsnap誉为注重隐私与简洁备份需求者的理想之选
Crates.io Phishing Attempt
8 months ago
- 钓鱼攻击针对了Rust包的主要公共仓库crates.io
- 钓鱼邮件引导用户跳转至伪造的GitHub登录页面
- 多位维护者收到钓鱼邮件，相关讨论已在GitHub展开
- crates.io团队已确认攻击事件，正在研究应对措施
- 截至UTC时间9月12日14:10，未发现软件包被入侵
- 文章同时提及Rust中用于解压ZIP文件的'zip'库的流行度
- 部分应用倾向于使用异步I/O来解压从网络下载的压缩包
Active phishing campaign targeting crates.io users
8 months ago
- 有报道称针对crates.io用户的钓鱼活动
- 邮件谎称基础设施遭入侵并要求验证身份
- 这些邮件来自未授权域名且具有恶意性质
- 目前没有证据表明crates.io基础设施实际受损
- 官方正在采取措施关停该域名并监控可疑活动
- 建议用户勿点击邮件链接并将其标记为钓鱼邮件
- 如有疑问请联系security@rust-lang.org或help@crates.io
How Maintainer Burnout Is Causing a Kubernetes Security Disaster
8 months ago
- Kubernetes外部密钥操作器（ESO）正面临严重的维护者倦怠问题，目前仅剩一名活跃维护者
- ESO是将外部提供商的密钥安全同步至Kubernetes的重要工具，但由于缺乏支持，该项目目前处于冻结状态
- 维护者被海量的贡献请求和技术支持压垮，导致项目新功能开发、错误修复和安全补丁全面停滞
- 该项目至少需要五名活跃维护者才能恢复运作，社区已响应号召涌现出300多名志愿者
- 复苏流程包括建立健康的贡献生命周期，预计至少需要六个月时间
- 这一事件暴露出开源生态系统的深层问题——维护者倦怠正在威胁关键项目的可持续性
Patela: A basement full of amnesic servers
8 months ago
- Osservatorio已在无盘低功耗基础设施上部署实验性节点。
- 运行Tor节点存在风险，可能因法律误解或当局无差别行动导致问题。
- 该基础设施设计旨在减少中间环节，确保操作安全性。
- 系统透明度机制通过公开文档提供可复现、防篡改的系统镜像。
- Patela是安全配置管理工具，采用TPM加密和mTLS认证机制。
- 项目使用Rust语言开发，以保持与Tor未来Rust实现（Arti）的兼容性。
- 当前配置为单台搭载coreboot的Protectli设备运行四个出口节点。
- 未来计划包括扩展基础设施、提升安全性及集成更多服务。
Pass: Unix Password Manager
8 months ago
- Pass是一款遵循Unix哲学的简单密码管理器
- 密码存储在GPG加密的文件中，并按文件夹分类管理
- 支持通过命令行进行密码的添加、编辑、生成和检索等操作
- 具备剪贴板复制功能和Git版本控制支持
- 兼容多种Shell环境（bash/zsh/fish）并提供跨平台GUI客户端
- 可通过URL、用户名、安全问答等元数据组织密码
- 支持社区开发的扩展插件以增强功能
- 支持通过包管理器在Linux/Mac/Windows等多平台安装
- 提供从其他密码管理器迁移数据的工具
- 采用GPLv2+开源协议，由社区积极维护更新
Praxos: Personal AI Assistant That Integrates with WhatsApp and Telegram
8 months ago
- Praxos可以执行直接命令或持久指令。
- 2025年8月的日历条目包含会议和预约。
- 任务包括通知Soheil关于Wiki更新、每周给奶奶发送纽约照片、将账单保存至#公用事业分类、以及预约牙医。
- 后台指令包括取消未使用的订阅服务、保存公用事业账单、以及共享每周日历。
- Praxos支持多种通信渠道：短信、WhatsApp、Telegram、电子邮件和Slack。
- 统一数据中枢集成各类应用程序和文件类型。
- Praxos以透明化方式运作——源代码公开可查。
- 安全特性包括符合HIPAA医疗数据标准及通过SOC 2 Type 2审计。
Varnish Cache to be renamed Vinyl Cache project
8 months ago
- Varnish Cache项目宣布发布8.0.0版本及重大项目变更
- 项目迎来20周年，将进行组织架构重组
- 决定在丹麦成立志愿者协会而非基金会
- 因商标问题，项目名称从'Varnish Cache'更改为'The Vinyl Cache Project'
- 发布多个安全版本修复HTTP/2快速重置攻击等漏洞
- 实行半年发布周期并宣布旧版本终止支持
- 推出SLASH/.等新型存储引擎与扩展功能
- 发布安全通告修复影响多个版本的漏洞
- 软件包仓库迁移至Packagecloud.io平台
- 隐私政策声明不使用外部跟踪器且日志保留期有限
Rowhammer: TRR on DDR5 DRAM has been broken
8 months ago
- 凤凰研究团队揭示SK海力士DDR5设备存在新型Rowhammer攻击变种的漏洞
- 逆向工程显示DRAM内建Rowhammer防护机制存在刷新间隔盲区
- 两种新型Rowhammer攻击模式可绕过防护机制，需与刷新操作精确同步
- 凤凰攻击采用自校正刷新同步技术确保攻击时隙对齐，实现漏洞利用
- 所有15款受测SK海力士DDR5内存条均存在漏洞，最短109秒即可触发比特翻转
- 新型攻击模式利用低频采样间隔，攻击效果因设备个体差异而不同
- 自校正同步方法攻克了消费级系统上长攻击模式执行的时序难题
- 实际攻击演示包括权限提升、RSA密钥窃取及sudo二进制文件篡改
- 缓解建议将刷新速率提升三倍，但未来设备需更彻底的防护方案
- 漏洞信息通过瑞士国家网络安全中心协调披露，编号CVE-2025-6202
What is memory safety and why does it matter?
8 months ago
- 内存安全可以防止与内存使用相关的某些类型错误，从而增强安全性。
- 内存安全语言包括Rust、Go、C#、Java、Swift、Python和JavaScript；非安全语言包括C、C++和汇编语言。
- 常见的内存安全漏洞：越界读写和释放后使用漏洞。
- 越界读写发生在访问超出有效范围的内存时，会导致安全漏洞。
- 释放后使用漏洞发生在访问已被释放的内存时，可能泄露其他数据。
- iOS/macOS中60-70%的漏洞、微软产品中70%的漏洞以及Android中90%的漏洞都是内存安全问题。
- Slammer蠕虫、WannaCry和HeartBleed等著名漏洞利用都源于内存安全漏洞。
- 非安全语言影响稳定性、开发效率和性能，尤其是在多线程环境中。
- 建议采用内存安全语言，如Rust、Swift和Go，适用于不同场景。
- 过渡到内存安全语言需要规划、培训和基础设施变更，但对安全至关重要。
- 非安全语言的最佳实践包括现代C++习惯用法、模糊测试、净化器和漏洞缓解措施，但仍不足够。
- 采用策略：从新项目开始，集成新组件，或逐步重写现有组件。
- 成功案例包括ChromeOS的CrosVM和Firefox用Rust重写的CSS引擎。
- 内部倡导者、培训和基础设施支持是成功采用新语言的关键。
- 内存安全对于减少漏洞、提高稳定性和增强生产力至关重要。
FileVault on macOS Tahoe Uses iCloud Keychain to Store Its Recovery Key
8 months ago
- macOS 26 Tahoe系统更新FileVault功能，改用iCloud钥匙串存储恢复密钥
- FileVault现在要求用户更负责任地管理恢复密钥，该密钥将永久可访问并存储在密码应用中
- 此前存储恢复密钥的方法包括手写记录或使用iCloud托管，这些方式安全性较弱
- 苹果通过iCloud钥匙串的端到端加密技术提升了安全性
- 用户现在无需反复开关FileVault即可随时查看恢复密钥
- 只要启用iCloud钥匙串，即可从其他设备访问恢复密钥
- Apple芯片版Mac默认启用FileVault启动卷加密，且该加密为强制功能不可关闭
- 启用FileVault后，启动过程会先显示类登录界面完成认证才解密卷宗
- 苹果此次调整反映出其对提升安全隐私的重视，以应对日益严峻的数据窃取威胁
Apple releases iOS 15.8.5 security update for 10-year old iPhone 6s
8 months ago
- iOS 15.8.5 和 iPadOS 15.8.5 于2025年9月15日发布。
- 该更新修复了ImageIO组件中可能导致处理恶意图像文件时内存损坏的安全漏洞。
- 该漏洞编号为CVE-2025-43300，可能已被用于针对特定人群的复杂攻击。
- 受影响的设备包括iPhone 6s、iPhone 7、第一代iPhone SE、iPad Air 2、第四代iPad mini以及第七代iPod touch。
- 苹果公司通常在补丁可用后才会披露安全问题，并建议用户访问苹果安全更新页面获取最新信息。
- 苹果不对第三方产品或网站提供认可或承担责任。
UUIDv47: Store UUIDv7 in DB, emit UUIDv4 outside (SipHash-masked timestamp)
8 months ago
- uuidv47允许在数据库中存储可排序的UUIDv7，同时在API边界呈现类似UUIDv4的外观
- 通过对UUIDv7时间戳字段使用基于UUID随机位的SipHash-2-4密钥流进行XOR掩码处理
- 特性包括：纯头文件的C语言实现(C89标准)、零依赖、确定性和可逆映射、符合RFC标准的版本/变体位
- 采用128位密钥的SipHash-2-4算法提供密钥恢复抵抗能力
- 包含完整测试套件、快速入门指南、公开API文档和综合说明文档
- UUIDv7具有时间排序特性，可提升索引局部性和分页效率
- 该外观层隐藏了时间模式，使客户端/系统感知为UUIDv4格式
- 使用SipHash-2-4算法保障安全性，确保密钥不会泄露
- 提供构建、测试和覆盖率说明，以及集成建议和性能注意事项
- 常见问题解答涵盖安全性和与UUIDv4不可区分性等核心问题
- 采用MIT许可证授权
Is WhatsApp safe? Not according to its ex-security chief
8 months ago
- WhatsApp前安全主管Attaullah Baig指控Meta无视重大漏洞，允许员工访问敏感用户数据，且未能阻止大规模账户入侵事件
- WhatsApp端到端加密（E2EE）技术仍有效保护文字、照片和语音通话内容，但元数据（联系人、时间等）可被WhatsApp获取，并在部分区域与Meta共享
- Baig诉讼指出约1500名员工能访问敏感用户信息，可能违反剑桥分析丑闻后美国政府颁布的监管令
- 现存安全风险包括PixPirate恶意软件、零点击漏洞攻击、SIM卡劫持，以及可能通过交叉比对重新识别用户身份的元数据泄露
- WhatsApp与Meta共享数据用于跨平台精准广告投放，Meta人工智能的集成引发数据使用和隐私担忧
- 安全建议：启用账户安全通知、使用通行密钥、开启加密备份功能、切勿分享验证码
- 若担忧Meta数据收集行为，可考虑使用更注重隐私的即时通讯替代品
Pnpm has a new setting to stave off supply chain attacks
8 months ago
- 新增名为'minimumReleaseAge'的设置项，用于延迟安装新发布的依赖项，降低安装存在安全漏洞版本的风险。
- 'minimumReleaseAgeExclude'设置允许特定依赖项绕过发布年龄限制。
- 在'pnpm list'和'pnpm why'命令中新增对'finder functions'的支持，可通过非名称属性（如peer dependencies）搜索依赖项。
- 查找函数可在'.pnpmfile.cjs'中声明，并通过'--find-by=<函数名>'标志调用。
- 补丁变更包括：修复弃用警告、为'nodeVersion'添加精确semver版本要求、改进tar.gz文件处理和进程取消逻辑。
Safe Chain prevents developers from installing malware
8 months ago
- 合气道安全链（Aikido Safe Chain）可防止通过npm、npx、yarn、pnpm和pnpx安装恶意软件。
- 它通过封装包管理器在安装前扫描恶意软件。
- 支持Node.js v18+版本，全面兼容npm ≥10.4.0，其他包管理器提供有限支持。
- 安装步骤包含全局npm安装、Shell配置及终端重启。
- 通过合气道情报库检测恶意软件，提供拦截或提示选项。
- 兼容Bash、Zsh、Fish、PowerShell及PowerShell Core。
- 卸载需执行拆除命令、npm卸载操作并重启终端。
- 可通过--safe-chain-malware-action标志配置恶意软件响应策略。
From suspicion to published curl CVE
8 months ago
- curl项目的安全报告首先通过HackerOne平台提交，在评估期间保持保密状态。
- curl安全团队由七位经验丰富的核心维护者组成，能够快速评估漏洞报告。
- 多数报告因不构成安全问题被驳回，有效漏洞按严重等级分类（低危、中危、高危、关键）。
- 低/中危漏洞修复通过普通公开PR提交，不会提及安全性质。
- 高危/关键漏洞修复会在版本发布前48小时合并，以缩短风险暴露期。
- 团队会撰写详细的安全公告，说明受影响版本、修复方案并致谢报告者。
- curl作为CVE编号机构（CNA）可自主分配CVE ID。
- 版本发布前一周会向distros@openwall发送预通知，便于操作系统厂商准备补丁。
- 正式发布当日同步公开CVE详情、披露报告并通过Internet Bug Bounty发放奖金。
- 现任curl安全团队成员包括：Max Dymond、Dan Fandrich、Daniel Gustafsson、James Fuller、Viktor Szakats、Stefan Eissing和Daniel Stenberg。
Tracking Trust with Rust in the Kernel
8 months ago
- Benno Lossin提出了一种用于Linux内核中Rust语言的API，旨在安全处理来自用户空间的可信数据。
- 该API引入新类型`Untrusted`来标记来自不可信源的数据，防止未经验证的意外使用。
- `Untrusted`是透明结构且无运行时开销，确保高效内存使用。
- API包含实用函数，并支持常见数据结构（如不可信值的切片和向量）。
- 引入`Validate`特征来封装用户空间数据使用前的验证逻辑。
- Greg Kroah-Hartman建议添加使用`Untrusted`的驱动示例，特别是针对`ioctl()`函数。
- 该API旨在系统化强制执行用户空间数据验证，降低安全漏洞风险。
- 相关补丁集的讨论预计将在即将召开的Kangrejos会议上进行。

About|Login

#security

Apple's biggest announcement today was Memory Integrity Enforcement

Contactless card payments could become unlimited

Tarsnap Is Cozy

Crates.io Phishing Attempt

Active phishing campaign targeting crates.io users

How Maintainer Burnout Is Causing a Kubernetes Security Disaster

Patela: A basement full of amnesic servers

Pass: Unix Password Manager

Praxos: Personal AI Assistant That Integrates with WhatsApp and Telegram

Varnish Cache to be renamed Vinyl Cache project

Rowhammer: TRR on DDR5 DRAM has been broken

What is memory safety and why does it matter?

FileVault on macOS Tahoe Uses iCloud Keychain to Store Its Recovery Key

Apple releases iOS 15.8.5 security update for 10-year old iPhone 6s

UUIDv47: Store UUIDv7 in DB, emit UUIDv4 outside (SipHash-masked timestamp)

Is WhatsApp safe? Not according to its ex-security chief

Pnpm has a new setting to stave off supply chain attacks

Safe Chain prevents developers from installing malware

From suspicion to published curl CVE

Tracking Trust with Rust in the Kernel