Facebook ATO 漏洞说明什么?请用哲学视角思考日益严峻的计算机安全威胁

编者按:本文来自链闻ChainNews,作者:VictorFang,Ph.D.,区块链安全公司AnChain.ai创始人,Odaily星球日报经授权发布。几天前开始,整个硅谷的计算机安全圈子的同行们都在讨论一件爆炸性新闻:Facebook的5000~8000万账户存在「ViewAs」accesstoken漏洞。该漏洞对于Facebook这个世界最大社交网络用户隐私数据的影响是毁灭性的。这个漏洞会导致账户接管攻击,也就是用户私人秘钥泄漏,让黑客能够在未授权情况下访问用户的隐私数据。虽然Facebook官方公布的信息对细节讳莫如深,我个人觉得这种漏洞极有可能是内部Web开发流程管理不慎导致,区别于2014年雅虎的heartbleed开源OpenSSL漏洞。账户接管攻击其实是一个比较古老的话题,一般银行这种金融机构是重灾区。五年前我曾负责一个美国金融客户的反欺诈侦察算法研发,利用机器学习自动检测交易中的ATO漏洞,为客户挽回了数百万美元的ATO攻击。关于ATO安全问题,推荐大家看一篇2017年12月份的福布斯文章。我刚从传统的网络安全行业跨界到新兴的区块链安全行业,创立了全新的通过人工智能技术护卫区块链安全的初创公司「AnChain.ai」。我想趁这个机会,和大家分享一下一些AnChain.ai对于安全问题的哲学思辨:安全的本质是对抗,是战争

外媒:Facebook元宇宙将支持NFT:根据Facebook Connect 2021大会的演示文稿,该公司的元宇宙(metaverse)或将支持NFT。Facebook元宇宙产品负责人Vishal Shah表示:“这将使人们更容易销售NFT等限量版数字物体,在他们的数字空间中展示它们,甚至将它们安全地转售给下一个人。”(Coindesk)[2021/10/29 21:06:40]

过去八年,我作为硅谷白帽,有幸亲身经历了很多个黑客组织的对抗,和相互之间共同演化升级。黑客组织一旦盯上了资产,他们将竭尽一切所能来攻陷这个目标,不论是数据,或是金钱,或是虚拟货币。在这个游戏中,攻击方只需要找到一个漏洞即可攻陷防御方,而防御方则需要全局防范。这并不是一个公平的对抗游戏。两千年前的孙子兵法称为:「知己知彼百战不殆」;美国前空军首席科学家MicaEndsley博士,在1995年提出了「态势感知SituationalAwareness」的理论。这两套理论,异曲同工,都突出了安全的最佳实践准则。只要是人写的软件,就会有漏洞

声音 | BitMEX首席执行官:Facebook的Libra将使中央银行和商业银行面临重大动荡:据cointelegraph报道,BitMEX首席执行官Arthur Hayes表示,Facebook的Libra将使中央银行和商业银行面临重大动荡,并使PayPal没有未来。Libra推出后,所有银行都会被降级为一个愚蠢的节点,以电子形式持有法定货币。Libra还有可能完全破坏商业银行,并破坏其创收机会。[2019/7/10]

这里所指的「软件」是广义的,包括2017年的英特尔芯片的「meltdown」设计漏洞,或者两周前去中心化的比特币BitcoinCore代码的「CVE-2018-17144」漏洞,也包括Facebook此次漏洞。计算机领域和学术界现在看好的圣杯是「形式化验证研究」,已经由顶级计算机科研工作者进行了数十年。该技术成熟化之后,将可以如同证明数学定理一样来「证明」人写的代码是否有漏洞,从而极大减少软件漏洞。但是在此之前,漏洞将继续存在。另外,去年八月,Facebook工程团队发布了一篇技术干货文章:「Rapidreleaseatmassivescale」。对于如此大规模的软件系统,大家不妨自行脑补一些「attacksurface」攻击面。Facebook拥有22亿用户,是世界最大的月活用户基数,拥有黑客垂涎的用户隐私数据。有没有可能,这个「ViewAs」的漏洞,只是冰山一角?「交易安全」意义重大

动态 | Facebook子公司Calibra可能拥有注册域名 源代码包含即将公布加密货币的线索:Facebook子公司Calibra可能拥有注册域名。calibra.com页面包含了其Logo,表明该域名很可能属于Facebook子公司。 尽管该网站包含404错误信息,但源代码揭示了即将公布的加密货币的线索。它包含全球许多法定货币的文本,包括美元、欧元、委内瑞拉玻利瓦尔、津巴布韦元和海地古德等。虽然还不清楚包含这些法币对Facebook加密货币意味着什么,但该代码也支持了关于该货币可用于消息应用程序(包括Facebook的WhatsApp)的报道。Instagram和“messengerdotcom”也出现在源代码中。彭博去年报道称,Facebook即将推出的稳定币可能被用作其即时通讯服务中的一种支付方式。 源代码还包含对看似随机的企业的引用。目前还不清楚为何肯德基泰国、挪威邮轮公司和墨西哥百思买等公司实体会被纳入该代码。他们不是创始节点持有人,也没有报道称他们参与了Facebook的区块链项目。 Odaily星球日报注:据报道,知情人士透露,Facebook子公司Calibra是Libra协会创始成员之一。Calibra成立目的是监督Facebook的加密工作。[2019/6/15]

综上两点,不管是传统的网络安全,或者区块链安全,最可靠的防护方式,是基于交易数据的安全检测和态势感知。这里的「交易」指的是广义的Transaction数据,比如网络数据包、用户登陆日志等。Facebook对于如何发现该漏洞没有具体报道,我猜测极有可能是从交易数据发现了漏洞端倪。内部RedTeam或者外部白帽检测到网络包数据异常;或者内部审计登陆日志数据发现异常。我们分析一下2018年安全圈子的两个热点,来突出了解一下为什么「交易安全」如此重要:事件一:FireEye公司报告的2018年2月份朝鲜黑客组织APT37的活动通过对海量的网络的分析,FireEye公司重现了来自朝鲜的黑客利用Flash和韩文文字处理器零日漏洞,如何窃取了东亚国家的化学品、电子、制造业、航空航天、汽车和医疗保健行业企业数据资产。方博士是硅谷上市网络安全公司FireEye史上第一位首席数据科学家,身后是FireEyefaceofAI,具体信息可以查阅官方版公告,中文版翻译:揭秘朝鲜黑客组织APT37近期活动。事件二:史上第一个BlockchainAPT区块链高级持续威胁——黑客军团2018年8月,AnChain.ai团队和合作伙伴安比实验室,从若干个智能合约游戏的海量区块链交易数据,检测到史上第一个BlockchainAPT区块链高级持续威胁——黑客军团。该团伙短短几天盗取了千万元的以太坊虚拟货币,成功变现离场。具体信息可以参阅该报道。总结

动态 | 华尔街日报:Facebook已与Visa、万事达卡等就其加密货币签约:据华尔街日报报道,美国社交媒体巨头Facebook已经与十几家公司签署了协议,其中包括Visa、万事达(Mastercard)、PayPal和优步(Uber),以支持Facebook计划于下周公布的新加密货币。知情人士透露,这些公司将在管理该加密货币的一个财团中分别投资约1000万美元。这写资金将用于新加密货币的推出,该加密货币将与政府发行的一系列货币挂钩,以避免困扰其他加密货币的疯狂波动。Facebook发言人拒绝透露消息。[2019/6/14]

Facebook的企业文化DNA是「Movefastandbreakthings」的黑客精神。这种黑客文化对于早期初创公司来说可能是好事,而对于掌握了22亿用户隐私数据的大公司,和广大用户,是巨大的灾难。一个数据驱动的技术公司,如何树立起全体员工重视安全的文化?如何对用户隐私数据负责?如何建立起防范于未然的安全检测体系?对于所有科技公司,必须认真思索思考这些问题。因为,无论是传统互联网公司,或者新兴的区块链加密货币公司,这些都是关乎存亡,需要严肃面对的问题。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

银河链

[0:62ms0-1:589ms