从FacebookATO漏洞到众多区块链安全事件,这些均表明,建立起防范于未然的安全检测体系,关乎一切科技公司的存亡。
作者:VictorFang,Ph.D.,区块链安全公司AnChain.ai创始人
几天前开始,整个硅谷的计算机安全圈子的同行们都在讨论一件爆炸性新闻:Facebook的5000~8000万账户存在「ViewAs」accesstoken漏洞。
该漏洞对于Facebook这个世界最大社交网络用户隐私数据的影响是毁灭性的。这个漏洞会导致账户接管攻击,也就是用户私人秘钥泄漏,让黑客能够在未授权情况下访问用户的隐私数据。
虽然Facebook官方公布的信息对细节讳莫如深,我个人觉得这种漏洞极有可能是内部Web开发流程管理不慎导致,区别于2014年雅虎的heartbleed开源OpenSSL漏洞。
账户接管攻击其实是一个比较古老的话题,一般银行这种金融机构是重灾区。五年前我曾负责一个美国金融客户的反欺诈侦察算法研发,利用机器学习自动检测交易中的ATO漏洞,为客户挽回了数百万美元的ATO攻击。
NFT平台Cyber Manufacture完成600万美元融资:11月20日消息,NFT项目GAMA背后的Web3平台Cyber Manufacture Co.完成600万美元pre-A轮融资。该轮融资由Synergis和Collab+Currency领投,AT Capital、Shima Capital、Sfermion、Artist Capital、J17 Capital、Lattice Capital、FutureMoney Advisory和Vera Li参投。新资金将用于推进GAMA的任务和故事情节,并支持该团队即将推出的NFT产品。(PRWeb)[2021/11/20 7:01:01]
关于ATO安全问题,推荐大家看一篇2017年12月份的福布斯文章:
https://www.forbes.com/sites/forbescoachescouncil/2017/12/21/account-takeover-attacks-are-on-the-rise-and-you-need-to-hear-about-it/#5587ec05565d
知情人士:Facebook计划在下周改名,以反映其专注于构建“元宇宙”:10月20日消息,知情人士透露,Facebook计划在下周改名,以反映其专注于构建“元宇宙”。马克·扎克伯格计划在10月28日的公司年度Connect会议上谈论即将到来的更名,但可能会更早公布,旨在表明这家科技巨头的雄心壮志。(TheVerge)[2021/10/20 20:42:24]
我刚从传统的网络安全行业跨界到新兴的区块链安全行业,创立了全新的通过人工智能技术护卫区块链安全的初创公司「AnChain.ai」。我想趁这个机会,和大家分享一下一些AnChain.ai对于安全问题的哲学思辨:
安全的本质是对抗,是战争
过去八年,我作为硅谷白帽,有幸亲身经历了很多个黑客组织的对抗,和相互之间共同演化升级。黑客组织一旦盯上了资产,他们将竭尽一切所能来攻陷这个目标,不论是数据,或是金钱,或是虚拟货币。
在这个游戏中,攻击方只需要找到一个漏洞即可攻陷防御方,而防御方则需要全局防范。这并不是一个公平的对抗游戏。
QuarkChain将发布类似Facebook Diem、支持使用QKC进行支付的应用:QuarkChain官方发推称,将很快发布一款类似Facebook Diem(原名Libra)的支付类应用,该产品将为用户提供透明而且易用的操作体验,并且可以使用其代币QKC进行支付。[2021/5/25 22:42:04]
两千年前的孙子兵法称为:「知己知彼百战不殆」;美国前空军首席科学家MicaEndsley博士,在1995年提出了「态势感知SituationalAwareness」的理论。这两套理论,异曲同工,都突出了安全的最佳实践准则。
只要是人写的软件,就会有漏洞
这里所指的「软件」是广义的,包括2017年的英特尔芯片的「meltdown」设计漏洞,或者两周前去中心化的比特币BitcoinCore代码的「CVE-2018-17144」漏洞,也包括Facebook此次漏洞。
计算机领域和学术界现在看好的圣杯是「形式化验证研究」,已经由顶级计算机科研工作者进行了数十年。该技术成熟化之后,将可以如同证明数学定理一样来「证明」人写的代码是否有漏洞,从而极大减少软件漏洞。但是在此之前,漏洞将继续存在。
动态 | Facebook子公司Calibra已在FinCEN注册为MSB:据The Block消息,社交媒体巨头Facebook新宣布的加密货币子公司Calibra已在美国反监管机构美国金融犯罪执法网(FinCEN)注册。Calibra将为Libra加密货币提供一个数字钱包,今年2月在FinCEN注册为货币服务业务(MSB),地址位于加州门罗公园(Menlo Park)。 Calibra于2月在FinCEN注册为一家货币服务公司(MSB)。Calibra的MSB注册号是31000141265767。Calibra可能还需要在其运营所在的每个州获得州货币传输许可证,这取决于特定州的许可证要求和Calibra在该州的活动。[2019/6/19]
另外,去年八月,Facebook工程团队发布了一篇技术干货文章:「Rapidreleaseatmassivescale」:
https://code.fb.com/web/rapid-release-at-massive-scale/
声音 | BM:要求 Facebook 不显示针对性广告与要求他们不跟踪你是不一样的:据 IMEOS 报道,BM 发推转发了 Katie Bindley 的推文关于测试启用所有 Facebook 隐私设置之后多久收到针对性广告并说到,“要求 Facebook 不显示针对性广告与要求他们不跟踪你是不一样的。感谢这些针对性广告,它提示你正在被侵害隐私。”[2019/3/2]
对于如此大规模的软件系统,大家不妨自行脑补一些「attacksurface」攻击面。
Facebook拥有22亿用户,是世界最大的月活用户基数,拥有黑客垂涎的用户隐私数据。有没有可能,这个「ViewAs」的漏洞,只是冰山一角?
「交易安全」意义重大
综上两点,不管是传统的网络安全,或者区块链安全,最可靠的防护方式,是基于交易数据的安全检测和态势感知。这里的「交易」指的是广义的Transaction数据,比如网络数据包、用户登陆日志等。
Facebook对于如何发现该漏洞没有具体报道,我猜测极有可能是从交易数据发现了漏洞端倪。内部RedTeam或者外部白帽检测到网络包数据异常;或者内部审计登陆日志数据发现异常。
我们分析一下2018年安全圈子的两个热点,来突出了解一下为什么「交易安全」如此重要:
事件一:FireEye公司报告的2018年2月份朝鲜黑客组织APT37的活动
通过对海量的网络的分析,FireEye公司重现了来自朝鲜的黑客利用Flash和韩文文字处理器零日漏洞,如何窃取了东亚国家的化学品、电子、制造业、航空航天、汽车和医疗保健行业企业数据资产。
方博士是硅谷上市网络安全公司FireEye史上第一位首席数据科学家,身后是FireEyefaceofAI
具体信息可以查阅官方版公告:
https://www.fireeye.com/blog/threat-research/2018/02/apt37-overlooked-north-korean-actor.html
中文版翻译:揭秘朝鲜黑客组织APT37近期活动
https://www.secrss.com/articles/1069
事件二:史上第一个BlockchainAPT区块链高级持续威胁——黑客军团
2018年8月,AnChain.ai团队和合作伙伴安比实验室,从若干个智能合约游戏的海量区块链交易数据,检测到史上第一个BlockchainAPT区块链高级持续威胁——黑客军团。该团伙短短几天盗取了千万元的以太坊虚拟货币,成功变现离场。
具体信息可以参阅该报道:
https://www.chainnews.com/articles/523983561023.htm
总结
Facebook的企业文化DNA是「Movefastandbreakthings」的黑客精神。
这种黑客文化对于早期初创公司来说可能是好事,而对于掌握了22亿用户隐私数据的大公司,和广大用户,是巨大的灾难。
https://tech.newstatesman.com/guest-opinion/move-fast-break-things-mantra
一个数据驱动的技术公司,如何树立起全体员工重视安全的文化?如何对用户隐私数据负责?如何建立起防范于未然的安全检测体系?
对于所有科技公司,必须认真思索思考这些问题。因为,无论是传统互联网公司,或者新兴的区块链加密货币公司,这些都是关乎存亡,需要严肃面对的问题。
本文来源于非小号媒体平台:
AnChainAI
现已在非小号资讯平台发布1篇作品,
非小号开放平台欢迎币圈作者入驻
入驻指南:
/apply_guide/
本文网址:
/news/3627052.html
漏洞风险安全
免责声明:
1.资讯内容不构成投资建议,投资者应独立决策并自行承担风险
2.本文版权归属原作所有,仅代表作者本人观点,不代表非小号的观点或立场
上一篇:
IBM获得基于区块链的网络安全系统新专利
下一篇:
46家交易所涉嫌8800万美元,ShapeShift成为重灾区
原文阅读时长3分钟:https://medium.com/@cameron_28785/schnorr-signatures-bitcoins-latest-upgrade-5b2d51e22b.
1900/1/1 0:00:00开栏语孤独不能被消灭,但谁帮人减轻了孤独,谁就能成就一门好生意。当你一个人的时候,你会选择干点什么?吃个一人小火锅压压惊;养一只宠物做“铲屎官”;深夜刷直播,为主播送游艇;到迷你KTV里忘情地高.
1900/1/1 0:00:00吴金霖被湖南省娄底市检察院以「头目」的名义批捕的时候,买了「云金币」的人们才确定,被吴金霖组建的团队了。其内部人士透露,吴被查可能是被竞争对手举报.
1900/1/1 0:00:00作者:TonySpilotro九年前的今天,一位名叫LaszloHanyecz的美国佛罗里达州程序员用一万个比特币购买了两个PapaJohn’s披萨.
1900/1/1 0:00:00据Cointelegraph和CCN报道,互联网安全提供商和研究机构迈克菲实验室11月12日发布一篇博客文章证实,其发现了一种新的恶意软件.
1900/1/1 0:00:009月4日报道,比利时金融服务和市场管理局已在其与加密货币相关的欺诈黑名单中新增加了28个网站,向消费者发出警告.
1900/1/1 0:00:00