British△Airways官网与行动程式遭骇客入侵，38万名乘客的付款资讯与个资遭窃，但未危及护照或旅游资讯。（图片来源／British△Airways）
0906-0912一定要看的资安新闻?
#英国航空 #资料外泄英国航空遭骇，38万名乘客个资外泄知名的英国航空（British△Airways）九月六日宣布，该公司的官网与行动程式遭到骇客入侵，估计有38万名乘客的付款资讯与个人资料遭盗，但未危及乘客的护照或旅游资讯。
英国航空表示，只要是在今年8月21日至9月5白天，通过ba.com或该公司的行动程式预订或变更机票的客户都受到影响，他们已直接通知这些客户，并建议他们联系银行或信用卡公司。英国航空并未揭露被骇细节，只说已通知执法机构，且官网的运作也已恢复正常。更多内容
?
#Mac△#Adware△Doctor△#趋势科技 #个资搜集打破Mac安全迷思，广告过滤工具Adware△Doctor、两款趋势科技软件被爆会窃取个资近日有多款Mac版软件被发现会搜集用户个资，包括广告过滤工具Adware△Doctor、趋势科技的Dr. Antivirus、Dr. Cleaner等。前者还将资料传给中国，现已被苹果下架。趋势科技回应，这是为了确认用户是否浏览恶意网站，才搜集程式安装前24小时的行为，也已于资料搜集中告知，非窃取行为。
安全研究人员Patrick△Wardle发现Adware△Doctor会暗中搜集Chrome、Firefox、Safari浏览器的上网记录、电脑中所有执行中的应用程序清单、以及用户下载的软件清单和下载来源，甚至用户在App△Store中的所有App搜寻纪录。
另一位研究人员Privacy△1st及安全公司Malwarebytes则发现，趋势科技Dr. Antivirus及硬盘清理工具Dr. Cleaner，会暗中收集用户资料。这二款软件和另一款解压缩工具Open△Any△File类似，都是收集Safari、Chrome、Firefox的上网及搜寻纪录、以及完整的App△Store浏览纪录后，将资讯以file.zip压缩档形式上传趋势科技的伺服器。更多内容
?
#美国 #恶意网域代管Palo△Alto△Networks：美国所代管的恶意网域居全球之冠网络安全业者Palo△Alto△Networks公布今年第二季的网络风险分析报告，显示出美国在恶意网域的代管上居全球之冠，而微软在两年前就修补的CVE-2016-0189漏洞在该季最受骇客青睐，今年5月才修补的CVE-2018-8174则快速成为第二大热门漏洞。
Palo△Alto△Networks的研究是基于“通用漏洞披露”（CVE），显示今年第二季有6个漏洞遭到骇客开采，总计有440个恶意网域（Malicious△Domains）可开采这6个漏洞，这些恶意网域延伸出更多的恶意网址（Malicious△URLs）与攻击套件（Exploit△Kits，EKs），最大的来源地皆为美国。
根据该组织的统计，Q2所发现的440个恶意网域中，有248个位于美国，31个位于荷兰，9个位于香港。在上一季以106个位居第二名的中国于Q2只剩下2个，排行掉至第七。
不过，恶意网域并不全然代表恶意网址或攻击套件的数量。在恶意网址的数量上，除了美国仍以495个领先全球之外，俄罗斯拥有147个恶意网址，中国拥有66个，香港则有41个。更多内容
?
#美国 #网络威慑与应对法案 #国家级骇客 #APT美国国会通过法案，将对威胁国家安全的全球骇客造册列管美国众议院通过《网络威慑与应对法案》（Cyber△Deterrence△and△Response△Act△of△2018），将替威胁美国的国家级骇客或组织编列成册，以方便识别，同时建立一个框架来阻止与回应这些对抗美国的骇客。
提出这项法案的美国国会议员Ted△Yoho指出，这些国家级骇客能够破坏美国的网络、关键基础设施、经济，或是危及美国的选举，从中国、朝鲜、伊朗与俄罗斯而来的国家级骇客持续成长，美国必须采取积极的措施来打击所面临的网络威胁。
该法案要求白宫应建立与维护一个有关先进持续性威胁（Advanced△Persistent△Threats，APT）的骇客资料库，并统一这些国家级骇客组织的名称。之后再打造一个强大且透明的政策来对付这些骇客，包括根据骇客的行为制定程度不一的制裁行动。更多内容
?
#iOS△#位置服务权限安全程式团队踢爆：多款iOS程式会将位置资讯悄悄传给第三方GuardianApp团队指出，有愈来愈多的iOS程式嵌入了可将位置资讯传送给第三方的套件，这些程式通常提供了需要位置服务权限的正当理由，却鲜少或根本没有提及将把这些位置资讯与第三方分享。
该团队总计列出了24款与第三方分享位置资讯的iOS程式，以及12家第三方业者，这些业者搜集了iOS装置用户的准确资讯，并利用这些资讯获利。另有近100个新闻程式将位置资讯与行销业者RevealMobile分享。
GuardianApp研究人员表示，这些程式或多或少都与第三方分享了某些使用者的精准位置资讯，包括低功耗蓝牙（BLE）的Beacon，GPS的经纬度，或者是Wi-Fi的网络名称与网络的MAC位址。有时第三方也存取了加速计资讯、电池状态、行动网络名称、GPS的高度或速度，以及抵达或离开某处的时间戳。更多内容
?
#Tor浏览器 #Android版匿名Tor浏览器也有Android平台版本了近期Tor官方除了推出Tor浏览器8.0，也推出Android平台Tor行动浏览器，除了可以阻挡追踪器之外，也能防止网站收集行动装置特征，并为网络流量进行加密。目前仍是测试版，官方预计在2019年初会推出正式版本，届时之前的替代方案Guardian专案中的Orfox浏览器，预计将停止开发。至于iOS平台的Tor浏览器，目前尚无官方版本，推荐使用Mike△Tigas开发的Onion浏览器。
使用者现在已经可以从Google△Play上，下载Tor匿名浏览器Alpha测试版，当然也可以从Tor官方网站直接下载Apk进行安装。
Android平台Tor浏览器是一款具有高度隐私保护的行动装置浏览器，与桌面版的Tor浏览器相同。其特色是能阻挡网站追踪器，由于Tor浏览器会隔离使用者存取的每一个网站，因此第三方追踪器和广告无法跨站追踪使用者，在浏览结束后，任何Cookie也都会被清除。更多内容
?
#Android装置 #无线广播Android装置的无线广播暴露敏感资料，但Google只针对最新版作业系统修补资安研究团队Nightwatch△Cybersecurity指出， Android装置的无线网络广播功能会泄露装置取得的IP位址、DNS伺服器资讯，甚至是MAC位址等，该弱点影响范围，遍及所有版本的Android作业系统，以该平台为基础开发的作业系统，像是Amazon为Kindle装置量身订做的Fire△OS，也存在相同的漏洞。
该团队表示，由于装置上的MAC位址与硬件结合在一起，具有唯一性，不易变更等特点，便成为有心人士想要追踪Android装置的重要依据，就算受害者修改MAC位址，改用动态的MAC位址上网，骇客还是能利用硬件的MAC位址，锁定受害的装置。
这个漏洞虽然在3月底就通报Google，但根据Nightwatch△Cybersecurity的追踪，Google在上个月推出的Android△Pie（9.0）中，终于修补相关弱点，不过，考量到会破坏系统中的API，Google不打算处理旧版作业系统的漏洞。不过，Amazon表示会自行修补Fire△OS的漏洞。更多内容
?
#TLS协议 #脸书 #Google研究：不靠Cookie，脸书、Google也能通过TLS协议追踪你过去网站包括脸书以及Google等公司，都会使用HTTP△Cookie以及网页浏览器特征追踪使用者，但随着使用者隐私意识抬头，越来越多人使用强化隐私的浏览器，以隐私模式或是扩充套件来限制网页追踪，这使得上述两项技术几乎失灵。另外，通过IP位置追踪用户也受到限制，因为使用者有可能以NAT共享公共IP位置，而且网站也无法跨不同的网络追踪装置。
网站开始把追踪主意打到最新的TLS△1.3协议上，追踪技术开始转向使用TLS对话恢复机制。TLS对话恢复机制允许网站利用早前的TLS对话中交换的密钥，来缩减TLS握手程序，而这也开启了让网站可以链结两个对话的可能性。由于重新启动浏览器会顺便清空快取，所以这个方法仅在浏览器未重新启动的情况下，网站才能通过TLS对话恢复进行连续用户追踪。但是这个使用习惯在行动装置完全不同，行动装置使用者鲜少重新开启浏览器。
汉堡大学研究了48种热门浏览器以及Alexa前百万热门网站的配置，以评估这些追踪机制的实际配置以及用户追踪可持续时间。研究人员使用了延长攻击（Prolongation△Attack），延长追踪周期超过TLS对话恢复的生命周期，接着根据额外的DNS资料集，分析延长攻击对于追踪时间的影响以及可永久追踪的用户比例，最终导出使用者浏览行为。
研究显示，即便标准浏览器设定TLS对话恢复生命周期仅维持一天，但用户可以被追踪长达8天之久，TLS△1.3草稿版本建议TLS对话恢复生命周期上限为7天，研究人员通过Alexa资料集中至少一个网站，可以永久追踪实验中的65％使用者。更多内容
?
#Chrome△69 #漏洞修补Chrome△69修补40个漏洞，发出近百万元奖金Google于九月四日释出Chrome△69，除了新增各式功能之外，也修补了40个安全漏洞，总计发出了31,500美元（约97.8万新台币）的抓漏奖金。
这40个安全漏洞有些是由Chrome团队自行发现，有些则是来自外部研究人员的举报，当中，获得最高5,000美元奖金的，是由Brendon△Tiszka所揭露的CVE-2018-16065，这是一个存在于V8 JavaScript引擎的越界写入（out△of△bounds△write）漏洞，成功的攻击可执行任意程式码。
其它6个同样被列为高度严重的安全漏洞分别是CVE-2018-16066、CVE-2018-16067、CVE-2018-16068、CVE-2018-16069、CVE-2018-16070与CVE-2018-16071。
Google表示，他们计划等到大多数的用户都升级到Chrome△69之后再公布漏洞细节，此外，如果漏洞是存在于其它专案也依赖的第三方函式库，且还未被修补，Google也会限制相关漏洞资讯的存取权。
但非营利的网络安全组织CIS透露，此次Chrome△69所修补的漏洞中，除了将允许骇客执行任意程式之外，骇客也能获得机密资讯，绕过安全限制，执行未被授权的行动，或是造成服务阻断的状况。因此，不管是为了体验新功能或是安全性，部署Chrome△69方为上策。更多内容
?
?更多资安动态?匿名Tor浏览器推出8.0，改善桥接配置流程强化隐私安全、支援正体中文
资料来源：iThome整理，2018年9月