facebook - 資安趨勢部落格

「ROBOT 攻擊」影響 Facebook、PayPal 等知名網站

2017 年 12 月 15 日2018 年 01 月 05 日趨勢科技 TrendMicro

有研究團隊發現 1998 年由 Daniel Bleichenbacher 所批露的 RSA 加密演算法實作漏洞至今仍可能遭到攻擊。根據報導，日前又出現一個利用此漏洞的新攻擊，命名為「ROBOT」(其名為「Return of Bleichenbacher’s Oracle Threat」的縮寫)，影響所及包括 Alexa Top 100 百大網站中的 27 個網站，如 PayPal、Facebook 等知名網站皆受影響。這個由 Hanno Böck、Juraj Somorovsky 和 Craig Young 三名研究人員所組成的團隊指出，駭客在某些條件下有可能取得可以解開 HTTPS 流量的私密金鑰。只不過，至今尚未出現駭客利用 ROBOT 漏洞發動攻擊的案例。

ROBOT 漏洞攻擊手法是藉由 Bleichenbacher 所發現的漏洞，此漏洞可讓駭客利用暴力破解的方式成功猜出連線階段金鑰 (session key)，進而解開 TLS (HTTPS) 伺服器與用戶端瀏覽器之間的 HTTPS 通訊。此情況發生的條件是：連線階段金鑰採用 RSA 演算法加密，並且使用 PKCS #1 V1.5 padding 系統。駭客可以發送連線階段金鑰給 TLS 伺服器去查詢該金鑰是否有效，伺服器會回覆「是」或「否」，駭客可以如此反覆嘗試，直到試出正確金鑰為止。儘管這項漏洞存在已將近 20 年，但 ROBOT 漏洞攻擊至今依然可行，因為該漏洞的解決方法非常複雜，而且在實作上也未徹底解決。

繼續閱讀

Facebook投票功能竟可刪除他人照片!漏洞發現者獨得美金一萬元

2017 年 12 月 06 日2017 年 12 月 05 日趨勢科技 TrendMicro

Facebook出現一個能夠讓惡意人士刪除使用者張貼在社群網路上照片的漏洞。安全研究人員發現Facebook新的投票功能有漏洞，這投票功能可以讓使用者建立給朋友和關注者投票的兩問題投票。這問題已經回報給社群網路的安全團隊並在12小時內提供初步修復，兩天之後會全面修復。

伊朗的安全研究和網路開發人員Pouya Darabi在檢查Facebook的新功能時注意到此漏洞。Darabi發現自己可以經由變更ID號碼來加入圖片。這讓他可以預覽Facebook使用者在線上傳的圖片，並將其加入到投票內。當他刪除這次投票，附加的圖片也會被從社群網路中永久刪除。

這漏洞並不容易攻擊，因為上傳圖片的ID號碼並不完全照順序。攻擊者必須計算自己的步驟來碰上有效的圖片。因此想針對特定照片會很困難。

Darabi因發現並回報此安全漏洞而獲得10,000美元獎金。這並不是這名安全研究人員第一次從Facebook獲得獎金。在2015年，他因為繞過跨站請求偽造（CSRF）保護系統而獲得15,000美元獎金。而次年他因為類似漏洞又獲得了7,500美元。

這漏洞的出現提醒了人們社群網路跟其使用者同樣容易遭受網路威脅。使用者在瀏覽自己的社群網路帳號時也要小心，因為如果不是Facebook在安全研究人員通知後快速地解決，他們自己並沒有辦法來處理這漏洞所造成的問題。這次修復可以防止使用者的數位資產被外露，不過還是要持續關注網路犯罪分子未來可能開發的漏洞攻擊。

保護你的社群媒體帳號

最近一項研究顯示人們平均每天在社群網路上花費約116分鐘。社群媒體的無處不在加上它的帳號跟越來越多應用程式和帳號連結，社群媒體平台自然成為了惡意攻擊者的理想目標。

以下是保護帳號安全的一些建議：

保持行動應用程式在最新狀態。確保更新到所使用平台的最新版本。安全修補程式可以保護你免於上述漏洞攻擊等威脅危害。
關閉沒有在用的帳號。遺忘的社群媒體帳號可能會洩漏資訊而不自知。駭客可以利用它來存取所連結的其他帳號，像是你的電子郵件。
檢查有哪些應用程式連結你的社群媒體。你是否有用Facebook或Google來登錄其他應用程式？評估這是否必要。
遵循良好的密碼習慣。在每個社群媒體帳號使用不同的密碼，並確保每個密碼都很複雜且不常見。替所有的帳號啟用雙因子認證來防止有人未經授權的存取。
替你的社群媒體帳號使用獨特的電子郵件地址。可以的話專門替社群媒體建立全新的電子郵件帳號，這樣萬一你遭到入侵，駭客也無法存取到任何有價值的資訊。

繼續閱讀

傳裸照給自己？Facebook為防範用戶私密照外流的風險，竟然出奇招！

2017 年 11 月 16 日2017 年 11 月 16 日趨勢科技TrendMicro

Facebook因為擔心社群媒體成為復仇式愛情的利用工具，推出一個影像辨識的服務，讓擔心受害的使用者自行上傳自己的裸照，讓影像識別系統來分析這些影像是否已被有心人士上傳與分享。

目前測試地點僅在澳洲、美國、英國及加拿大等國家，想嘗試的使用者要先到網路安全委員會（e-Safety Commissioner）的網站上申請，Facebook收到委員會的通知後，會把使用者在自己聊天室上傳的「私密照」轉化為數位指紋（Digital fingerprint），開始追蹤這些影像是否被其他擁有此張照片的人惡意散佈。

但此項服務有幾個矛盾的地方，第一是這項機制只能找出是否有與上傳照片完全相同的影像被使用，第二是在防範的同時，還必須自己傳裸照給自己，不只感覺非常奇怪，是否也產生另一種可能被其他方窺看隱私的風險？這樣真的夠保障嗎？對此還有網友表示，這樣豈不是給工程師看光光了!

其實想有效的保護所有行動裝置內的私密影像，趨勢安全達人有更安全的防窺功能「相片安心鎖」，只要開啟此項功能並將想隱藏的照片儲存在內，即使遇到有心人士甚至是另一半想竊取私人影像，都無法從手機相簿中找到，有效防堵被害的風險。

首先點入程式中的「相片安心鎖」。

選取照片後按下右上方加號，便可加密照片。

為了確保照片安全，我們將要求此功能取得手機之管理員權限，希望可以為您的私密照多一層防護。

因為是首次使用，請先設置4位數的PIN碼，且再次確認PIN碼。

完成照片加密後，只有在隱私瀏覽模式可以檢視加密過的照片。隱藏後的照片將不會顯示在媒體瀏覽器等位置。

若要再度若進入隱私瀏覽模式，請點選右下角的眼睛符號，再次輸入PIN碼，就可以觀看所有加密的照片。

照片安心鎖功能的出現，真的使不少手機使用者很安心，在不用刪除照片的情況下，在同一台手機裡保護自己的私密照，安全達人新功能「照片安心鎖」，加密照片讓您更安心，推薦給大家使用:)

到Goole Play給予我們五顆星的評價喔!

英國恐攻再起，個資即將受威脅?

2017 年 06 月 06 日2017 年 06 月 06 日趨勢科技TrendMicro

你的手機有上鎖嗎? 無論是指紋鎖、密碼鎖或是面部解鎖，一般手機用戶都是為了手機內部個資加以防護。那麼你知道近期層出不窮的恐攻事件可能讓用戶處心積慮的防護毀於一旦嗎?

數日前，英國曼徹斯特自殺炸彈客在演唱會現場引爆炸彈導致22人死亡。事件發生後，英國太陽報報導數名英國內閣官員的言論，表示為了國家安全，政府可能推動法案強制企業交出加密的資料以利偵辦。假若法案通過，可能會從Whatsapp或Facebook等具有社群聊天功能的軟體著手，並重創社會對社交軟體現有的信任。繼續閱讀

吸毒鴿、垃圾鴿？讓我們一起認識臉書爆紅的紫色鴿貼圖！

2017 年 02 月 15 日2017 年 02 月 17 日趨勢科技TrendMicro

最近你是否常在Facebook上看到這隻紫色、快速晃動的紫色生物，牠究竟是誰呢？

牠詭譎的動作被台灣人稱作吸毒鴿，不過牠正確的名稱是「垃圾鴿」喔！圖文創作者 Syd Weiler在 1 月 31 日在 Facebook 貼圖初登場後，短短兩週的時間就成為時下最夯的話題了。且不只在台灣受到極大的迴響，「垃圾鴿」在短時間內就掀起遍及全球的風潮。一泰國Facebook專頁สัตว์โลกอมตีน不久前發布了一部結合垃圾鴿以及手機敏貓的搞笑短影，一週內竟有超過400萬的點閱人次。繼續閱讀