SHA-1: 9,223,372,036,854,775,808 個不需擔心的理由

作者 Mark Nunnikhoven (趨勢科技雲端研究副總裁)

SHA-1(全稱Secure Hash Algorithm-1) 雜湊碼被破解了,這早已不是新聞,令人訝異的是,有人真的展示實際攻擊。不過請記住,這裡所謂的「實際」是對於加密學研究人員而言,但這對您的日常資訊生活並不一定會造成實際影響。

儘管新聞吵得沸沸揚揚,但 IT部門、新聞記者及一般使用者卻仍搞不懂這有什麼潛在影響。這確實是一個很難理解的事,加密是一門很複雜的學問,就算是最簡單的新手入門還是很難讓人理解。

加密學是一門結合了電腦和數學的高深學問,但也是資訊安全的根基,所以是最具挑戰性的一環。

SHA 到底是什麼?

SHA-1 演算法是眾多雜湊碼計算函式之一。雜湊函式是一種單向的數學運算函式,可以從任何一組資料計算出一串固定長度的數字,我們稱之為「摘要值」或「雜湊碼」。這就好比用一個串 DNA 序列來代表一個人一樣,差不多就是這樣 (我說過這很複雜的)。

最主要的重點是,每一串雜湊碼,理論上都是獨一無二的。因此,只要是原始資料有任何一點點的變動,其計算出來的雜湊碼應該會截然不同。在這方面,SHA-1 演算法已被證明有漏洞。

這是一項重大的壞消息,因為雜湊碼的應用範圍非常廣泛,例如:

·         用來檢查您所下載的檔案是否遭到竄改

·         用來檢驗數位憑證是否正確 (例如所謂安全網站所用的憑證)

·         用來當成數位簽章

·         用來驗證密碼

簡而言之,雜湊碼是數位世界很重要的一環。而任何一個環節只要有安全上的疑慮,都是一件大事,不是嗎?

壽命有限

其實,我們早就知道遲早會出問題,只是時間早晚而已。歹徒可用的其中一種攻擊方式就是所謂的暴力破解 (也就是嘗試所有的可能組合,直到找到為止)。但由於這花的時間太長 (若使用單一 GPU 來運算需要 1,200 萬年以上) 因此過去一直被視為顯不可能。

然而,GoogleCWI 的團隊最近展示了一項快 10 萬倍的全新攻擊方式。這使得整體攻擊時間縮短至9,223,372,036,854,775,808-超過900 萬兆次, (若以單一 GPU 整天不停運算約需 110 年的時間)。 繼續閱讀

CloudFlare漏洞造成潛在的大規模資料外洩

全球最大型網路服務公司的程式碼出現嚴重缺陷,導致敏感資料會被外洩到網路上。在部落格的事後檢討文章中,CloudFlare詳細說明了其邊際伺服器如何受到緩衝區溢出的影響,導致對使用CloudFlare服務的網站所發出的請求會返回隨機資料位元,這可能包含了私密資訊如API金鑰、使用者憑證、cookies甚至是私人訊息。外洩資料也被搜尋引擎所暫存,增加了被用在惡意用途的可能性。這個漏洞已經被非正式地稱為「CloudBleed」,因為它跟早期的HeartBleed漏洞有相似之處。

「CloudBleed」一開始是由Google研究人員Travis Omandy所發現,他在觀察到對使用CloudFlare服務的網站所發出HTTP請求的異常行為時回報了此一問題。經過分析,CloudFlare將問題追查至其新的cf-html HTML解析程式。具體地說,這個問題跟存在其舊Ragel解析程式內多年的程式碼錯誤有關,不過問題會浮現是因為切換到新解析程式改變了緩衝機制,導致資料外洩的發生。

CloudFlare的即時回應是停用使用有資料外洩問題HTML解析程式的相關功能。此外,也組成了一個團隊來找出和修復解析程式內的錯誤,他們會設法在短時間內完成任務,在資料被更廣泛擴散前將潛在的傷害最小化。

 

網路使用者應該擔心嗎?

考量到使用CloudFlare服務的網站數量和資料可能遭到外洩的有效時間長度(最早可能從2016年9月),這似乎是件應該擔心的事情,特別是對經常使用CloudFlare相關網站的使用者來說。不過該公司也說明了資料外洩所造成的影響並沒有那麼大。據估計,在2月13日至18日期間所造成的資料外洩影響最大,透過CloudFlare所進行的3,300,300個HTTP請求中有約1個(0.00003%)可能會導致記憶體資料外洩。

這一點再加上CloudFlare對此事件的快速回應,顯示出資料外洩的影響應該很小。不過這起事件還是提醒了所有網路使用者必須要做好準備來保護自己最重要的數位資產 – 特別是包含敏感資料的部分。

因為主要問題並非使用者所能夠控制,所以使用者能做的最佳行動是變更使用CloudFlare基礎設施網站上的密碼。除了變更密碼,這或許也是個好時機讓使用者去採用更有效的驗證方法,如雙因子身份認證

 

@原文出處:CloudFlare Flaw Causes Potential Major Data Leak

從遠親姨媽到表哥的兩歲孩子,甚至是鄰居的狗都有社群帳號,這對網路犯罪者意味著什麼?

如果你是網路世代的孩子,你會相信自己已經探索過或至少知道可能在網路上出現的一切事物。但是網際網路也隨著時間的不斷改變。雖然你還是能從中得到許多東西,但它也會以各種方式從新使用者或不知情者身上取得些什麼。年輕網友和年長使用者在隱私和安全意識間的差距可能需要有個橋樑連結。

你是否有過以下的經驗:

☑ 一次意外的點擊,從此卻接二連三跑出充滿性和暴力的網站?

☑  喜歡發文打卡,在家要發,搭公車要發,外出用餐要發,出遠門旅遊更要發?

☑ 「不要理他就好了 。」孩子遇到網路霸凌(bully) 時,你也講過這句話嗎?

風險和解決方法:維護家庭和兒童的線上隱私

網際網路在本質上是公開的,但這並不代表你該放棄自己在隱私和安全方面的權利。孩子們在五歲就已經知道如何下載和玩遊戲,而且今日你可以在社群網路上找到幾乎每個人,從你的姨媽到你表哥的兩歲孩子(甚至是你鄰居的狗)。而他們大多數仍然認為網際網路是個遊樂場,可以自由取用資訊、娛樂和其他類型的內容而不會有任何後果。事實是,當我們不去思考的享受網際網路時,網路犯罪分子也在不斷地尋找新受害者,特別是那些容易被巧妙偽裝騙局所誘騙的對象。

無論我們是否喜歡,每個網路使用者都經常會在網路上遇到危險。只要能了解這些威脅,要保持安全在線並非難事。年輕的孩子、新使用者和不知情的成年人都需要關於這些威脅的教育。這裡有個簡短的列表:

一次意外的點擊就可能導致成千上萬充滿性和暴力的網站跑出來

 

惡意和不當內容 – 雖然網際網路為孩子們提供了一個有趣和學習的世界,但它也充斥著含有性、暴力和不當內容的網站。一次意外的點擊就可能導致成千上萬這樣的網站跑出來。

解決方法:為避免意外暴露於這些網站,家長應制定電腦及網際網路的使用規則。家長還可以通過瀏覽器內建的內容過濾器及提供家長監護功能的安全軟體來防止連到成人或不當的網站。

要「牛奶」,給「腥羶」最平凡的字彙,竟有另人臉紅的搜尋結果

在網路上搜尋最平凡的詞彙卻產生令人不堪入目的結果,其中不僅充斥各類色情網頁,更有夾帶惡意程式的色情圖片在其中。趨勢科技發現不僅造訪賭博網站或成人網站會受到網頁威脅攻擊,輸入一般性查尋的詞彙,所出現的連結更有出現令人傻眼的內容,例如輸入「 milk(牛奶)」這個字眼,竟出現「 Sex(性)」、Porn(色情)」等兒童不宜字眼。一旦好奇點選,更有被潛藏其中的惡意程式入侵之危險。》看更多

每天8則發文,就可以知道發文者的工作地點甚至住家

據《每日郵報》報導,專家指出,美國麻省理工學院和英國牛津大學專家指出,每天8則的發文,即便是沒有任何技術和相關知識,也可以精確的指出發文者的工作地點甚至住家。研究報告指出, 65%測試者可以大致知道使用者住家位置,而70%能推算出工作位置,甚至能有85%的能夠精準掌握其公司所在地。

繼續閱讀

【8個旅遊資安備忘清單】使用公共的手機充電器安全嗎?退役空姐為何建議登機證別亂丟?….

你都怎麼處理登機證?登機前拿著登機證拍照打卡?回國後扔在機場垃圾桶?
退役空姐提醒大家登記證別亂丟,若被有心人拿到,透過訂位系統詳細個資全都露,甚至還能替你更改行程選位、取消網路報到,就連登機證存根也別隨手扔,因為上面有條碼就能解讀。 

出遠門旅行度假時,大多數人都會花點時間去確認房子是安全的。我們可能會請鄰居過來幫忙收信、開關窗簾,並且會全部巡過一遍。我們會鎖好所有的門窗,甚至可能會設定計時器來定時開關燈,讓別人以為房子內還是有人在的。但是當你旅行時,你會同樣精明地去維護數位生活的安全嗎?

請先問自己以下 8 個問題:

  1. 使用公共的手機充電器安全嗎?
  2. 借用別人的 Wi-Fi 上網安全嗎?
  3. 付費的公共無線網路安全無虞?
  4. 著名景點如迪士尼樂園, 紐約時代廣場,Wi-Fi相對安全?
  5. 分享照片在社群網站有可能洩漏居家位置嗎?
  6. 在五星級飯店刷卡會發生個資外洩嗎?
  7. 上飛機前一定要拿登機證,來個自拍上傳 FB ?
  8. 吃大餐時一定也要拍照上傳?

繼續閱讀

印表機,心臟輔助裝置, 咖啡機 可在未經授權下存取連網設備

根據教育部統計,近日全國共46校通報疑似遭網路駭客攻擊,入侵印表機列印恐嚇信,勒索比特幣。教育部已通令各校,將連線的印表機等設備移到防火牆內,並將電腦內的重要資料備分以免被駭客竊走或破壞。

 

時至今日我們不再只用電腦來連接網路,還有智慧型手機和平板電腦,差不多已經將網路塞進我們的口袋裡了。我們是如此的保持連線著,就連以前是「離線」的小玩意,現在也都是連線狀態。小玩意就是像媒體中心、遊戲機、電視、家庭自動系統、監控攝影機、數位相機等設備,現在也都有上網功能了,讓它比以往任何時候都更容易連接。的確是非常方便,但我們也面臨一個非常重要的問題:這些設備連網安全嗎?

在趨勢科技所發布的2013年預測中,已經提到會看到越來越多安全威脅出現在意想不到的地方。這預測的確成真。最近的記錄告訴我們,被用在新連網設備的網路架構會被第三方所存取。我們已經看到有研究人員證明可以在未經授權下存取連網設備,像是印表機心臟輔助裝置,甚至是咖啡機。比如三星的智慧型電視被發現有漏洞。可以被用來竊取資訊,甚至是入侵破解該電視。

到目前為止,相關的研究都集中在找出漏洞。雖然有部分研究是為了提供使用者更好的安全性,但其他人的研究是在找出新方法來竊取金錢和資訊。

讓後者變得更令人擔憂的是,這些具有上網功能的小玩意通常只有基本IP設定加上很少或根本沒有的安全選項,讓它們在面對攻擊時非常脆弱。但同時人們也不知道這些設備的脆弱,他們就跟使用自己電腦一樣地使用這些設備,還可能會放入重要的資料。講到這點,我們所談論的不再是未經授權存取的風險,而是資料竊取。

當然,這並不表示使用者不能使用這些設備的上網功能。他們只是需要在使用時考慮到安全性。有些好的做法包括檢查Modem或防火牆,確保這設備只能從家庭內網存取,也不要用這些設備去存取不熟悉的網站。

請參 – 「商務、數位生活和雲端技術所要面臨的安全威脅:趨勢科技對2013年之後的預測」。

 

@原文出處:New Gadget + the Internet = New Threat 作者:Ranieri Romera(趨勢科技資深威脅研究員)
延伸閱讀:

★你付錢了嗎?別讓檔案當肉票!勒索軟體常見問題集


如何防禦勒索軟體?
★牢記四步驟和”三不三要”口訣
【一般用戶】
★使用趨勢科技PC-cillin 2016對抗勒索軟體
【企業用戶】
★趨勢科技端點解決方案
★中小企業如何防禦加密勒索軟體?

 


PC-cillin 雲端版已有增加對勒索軟體 Ransomware加密行為的防護機制,可預防檔案被勒索軟體惡意加密

趨勢科技PC-cillin雲端版 ,榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦,採用全球獨家趨勢科技「主動式雲端截毒技術」,以領先業界平均 50 倍的速度防禦惡意威脅!即刻免費下載


 

 

《 想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁 或下面的按鈕按讚 》

《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位,勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端,讓你不會錯過任何更新。
*手機版直接前往專頁首頁,下拉追蹤中,就能將粉絲專頁設定搶先看。

 


▼ 歡迎加入趨勢科技社群網站▼

好友人數