即便加密的消息应用程序也存在窃听问题 ——

即便加密的消息应用程序也存在窃听问题——2019年初，FaceTime群组通话中的一个漏洞让攻击者可以激活正在通话的iPhone的麦克风，甚至是摄像头，并在接收者做任何事之前进入窃听状态。其影响如此之大，以至于苹果完全切断了对群组通话功能的访问，直到该公司能够发布一个修复方案。这个漏洞——以及它完全不需要受害者点击的事实——吸引了娜塔莉·希尔瓦诺维奇。谷歌“零点项目”的研究员希尔瓦诺维奇说：“你可以找到一个影响很大的漏洞，你可以在没有任何互动的情况下导致一个电话被接听，这个想法很令人惊讶。我开始努力寻找其他应用程序中的这些漏洞。最后我发现了一堆这种东西。”希尔瓦诺维奇多年来一直在研究“无交互”漏洞，即不需要目标点击恶意链接、下载附件、在错误的地方输入密码或以任何方式参与其中的骇客攻击。随着有针对性的移动监控在世界各地的爆发，这些攻击的意义越来越大。近期于拉斯维加斯举行的黑帽安全会议上，希尔瓦诺维奇介绍了她对无处不在的通信应用程序（如Signal、GoogleDuo和FacebookMessenger）以及流行的国际平台JioChat和ViettelMocha的远程窃听漏洞的发现。所有这些漏洞都已被修补，希尔瓦诺维奇说，在她披露这些漏洞后的几天或几周内，开发者对修复这些漏洞反应非常积极。但是，在主流服务中发现的这类漏洞的数量之多，强调了这些缺陷是多么的普遍，以及开发人员需要认真对待。希尔瓦诺维奇说：“当我听说那个群组FaceTime的漏洞时，我以为这是一个独特的漏洞不会再发生了，但事实证明并非如此……这是我们以前不知道的事，但现在重要的是，制作通信应用程序的人要意识到这一点。你正在向你的用户做出承诺，你不会在任何时候突然开始传输他们的音频或视频，你有责任确保你的应用程序不辜负这一点”。希尔瓦诺维奇发现的漏洞提供了各种各样的窃听选项：FacebookMessenger的漏洞可能允许攻击者监听目标设备的音频；ViettelMocha和JioChat的漏洞都有可能对音频和视频进行高级访问；Signal的漏洞只暴露了音频；而GoogleDuo漏洞提供了视频访问，虽然只有几秒钟的时间。在这段时间内，攻击者仍然可以录制一些画面或抓取屏幕截图。希尔瓦诺维奇考察的应用程序都是在开源项目WebRTC的实时通信工具上建立其大部分音频和视频通话基础设施的。一些无交互的通话漏洞源于开发者似乎误解了WebRTC的功能，或者实施得不好。但希尔瓦诺维奇说，其他的缺陷来自于与何时和如何设置呼叫有关的每项服务的具体设计决定。当有人在基于互联网的通信应用上给你打电话时，系统可以立即开始在你们的设备之间建立连接，这个过程被称为establishment，所以当你点击接受时，通话可以立即开始。另一种选择是，应用程序稍等一下，等待看你是否接受呼叫，然后在知道你的偏好后花几秒钟建立通信渠道。后者在私下里更容易实现，因为可能出错的地方更少；只有在你肯定的同意之后才会建立连接。不过，大多数主流服务采取的是另一条路线，提前设置通信渠道，甚至开始发送音频和视频流等数据，以便在呼叫的接收者接听时提供近乎即时的连接。做这些准备工作本质上并没有引入漏洞，而且可以以保护隐私的方式进行。但它确实创造了更多犯错的机会。关键是要设计一个经过审查的系统，让它按照预期的方式工作。希尔瓦诺维奇说：“在视频会议方面，开发商有一些重大保证。例如，你不会在任何时候突然开始传输视频。或者静音按钮真的有用吗？很多这些错误发生的原因是，设计这些系统的人没有考虑他们在音频和视频的实际传输时间方面做出的承诺，也没有验证这些承诺是否被遵守”。希尔瓦诺维奇补充说，类似的漏洞很可能在主流通信应用程序中仍未被发现。例如，她只研究了一对一的通话，而iOS群组FaceTime的漏洞表明，群组通话可能有自己的缺陷。她强调，虽然简短的音频或视频片段在所有情况下都不一定是攻击者的金矿，但无交互的攻击往往值得尝试，因为它们看起来无害且难以被追踪。希尔瓦诺维奇说，“我发现无交互的漏洞是最有趣的一类漏洞，因为它们对攻击者来说非常有用，因为用户不需要做任何事就会中招”。

在Telegram中查看

相关推荐

小心视频会议应用程序，即便麦克风“关闭”。它仍在听 ——

小心视频会议应用程序，即便麦克风“关闭”。它仍在听——威斯康星大学麦迪逊分校电子和计算机工程系助理教授、在线隐私专家法瓦兹的家人遭遇了一件奇怪的事——一次视频会议上，当他静音时，他发现在麦克风的灯仍然亮着，这表明麦克风正在被访问。法瓦兹和研究生调查了这种现象是否更加普遍。他们在主要的操作系统上尝试了许多不同的视频会议应用程序，包括iOS、安卓、Windows和Mac，检查应用程序是否在麦克风被静音时仍能访问。“事实证明，在绝大多数情况下，当你自己静音时，这些应用程序并没有放弃对麦克风的访问，这是个问题。当你选择静音时，意味着你不希望这些应用程序收集数据”，法瓦兹说。首先，该团队进行了一项用户研究，询问223名视频会议应用程序用户关于他们如何理解静音按钮的功能，以及他们认为这类应用程序应该如何处理音频数据。大多数人认为应用程序在设置为静音时不应该能够收集数据。研究小组又调查了许多流行的应用程序上静音按钮的实际行为，确定了收集哪些类型的数据，以及它是否会泄露个人信息。研究发现，被测试的所有应用程序都会在静音激活时偶尔收集原始音频数据，其中一个流行的应用程序以相同的速度收集信息并将数据传递给其服务器，而不管麦克风是否被静音。研究人员随后决定看看他们是否能利用从该应用中收集到的数据来推断在后台发生了什么。利用机器学习算法，他们使用来自YouTube视频的音频训练了一个活动分类器，这些音频表现出了六种常见的背景活动，包括烹饪和吃饭、播放音乐、打字和清洁。将该分类器应用于该应用程序发送的遥测数据包的类型后，调查团队能够以平均82%的准确率识别背景活动。无论这些数据是否被访问或使用，这些发现都引起了人们对隐私的关注。法瓦兹说：“对于摄像头，你可以把它关掉，或者简单地把手放在它上面挡住，简单地做点什么就可以避免别人看到你。但麦克风可不行”。在大多数设备操作系统中，关闭麦克风是可能的，但这通常意味着要浏览多个菜单。相反，该团队建议解决方案可能在于开发一种易于使用的软件“开关”，甚至硬件开关，使用户能够手动启用和禁用麦克风。#privacy#Videoconferencing

中国有一个奥运应用程序，声称用于追踪新冠病毒接触者，所有运动员和与会者都必须使用该应用程序。然而，据透露，这款应用程序的 And

中国有一个奥运应用程序，声称用于追踪新冠病毒接触者，所有运动员和与会者都必须使用该应用程序。然而，据透露，这款应用程序的Android和iOS版都在收集音频并发送到位于中国的服务器。技术研究员JonathanScott对这个名为MY2022Olympics的应用程序进行了逆向工程。他发现该应用程序可用于监视运动员和与会者，因为它可以在未经同意的情况下录制音频并将其发送到中国的服务器进行分析。Scott写道，该应用程序“将自己置于前台，以确保它有能力倾听。”该应用程序似乎没有利用安全漏洞。它主动录制音频并将其发送到中国境内的服务器。根据Scott的发现，即使将其移至后台，它也会将自己强制移至前台，以便继续积极地窃听。该应用程序使用由一家名为iFlytek的初创公司开发的AI技术。在我们的博客上搜索“iFlytek”您将看到与其相关的内容。#Surveillance#Olympics#China#BigBrother

对多家中国公司的拼音键盘应用程序分析发现可能向网络窃听者泄露击键内容的漏洞

对多家中国公司的拼音键盘应用程序分析发现可能向网络窃听者泄露击键内容的漏洞我们（公民实验室）分析了常见云端拼音输入法的安全性，包含百度、荣耀、华为、讯飞、OPPO、三星、腾讯等九家厂商，并分析了它们发送用户输入内容到云端的过程是否含有安全缺陷。分析结果指出，九家厂商中，有八家输入法软件包含严重漏洞，使我们得以完整破解厂商设计用于保护用户输入内容的加密法。亦有部分厂商并未使用任何加密法保护用户输入内容。综合本研究和我们先前研究中发现的搜狗输入法漏洞，我们估计至多有十亿用户受到这些漏洞影响。基于下述原因，我们认为用户输入的内容可能已经遭到大规模收集：·这些漏洞影响了广泛的用户群体·用户在键盘中输入的信息极为敏感·发现这些漏洞不需要高深技术·五眼联盟过去曾利用中国应用程序中类似的漏洞施行监控在我们测试的九家厂商的应用程序中，仅有华为的产品未发现任何上传用户输入内容至云端相关的安全问题，其余每一家厂商都至少有一个应用程序含有漏洞，使得被动型网络攻击者得以监看用户输入的完整内容。——（）

CoinStats遭攻击致1590个加密钱包受影响，已暂时关闭应用程序

CoinStats遭攻击致1590个加密钱包受影响，已暂时关闭应用程序PANews6月23日消息，据Cointelegraph报道，加密货币投资组合管理公司CoinStats在1590个加密钱包受到安全漏洞影响后，暂时暂停了用户活动。Coinstats在6月22日的一篇文章中写道：“攻击已经得到缓解，我们已经暂时关闭了应用程序，以隔离安全事件。由于CoinStats团队迅速响应，只有1.3%的CoinStats钱包受到影响，总计1,590个钱包，所连接钱包和CEX都没有受到影响。”Coinstats发布了一份Google文件，列出了目前所有受影响的加密钱包。文件提到，随着调查的进展，这份列表“可能会改变”，但预计不会有重大变化。文件中称：“如果您的钱包地址在此受影响列表中，请使用私钥立即转移资金。”https://www.panewslab.com/zh/sqarticledetails/p5y9mc80.html

【美国正调查 Binance Trust Wallet iOS 应用程序的漏洞】

【美国正调查BinanceTrustWalletiOS应用程序的漏洞】2024年02月15日06点10分老不正经报道，美国国家标准与技术研究院(NIST)正在分析iOS版本的BinanceTrustWallet应用程序是否存在可能被用来窃取加密钱包资金的漏洞。NIST称，BinanceTrustWallet应用程序的特定版本“滥用了trezor-crypto库”来生成只能验证的助记词在熵源处。熵源是生成数据的物理位置。NIST指出，类似的漏洞在2023年7月被利用，导致经济损失。该信息于2月8日公开，目前正在等待分析以确定该漏洞的实际范围。

【Polkadot为其基于区块链的消息传递应用程序申请商标注册】

【Polkadot为其基于区块链的消息传递应用程序申请商标注册】2023年04月05日05点56分老不正经报道，根据最近的一份文件，将自己定位为第0层区块链的Polkadot已经为其基于区块链的消息传递应用程序申请了商标注册，PolkadotConverse一词已注册商标，在申请的商品和服务部分添加了有关该应用程序的其他信息。该商标涵盖：用于社交网络的软件，用于创建、管理和与在线社区交互的软件；用于创建、发送和接收电子消息、图形、图像、音频内容的软件。

🔍 发送关键词来寻找群组、频道或视频。

启动SOSO机器人