研究人员揭露CPU推测执行漏洞攻击新手法Pathfinder，能用来泄露加密金钥与资料

研究人员揭露CPU推测执行漏洞攻击新手法Pathfinder，能用来泄露加密金钥与资料 （英文） 4月底，国际计算机协会的活动发表一篇CPU漏洞攻击手法的论文，分析CPU的动态分支预测器，存在可泄漏与窜改资料的漏洞

苹果芯片被曝安全漏洞 能缓解但需牺牲性能

苹果芯片被曝安全漏洞 能缓解但需牺牲性能 然而，DMP有时会错误地将密钥等敏感数据内容与内存地址指针混淆，导致攻击者可以通过“解引用”操作泄露信息。这个缺陷是一个侧信道，当苹果芯片运行广泛使用的加密协议实现时，它允许端到端密钥提取，这些软件在执行加密操作时会大幅降低 M 系列的性能，尤其是在早期的 M1 和 M2 代产品上。当目标加密操作和具有正常用户系统权限的恶意应用程序在同一 CPU 集群上运行时，该漏洞就会被利用。攻击者无法直接获取加密密钥，但可以通过操纵加密算法中的中间数据，使其在特定输入下看起来像是地址，从而利用DMP的这一特性来间接泄露密钥信息。由于该漏洞深植于Apple Silicon芯片的核心部分，无法通过直接修补芯片来解决。为了减轻这一影响，只能依赖在第三方加密软件中增加防御措施。然而，苹果在实施任何缓解措施时都需权衡性能与安全性。因为这些措施可能会增加芯片执行操作的工作量，导致M系列芯片在执行加密操作时性能明显下降，特别是在M1和M2系列上表现更为显著。 ... PC版： 手机版：

在不断更新其系统以修补安全漏洞的同时，Apple 用户这次面临了一个新的挑战。据网络安全公司报告，一种名为“GoldDigger

在不断更新其系统以修补安全漏洞的同时，Apple 用户这次面临了一个新的挑战。据网络安全公司报告，一种名为“GoldDigger”的木马病毒现已开始针对 iOS 用户，企图窃取他们的银行帐户信息。 从 Android 移植到 iOS Group-IB 的报导指出，“GoldDigger”最初是为 Android 设计的，但现在已成功移植，攻击 iPhone 和 iPad 用户。该公司声称，这可能是为 iOS 设计的首个木马病毒，且其危险程度不容小觑，能够收集面部识别数据、身份证件和短信等信息。 利用深伪 AI 技术入侵银行帐户 拥有这些数据后，黑客使用基于人工智能的工具创建深度伪造影片，以此获取受害者的银行帐户访问权。当受害者意识到发生了什么事时，往往已为时已晚。 木马传播途径 最初，这款木马是通过 Apple 的 TestFlight 分发的，这一平台允许开发者发布应用的测试版，无需经过 App Store 的审核过程。然而，在 Apple 从 TestFlight 中移除该应用后，黑客采取了基于移动设备管理（MDM）配置档案的更复杂手段，该方法主要用于管理企业设备。 黑客诱使用户安装恶意配置档案，从而可以从 App Store 之外下载应用。这一过 针对越南和泰国 根据报导，“GoldDigger”主要针对越南和泰国的人群。然而，它也有可能被用来攻击世界其他地区的用户。Group-IB 认为，这款木马正处于“积极进化阶段”。 已向 Apple 通报 目前看来，即使是最新版本的 iOS 和 iPadOS 仍然对这款木马病毒存在漏洞。Group-IB 已经向 Apple 通报了这一问题，因此很可能该公司已经在着手解决。目前，为了避免此类攻击，最好的做法是不要从不信任的来源安装应用。 标签: #Apple #木马 频道: @GodlyNews1 投稿: @GodlyNewsBot

Mac版ChatGPT应用被发现将查询记录在未加密文件中

Mac版ChatGPT应用被发现将查询记录在未加密文件中 以这种方式存储文件，任何其他 Mac 应用程序都可以找到并自由读取这些文件。这意味着，如果用户的 Mac 感染了恶意软件或恶意程序，与 ChatGPT 共享的私人数据就会被随意读取。Pereira Vieito 发现了这个问题，并在 Threads 上进行了分享。ChatGPT for Mac 已于上周五发布更新，以修补这一问题。使用 ChatGPT 的所有数据现在都已加密隐藏。OpenAI 发言人塔亚-克里斯蒂安森（Taya Christianson）在一份声明中说："我们意识到了这个问题，并且已经发布了新版本的应用程序，对这些对话进行了加密。我们致力于提供有益的用户体验，同时随着技术的发展保持我们的高安全标准。"当应用程序提交到 MacApp Store或进行公证时，都要经过一个审查过程，以确保应用程序通过沙盒处理数据。这种方法可确保应用程序只能访问自己拥有的数据，而不能访问系统中的其他数据。OpenAI 的 Mac 版 ChatGPT 应用程序通过网络发布，不使用沙盒。该应用可以访问用户共享的私人数据，如电子邮件和机密记录，执行用户要求的任何任务。如果您已经安装了 Mac 版 ChatGPT，请确保已更新至最新版本。虽然在该应用推出后的短时间内，该漏洞可能并未被利用，但对于 OpenAI 这样的公司来说，这仍然是一个愚蠢的错误。Mac 版 ChatGPT 应用程序独立于 OpenAI 与苹果公司的更广泛合作。秋季晚些时候，作为macOS Sequoia 的一部分，用户可以选择向 ChatGPT 而不是Apple Intelligence发送某些请求。 ... PC版： 手机版：